GoogleCloudで発見的統制ツールを作った話.pdf

Jagu’e’r はじめてラウンジ × 人材育成分科会 コラボ Meetupで使用した発表資料

https://jaguer.jp/beginner-nurturing/

Transcript

1. Google Cloudで 発見的統制ツール を作った話
2. 自己紹介 ▪所属 株式会社野村総合研究所 マルチクラウドインテグレーション事業部 DX事業推進部 ▪パブリッククラウド歴 AWS：1年くらい Google Cloud：10か月くらい ▪好きなGoogle Cloudのサービス Cloud Asset Inventory ▪格言・座右の銘 無駄なことを考えて無駄なことをしないと 伸びない（By イチロー） Kotaro Kamata （鎌田 康太郎）
3. 普段のお仕事
4. CCoEとしてセキュリティ対策を支援 社内のプロジェクトに対し、セキュリ ティ面の統制支援をやっています。 忙しくて手が回らな いよ！！！ 代わりにセキュリティ の設定を監理するよ！ • クラウドセキュリティを監理 • セキュリティ運用を支援
5. 今日お話しすること →発見的統制をツールを作った話
6. 発見的統制とは？？ • 予防的統制 セキュリティインシデ ントに繋がる行為を予 め防止する。 ◼ IAMで最小限の権限に絞る ◼ 組織ポリシーで一部の設定を 禁止する。 • 発見的統制 意図しない操作などに より生じたセキュリ ティの潜在的な脅威を 発見する。 ◼ Cloud Monitoringでリスクの ある操作を検知するポリシー を設定する。
7. こんなものを作りました。 監視先 発見的統制ツール Google Cloudプロジェクト VPC SCC通知用 Functions Google Cloud プロジェクト Asset Inventory VPC-SC Ingres sルール Cloud Logging Security Command Center サーバーレス VPC アクセス コネクタ Cloud NAT Ingres sルール Cloud Pub/Sub Cloud Pub/Sub ログシンク用 Functions Cloud Pub/Sub Asset Inventory 用Functions Egress ルール Cloud Scheduler VPC-SC 検知事項が発生した場合、 発見的統制ツールへ 通知を実施。 日次での設定 をチェック 検知事項が発生した場合、 発見的統制ツールへ通知 を実施。
8. どんなことを検知しているの？ 社内のガイドラインに掲載されている項目。 CISベンチマークの項目が多め。 ⚫ Cloud Storageがを一般公開していないことをチェック ⚫ ファイアウォールが設定変更された場合に検知 ⚫ GKEでBinary Authorizationを有効にしているかをチェック など
9. どうやって作ったの？ Security Command Center(SCC)の ドキュメントを見ながらせっせと作っていました。
10. どうやって作ったの？ Security Command Center(SCC)の ドキュメントを見ながらせっせと作っていました。 SCCが具体的に何をチェックしてい るのか、ドキュメントで公開してくれ ている。
11. Q. SCCだけ使えば良いのでは？
12. SCCだけだとシンプル 監視先 Security Command Center 発見的統制ツール Pub/Sub Cloud Functions
13. SCCを活用したかったが。。。 Q. 何でSCCだけにしなかったの？ A. Standard（無料）プランだと検知したい項目を 全てカバー出来なかった。 Q. SCC Premium（有料プラン）を使えば良いのでは？ A. PoC用途で使うような環境には高価すぎた。 (以前は料金体系が定額のものしかなかった。) Q. SCC Premiumも従量課金で使えるよ？ A. 一通り完成した後に発表された。使いたい。。。
14. 自作して良かったこと ⚫ ランニングコストは割と安い。 →サーバーレス VPC アクセス コネクタが3000程 かかるが、その他はまとめても500円以下くらい。 ⚫ 脆弱な設定がそのままだと、継続してアラートを出せる。 →SCCは定期スキャンの結果を継続して通知をしてくれ ない仕様だった。(ダッシュボードは更新される。)
15. 不便なこと ⚫ ダッシュボードがない。 →利用者からのニーズは高いが、現状作れていない。 (SCCはもちろんダッシュボードが用意されている。) ⚫ アラート抑止機能を別途考えなきゃいけない。 →一定期間、特定のアラートを抑止したい場面も 出てくるが、今は対応できていない。 (SCCならミュートルールを設定すれば良さそう。)
16. まとめ
17. まとめ ⚫ Google Cloudのサービスを使えば発見的統制ツールを 自作できる。 →Asset Inventoryの情報を見れば大抵の設定は 検知できる。とても助かる。 ⚫ でもSCC Premium使えるならそのほうが良いと思う。 → SCC Premiumの従量課金額が許容範囲内なら 使いたい。今後試算して比較してみます！
18. ありがとうございました！！！