TrivyでAWSセキュリティをシフトレフトしよう

Copyright © 2023 Bitkey Inc. All right reserved. TrivyでAWSセキュリティをシフトレフトしよう Qiita
Night 〜AWS vol.2〜登壇資料 (2023/05/24) 株式会社ビットキー　星野貴信　2023/05/24

2 Copyright © 2023 Bitkey Inc. All right reserved. 発表スライドは公開済みのためBitkey
DevelopersのTwitterアカウントから手元に開いてお楽しみくださいスライドへのリンク

3 Copyright © 2023 Bitkey Inc. All right reserved. 自己紹介
星野貴信 Hoshino Takanobu 2014.03 2020.01 2022.11 ソフトウェアエンジニアとしてキャリアを開始受託開発でRubyやPHPによるWebアプリケーションを開発する過程で、AWSの面白さに目覚め、インフラ方面に進む株式会社LCL クラウドエンジニアとしてサービス運用改善やAWSの活用をリード株式会社ビットキー SREとして入社し、現在はSETとのハイブリッド品質を軸に多方面に活動好きなAWSサービス

4 Copyright © 2023 Bitkey Inc. All right reserved. Devトークの案内
We are hiring ! & Devトークあります https://jobs.qiita.com/employers/240/dev_talks/566

5 Copyright © 2023 Bitkey Inc. All right reserved. 会社紹介
https://speakerdeck.com/bitkey/yuzati-yan-woxiang-shang-saserukagiha-fen-duan-nojie-xiao-jue-dui-nizhi-merare naisumatorotukuwoxi-usisutemunoli-ce?slide=2

8 Copyright © 2023 Bitkey Inc. All right reserved. この発表から得られること
1. クラウドインフラ、特にAWSに対する Infrastructure as Codeのテスト技法 2. セキュリティスキャナ Trivyの概要と導入時のポイント

9 Copyright © 2023 Bitkey Inc. All right reserved. 今日話すこと
SREかつSETということで、今日はクラウドインフラのテストについて話します！

10 Copyright © 2023 Bitkey Inc. All right reserved. 今日話すこと
クラウドインフラのテストの中から Infrastructure as Code(IaC)のテスト技法を取り上げます

11 Copyright © 2023 Bitkey Inc. All right reserved. Outline
1. なぜクラウドインフラをテストするのか 2. Infrastructure as Codeのテスト技法 3. Trivyの概要 4. Trivy運用時のTips 5. まとめ

12 Copyright © 2023 Bitkey Inc. All right reserved. 1.
なぜクラウドインフラをテストするのか

13 Copyright © 2023 Bitkey Inc. All right reserved. ビットキーは事業領域が広く、プロダクトが多
岐に渡りますそのようなプロダクト群を支えるインフラは、マルチクラウドで、携わる開発者も増加します 1. なぜクラウドインフラをテストするのかクラウドインフラをテストする目的

14 Copyright © 2023 Bitkey Inc. All right reserved. 規模が大きくなればなるほど、セキュリティな
ど、チェックしなければいけない項目は増加します全容を把握するのが難しく、包括的なチェックには時間がかかってしまいます 1. なぜクラウドインフラをテストするのかクラウドインフラをテストする目的

15 Copyright © 2023 Bitkey Inc. All right reserved. ソフトウェアを開発するようにクラウドインフ
ラもデプロイ前にテストがしたいテストによるフィードバックを早める「シフトレフト」をします 1. なぜクラウドインフラをテストするのかクラウドインフラをテストする目的

16 Copyright © 2023 Bitkey Inc. All right reserved. IaC化をすることで、事前のテストを容易にし
てシフトレフトを加速させることができます 1. なぜクラウドインフラをテストするのかクラウドインフラをテストする目的

Infrastructure as Codeのテスト技法

Infrastructure as Codeのテスト技法 IaCにどのようなテスト技法があるか 1. リンターによるシンタックスチェック + α 2. Policy as Codeによるカスタムチェック 3. 静的解析によるセキュリティチェック 4. 実際にデプロイしてリソースを作成する

Infrastructure as Codeのテスト技法 1. リンターによるシンタックスチェック + α ・terraform validate CLIにビルトインされているシンタックスチェック・TFLint 事前定義されたルールセットでベストプラクティスなどをチェック・cfn-lint CloudFormation Resource Speciﬁcationに沿っているかやベストプラクティスのチェック

Infrastructure as Codeのテスト技法 2. Policy as Codeによるカスタムチェック・Hachicorp Sentinel Hashicorpのプロダクト専用のPolicy as Codeのフレームワーク・Conftest Policy記述言語RegoによるOpen Policy AgentのPolicy適用をサポートするユーティリティ CloudFormation専用ではなく汎用のツールのため、Terraformでも使えます ※Policy as Codeは前述のリンターでカバーしきれない、独自のルールを定義してチェックすることを支援します

Infrastructure as Codeのテスト技法 3. 静的解析によるセキュリティチェック・Trivy ・Checkcov ・Terrascan ・Synk Infrastructure 主にOSSとして提供されていたり、SaaS の１機能として利用可能です

Infrastructure as Codeのテスト技法・Terratest TerraformをApplyしてリソースを検証可能なユーティリティを提供している・TaskCat CloudFormation Templateをマルチリージョンにデプロイして成否のレポートを生成するツール ※これらのツールは大規模環境でプラットフォームエンジニアリングチームが、社内に配布するTerraform モジュールやCloudFormation Templateを継続的にメンテし続ける用途で使われると想像しています 4. 実際にデプロイしてリソースを作成する

23 Copyright © 2023 Bitkey Inc. All right reserved. クラウドインフラの主要なテスト技法
1. 静的なコード検査 2. 動的なデプロイ実行ここまでのまとめ

24 Copyright © 2023 Bitkey Inc. All right reserved. ここまでのまとめ
特に静的なコード検査は、素早いフィードバックを得ることで、インフラ構築をより安全にミスなく行うことを支援します

Trivyの概要

26 Copyright © 2023 Bitkey Inc. All right reserved. ここからは紹介したツー
ルのうちセキュリティスキャナのTrivyを取り上げます 3. Trivyの概要 Trivyの紹介

27 Copyright © 2023 Bitkey Inc. All right reserved. ・コンテナイメージ
・ファイルシステム・Gitリポジトリ・VMイメージ・Kubernetes ・AWS 3. Trivyの概要 Trivyの紹介多様なスキャン対象

28 Copyright © 2023 Bitkey Inc. All right reserved. ・OSパッケージ
・SWの依存パッケージ・既知の脆弱性(CVEs) ・IaCのセキュリティ・AWSアクセスキーなど・ソフトウェアライセンス 3. Trivyの概要 Trivyの紹介多様な検出対象

29 Copyright © 2023 Bitkey Inc. All right reserved. Trivyの前身にあたるTerraformのセキュリ
ティスキャナとしてtfsecが開発されていました https://github.com/aquasecurity/tfsec 3. Trivyの概要 tfsecとの関係

30 Copyright © 2023 Bitkey Inc. All right reserved. tfsecもAqua
Securityによって買収されたことでTrivyに統合されることとなりました 3. Trivyの概要 tfsecとの関係

31 Copyright © 2023 Bitkey Inc. All right reserved. Trivyに移行を推奨するアナウンスが出てい
ますので、もし利用中の方が移行を進めましょう https://github.com/aquasecurity/tfsec/discussions/1994 3. Trivyの概要 tfsecとの関係

Trivy運用時のTips

Trivy運用時のTips Tirvyを実際に使ってみる

Trivy運用時のTips Tirvyを実際に使ってみる 😳

パブリックアクセスブロックの未設定 2. バケット暗号化の未設定 3. バケットロギングの未設定 4. バケットバージョニングの未設定 5. カスタマーマネージドキーによる暗号化の未設定 4. Trivy運用時のTips チェックの内訳

46 Copyright © 2023 Bitkey Inc. All right reserved. 紹介したチェックのうち、この2つの項目は可能な限り対
応するのが望ましいと考えます・パブリックアクセスブロックの未設定・バケット暗号化の未設定 4. Trivy運用時のTips チェックとの向き合い方 ※ 2023年4月から全ての新しいバケットに対してパブリックアクセスブロックが有効化、アクセスコントロールリストが無効化されているため、誤ってバケットがパブリックになるリスクは減っていますが明示的に設定することは依然として有効です https://aws.amazon.com/jp/about-aws/whats-new/2022/12/amazon-s3-automatically-ena ble-block-public-access-disable-access-control-lists-buckets-april-2023/

Trivy運用時のTips チェックを解消したコードバケットバージョニングとバケットロギングは ignoreするコメントを追加 Customer Managed Key でバケットを暗号化パブリックアクセスをブロック

49 Copyright © 2023 Bitkey Inc. All right reserved. Trivyの実行を開発者が毎回手で実行していては抜け漏れ
が発生しがちですアプリケーション開発と同じように、Gitのpre-commit hookや、GitHub ActionsなどのCI環境で自動実行されるようにしましょう 4. Trivy運用時のTips 自動で実行しよう ※ Trivyのようなリポジトリで利用するCLIはaquaで管理すると導入がスムーズです https://aquaproj.github.io/

まとめ

まとめ Trivyによって、TerraformやCloudFormationで記述されたAWSインフラのセキュリティチュックを自動化してシフトレフトすることできましたチェックは鵜呑みにせず、要件に応じて向き合っていきましょう Happy Testing !

TrivyでAWSセキュリティをシフトレフトしよう

TrivyでAWSセキュリティをシフトレフトしよう

More Decks by 株式会社ビットキー / Bitkey Inc.

Other Decks in Technology

Featured

Transcript