Upgrade to Pro — share decks privately, control downloads, hide ads and more …

Google Cloud Next '20 Recap Security Section

02f940926caaa16d4657150117fc6438?s=47 Taisei Ito
September 12, 2020

Google Cloud Next '20 Recap Security Section

02f940926caaa16d4657150117fc6438?s=128

Taisei Ito

September 12, 2020
Tweet

Transcript

  1. Google Cloud Next Recap ~ Security Section ~ #GCPUG 女子会

    20.09.12 Taisei Ito
  2. 自己紹介 • 伊藤 太斉(Taisei Ito) ◦ @kaedemalu(Twitter, Github) ◦ フューチャー株式会社

    ▪ Technology Innovation Group / DX Unit ◦ コンサルタント&インフラエンジニア ◦ #GCP #Terraform • Community ◦ GCPUG Shonan Staff ◦ CloudNative Days Tokyo Committee
  3. はじめに

  4. セキュリティ、 気をつけていますか?

  5. 攻撃受けていませんか?

  6. はじめに • サービス運用の上では大事 • でも、重要度は上がりにくい ◦ サービスのリリースの方が重要だし。。 ◦ いざ攻撃受けたら大炎上(寝れなくなる) •

    やらなきゃ、セキュリティ対策
  7. GCPのセキュリティツール 1

  8. GCPのセキュリティツール

  9. Security Command Center 2

  10. Security Command Center • GCPのセキュリティ管理プラットフォーム • Organizationリソース ◦ ドメインがないと使うことができない •

    Org全体のリソースについてセキュリティ 上で問題あるリソースをまとめて表示
  11. Security Command Center • Security Command Centerで検知できるもの ◦ Standard Tier

    ▪ 脆弱性 ◦ Premium Tier (有料) ▪ 脅威 ▪ コンテナ ▪ コンプライアンス ▪ Webアプリスキャン
  12. 検出結果について • 重要度が5段階で表示 ◦ Critical、High、Medium、Low、Other

  13. 検出結果について(脆弱性について) • ベンチマークが5種類で表示 ◦ CIS Benchmark ←GCPではリファレンスとしている ◦ PCI-DSS ◦

    OWASP ◦ NIST ◦ ISO-27001
  14. 脆弱性の検知例 • NON_ORG_IAM_MEMBER ◦ Orgの管理外のドメインのユーザーがIAMにいる ▪ ex.) sample@gmail.com • OPEN_FIREWALL

    ◦ ファイアウォールが一般的なアクセスを受ける ▪ ex.) Inbound 0.0.0.0/0 Port 22 攻撃を受けやすい箇所を示してくれる
  15. 脅威の検知例 • malware_bad_ip ◦ 既知の不正IPからアクセスを受けていることが分かる • brute_force_ssh ◦ ホストへSSHが成功した時のブルートフォースを検知 今攻撃を受けている場所を特定できる

  16. Premium Tierでできるその他 • コンテナ脅威検知 ◦ GKEで利用できる ▪ 追加されたバイナリの実行 ▪ 追加されたライブラリの読み込み

    ▪ リバースシェル
  17. 料金 • Standard Tier • Premium Tier 無料 ✨ 以下のどちらか大きい方の5%

    • 契約したGCP の年間費用 • 現在の実際のGCPの年間費用 年間最小費用が$25,000
  18. まとめ • 成熟した環境、巨大な環境にこそSCC入れよう ◦ できれば有料版(高価だけど) • セキュリティは後回しにしがち ◦ 構築段階で事前に潰す ◦

    検知の仕組みが大事 • セキュリティは割と面白い
  19. SCC以外でできるセキュリティ対策 • IAM ◦ Primitive Roleの扱い方 ◦ GCSへのRoleの付け方 ◦ Org、Folderから継承するRoleを作り込む

    • Firewall ◦ ソースをできるだけ絞る • IAP ◦ 外部IP外せる ◦ Firewall狭められる
  20. Next で何を見ればいい? • Week 4がセキュリティの週 ◦ 40ちょっとのセッション(ユニークではない) ◦ 日本語のセッション ▪

    「Cloud Security Command Centerによるセキュリティ管理」 • Cloud OnAir のRecap Vol. 2でセキュリティを扱っている ◦ Security Overview ◦ IAM ◦ BeyondCorp
  21. 宣伝 3

  22. フューチャーについて • 大崎にあるITコンサル会社 • 経営戦略から実装、運用までを全てこなす • ベンダーニュートラルの考え方 • 「ないものは作る」

  23. こんな人がいます • Real World HTTPの著者 • Vue.jsのコミッター • Apache Software

    Foundationのボードメンバー • OSS「Vuls」の作成者
  24. ブログも出しています

  25. おわり