ガバメントクラウドにおけるクラウドセキュリティについて考える

ガバメントクラウドにおけるクラウドセキュリティについて考える 2024.2.15 藤澤亮平 1

⾃⼰紹介藤澤亮平 - Work at - 株式会社 Fusic （フュージック）
技術開発第⼆部⾨所属 - ソフトウェアエンジニア - Skill - Ruby / Rails / Hanami - React / TypeScript - Terraform / CloudFormation / CDK - Career - 2023 Japan AWS Jr.Champtions - SNS - Twitter: @potaku_dev - Github: fujisawaryohei 2 image

余談最近美容にハマっていてTwitterでは美容ツイートしかしていないのでそろそろ技術的な発信も再開していきたいお気持ち、、 3

伝えたい事・ガバメントクラウドでは事前に施されているセキュリティ対策によって⽣まれる技術的制約が存在する・その上でセキュリティやネットワークなど様々な観点で満たすべき⾮機能要件が多く存在する・そういった意味でガバメントクラウドはとても難しい、、がガバメントクラウドの要件や技術的制約を把握しておくことで堅牢なインフラ環境の構築スキル向上に繋がり、クラウドセキュリティの勉強にもなるためある程度把握しながら勉強しておくと良さそう 4

なぜガバメントクラウドなのか︖ ・2025年度末までに⾃治体は基幹業務である税や住⺠基本台帳などの全20業務をガバメントクラウドへ移⾏するよう進める必要がある・つまり今後、⾃治体標準化の流れが今後加速していくため、ガバメントクラウドで事前に実施されているセキュリティ対策や⾮機能要件についてもある程度把握しておき、その上で対策についても考えたほうが良いと考えた・ガバメントクラウドで施されているセキュリティ対策により⽣まれる技術的制約により、提案・構築フェーズで上⼿く進みづらい課題がある・ガバメントクラウドの技術的制約を知る事で、上記の課題をクリアしつつクラウドセキュリティ対策の学習にも繋がると感じた
5

01 ガバメントクラウドとは︖

ガバメントクラウドとは︖ ガバメントクラウドとは政府共通のクラウドサービスの利⽤環境。クラウドサービスの利点を最⼤限に活⽤する事で迅速、柔軟、かつセキュアでコスト効率の⾼いシステム構築を可能とし、利⽤者によって利便性の⾼いサービスをいち早く適⽤し改善していくことを⽬的として構築されている。 2025年度末までに⾃治体はガバメント
クラウドへ⾃治体システム20業務を移⾏しなければならないとなっている。 7 参考: https://xtech.nikkei.com/atcl/nxt/column/18/00001/07231/

普段利⽤しているクラウドとガバメントクラウドの違い普段利⽤しているパブリッククラウドとは異なりガバメントクラウドでは政府共通で利⽤するクラウド環境として必要なガバナンスやガードレールが払い出されるAWSアカウントに対して適⽤されており、それらのAWSアカウントはマルチアカウントで管理されている。 8 この層が追加されている

利⽤⽅式とアーキテクチャについて⾃治体や政府が利⽤しているシステムをガバメントクラウド上に移⾏する場合、基本的にはASP、ガバメントクラウド運⽤管理補助者(インフラ構築を担当する事業者)といった⽴ち位置を外部ベンダーに委託して任せる形となる。複数の公共団体が同⼀の運⽤管理補助者（ベンダー）に対して委託をして運⽤を⾏う事を共同利⽤⽅式と呼ばれる。 1つの公共団体が⾃らガバメントクラウドの運⽤管理を⾏う、または運⽤管理を1つの運⽤管理補助者（ベンダー）に対して委託をして運⽤を⾏う事を単独利⽤⽅式と呼ばれる。共同利⽤⽅式では、委託元の⾃治体のAWSリソースをどこまで専有して利⽤するかという観点から主に以下の3つのアーキテクチャが存在する。⾃治体毎に単独・共同利⽤⽅式の選択が可能で選択する⽅式によってAWSリソースの利⽤⽅法や利⽤料が異なってくる。
9 ⽅式性質アカウント分離⽅式⾃治体がAWSアカウント毎に分かれているネットワーク分離⽅式⾃治体がAWSアカウントを共通利⽤していて, VPC毎に分かれているアプリケーション分離⽅式各⾃治体でAWSアカウントもVPCもデータベースも共通利⽤する

Point ・ガバメントクラウドとは政府共通のクラウドサービスの利⽤環境・事前に予防的統制・発⾒的統制のガードレールが適⽤されている・⾃治体毎に単独・共同利⽤⽅式の選択が可能で選択する⽅式によって AWSリソースの利⽤⽅法や利⽤料が異なってくる

02 ガバメントクラウドにおけるクラウド環境の技術的制約

ガバメントクラウドの技術的制約(SCP) 12 ①デジタル庁で管理

ガバメントクラウドの技術的制約(SCP) 13 ②運用管理用アカウントであれば IGWの作成が可能

ガバメントクラウドの技術的制約(SCP) 14 ③デジタル庁保有の Organizationsからアカウントが払い出されるため集約系の機能の利用ができない

ガバメントクラウドの技術的制約(SCP) 15 ④ IAM Identity Center で払い出された管理者権限セットでのみIAMユーザーの発行が可能

ガバメントクラウドの技術的制約(SCP) 16 ⑤管理者権限セットでもIAMユーザーに対して AdministratorAccess の権限の付与ができない

ガバメントクラウドの技術的制約(SCP) 17 ⑥アクセスキー、シークレットアクセスキーの発行ができないローカル環境でAWS CLIの実行ができない

Point ・ガバメントクラウドには通常のインフラ構築の際と⽐較すると技術的制約が多い・細かく⾮機能要件も定められており、制約下の中でこれらの⾮機能要件を満たすためにネットワーク構成やセキュリティ対策については検討する必要がある次題では、ガバメントクラウドにおける、ネットワークやセキュリティ⾯において検討しているアーキテクチャやセキュリティ対策について共有します

03 ガバメントクラウド上で検討してみたネットワーク構成やセキュリティ対策について

TransitGatewayとPrivateLinkについてガバメントクラウドでは以下のような⾮機能要件が存在する。・参加団体側のIPアドレス設計との兼ね合いでCIDRが重複する事も想定されるため、その際はサービス側で回避する事ができるよう設計する事参加団体環境間で利⽤しているIP帯に重複が発⽣する事があるため、重複が発⽣した場合においてもルーティングできる必要があるといった要件。この場合、TransitGatewayとPrivateLinkを利⽤する事で回避する事ができる。 VPC Lattice を利⽤しても上記課題の解決が可能。
20

予防的統制・発⾒的統制についてガバメントクラウドでは発⾒的・予防的ガードレールが既に適⽤されている。これらのガードレールは、CDKベースで作成されたテンプレート（⾃動適⽤テンプレート）を利⽤して適⽤されている。またこれらの事前に有効化されたサービスを利⽤して変更イベント・セキュリティイベントの検出結果のハンドリングを⾏う必要があるが、これもCDKベースで作成されたテンプレート（必須適⽤テンプレート）が⽤意しており、これを適⽤する事でこれらのイベントのハンドリング、通知機能の適⽤を⾏ってくれる。 21 テンプレート名
実行者 AWSサービス役割自動適用テンプレートデジタル庁 SecurityHub AWS BestPractices, CIS BenchMark の Findings を収集 GuardDuty VPC Flow Logs, DNS クエリログ, CloudTrail 管理イベントログ, その他もろもろのサービスの Findings を収集 Config 変更管理 CloudTrail API Callなどの管理イベントログのロギング EventBridge GuardyDuty, SecurityHub, Config のコンプライアンスステータス監視 SNS, Lambda EventBridgeの発火先, ChatBotへメッセージ通知する ChatBot 運用者メールアドレスへの通知必須適用テンプレートガバメントクラウド運用管理補助者 SNS Slackへのセキュリティイベントの通知 ChatBot CDK実行時のパラメーターに基づいてSlack or メールアドレス宛てに通知を飛ばす BLEA

予防的統制・発⾒的統制について BLEA（Baseline Environment on AWS）デジタル庁から払い出されたアカウントで適⽤されているテンプレート。ControlTowerにより、予防的ガードレールや発⾒的ガードレールが事前に適⽤されている。またBLEAで適⽤されるガードレールはカスタマイズが可能。払い出されたAWSアカウントで既に以下に記載されている「管理タスク」部分が適⽤されている。 22

予防的統制・発⾒的統制について 23 参考: NRI Secure Blog「【解説】NISTサイバーセキュリティフレームワークの実践的な使い方」識別防御検知対応
復旧守るべきデータ, サーバーの識別・検討 ,,etc 保管しているデータの暗号化やサーバーの防御 ,,etc ログの保管や検知機構やSIEM の導入 ,,etc インシデントレスポンスデジタルフォレンジックマルウェア分析 ,,etc インシデント発生対象のサーバーの復旧 ,,etc CSF（Cyber Cecurity FrameWork）とは、米国国立標準研究所（National Institute of Standards and Technology, NIST）が2014年に発行したサイバーセキュリティフレームワーク。 PCI・DSSやISMS, CIS Controlsと比較して汎用的でかつ体系的なセキュリティ対策を行う事ができる。 CSFの観点から見ても、「識別・防御・検知」においては既に対策されている箇所が多いと考えられる。

予防的統制・発⾒的統制について 24 一方でSecurityHubで検出されている以下2つの基準はある程度クリアしておく必要はあると考えている。・CIS AWS Foundations Benchmarks ・AWS Security BestPractices
※ こちらは私の個人アカウントで検証したスコアです

予防的統制・発⾒的統制について 25 ・デジタル庁から払い出されているAWSアカウントは既にディフェンシブセキュリティ対策が⾏われている・⼀⽅でSecurityHubのスコアリングは⾼い値を維持しておく必要はある・上記の事から重点的に検討すべきセキュリティ対策は以下2種類になってくると考えている 1. 「識別」「防御」「検知」観点でマネージドサービス以外のAWSサービスに対するセキュリティ対策例:
アプリの脆弱性対策, サーバー内部におけるログベースの動的な検知や不正プロセス監視、パッチ適⽤やウイルススキャン等「復旧」「対応」等のセキCloudWatch 異常検出とか、GuardDuty EC2 Runtime Monitoringとか利⽤できないかとひっそり考えています、、 2. ュリティインシデント発⽣時の運⽤フローの整理

パッチ・アップデート適⽤についてサーバーがEC2の場合、パッチ適⽤やアップデートの適⽤を⾏う必要がある。この時、Patch Managerの利⽤を⾏うことで⾃動化したいが、IGWのない閉域環境でパッチの取得やウイルス定義ファイルの取得を⾏う事ができない。これらの技術的成約の中で上記の⾮機能要件を満たすためにWSUSを採⽤。 WSUSのスタンドアロンモデルを内部プロキシーサーバーとして利⽤しつつ、「どのパッチがどのサーバーで適⽤されているか」といった部分の閲覧・管理は Patch Managerで⾏えるよう以下のような設計を検討している。
26

Point ・参加団体の環境の事情に依存しないネットワーク設計を⾏う必要がある・ガバメントクラウドで払い出されたAWSアカウントには発⾒的・予防的ガードレールが既に存在しているため、検討すべきディフェンシブセキュリティの範囲は限定されている・SCPによる技術的成約を把握しながらセキュリティ対策を⾏う必要がある

まとめガバメントクラウドではデジタル庁が保有しているOrganizationsのメンバアカウントとしてアカウントが払い出される Point 2 アプリケーション分離⽅式においてはネットワーク構成が複雑になりがちなため、IP帯の設計は慎重に Point 3 払い出されたアカウントではBLEAが適⽤されているため、予防的・発⾒的ガードレールが既に適⽤されている。「対応」「復旧」を重点的に検討する必要あり。
Point 4 SCPによる技術的制約の中で様々な⾮機能要件を満たすための⼯夫が必要。そのためにどういった技術的制約が存在し、その上でどのように対応するか検討する必要がある。 28 Point 1

ご清聴いただきありがとうございました Thank You We are Hiring ! https://recruit.fusic.co.jp/

ガバメントクラウドにおけるクラウドセキュリティについて考える

ガバメントクラウドにおけるクラウドセキュリティについて考える

kawada

More Decks by kawada

Featured

Transcript