AWS Well-Architected なインシデントレスポンスを実装しよう / Implementing Incident Response with AWS Well-Architected

© 2025, Amazon Web Services, Inc. or its affiliates. All
rights reserved. © 2025, Amazon Web Services, Inc. or its affiliates. All rights reserved. AWS Well-Architected なインシデントレスポンスを実装しよう山口正徳 AWS Community Hero JAWS-UG 千葉支部 C O M M U N I T Y S T A G E – D A Y 1

rights reserved. 山口正徳フォージビジョン株式会社 JAWS-UG千葉支部運営メンバーグローバル認定/表彰・AWS Community HERO ・AWS Ambassador ・APJ AWS Community Leaders Award 2回受賞（2022、2024）・AWS Gold Jacket Club 日本国内認定/表彰・AWS Samurai 2020 ・Japan AWS Top Engineer 2019 – 2023 ・APN ALL AWS Certifications Engineers 2023 – 2024 自己紹介

rights reserved. AWS Well-Architected Framework - セキュリティの柱 01 セキュリティ基盤 05 データ保護 02 Identity and access management 06 インシデントへの対応 03 検出 07 アプリケーションのセキュリティ 04 インフラストラクチャの保護

rights reserved. What’s this number? 943,600,000 件 2,400,000,000,000 件過去6ヶ月の悪意あるスキャンの阻止件数 S3オブジェクトに対する不正な暗号化の試み (阻止数）

rights reserved. なぜインシデントレスポンスが重要なのか • セキュリティインシデントは「いつか起きるもの」ではなく、「いつでも起こり得るもの」。 • インシデントが発生してから対応を開始するのでは遅い。 • インシデントは発生する前提で、常に対応の準備をしておく必要がある。 • AWS Well-Architected Framework - セキュリティの柱では、インシデント対応はライフサイクルを意識して計画すべきものと定義されている。

rights reserved. インシデントレスポンスのライフサイクル AWS Well-Architected Framework - Security Pillar https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/aspects-of-aws-incident-response.html

rights reserved. 復旧までのインシデントレスポンスオペレーション封じ込め検証収集分析セキュリティインシデントの拡大と影響を最小限に抑える調査と分析のために証拠を取得し、保全する収集した証拠から侵害の兆候を特定する検証結果をもとに、影響範囲とインシデントの全体像を把握するこれらの作業は迅速かつ正確に、ミスなく実行する必要があります。

rights reserved. 「封じ込め」の手順が紹介されているドキュメント AWS Well-Architected Framework - Security Pillar https:// docs.aws.amazon.com/ja_jp/wellarchitected/latest/security-pillar/operations.html AWS Security Incident Response User Guide https://docs.aws.amazon.com/ja_jp/security-ir/latest/userguide/containment.html AWS Prescriptive Guidance https://docs.aws.amazon.com/ja_jp/prescriptive-guidance/latest/patterns/automate-incident-response-and-forensics.html AWS Security Incident Response Technical Guide https://docs.aws.amazon.com/ja_jp/whitepapers/latest/aws-security-incident-response-guide/infrastructure-domain- incidents.html AMS Advanced User Guide https://docs.aws.amazon.com/ja_jp/managedservices/latest/userguide/sir-contain.html

rights reserved. 各ドキュメントに共通する「封じ込め」手順 ✓ セキュリティグループによるリソースの隔離 ✓ ネットワークACLや隔離用VPCによるネットワーク分離 ✓ IAMユーザー、ロール、ポリシーの無効化 ✓ アクセスキー、APIキー、パスワードのローテーション ✓ 公開された認証情報や機密データの削除 ✓ 侵害されたコンピュートリソースの終了・停止・削除 ✓ 影響を受けたリソースへのパブリックアクセスの制限 ✓ オートスケーリンググループおよびロードバランサーからのデタッチ ✓ Amazon S3 バケットポリシーによるアクセスブロック

rights reserved. 「収集」の手順が紹介されているドキュメント AWS Well-Architected Framework - Security Pillar https://docs.aws.amazon.com/ja_jp/wellarchitected/latest/security-pillar/operations.html AWS Security Incident Response User Guide https://docs.aws.amazon.com/ja_jp/security-ir/latest/userguide/operations.html https://docs.aws.amazon.com/ja_jp/security-ir/latest/userguide/capture-backups-and-snapshots.html https://docs.aws.amazon.com/ja_jp/security-ir/latest/userguide/appendix-b-incident-response-resources.html#forensic- resources https://docs.aws.amazon.com/ja_jp/security-ir/latest/userguide/collect-relevant-artifacts.html AWS Prescriptive Guidance https://docs.aws.amazon.com/ja_jp/prescriptive-guidance/latest/patterns/automate-incident-response-and-forensics.html

rights reserved. 「収集」の手順が紹介されているドキュメント (続き) AWS Security Incident Response Technical Guide https://docs.aws.amazon.com/ja_jp/whitepapers/latest/aws-security-incident-response-guide/infrastructure-domain- incidents.html https://docs.aws.amazon.com/ja_jp/whitepapers/latest/aws-security-incident-response-guide/capturing-volatile- data.html https://docs.aws.amazon.com/ja_jp/whitepapers/latest/aws-security-incident-response-guide/using-aws-systems- manager.html https://docs.aws.amazon.com/ja_jp/whitepapers/latest/aws-security-incident-response-guide/automating-the- capture.html AMS Advanced User Guide https://docs.aws.amazon.com/ja_jp/managedservices/latest/userguide/sir-contain.html

rights reserved. 各ドキュメントに共通する「収集」手順 ✓ インスタンスの終了保護を有効化 ✓ Amazon EBS データボリュームのスナップショットを作成 ✓ インスタンスメタデータを収集 ✓ メモリを取得 ✓ ライブレスポンスを実行し、アーティファクト（ディスク、メモリ、ログ）を収集

rights reserved. インシデントレスポンス準備における課題 AWSの公式ドキュメントでも、インシデントレスポンスの手順は複数の資料に分散して記載されています。さらに、ドキュメントごとに手順が少しずつ異なるため、全体像を把握するのは容易ではありません。本セッションでは、チャレンジとして、各ドキュメントに共通して求められる「封じ込め」と「収集」の必須手順を整理します。

rights reserved. 「封じ込め」の必須タスク封じ込めセキュリティインシデントの拡大と影響を最小限に抑える 01 調査中であることを示すタグをインスタンスに付与 02 IAMインスタンスプロファイルをデタッチ 03 Auto Scaling Groupからデタッチ 04 ターゲットグループから登録解除 05 隔離用セキュリティグループをアタッチ

rights reserved. 「封じ込め」の必須タスクリファレンス（参照元） 01 調査中であることを示すタグをインスタンスに付与・AMS Advanced User Guide ・AWS Prescriptive Guidance ・AWS Security Incident Response Technical Guide 02 IAMインスタンスプロファイルをデタッチ・AMS Advanced User Guide ・AWS Prescriptive Guidance 03 Auto Scaling Groupからデタッチ・AWS Security Incident Response Technical Guide 04 ターゲットグループから登録解除・AMS Advanced User Guide ・AWS Security Incident Response Technical Guide 05 隔離用セキュリティグループをアタッチ・AWS Well-Architected Framework - Security Pillar ・AMS Advanced User Guide ・AWS Prescriptive Guidance ・AWS Security Incident Response Technical Guide

rights reserved. 「封じ込め」の必須タスク AWS Cloud Virtual private cloud (VPC) Availability Zone 1 NAT gateway Availability Zone 2 NAT gateway Auto Scaling group Instance Instance Application Load Balancer Target Group EBS volumes EBS volumes Security group Security group 調査中であることを示すタグをインスタンスに付与 ① ① IAMインスタンスプロファイルをデタッチ ② ② AutoScaling Groupから登録解除 ③ ③ ターゲットグループから登録解除 ④ ④ 隔離用セキュリティグループをアタッチ ⑤ ⑤ Role Role

rights reserved. 「収集」の必須タスク 01 インスタンスメタデータを取得 02 インスタンスの終了保護と停止保護を有効化 03 EBSボリュームの DeleteOnTermination を無効化 04 インスタンスにアタッチされている EBS ボリュームのスナップショットを作成収集調査と分析のために証拠を取得し、保全する

rights reserved. 「収集」の必須タスクリファレンス（参照元） 01 インスタンスメタデータを取得・AWS Security Incident Response User Guide ・AWS Security Incident Response Technical Guide ・AMS Advanced User Guide 02 インスタンスの終了保護と停止保護を有効化・AWS Security Incident Response User Guide ・AWS Security Incident Response Technical Guide 03 EBSボリュームの DeleteOnTermination を無効化・AWS Security Incident Response User Guide 04 インスタンスにアタッチされている EBS ボリュームのスナップショットを作成・AWS Security Incident Response User Guide ・AWS Prescriptive Guidance ・AWS Security Incident Response Technical Guide ・AMS Advanced User Guide

rights reserved. 「収集」の必須タスク AWS Cloud Virtual private cloud (VPC) Availability Zone 1 NAT gateway Availability Zone 2 NAT gateway Auto Scaling group Instance Instance Application Load Balancer Target Group EBS volumes EBS volumes Security group Security group インスタンスメタデータを取得 ① ① インスタンスの終了保護と停止保護を有効化 ② EBSボリュームの DeleteOnTermina tion を無効化 ③ ③ インスタンスにアタッチされている EBS ボリュームのスナップショットを作成 ④ ④ Role Role ②

rights reserved. 必須タスクの手順はどう準備すればよいか？ツールキットを用意する手順書による手作業自動化

rights reserved. インシデントレスポンスにおける自動化の重要性侵害発生時の時間的なプレッシャーや精神的なストレスはヒューマンエラーのリスクを大きく高める要因となる。ミスを起こした場合、復旧や影響範囲の調査に必要な情報の消失だけではなく、２次障害などにつながる可能性もある。 AWS規範ガイダンスでも、インシデントレスポンスやフォレンジック作業の自動化が強く推奨されている。

rights reserved. AWS 規範ガイダンス https://docs.aws.amazon.com/ja_jp/prescriptive-guidance/latest/patterns/automate-incident-response-and-forensics.html

rights reserved. 自動化のオプション本セッションで重要視するポイント： • 高度なスキルセットを必要としないこと • 実行状況が可視化できること • メンテナンスが容易であること https://docs.aws.amazon.com/ja_jp/whitepapers/latest/aws-security-incident-response-guide/options-for-automating-response.html

rights reserved. AWS Lambda AWS Step Functions Technical skillset プログラミングスキルが必要 (Python, Node.js, etc.) プログラミングスキルは不要（ワークフロースタジオを利用可） Workflow 主にシングルタスク向けワークフローオーケストレーション機能を備えている Visualization 処理状況の理解はログ出力などの実装に依存するステートマシンの実行状況を可視化する機能を備えている Flexibility プログラミング言語で表現できる処理は実装可能 SDK統合、組み込み関数の場合の範囲で実装する必要がある Maintenance コードを理解する必要があるワークフロースタジオで処理全体を把握することができる Speed 速い速い AWS Lambda と AWS Step Functions のどちらを利用するか

rights reserved. State Machine for Essential Incident Response Tasks

rights reserved. State Machine for Essential Incident Response Tasks EC2インスタンスへのタグ付与 EC2インスタンスメタデータの取得指定したEC2インスタンスIDのデータセット分を並列起動 EBSスナップショット取得 EBSスナップショット暗号化非暗号化 EBSスナップショットの削除 EBSスナップショットへのタグ付与 DeleteOnTerminate 無効化 IAMインスタンスプロファイルの確認 IAMインスタンスプロファイルのデタッチ AutoScaling Group のアタッチ確認 AutoScaling Group からのデタッチターゲットグループの登録状況確認ターゲットグループからの解除 EC2インスタンスにアタッチされている ENIの確認 ENIごとに隔離用セキュリティグループの作成隔離用セキュリティグループの付け替え EC2インスタンス終了保護と削除保護の有効化

rights reserved. 「封じ込め」と「収集」の必須タスク 01 調査中であることを示すタグをインスタンスに付与 05 EBSボリュームの DeleteOnTermination を無効化 02 インスタンスの終了保護と停止保護を有効化 06 IAMインスタンスプロファイルをデタッチ 03 インスタンスメタデータを取得 07 AutoScaling Groupからデタッチ 04 インスタンスにアタッチされている EBS ボリュームのスナップショットを作成 08 ターゲットグループから登録解除 09 隔離用セキュリティグループをアタッチ

rights reserved. 調査中であることを示すタグをインスタンスに付与 • インシデント対応中のインスタンスにタグを付けてステータスを管理します。 • CheckTag ステートはタグの設定を確認し、設定されていない場合は異常終了します。

rights reserved. インスタンスの終了保護と停止保護を有効化 • 強制終了や削除を防ぐために、インスタンスの終了保護を有効化します。 • シャットダウン動作を「停止」に設定し、終了しないようにします。 • すべての設定が正しく適用されていることを確認し、いずれかが未設定であれば異常終了します。

rights reserved. インスタンスメタデータを取得 • 侵害時の状態を後から調査できるよう、インスタンスメタデータを取得します。 • 取得したメタデータは、ステートマシンの実行結果に記録されます。 • メタデータには、インスタンスID、タイプ、IPアドレス、VPC／サブネットID、リージョン、AMI ID、アタッチされているセキュリティグループ、起動時刻などが含まれます。

rights reserved. 「封じ込め」と「収集」の必須タスク 01 調査中であることを示すタグをインスタンスに付与 05 EBSボリュームの DeleteOnTermination を無効化 02 インスタンスの終了保護と停止保護を有効化 06 IAMインスタンスプロファイルをデタッチ 03 インスタンスメタデータを取得 07 オートスケーリンググループからデタッチ 04 インスタンスにアタッチされている EBS ボリュームのスナップショットを作成 08 ターゲットグループから登録解除 09 隔離用セキュリティグループをアタッチ 04 から 09 は並列実行

rights reserved. Parallel state による並列実行

rights reserved. インスタンスにアタッチされている EBS ボリュームのスナップショットを作成 • インスタンスにアタッチされているすべての EBS ボリュームのスナップショットを取得します。 • スナップショットが暗号化されていることを確認します。 • スナップショットにはインシデント対応中タグを付与します。

rights reserved. EBSボリュームの DeleteOnTermination を無効化 • すべての EBS ボリュームで DeleteOnTermination 属性を無効にします。 • 設定が適用されていることを確認した後、処理を終了します。

rights reserved. IAMインスタンスプロファイルをデタッチ • 他の AWS リソースへのアクセスを防ぐため、インスタンスプロファイルをデタッチします。 • 対象のインスタンスから他の AWSサービスにアクセスされることを防ぎます。 ※一時トークンの無効化処理も実装予定

rights reserved. AutoScaling Groupからデタッチ • 侵害されたインスタンスをオートスケーリンググループからデタッチします。 • オートスケーリンググループによるインスタンスの終了を防ぐだけでなく、調査対象のインスタンスを取り除き正常なインスタンス数に戻す効果もあります。

rights reserved. オートスケーリンググループからデタッチ • 侵害されたインスタンスをオートスケーリンググループからデタッチします。 • オートスケーリンググループによるインスタンスの終了を防ぐだけでなく、調査対象のインスタンスを取り除き正常なインスタンス数に戻す効果もあります。

rights reserved. ターゲットグループから登録解除 • インスタンスがターゲットグループに登録されている場合は、ロードバランサーからのトラフィック振り分けを防ぐため登録を解除します。 • 調査対象のインスタンスがリクエストに応答することを防ぎます。

rights reserved. 隔離用セキュリティグループをアタッチ • すべての ENI からセキュリティグループをデタッチし、隔離用セキュリティグループを適用します。 • 隔離用のセキュリティグループは、送信・受信の許可ルールが一切ないセキュリティグループを使用します。

rights reserved. (オプション) OSに存在する揮発性情報の収集 • アプリケーションやオペレーティングシステムによってメモリに保存・キャッシュされているデータを取得します。 • インスタンスストアボリュームがある場合は、バックアップを作成します。 • この処理には、AWS Systems Manager Run Command を使用して OS コマンドを実行する権限が必要です。

rights reserved. まとめ • セキュリティインシデントは発生することを前提に準備しておく • インシデント発生時に実行するプレイブック（手順）のうち必須手順は自動化することで備える • 自動化のための仕組みは属人化せずに継続的にメンテナンスできることを考える • “State Machine for Essential Incident Response Tasks”を使ってあなたの環境にもAWS Well-Architectedなインシデントレスポンスを！

rights reserved. State Machine for Essential Incident Response Tasks https://github.com/masanoriyamaguchi/Well-Architected-incident-response-state-machine GitHubで公開しています。 (Future plan) ・一時トークンの無効化・OS揮発性データの取得

rights reserved. Thank you! Thank you! 山口正徳 @kinunori linkedin.com/in/kinunori github.com/masanoriyamaguchi

AWS Well-Architected な インシデントレスポンスを実装しよう / Impl...

AWS Well-Architected な インシデントレスポンスを実装しよう / Implementing Incident Response with AWS Well-Architected

More Decks by Masanori Yamaguchi

Featured

Transcript

AWS Well-Architected なインシデントレスポンスを実装しよう / Impl...

AWS Well-Architected なインシデントレスポンスを実装しよう / Implementing Incident Response with AWS Well-Architected