Security Hub 勉強会

社内勉強会で AWS Security Hub の話をしました

Transcript

1. Security Hub 勉強会
   2020/08/20
   川原 征⼤
   1
   

   View Slide

2. 2
   ⽬次
   - とりあえず始めてみよう
   - Security Hub とは︖
   - セキュリティ標準
   - 検出結果, ASFF
   - ASFF 属性/値の例
   - ほか Tips
   

   View Slide

3. 3
   Next
   - とりあえず始めてみよう
   - Security Hub とは︖
   - セキュリティ標準
   - 検出結果, ASFF
   - ASFF 属性/値の例
   - ほか Tips
   

   View Slide

4. 4
   とりあえず始めてみよう
   Configを有効化してから Security Hubへ
   

   View Slide

5. 5
   とりあえず始めてみよう
   まずは「AWS ベストプラクティス」がおすすめ
   

   View Slide

6. 6
   (完)
   しばらく待つとスコアが出ます
   

   View Slide

7. 7
   Next
   - とりあえず始めてみよう
   - Security Hub とは︖
   - セキュリティ標準
   - 検出結果, ASFF
   - ASFF 属性/値の例
   - ほか Tips
   

   View Slide

8. 8
   Security Hub とは︖
   以下を実施できるサービス
   - セキュリティサービスの検出結果を⼀元管理
   - AWS内のセキュリティの状態を把握・評価
   

   View Slide

9. 9
   Security Hub とは︖
   

   View Slide

10. 10
    Security Hub とは︖
    検出結果(Finding)
    • Security Hub で管理するデータ
    • 統⼀されたフォーマット
    • AWS Security Finding Format (ASFF)
    

    View Slide

11. 11
    Next
    - とりあえず始めてみよう
    - Security Hub とは︖
    - セキュリティ標準
    - 検出結果, ASFF
    - ASFF 属性/値の例
    - ほか Tips
    

    View Slide

12. 12
    セキュリティ標準とは
    AWS環境の継続的なセキュリティチェック
    ベストプラクティスや業界標準に基づいたチェック
    

    View Slide

13. 13
    セキュリティ標準とは
    利⽤できるセキュリティ標準
    - CIS AWS Foundations
    - PCI DSS
    - AWS の基本的なセキュリティのベストプラクティス
    

    View Slide

14. 14
    セキュリティ標準とは
    コントロール = セキュリティチェック項⽬
    

    View Slide

15. 15
    セキュリティ標準のスコアを上げよう
    

    View Slide

16. 16
    スコア上げ #修復⼿順
    

    View Slide

17. 17
    スコア上げ #重要度(Severity)
    ⾼い重要度のコントロールから解決する
    

    View Slide

18. 18
    スコア上げ #重要度(Severity)
    - INFORMATIONAL :: 問題は⾒つかりませんでした
    - LOW :: この問題は単独で対処する必要はありません
    - MEDIUM :: この問題は対処する必要がありますが、緊急で
    は有りません
    - HIGH :: この問題は優先事項として対処する必要がありま
    す
    - CRITICAL :: この問題は悪化しないようにすぐに修正する
    必要があります
    https://docs.aws.amazon.com/ja_jp/securityhub/latest/userguide/securityhub-findings-format.html#asff-severity
    

    View Slide

19. 19
    スコア上げ #無効化
    2つの無効化
    - コントロール単位の無効化
    - リソース単位の無効化
    

    View Slide

20. 20
    スコア上げ #無効化
    コントロール単位の無効化
    

    View Slide

21. 21
    スコア上げ #無効化
    コントロール単位の無効化
    https://dev.classmethod.jp/articles/tuning-cis-benchmark-config-rules-on-security-hub/
    https://dev.classmethod.jp/articles/tuning-foundational-security-best-practices-standard/
    

    View Slide

22. 22
    スコア上げ #無効化
    リソース単位の無効化
    

    View Slide

23. 23
    Next
    - とりあえず始めてみよう
    - Security Hub とは︖
    - セキュリティ標準
    - 検出結果, ASFF
    - ASFF 属性/値の例
    - ほか Tips
    

    View Slide

24. 24
    検出結果, ASFF
    検出結果(Finding)
    • Security Hub で管理するデータ
    • 統⼀されたフォーマット
    • AWS Security Finding Format (ASFF)
    

    View Slide

25. 25
    ASFF
    AWS Security Finding Format(ASFF) = 検出結果の形式
    - 様々なセキュリティサービスの結果を ASFFに統⼀
    - データ変換の作業が不要に
    https://docs.aws.amazon.com/ja_jp/securityhub/latest/
    userguide/securityhub-findings-format.html
    

    View Slide

26. 26
    ASFF
    よく読るページ
    https://docs.aws.amazon.com/ja_jp/securityhub/latest/userguide/securityhub-findings-format.html
    

    View Slide

27. 27
    検出結果の検索
    

    View Slide

28. 28
    検出結果の検索
    - フィルター・グループ化ができる
    - 英語のほうが検索しやすい
    - (⽇本語はASFF属性名との対応が分かりにくいため)
    

    View Slide

29. 29
    インサイト
    

    View Slide

30. 30
    インサイト
    - 「検出結果の検索」のプリセット集
    - セキュリティの問題を継続的に追跡
    

    View Slide

31. 31
    インサイト
    - マネージドインサイト :: AWS提供の組込インサイト
    - カスタムインサイト :: ⾃前でフィルタ/グループ化
    を指定して作成するインサイト
    

    View Slide

32. 32
    Next
    - とりあえず始めてみよう
    - Security Hub とは︖
    - セキュリティ標準
    - 検出結果, ASFF
    - ASFF 属性/値の例
    - ほか Tips
    

    View Slide

33. 33
    ASFF 属性/値の例
    Finding JSON
    

    View Slide

34. 34
    ASFF 属性/値の例
    - AwsAccountId :: AWS アカウントID
    - CreatedAt :: "2020-06-19T09:01:37.143Z"
    - UpdateAt :: "2020-08-10T00:39:07.846Z”
    - Title :: "S3.4 S3 buckets should have server-side encryption
    enabled"
    - Description :: "This AWS control checks that your Amazon S3
    bucket either has Amazon S3 default encryption enabled or
    that the S3 bucket policy explicitly denies put-object requests
    without server side encryption."
    

    View Slide

35. 35
    ASFF 属性/値の例
    - ProductArn :: "arn:aws:securityhub:ap-northeast-
    1::product/aws/securityhub"
    - Types :: “Software and Configuration Checks/Industry and
    Regulatory Standards/AWS-Foundational-Security-Best-
    Practices”
    - GeneratorId :: “aws-foundational-security-best-
    practices/v/1.0.0/S3.4”
    - Id :: “arn:aws:securityhub:ap-northeast-
    1:XXXXXXXXXXXX:subscription/aws-foundational-security-
    best-practices/v/1.0.0/S3.4/finding/ebfa3e8c-aaaa-bbbb-
    cccc-abcdefg”
    

    View Slide

36. 36
    ASFF 属性/値の例
    - Resources :: リソース情報
    

    View Slide

37. 37
    ASFF 属性/値の例
    - Severity.Label :: MEDIUM
    - RecordState :: ACTIVE
    RecordState = ARCHIVED のとき、検出結果は⾮表⽰になる
    

    View Slide

38. 38
    ASFF 属性/値の例
    - Compliance.Status :: FAILED
    - Workflow.Status :: NEW
    

    View Slide

39. 39
    Next
    - とりあえず始めてみよう
    - Security Hub とは︖
    - セキュリティ標準
    - 検出結果, ASFF
    - ASFF 属性/値の例
    - ほか Tips
    

    View Slide

40. 40
    カスタムアクション
    CloudWatch イベントを⾶ばせます
    

    View Slide

41. 41
    利⽤できる CloudWatch イベント
    - Security Hub Findings - Imported ::すべての検出結果
    - Security Hub Findings - Custom Action ::カスタムアク
    ションに関連付けられた結果
    - Security Hub Insight Results ::インサイトに関連付けら
    れた結果
    

    View Slide

42. 42
    利⽤できる CloudWatch イベント
    

    View Slide

43. 43
    統合
    サードパーティのセキュリティサービスの結果を
    Security Hub に統合
    https://dev.classmethod.jp/articles/link-securityhub-to-dome9/
    

    View Slide

44. 44
    Amazon Detective 連携 (GuardDuty からの結果のみ)
    

    View Slide

45. 45
    マルチアカウント利⽤
    マスターアカウントの Security Hub 上でメンバーアカ
    ウントの検出結果を確認・操作
    

    View Slide

46. 46
    ほか セキュリティチェックサービスとの⽐較
    - Trusted Advisor :: 無料で最低限のセキュリティチェック
    - Config (Conformance Pack) ::カスタマイズ可能。Config
    ルールを展開、AWS環境を評価
    - Security Hub セキュリティ標準 :: AWSマネージドな標準。
    内部的には Configルールを活⽤
    https://dev.classmethod.jp/articles/security-hub-vs-config-conformance-packs/
    

    View Slide

47. 47
    最近のアップデート
    https://dev.classmethod.jp/articles/security-hub-cis-auto-remediation/
    

    View Slide

48. 48
    おわり
    

    View Slide