AWS のマネージドサービスを使ったセキュリティ強化のための自動化 / aws-security-automation

JAWS DAYS 2018 の発表資料です。 #jawsdays #jawsug

Transcript

1. AWS のマネージドサービスを使った セキュリティ強化のための自動化 
   +"84
   %":4
   
   ࡔҪ
   ֶ
   !NBOBCVTBLBJ
2. #jd2018_c
3. ͜ͷηογϣϯͷΰʔϧ w "84
   ͕ఏڙ͢ΔηΩϡϦςΟؔ࿈ͷϚωʔδυαʔϏεΛ ஌ͬͯ΋Β͏
   w ηΩϡϦςΟڧԽͷͨΊͷΞΠσΞΛ࣋ͬͯؼͬͯ΋Β͏
4. ࡔҪ
   ֶ
   !NBOBCVTBLBJ
   w GSFFF
   גࣜձࣾ
   43&
   ΤϯδχΞ
   
   ݸਓࣄۀओ
   w ݸਓࣄۀͰ͸ελʔτΞοϓ΁ͷٕज़ࢧԉΛߦ͏
   w ಘҙ෼໺
   "84
   ʢࣗಈԽपΓʣ
   w ϒϩά
   ͸ͬͨΓΤϯδχΞͷඋ๨࿥
5. freee をご存知の方は挙手を
 お願いします✋
6. GSFFF
   ͷαʔϏε w ձܭ
   GSFFF
   w ਃࠂ
   GSFFF
   w ਓࣄ࿑຿
   GSFFF
   w ϚΠφϯόʔ؅ཧ
   GSFFF
   w ձࣾઃཱ
   GSFFF
   w ։ۀ
   GSFFF
7. GSFFF
   ͷαʔϏε w ϛογϣϯ͸ʮεϞʔϧϏδωεʹܞΘΔ͢΂ͯͷਓ͕૑ ଄తͳ׆ಈʹϑΥʔΧεͰ͖ΔΑ͏ʯ
   w όοΫΦϑΟεʹؔΘΔ
   #UP#
   Ϋϥ΢υαʔϏεΛఏڙ
   w ձܭ
   GSFFF
   ͸
   
   ສࣄۀॴҎ্ʹ͓࢖͍͍͖ͨͩɺ
 Ϋϥ΢υձܭιϑτͷγΣΞ
   /P
8. GSFFF
   ͷαʔϏε w ձܭ
   GSFFF
   w ਃࠂ
   GSFFF
   w ਓࣄ࿑຿
   GSFFF
   w ϚΠφϯόʔ؅ཧ
   GSFFF
   w ձࣾઃཱ
   GSFFF
   w ։ۀ
   GSFFF ͓ۚ ਓ ਓ ͓ۚ
9. お金や人に関わる情報漏洩は 絶対に起こしてはいけない
10. ͦͷͨΊʹ͸ʜ w 04
    ΍ϛυϧ΢ΣΞͷमਖ਼ύον͸͙͢ʹద༻͍ͨ͠
    w %P4
    ߈ܸ΍Ϧετܕ߈ܸ͸ࣗಈతʹϒϩοΫ͍ͨ͠
    w "84
    ্Ͱͷෆ৹ͳΞΫςΟϏςΟʹؾ͖͍ͮͨ
    w σʔλ͕վ͟ΜͰ͖ͳ͍Α͏ʹ͍ͨ͠
    w FUD
11. 挙げればキリがない
12. 一方でエンジニアのリソースは
 限られている
13. そうだ、 自動化だ
14. w "84
    ʹ͸ηΩϡϦςΟڧԽʹ࢖͑ΔϚωʔδυαʔϏε͕ ਺ଟ͘ఏڙ͞Ε͍ͯΔ
    w 8"'
    4IJFME
    (VBSE%VUZ
    .BDJF
    *OTQFDUPS
    FUDʜ
    w ΞΠσΞͱϓϩάϥϛϯάͰࣗಈԽͷ࢓૊ΈΛ࡞Δ
    w ͦͯ͠ɺΤϯδχΞ͸Ϣʔβʔʹͱͬͯຊ࣭తʹՁ஋ͷ͋ Δ͜ͱʹϑΥʔΧε͢Δ
15. 今回は freee で実践している
 自動化を 3 つご紹介します
16. CodeBuild を使った AMI 作成の自動化
17. w GSFFF
    Ͱӡ༻͍ͯ͠Δ
    &$
    ͸
    (PMEFO
    ".*
    ํࣜ
    w 04
    ͷجຊઃఆ΍ϛυϧ΢ΣΞͷΠϯετʔϧ͕ࡁΜͩ
    ".*
    Λ͋Β͔͡Ί࡞͓ͬͯ͘
    w ΞϓϦέʔγϣϯ͸ىಈ࣌ʹ࠷৽ͷ΋ͷΛऔಘ͢Δ
    w मਖ਼ύονΛ౰ͯΔʹ͸
    ".*
    Λ࡞Γ௚͢
    w "OTJCMF
    ͱ
    1BDLFS
    ͰίʔυԽ͞Ε͍ͯΔ
18. ࣗಈԽ͢Δલ͸ʜ w 43&
    ͕खݩͷϚγϯͰ
    AQBDLFS
    CVJMEA
    ͯ͠
    ".*
    Λ࡞੒
    w ".*
    ͷछྨ͕૿͑ͯ͘Δͱ࡞Γ௚͠ʹ͕͔͔࣌ؒΔΑ͏ʹ ͳ͖ͬͯͨ
    w ۓٸ౓ͷߴ͍मਖ਼ύον͕ϦϦʔε͞ΕΔͱɺ
 ΄͔ͷ࡞ۀΛࢭΊͯશһͰख෼͚ͯ͠΍͍ͬͯͨ
19. ボトルネックは↓ここ
20. $PEF#VJME
    ͱ͸ w $PEF#VJME
    ͸ϑϧϚωʔδυͷϏϧυαʔϏε
    w Ϗϧυ͝ͱʹݸผͷ
    %PDLFS
    ίϯςφ͕ىಈ͠ɺ
 ෳ਺ͷϏϧυΛಉ࣌ʹ࣮ߦͰ͖Δ
    w 1BDLFS
    ͸
    (P
    Ͱॻ͔ΕͨπʔϧͳͷͰ
    %PDLFS
    Ͱ΋ಈ͘
    w AQBDLFS
    CVJMEA
    Λ
    $PEF#VJME
    ʹ΍ΒͤΕ͹ָͰ͖Δʂ
21. 1 コマンドで完了！
22. ࣗಈԽͷ࢓૊Έ w 3VCZ
    ͰγϯϓϧͳϥούʔίϚϯυΛॻ͍ͨ
    w ΤϯδχΞ͕΍Δ͜ͱΛ
    
    ίϚϯυΛ࣮ߦ͢Δ͚ͩ
    w $PEF#VJME
    ͸
    CVJMETQFDZNM
    ʹԊͬͯ
    ".*
    Λ࡞੒
    w ϏϧυΛಉ࣮࣌ߦ͢Δ͜ͱͰτʔλϧͷ࣌ؒ୹ॖ
23. AWS WAF を使った 攻撃の自動ブロック
24. ࣗಈԽ͢Δલ͸ʜ w %P4
    ߈ܸ΍Ϧετܕ߈ܸͷݕ஌͕ޙखʹճΔ
    w ߈ܸݩͷ
    *1
    ΞυϨε͕සൟʹมΘΔͷͰɺ
 4FDVSJUZ
    (SPVQ
    ΍
    /FUXPSL
    "$-
    Ͱ͸๷͖͗Εͳ͍
    w OHJOY
    Ͱ߈ܸݩͷ
    *1
    ΞυϨεΛϒϩοΫ͕ͨ͠ɺ
 ݁ہ
    8FC
    αʔόʹෛՙ͕͔͔Δ
    w ਂ໷΍ૣேͳͲखബͳ࣌ؒଳ͕Ͱ͖ͯ͠·͏
25. "84
    8"'
    ͱ͸ w "84
    8"'
    ͸ϑϧϚωʔδυͷ
    8"'
    αʔϏε
    w $MPVE'SPOU
    ͱ
    "-#
    ʹઃఆͰ͖Δ
    w 42-J
    ΍
    944
    ͱ͍ͬͨ੬ऑੑΛૂͬͨ߈ܸɺ
 *1
    ΞυϨεϚονϯά΍
    (FP*1
    ͰϒϩοΫͰ͖Δ
    w ߈ܸͷॳಈ͸
    "84
    8"'
    ʹϒϩοΫͤ͞Δʂ
26. 攻撃者には 403 を返す
27. ࣗಈԽͷ࢓૊Έ w "84
    8"'
    ͷ
    3BUFCBTFE
    ϧʔϧΛ׆༻
    w ಛఆͷ
    63-
    ʹ
    /
    ෼ؒʹ
    /
    ճͷϦΫΤετ͕͋Δͱൃ ಈʢ/
    ͷ਺ࣈ͸ඇެ։ʣ
    w ࣗಈతʹϒϩοΫͯ͘͠ΕΔͷͰ༨༟Λ࣋ͬͯௐࠪͰ͖Δ
    w "-#
    ͰϒϩοΫ͢ΔͷͰ
    8FC
    αʔόʹෛՙ͕͔͔Βͳ͍
28. GuardDuty を使った 脅威検出と Slack 通知
29. ࣗಈԽ͢Δલ͸ʜ w 4FDVSJUZ
    (SPVQ
    ͷมߋϛεʹؾ͚ͮΔΑ͏ʹ೔࣍Ͱࠩ෼Λ ݕग़͢Δ࢓૊ΈΛ࡞ͬͨ
    w ࣗલͰ͢΂ͯΛ࡞ΓࠐΉͷ͸େมʜ
    w ڴҖΛݕग़͢Δ࢓૊Έ͸ͦ΋ͦ΋ͳ͔ͬͨ
    w Կ͔͋ͬͨΒ
    $MPVE5SBJM
    Λ֬ೝ͍ͯͨ͠
30. (VBSE%VUZ
    ͱ͸ w (VBSE%VUZ
    ͸ϑϧϚωʔδυͷڴҖݕग़αʔϏε
    w $MPVE5SBJMɺ71$
    ϑϩʔϩάɺ%/4
    ϩάΛऩूͯ͠ڴҖΛ ݕग़ͯ͘͠ΕΔ
    w ͨͱ͑͹
    &$
    ʹର͢ΔϙʔτεΩϟϯͳͲ͸ɺ
 ΄΅ϦΞϧλΠϜʹݕग़ͯ͘͠ΕΔ
    w ෆ৹ͳΞΫςΟϏςΟʹରͯ͠ϓϩΞΫςΟϒʹରԠͰ͖Δʂ
31. ほぼリアルタイムに通知
32. 重要度に応じて色やメンションの有無が変わる
33. ࣗಈԽͷ࢓૊Έ w (VBSE%VUZ
    ͸ڴҖΛݕग़ͯ͠΋௨஌͸ͯ͘͠Εͳ͍
    
    w ڴҖ͕ݕग़͞ΕΔͱ
    $MPVE8BUDI
    &WFOUT
    ͔Β
    -BNCEB
    Λ ىಈͯ͠
    4MBDL
    ͷ
    8FCIPPL
    Λୟ͘
    w ڴҖϨϕϧʹԠͯ͡ϝοηʔδͷ಺༰Λม͍͑ͯΔ
    w $SJUJDBM
    ͷڴҖ͸
    !DIBOOFM
    ͰϝϯγϣϯΛඈ͹͢
34. ิ଍ w GSFFF
    Ͱ͸ଞʹ΋༷ʑͳηΩϡϦςΟରࡦΛߦ͍ͬͯ·͢
    w ηΩϡϦςΟ͸ଟ૚๷ޚ͕ॏཁ
    w "84
    ͷϚωʔδυαʔϏεΛ׆༻ͭͭ͠ɺଞͷ؍఺͔Βͷ ରࡦ΋߹Θͤͯߦ͍·͠ΐ͏
35. ·ͱΊ w ΞΠσΞ࣍ୈͰηΩϡϦςΟڧԽ΋ࣗಈԽͰ͖Δ࣌୅
    w "84
    ͷϚωʔδυαʔϏεΛ͏·͘׆༻͠·͠ΐ͏
    w GSFFF
    ͷ
    43&
    ͸Ϣʔβʔʹຊ࣭తͳՁ஋Λಧ͚ΔͨΊʹ
 ҆৺ͯ͠࢖͑ΔΠϯϑϥ؀ڥΛ໨ࢦ͍ͯ͠·͢ʂ
36. @manabusakai
37. ϨϑΝϨϯε w $PEF#VJME
    Λ࢖ͬͯ
    ".*
    ࡞੒ͷ࣌ؒΛେ෯ʹ୹ॖͨ͠
    w "84
    8"'
    ͷϨʔτϕʔεϧʔϧΛࢼͯ͠Έͨ
    w (VBSE%VUZ
    ͕ݕग़ͨ͠ڴҖΛ͍͍ײ͡ʹ
    4MBDL
    ΁௨஌͢Δ