Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
AWS環境にTenableしたら わらわら問題がでた話
Search
hiyanger
November 18, 2023
Technology
0
37
AWS環境にTenableしたら わらわら問題がでた話
2023 11/21 Cloud Security Day 2023
https://increments.connpass.com/event/298906/
hiyanger
November 18, 2023
Tweet
Share
More Decks by hiyanger
See All by hiyanger
AWS Codeシリーズ Terraformパイプライン 勉強会/ハンズオン
hiyanger
0
17
AWS Codeシリーズで構築したTerraformパイプラインのユーザー側IAM
hiyanger
0
76
AWS Codeシリーズを使った TerraformのCICDパイプラインの作り方
hiyanger
1
280
Codeシリーズで作るTerraformのCICDパイプラインの概要
hiyanger
2
250
技術領域や裁量を飛躍させる転職
hiyanger
0
17
IaC(CloudFormaitonでログ運用と監視システムを作ってみて)
hiyanger
0
26
CloudFormationとTerraformを 比較してみた
hiyanger
1
340
AWS CloudFormationで作るログ運用と監視システム
hiyanger
0
96
Other Decks in Technology
See All in Technology
サイボウズ 開発本部採用ピッチ / Cybozu Engineer Recruit
cybozuinsideout
PRO
9
37k
技術力の伸ばし方を考える
khirata
0
140
Deno で作る快適な “as Code” プラットフォーム – TSKaigi 2024
pizzacat83
4
310
B2C、B2B プロダクトマネジメントの違い(および思考の罠) / B2C, B2B PM and reduction fallacy
ykmc09
5
2.2k
Observabilityジャーニーを実現するためのAWSサービス:OSS編
o11yfes2023
0
110
スムーズなエントリーで滞在を心地よくスタート_team 1@NOT A HOTEL
satomifukuda
0
100
エムスリーQAチーム紹介資料 / Introduction of M3 QA Team
m3_engineering
1
320
Step by Stepで学ぶ、ADT(代数的データ型)、モナドからEffect-TSまで
leveragestech
1
2.9k
PHP 9 に備えよ - 動的プロパティ、どうすればいぃ?
taisukearase
0
220
本番環境で Cloudflareを 使ってみた話
miu_crescent
2
120
ハードウェアを動かすTypeScriptの世界
9wick
3
1.2k
回り回って効いてくる副次的効果としての技術広報/techpr
nishiuma
1
180
Featured
See All Featured
Infographics Made Easy
chrislema
238
18k
Done Done
chrislema
178
15k
The Success of Rails: Ensuring Growth for the Next 100 Years
eileencodes
34
6.1k
Side Projects
sachag
451
41k
Code Review Best Practice
trishagee
56
15k
Design and Strategy: How to Deal with People Who Don’t "Get" Design
morganepeng
117
18k
Building an army of robots
kneath
300
41k
How to name files
jennybc
65
94k
Building Applications with DynamoDB
mza
88
5.7k
Designing the Hi-DPI Web
ddemaree
276
33k
Large-scale JavaScript Application Architecture
addyosmani
504
110k
Creatively Recalculating Your Daily Design Routine
revolveconf
211
11k
Transcript
AWS環境にTenableしたら わらわら問題がでた話
プロフィール 名前:檜山 準(ひやま じゅん) 所属:I◯◯◯ お仕事:クラウドエンジニア(設計、構築、運用保守) https://twitter.com/hiyanger https://qiita.com/hiyanger https://zenn.dev/hiyanger 最近よく使う技術:AWS、IaC、CI/CD
出身:栃木県 よかったら フォローしてね!
もくじ Tenableとは 既存システムにTenableかけたらどうなったか 診断結果の対策
Tenableってなんですか?
Tenableとは 脆弱性診断ツールです。AWSに流せばわら わら脆弱性を洗い出してくれます。 外部から診断する方法か、内部で専用の EC2をたててそこから診断する方法があり ます。
診断してみたww
診断結果 診断の対象は2019年ごろに構築したAWS上の分析基盤システムです。 分析基盤なのでかなりセキュアなシステムです。 IAM ・不要なアクセスキーが残っている ・ポリシーのユーザー/ロール直当て ・アクセスアナライザー無効 Config CloudTrail ・使われていたが、
初期導入ツールで 設定されたものだけだった ・そもそも動いてなかった KMS マスターキーがローテされてない CloudWatch ・APIコールの通知 ・IAMポリシーの変更通知 ・ネットワーク系のモニタ通知
診断結果 診断の対象は2019年ごろに構築したAWS上の分析基盤システムです。 分析基盤なのでかなりセキュアなシステムです。 IAM ・不要なアクセスキーが残っている ・ポリシーのユーザー/ロール直当て ・アクセスアナライザー無効 Config CloudTrail ・使われていたが、
初期導入ツールで 設定されたものだけだった ・そもそも動いてなかった KMS マスターキーがローテされてない CloudWatch ・APIコールの通知 ・IAMポリシーの変更通知 ・ネットワーク系のモニタ通知 刷新!
対処します
監査ログ用 別AWSアカウント cron cron cron config S3アクセスログ TrailとConfigのバックアップを強固に あ Trail
・CloudWatchへの出力 ・S3へ出力しアクセスログも取得、 さらに監査用ログとして別アカウントS3へコピー Config ・S3へ出力 ・監査用ログとして別アカウントS3へコピー ・ConfigのSNS通知はうるさくなりすぎるので やらない方向に倒した ※別アカウントへのコピーはちょっとアナログだけど、 EC2からS3コマンドをcronで流している。 ここはLambdaとEventBridgeでもできるはず。たぶん。
IAM Access Analyzer 有効化 ポチッとして名前いいれるだけです。超簡単。 お金 かかりません。やらない損です。やりましょう。 何ができるのか ポリシーにおける外部からのアクセスが できるようになりえるものを検知してくれます。
Thanks!! 古いシステムだとやっぱり考慮もれとかでいろいろやれ てないことが多いです。 Tenableは脆弱性診断という意味ではもちろん、システ ムを見直すきっかけとして良いので、構築してから時間 たってるシステムはぜひ見直ししましょう。 本資料 https://speakerdeck.com/hiyanger/cloud-security-da y-2023-awshuan-jing-nitenablesitara-warawarawen-ti -gadetahua
https://twitter.com/hiyanger https://qiita.com/hiyanger https://zenn.dev/hiyanger