Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
力が欲しいか!!力が欲しいのなら...最小権限をくれてやる!!
Search
Broadleaf Co., Ltd.
August 24, 2023
Technology
0
250
力が欲しいか!!力が欲しいのなら...最小権限をくれてやる!!
Cloud Operator Days Tokyo 2023
Broadleaf Co., Ltd.
August 24, 2023
Tweet
Share
More Decks by Broadleaf Co., Ltd.
See All by Broadleaf Co., Ltd.
日常にバージョンアップを 〜 Kubernetes Operator で持続的な運用 〜
broadleaf
0
21
クラウドコスト管理の正攻法を知りたい〜FinOps Foundationに学ぶFinOpsの考え方〜
broadleaf
0
180
Elasticsearch_Community_in_Fukuoka_20240711
broadleaf
0
150
アンチパターンだらけ!?Cassandraを基盤とした大規模業務アプリケーションと2DX実現の裏側
broadleaf
0
540
効果的なアラートを再考する [メモリ使用率が80%になりました。] んで、どうすればいいん?
broadleaf
0
600
Our60DaysWar-MigrationFromOn-premiseToCloud
broadleaf
0
2.6k
Infrastructure as Codeで インフラチームはもっと強くなる/developersummitsummer-iac
broadleaf
3
2.3k
Spring Bootでマイクロサービス作って苦労したお話 / DeveloperSummit2019-SpringBoot
broadleaf
12
10k
今どきのインフラはペットでは無かった / DeveloperSummit2019-IaC
broadleaf
0
1.9k
Other Decks in Technology
See All in Technology
オブザーバビリティが広げる AIOps の世界 / The World of AIOps Expanded by Observability
aoto
PRO
0
310
クラウドセキュリティを支える技術と運用の最前線 / Cutting-edge Technologies and Operations Supporting Cloud Security
yuj1osm
2
290
ヒューリスティック評価を用いたゲームQA実践事例
gree_tech
PRO
0
580
AWSを利用する上で知っておきたい名前解決のはなし(10分版)
nagisa53
3
820
ヘブンバーンズレッドにおける、世界観を活かしたミニゲーム企画の作り方
gree_tech
PRO
0
570
AIのグローバルトレンド2025 #scrummikawa / global ai trend
kyonmm
PRO
1
240
Webブラウザ向け動画配信プレイヤーの 大規模リプレイスから得た知見と学び
yud0uhu
0
210
ライブサービスゲームQAのパフォーマンス検証による品質改善の取り組み
gree_tech
PRO
0
580
なぜスクラムはこうなったのか?歴史が教えてくれたこと/Shall we explore the roots of Scrum
sanogemaru
5
1.3k
シークレット管理だけじゃない!HashiCorp Vault でデータ暗号化をしよう / Beyond Secret Management! Let's Encrypt Data with HashiCorp Vault
nnstt1
3
220
フルカイテン株式会社 エンジニア向け採用資料
fullkaiten
0
8.7k
Snowflakeの生成AI機能を活用したデータ分析アプリの作成 〜Cortex AnalystとCortex Searchの活用とStreamlitアプリでの利用〜
nayuts
0
350
Featured
See All Featured
4 Signs Your Business is Dying
shpigford
184
22k
Visualization
eitanlees
148
16k
Save Time (by Creating Custom Rails Generators)
garrettdimon
PRO
32
1.5k
Building Adaptive Systems
keathley
43
2.7k
XXLCSS - How to scale CSS and keep your sanity
sugarenia
248
1.3M
The Illustrated Children's Guide to Kubernetes
chrisshort
48
50k
What’s in a name? Adding method to the madness
productmarketing
PRO
23
3.6k
A designer walks into a library…
pauljervisheath
207
24k
Reflections from 52 weeks, 52 projects
jeffersonlam
352
21k
Rails Girls Zürich Keynote
gr2m
95
14k
GitHub's CSS Performance
jonrohan
1032
460k
Speed Design
sergeychernyshev
32
1.1k
Transcript
力が欲しいか!! 力が欲しいのなら...最小権限をくれてやる!! 株式会社ブロードリーフ 左近充 裕樹 #CODT2023
Copyright (c) Broadleaf Co., Ltd. All rights reserved. Copyright (c)
Broadleaf Co., Ltd. All rights reserved. ## 名前 左近充 裕樹 _さこんじゅう ひろき_ ## 所属 - 株式会社 ブロードリーフ - プロダクトインフラ課 ## 役割 インフラエンジニア # 自己紹介
Copyright (c) Broadleaf Co., Ltd. All rights reserved. Copyright (c)
Broadleaf Co., Ltd. All rights reserved. 会社紹介
Copyright (c) Broadleaf Co., Ltd. All rights reserved. Copyright (c)
Broadleaf Co., Ltd. All rights reserved. • 今回話すこと • 最小権限の原則とは? • 明日から使えるプラクティス • 最小権限の先にあるもの • 話さないこと • セキュリティ全体の話 • オンプレミスに関わるプラクティス • 完璧な最小権限に関する話(不可能に近いため) • 今よりチョットでもセキュアにするプラクティスのみ Agenda
Copyright (c) Broadleaf Co., Ltd. All rights reserved. 最小権限の原則、 守れてますか?
Copyright (c) Broadleaf Co., Ltd. All rights reserved. Copyright (c)
Broadleaf Co., Ltd. All rights reserved. • 人、またはシステムが役割を果たすことが可能な最小の権限のみを与えること • ビジネスインパクトの許容限界点とも考えられる • 何がインパクトがあるのかという情報のアセット管理が必要となる • 英語表記はPrinciple of Least Privilege(PoLP)、最小特権の原則とも言う • セキュリティフレームワーク・規格でも言及されている • NIST CSF • ISO 27001 • PCI DSS 最小権限の原則とは?
Copyright (c) Broadleaf Co., Ltd. All rights reserved. Copyright (c)
Broadleaf Co., Ltd. All rights reserved. なぜ最小権限が必要なのか? ゼロトラストセキュリティと最小権限は相互補完
Copyright (c) Broadleaf Co., Ltd. All rights reserved. Copyright (c)
Broadleaf Co., Ltd. All rights reserved. セキュリティにおける3大要素 CIA (今は7要素 真正性、信頼性、責任追跡性、否認防止が追加されている) • 機密性 (Confidentiality) • 完全性 (Integrity) • 可用性 (Availability) 悪意が無くても、過度な権限はCIAを脅かす可能性がある • S3を公開Bucketにしてしまった😱 • 本番環境のDBをdropしてしまった 😱 • EC2をTerminateしてしまった😱 なぜ最小権限が必要なのか?
Copyright (c) Broadleaf Co., Ltd. All rights reserved. Hope is
not a strategy 出典: https://sre.google/sre-book/embracing-risk/
Copyright (c) Broadleaf Co., Ltd. All rights reserved. 最小権限導入の難しさ
Copyright (c) Broadleaf Co., Ltd. All rights reserved. Copyright (c)
Broadleaf Co., Ltd. All rights reserved. • 過剰な権限でもシステムは動いてしまう • 過剰な権限でもやりたいことが出来る • 何をもって最小権限かという定量的判断が難しい 最小権限導入の難しさ 非機能要件である
Copyright (c) Broadleaf Co., Ltd. All rights reserved. Copyright (c)
Broadleaf Co., Ltd. All rights reserved. • 限られた開発期間・コスト • テストが難しい • クラウドサービスに対する絶対的な理解が必要となる 最小権限導入の難しさ 途中導入が難しい
Copyright (c) Broadleaf Co., Ltd. All rights reserved. Copyright (c)
Broadleaf Co., Ltd. All rights reserved. • 適切に分割されたマイクロサービス(プロセス)が必要 • オーナーシップが明確な組織が必要 • 使われていない権限が無いかを定期的に監査するプロセスが必要 最小権限導入の難しさ セキュリティは創発特性である 創発 創発(そうはつ)とは、部分の性質の単純な総和にとどまらない性質が、 全体として現れることである。 局所的な複数の相互作用が複雑に組織化することで、個別の要素の振る舞いからは 予想できないようなシステムが構成される 引用: wikipedia ( https://ja.wikipedia.org/wiki/%E5%89%B5%E7%99%BA )
Copyright (c) Broadleaf Co., Ltd. All rights reserved. 大いなる力には 大いなる責任が伴う
“With great power comes great responsibility”
Copyright (c) Broadleaf Co., Ltd. All rights reserved. どうすればいいのか?
Copyright (c) Broadleaf Co., Ltd. All rights reserved. Copyright (c)
Broadleaf Co., Ltd. All rights reserved. • 本来は必要な権限を足していく • せめて、引き算から始める プラクティス 権限を引き算する
Copyright (c) Broadleaf Co., Ltd. All rights reserved. Copyright (c)
Broadleaf Co., Ltd. All rights reserved. • 個々人に権限付与をしているとすぐにカオスになる • 「同じチームの◯◯さんと同じ権限にしてください」にすぐ対応出来る • GCPの場合、Google Groupをチーム(またはロール)単位で作り、 チームの権限は同一にする。 • AWSの場合、IAM ユーザーグループを作る プラクティス グループ単位で付与する
Copyright (c) Broadleaf Co., Ltd. All rights reserved. Copyright (c)
Broadleaf Co., Ltd. All rights reserved. • 各パブリッククラウドプロバイダが用意した分析ツールを使う • AWS: AWS Identity and Access Management Access Analyzer • GCP: Policy Analyzer プラクティス サービスで補う
Copyright (c) Broadleaf Co., Ltd. All rights reserved. 最小権限の先にあるもの
Copyright (c) Broadleaf Co., Ltd. All rights reserved. Copyright (c)
Broadleaf Co., Ltd. All rights reserved. “ Zero Touch Prodはプロダクション環境における すべての変更について、(人間ではなく)自動化に よって行うか、ソフトウェアで事前検証するか、 監査済みの非常ボタンの仕組みを通じてトリガーする ことを要求する、Googleのプロジェクトです “ 最小権限の先にあるもの ZTP(Zero Touch Prod) URL: https://www.oreilly.co.jp/books/9784814400256/ 出典: 株式会社オライリー・ジャパン
Copyright (c) Broadleaf Co., Ltd. All rights reserved. Copyright (c)
Broadleaf Co., Ltd. All rights reserved. • 直接sshで接続しない • 必ずproxyを通る • 自動化されている • 非常停止ボタンがある 最小権限の先にあるもの ZTP(Zero Touch Prod)はどういうものか?
Copyright (c) Broadleaf Co., Ltd. All rights reserved. Copyright (c)
Broadleaf Co., Ltd. All rights reserved. • 人、またはシステムが役割を果たすことが可能な最小な権限にする • プラクティス • 権限を引き算から始める • グループ単位で付与する • クラウドプロバイダのサービスを使う • Zero Touch Prodを目指そう まとめ
We’re Hiring!!