AWS Security Agent といっしょに脅威モデリングをやってみよう

AWS Security Agent といっしょに脅威モデリングをやってみよう 2026/6/23 JAWS-UG東京ランチタイムLT会 #36

自己紹介藤田直幸　X：@amarelo_n24 　・AWS Community Builders(Security) 　・JAWS-UG 彩の国埼玉支部運営　・コーヒー焙煎人兼エンジニア
・おひとり様BuilderCards Player 好きなAWSサービス：IAM、S3、Organizations 好きなこと：コーヒー豆の焙煎

１．AWS Security Agent とは？２．脅威モデリングとは？３．脅威モデルを実行してみた４．脅威が検出されなかった事例５．まとめアジェンダ

・今回試した結果は、私個人のAWSアカウントで試した結果です。・個人の見解であり、所属組織等を代表するものではありません。・本資料は、2026/6/21現在の情報で作成したものです。おことわり

１．AWS Security Agent とは？

AWS Security Agent とは AWS re:Invent 2025の会期中に発表された、Webアプリケーションに潜む脆弱性や脅威を検出できるフロンティアエージェントサービス。 https://aws.amazon.com/jp/security-agent/

４つの機能（2026/6/21現在）カテゴリ概要ステータスペネトレーションテスト疑似攻撃シナリオによる脆弱性の検出 GA コードレビューコードを読み取り脆弱性を検出プレビュー
設計レビューアプリケーション設計の評価プレビュー脅威モデルアプリケーションに及ぶ脅威の特定プレビュー

２．脅威モデリングとは？

脅威を特定し、システムに対する脅威の影響を防止または軽減するための対策を定義することで、セキュリティを向上させるための活動。 ※OWASPのサイトより引用 https://owasp.org/www-community/Threat_Modeling 脅威モデリングとは？

2026/6/17のAWS Summit New York Cityで発表された機能。設計ドキュメントまたはアプリケーションのソースコードからアーキテクチャの全体像を把握し、STRIDEフレームワークを使って脅威の特定と推奨される対策を提示。 https://aws.amazon.com/jp/about-aws/whats-new/2026/06/aws-security-agent-threat-modeling/ https://aws.amazon.com/jp/blogs/aws/aws-security-agent-adds-threat-modeling-kiro-power-and-c
laude-code-plugin-and-more/ Security Agent 脅威モデル機能

以下主要な脅威の頭文字を並べた言葉。これらの観点で脅威を分析する脅威モデリングの分析手法の一つ。 https://learn.microsoft.com/ja-jp/azure/security/develop/threat-modeling-tool-threats#stride-model STRIDEとは？カテゴリ説明 Spoofing なりすまし Tampering 改ざん
Repudiation 否認 Information disclosure 情報漏洩 Denial of service サービス拒否 Elevation of privileg 権限昇格

AWS Well-Architected フレームワークのセキュリティの柱のSEC01-BP07で、脅威モデルを使用した脅威を特定について記載あり。 Well-Architected フレームワークに準拠するために必要な機能では？ SEC01-BP07 https://docs.aws.amazon.com/ja_jp/wellarchitected/latest/security-pillar/sec _securely_operate_threat_model.html 脅威モデルはセキュリティの柱にも記載あり

３．脅威モデルを実行してみた

リポジトリ、機能仕様書を選択して実行 GitHub、GitLab、Bitbucket、 Confluenceを設定可能。 CodeCommitはまだ無い…

実行中

1時間ほどで完了

脅威の詳細　※日本語化に期待！

４．脅威が検出されなかった事例

テスト用リポジトリで脅威検出せず…

想定される原因・リポジトリ名がSecurity Agent のPoCを想像させるものだった・READMEにも「セキュリティテスト専用のサイト」の旨書かれていた　※リポジトリ全体を某生成AIにて作成

テスト用アプリだと脅威検出されない？すべての動作確認用Webアプリケーションが該当しないと思うが、脆弱性診断ツール動作確認用と思われる情報があると、Security Agent がその情報を基にして正しく脅威検出してくれないのでは？ ※憶測の域を抜けないが、動作確認用を想像できる文言が入っていない　リポジトリに脅威モデルを実行したら、脅威を検出できた。

５．まとめ

・脅威モデル機能を上手く使って、効率良く脅威の把握と対策を。・検出結果に対する対応可否、対応する脅威の最終的なトリアージは、　絶対に人が判断しなければならない。・プレビュー版の機能を使ってコードレビュー、脅威モデルを学ぼう。　Webアプリケーションセキュリティを身近なものに。・Security Agent 動作確認用サイトを作るときは、「テスト用　サイト」という文言を入れない方が良いかもしれない… 脅威モデルを人の能力だけで実施するのは大変

宣伝：JAWS-UG 北陸新幹線 #6 上越新幹線直通 in 大宮 https://jawsug-sainokuni-saitama.connpass.com/event/392213/

サブイベントは鉄道博物館！ https://jawsug-sainokuni-saitama.connpass.com/event/395674/

本日の登壇内容の基記事 AWS Security Agent といっしょに脅威モデリングをやってみよう https://qiita.com/amarelo_n24/items/997a8fb958e14291ce94 まだ間に合う！コードレビューでAWS Security Agent デビューしよう！
https://qiita.com/amarelo_n24/items/e196b74f718c750a0e18

AWS Security Agent といっしょに脅威モデリングをやってみよう

AWS Security Agent といっしょに脅威モデリングをやってみよう

amarelo_n24

More Decks by amarelo_n24

Other Decks in Technology

Featured

Transcript