ENECHANGEが実現した管理者の工数負担を削減しながらもAWSセキュリティを強化した方法とは

ENECHANGEが実現した管理者の工数負担を削減しながらも AWSセキュリティを強化した方法とは 2024-05-28 Cloud Security Day 2024 https://www.wafcharm.com/jp/seminar/2024/cloudsecurityday2024/ ENECHANGE株式会社
VPoT兼CTO室マネージャー岩本隆史

岩本隆史 / Takashi Iwamoto 現職：ENECHANGE (2021-07～) 全社的な技術施策の提案～実行前職：AWS Japan
クラウドサポートアソシエイト AWS Community Builder (2024～) カテゴリ：Cloud Operations

セキュリティ強化の背景

シングルアカウントで200件弱の環境

CTO室の数名でインフラを担当

アプリの脆弱性診断は外部委託

入社時点ではGuardDutyのみ使用 Amazon GuardDuty AWS Trusted Advisor AWS Security Hub AWS
WAF

セキュリティ強化がタスクのひとつにインフラ構築・運用　　SRE（信頼性維持・トイル削減）コスト最適化　　　　　セキュリティ強化開発者体験向上　　　　全社的な技術レベル向上　　ブランディング（外部発信）

具体的な取り組み

1. IAMユーザーの棚卸

アクセスキー不使用がベストプラクティスベストプラクティスは、アクセスキーのような長期的認証情報を作成するのではなく、IAM ロールなどの一時的なセキュリティ認証情報を使用することです。 https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/id_credentials_access- keys.html

使われていないユーザーを削除

EC2のIAMユーザー利用を廃止

CircleCIをOpenID Connectに移行

ChatOpsを導入　 https://speakerdeck.com/iwamot/aws-chatbot-to-start-ec2-instance

2. Trusted Advisorの活用

有効だったが未活用

ELBセキュリティポリシーを更新

廃止されたランタイムのLambda関数を移行

IAMパスワードポリシーを設定

3. Security Hubの有効化

AWS 基礎セキュリティのベストプラクティスで確認

2ヶ月弱で「重要」と「高」をゼロに

Slackへの通知を開始

通知が来たら対応

tip: AWS Configの利用は倹約的に

tip: AWS Configの利用は倹約的に　 https://docs.aws.amazon.com/securityhub/latest/userguide/controls-config- resources.html

4. AWS WAF + WafCharmの導入

一部で「攻撃遮断くん」を利用電力・ガス会社に提供しているエネルギーデータ事業の一部プロダクトは、もともとサイバーセキュリティクラウド社のクラウド型WAF『攻撃遮断くん』を導入して運用していました。 https://www.wafcharm.com/jp/casestudy/enechange/

AWS WAFの活用を検討機能に不満はなかったのですが、WAFも含めて運用する環境をAWSに一本化することで、管理の利便性を向上させると同時にコストダウンも実現できるのはないかと考えていました。

自動化サービスの利用が前提当社には運用できるノウハウや運用に割ける体制もないため、簡単に運用するための自動化サービスを利用する前提で検討を進めました。

WafCharmの導入を決定 ――― WafCharmの導入理由をお聞かせください。『攻撃遮断くん』を利用してきて、サイバーセキュリティクラウド社による最新脅威への対応力や運用ノウハウを信頼していたため、同社のWafCharmなら間違いないだろうという安心感があったからです。導入前にトライアルで機能を確かめたのですが、まったく何の問題もありませんでした。

7件のプロダクトに適用さまざまなプロダクトをAWSで運用しており、現在は合計7つにクラウドWAF自動運用サービス『WafCharm』を導入しています。

その後10件に拡大

さらなる強化に向けて

Well-Architectedレビューの実施 https://docs.aws.amazon.com/ja_jp/wellarchitected/latest/security-pillar/welcome.html

マルチアカウント戦略への移行 https://docs.aws.amazon.com/ja_jp/wellarchitected/latest/security- pillar/sec_securely_operate_multi_accounts.html

まとめ

強化方法＝ベストプラクティスの適用＋自動化 1. IAMユーザーの棚卸 2. Trusted Advisorの活用 3. Security Hubの有効化 4.
AWS WAF + WafCharmの導入 5. Well-Architectedレビューの実施 6. マルチアカウント戦略への移行 7. ...

ENECHANGEが実現した管理者の工数負担を削減しながらもAWSセキュリティを強化した方法とは

ENECHANGEが実現した管理者の工数負担を削減しながらもAWSセキュリティを強化した方法とは

More Decks by iwamot

Other Decks in Technology

Featured

Transcript