クラウドネイティブ環境でTRP(Technical Recovery Plan)訓練を実施してみた

Transcript

1. 2025/2/28 クラウドネイティブ環境で TRP(Technical Recovery Plan) 訓練を実施してみた KINTOテクノロジーズ株式会社 森野正訓
2. ©KINTO Corporation. All rights reserved. 2 目次 1 自己紹介 2 3 TRP訓練の背景 6 4 訓練の準備と実施 結果と考察 5 当社関連イベントの紹介
3. ©KINTO Corporation. All rights reserved. 3 自己紹介 1
4. ©KINTO Corporation. All rights reserved. 4 自己紹介 【名前】 森野 正訓（もりの まさのり） 【所属】 ◼ KINTOテクノロジーズ IT/IS部 セキュリティ・プライバシーグループ ◼ トヨタファイナンシャルサービス IT/IS部 ISチーム 【経歴】 2022年7月にKINTOテクノロジーズ株式会社に入社。 主にプロダクトセキュリティ、セキュリティガバナンスを担当。
5. ©KINTO Corporation. All rights reserved. 5 KINTOテクノロジーズ株式会社について
6. ©KINTO Corporation. All rights reserved. 6 TRP訓練の背景 2
7. ©KINTO Corporation. All rights reserved. 7 ランサムウエアの脅威 欧州のグループ企業がランサムウエア攻撃を受け、グループ全体に点検の依頼が入った。 • 脆弱性調査を実施し、必要に応じてパッチを適用する • ユーザIDとパスワードの適切な管理の再確認 • 事業継続のための訓練とサイバー攻撃の初動対応 • インシデント発生時の復旧のためのデータバックアップ
8. ©KINTO Corporation. All rights reserved. 8 訓練の準備と実施 3
9. ©KINTO Corporation. All rights reserved. 9 準備 2024年1月下旬から訓練の準備を開始し4月上旬に訓練を実施 • 前提条件設定 • 対象プロダクト選定 • 訓練シナリオ作成 • TRP(Technical Recovery Plan)作成 • 実施環境準備
10. ©KINTO Corporation. All rights reserved. 10 前提条件設定 • 復旧作業の間、システム停止を許容する • システム停止中に発生する新規データ（トランザクション）は考慮しない • 対象システム単体のシステム復旧で、関連システム復旧は考慮しない • 実際に手順書にあるコマンドを叩いて訓練を実施する • ランサムウエアの感染から検知まで数日経過している
11. ©KINTO Corporation. All rights reserved. 11 対象プロダクト選定 初めての訓練であったため外部システムとの依存度が低く、Webアプリケーション + DBのシン プルなシステム構成であるKINTOの月額料金計算ツールを対象とした。 従って今回の訓練ではDBの復旧が適切に行えることを検証した。
12. ©KINTO Corporation. All rights reserved. 12 ランサムウエア感染によって想定されるAurora DBのリスク データ破壊 : 不可能 ストレージのデータを直接書き換える機能は提供されていないため、Admin権限でも意図的 な破壊は不可能である。 データ侵害 : 可能 ランサムウェアによる（通常のアプリからではない）あらゆるテーブルのデータの update / insert / delete / create / drop / alter / rename など、悪用したユーザーに紐づく権限に 応じてあらゆるデータ更新が可能である。 データ暗号化：各テーブルに格納されているカラム値単位で可能 AES_ENCRYPT()関数を通すか、自作のハッシュ関数などSQLによってのみ可能なため、実質 的にSQLのupdate文の発行によってのみ可能。そのためデータ暗号化はデータ侵害のサブ セットである。
13. ©KINTO Corporation. All rights reserved. 13 訓練シナリオ作成 従業員の端末がランサムウエアし感染から検知までの数日の間に月額料金計算ツールのDB が暗号化された
14. ©KINTO Corporation. All rights reserved. 14 TRP(Technical Recovery Plan)作成 – DB（プロダクト側） マルウエアの感染から検知まで数日を要したため、DBの バックアップだけでは復旧できないデータが発生することを 前提にTRPを作成した。
15. ©KINTO Corporation. All rights reserved. 15 TRP(Technical Recovery Plan)作成 – Maintenance EC2 メンテナンス用のEC2サーバがランサムウエアに感染したことを想定してTRPを作成した。 • VMの隔離 • 新しいVMの作成
16. ©KINTO Corporation. All rights reserved. 16 TRP(Technical Recovery Plan)作成 – DB マルウエアの感染から検知まで数日を要したため、Maintenance EC2サーバからランサムウエ ア感染後に実行されたデータ更新以前の状態までデータを戻さなければならない。バックアップ 戦略にはBacktrackとpoint-in-time復元(PITR)があるが今回はRITRでTRPを作成した。
17. ©KINTO Corporation. All rights reserved. 17 実施環境準備 社内で共同利用している複数の検証環境の内一つを訓練の準備および実施のために一定 期間確保
18. ©KINTO Corporation. All rights reserved. 18 実施概要 実施日時 2024年4月10日(水) 13:00-18:00 実施場所 オンライン（Slackでコミュニケーション） 想定災害 ランサムウエア感染 テストシナリオ 従業員の端末がランサムウエアし感染から検知までの数日の間にのDBが暗号 化されサービスが停止した 参加人数 17名
19. ©KINTO Corporation. All rights reserved. 19 結果と考察 4
20. ©KINTO Corporation. All rights reserved. 20 結果 テスト観点 結果 コメント TRP(Technical Recovery Plan)の手 順に誤りがないこと ◎ 各グループが準備したTRPの手順に問 題ないことを確認できた 暗号化されたデータを復旧できること 〇 バックアップから暗号化以前のデータに 戻し、失われたデータについてはプロダク ト側のTRPで一部を復旧できた インシデント対応マニュアルに従ってサイ バー攻撃対応ができること 〇 外部組織への報告方法が最新ではな かった
21. ©KINTO Corporation. All rights reserved. 21 考察 教訓 詳細 コミュニケーションの改善 TeamsやZoomのオンライン会議機能を活用し、コミュニケー ションを常に取れる状態に保つべき 情報共有の効率化 ドキュメント管理システムに対応状況や重要な情報を集約し関 係者間で迅速な状況把握を可能にすべき 管理者アカウントの保護 同じケースが管理者アカウントを保有する従業員の端末で発 生したら全サービスに影響しそう データの復旧について 今回のケースではバックアップだけでは完全にデータを復旧でき なかった。復旧を諦めるのか、バックアップ以外（ログデータな ど）から復旧するのか、SLAを定義してビジネス側と握っておく べき
22. ©KINTO Corporation. All rights reserved. 22 当社関連イベントの紹介 5
23. ©KINTO Corporation. All rights reserved. 23 Cloud Security Night Ubie株式会社と当社でクラウドセキュリティの勉強会を開催するのでご興味ある方は是非、 ご参加ください。 https://kinto-technologies.connpass.com/event/345916/
24. ©KINTO Corporation. All rights reserved. 24 P3NFEST 2025 Winter Issue Hunt社主催の学生向けバグバウンティプログラムにプログラムを提供しているので学生で 興味のある方はチャレンジしてみてください。 https://issuehunt.jp/events/2025/winter/news/bugbounty
25. Thank you！