AWS Security Agent触ってみた

Transcript

1. クラウドで「ワクワク」を。 Excitement with the Cloud. AWS Security Agent触ってみた 2026年2月13日 クラウドセントリック株式会社 濱口莉生
2. © Cloud Centric Corporation 2 クラウドで「ワクワク」を。 自己紹介 あ あ
3. © Cloud Centric Corporation 3 クラウドで「ワクワク」を。 1. AWS Security Agentとは 2. セットアップ 3. 設計レビュー 4. コードレビュー 5. ペネトレーションテスト 6. まとめ
4. © Cloud Centric Corporation 4 クラウドで「ワクワク」を。 1. AWS Security Agentとは 設計〜デプロイまでの開発ライフサイクル全体でアプリケーションを、プロアクティブに保護するためのエージェント型サービスです。 ①設計書レビュー、②コードレビュー、③ペネトレーションテストを統合し、脆弱性発見から修正提案までを自動化できます。 主な特徴・メリット • 設計段階でのセキュリティレビュー（ドキュメント解析） • プルリクエスト内での自動コード解析と修正提案 • オンデマンドのペネトレーションテスト • プレビュー期間中なので無償利用可（期間未定）
5. © Cloud Centric Corporation 5 クラウドで「ワクワク」を。 2. セットアップ 仕組みの欄を見てみるとペネトレーションテストのところだけ「オンデマンド」と記載されています。 設計レビューとプルリクエストのコード分析は自動でやってくれる仕組みです。
6. © Cloud Centric Corporation 6 クラウドで「ワクワク」を。 2. セットアップ アクセス方法はIAM Identity CenterとIAMユーザのいずれかを選択します。 ※ここでIAMユーザを選択した場合、後からIAM Identity Centerに変更はできないため注意が必要です。
7. © Cloud Centric Corporation 7 クラウドで「ワクワク」を。 3. 設計レビュー Security Agentでは、「セキュリティ要件」を使用して設計レビューやコードレビューが行われます。 マネージドセキュリティ要件が元々10個用意されています。
8. © Cloud Centric Corporation 8 クラウドで「ワクワク」を。 3. 設計レビュー カスタムセキュリティ要件を作成することも可能です。 1から要件を作成することも出来ますが、 オプションのところでマネージドセキュリティ要件を選択すると テンプレートを使用して作成することも可能です。
9. © Cloud Centric Corporation 9 クラウドで「ワクワク」を。 3. 設計レビュー 設定したセキュリティ要件ごとに調査結果が記載されています。 使用したサンプルの設計書はこちらのブログに記載しています（https://www.cloudcentric.co.jp/blog/1998/） 設計レビュー実行後の画面↓
10. © Cloud Centric Corporation 10 クラウドで「ワクワク」を。 4. コードレビュー コードレビューを行うにはGitHubとの連携が必要になります。 GitHubとの連携が完了した後、コードレビューのタブで対象のリポジトリを選択し、コードレビューを有効化します。
11. © Cloud Centric Corporation 11 クラウドで「ワクワク」を。 4. コードレビュー コードレビュー設定後、プルリクエストを作成して数分経つと、 セキュリティエージェントからコメントが入っていました。
12. © Cloud Centric Corporation 12 クラウドで「ワクワク」を。 5. ペネトレーションテスト ペネトレーションテストを実行するには、事前にドメイン検証が必要になります。 ドメイン検証が完了したら、設計レビューでも使用したSecurity Agentにアクセスし、ペネトレーションテストを実行していきます。 リスクタイプも自由に選択できるみたいです。
13. © Cloud Centric Corporation 13 クラウドで「ワクワク」を。 5. ペネトレーションテスト ペネトレーションテストを実行してから、2時間ほど待つとすべてCompletedになりました。
14. © Cloud Centric Corporation 14 クラウドで「ワクワク」を。 6. まとめ • AWS Security Agent は、設計レビュー、コードレビュー、ペネトレーションテストを一体化し、 開発速度を落とさずに セキュリティ水準を強化するためのサービス • カスタムセキュリティ要件をちゃんと整えればインフラ用として設計レビュー、コードレビューが使えそう • ペネトレーションテストはAWSネイティブのサービスだと今までなかったので有効活用していきたい
15. クラウドで「ワクワク」を。 Excitement with the Cloud.