セキュアにデプロイしょう / Ship securely

Slide 1

Slide 1 text

© 2023, Amazon Web Services, Inc. or its affiliates. © 2023, Amazon Web Services, Inc. or its affiliates. Masao Kanamori Solutions Architect, DevAx Amazon Web Services Japan G.K セキュアにデプロイしよう開発者のためのセキュリティテスト自動化

Slide 2

Slide 2 text

© 2023, Amazon Web Services, Inc. or its affiliates. 自己紹介 • 金森政雄 Ø 所属/役職 : DevAx(Developer Acceleration) チームソリューションアーキテクト Ø 好きなサービス Amazon Elastic Container Service AWS Step Functions AWS Fault Injection Simulator

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

© 2023, Amazon Web Services, Inc. or its affiliates. シフトレフトは開発者の仕事を増やすのでは? • セキュリティ問題の早期解消は運用メンバーのストレスを減少させる • 早期に修正するほどコストは安い [1] • 市場投入までの時間を短縮し、ターンアラウンドタイムを短縮する • 多くのプロセスは自動化できる 1 https://ntrs.nasa.gov/citations/20100036670

Slide 6

Slide 6 text

Slide 7

Slide 7 text

© 2023, Amazon Web Services, Inc. or its affiliates. シークレット検出漏洩防止セキュアなコーディングプラクティス動的コード解析脆弱性テストペネトレーションテスト静的コード解析使用するライブラリのコンプライアンスコンプライアンスチェック環境設定秘匿情報と鍵の管理セキュアなネットワーク設計 Well-Architected アーキテクチャのガードレールコンプライアンス脆弱性評価シークレット管理セキュリティ監視の有効化コンプライアンスチェックの有効化脆弱性評価ペネトレーションテストコンプライアンスチェック行動異常脅威モデリング

Slide 8

Slide 8 text

Slide 9

Slide 9 text

© 2023, Amazon Web Services, Inc. or its affiliates. シフトレフト ̶ リリースパイプラインとの統合開発 (IDE) コミットビルドテストデプロイ (ステージング) デプロイ (Prod) 監視 AWS Cloud9 AWS IDE Toolkits セキュリティテスト一式 AWS CodeCommit AWS CodeBuild AWS CodeBuild + サードパーティ AWS CodeDeploy AWS CodeDeploy AWS X-Ray Amazon CloudWatch AWS CodePipeline

Slide 10

Slide 10 text

© 2023, Amazon Web Services, Inc. or its affiliates. 開発 (IDE) コミットビルド前 (SCA、 SAST) ビルドビルド後 (DAST) テストデプロイ (ステージング) デプロイ (Prod) 監視 AWS Cloud9 AWS IDE ツールキット AWS CodeCommit AWS CodeBuild AWS CodeBuild + サードパーティ AWS CodeDeploy AWS CodeDeploy AWS X-Ray Amazon CloudWatch AWS CodePipeline AWS CodeBuild AWS CodeBuild AWS codeGuru OWASP ZAP Talisman Amazon Detective AWS Config インフラスキャンコンプライアンススキャン WAF 承認・Pre-commit フック・IDE セキュリティプラグインシフトレフト ̶ リリースパイプラインとの統合

Slide 11

Slide 11 text

© 2023, Amazon Web Services, Inc. or its affiliates. 今日作るもの: 自動化されたセキュリティテスト AWS CodePipeline Staging Environment CI/CD Application Security Infra AWS CodeBuild (SAST) AWS CodeCommit (Source Repository) AWS ECS (Staging Deployment) Amazon ECR (Image Repository) Amazon EC2 (OWASP ZAP) AWS CodeBuild (License Analysis) AWS CodeBuild (SCA) AWS CodeBuild (Docker build) AWS CodeBuild (DAST) 1b 1a 1c 3 Amazon ECS (SonarQube) 2 4 5 6 7 8

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

© 2023, Amazon Web Services, Inc. or its affiliates. 脅威モデリングとは • コードを記述する前に、潜在的なセキュリティ問題をある程度特定するための設計時のアクティビティです • 以下のような情報を定義します[2] : • アセット、アクター、エントリポイント、コンポーネント、および信頼レベル • 脅威のリスト • 脅威ごとの軽減策 • リスクマトリックスの作成と確認 • これは、データフロー図、マインドマップ、または単に表形式で表現できます • また、よりターゲットを絞ったセキュリティテストを実施するために専⾨家 (テスターやセキュリティエンジニア) がアプリケーションを理解するのにも役⽴ちます https://aws.amazon.com/jp/blogs/news/how-to-approach-threat-modeling/

Slide 15

Slide 15 text

© 2023, Amazon Web Services, Inc. or its affiliates. 脅威モデリングとは (続き) https://en.wikipedia.org/wiki/STRIDE_%28security%29 https://catalog.workshops.aws/threatmodel 脅威モデリングには多くの⽅法がありますが、最も成熟した⽅法の1つは STRIDE[3] [4]です。⽬的は、開発前にセキュリティ要件を特定するために、脅威と緩和策をリストにまとめることです。脅威 ID アセットエントリポイント攻撃サマリーテクニック TR-01 ユーザーアカウントログインページ誰かのアカウントをハイジャックし、悪意のある活動を行うことができること。ブルートフォース攻撃パスワードダンプセッションハイジャックフィッシング脅威 ID 予防的/発見的コントロール TR-01 • 多要素認証 • パスワードのライフサイクルとルール • セッション ID の安全な生成 • セッションライフサイクル • セッションクッキーの安全なストレージ • 顧客への定期的なセキュリティリマインダー

Slide 16

Slide 16 text

Slide 17

Slide 17 text

© 2023, Amazon Web Services, Inc. or its affiliates. IDE セキュリティプラグイン • IDE プラグインは、開発者へ迅速に実行可能な対応策を提供します • コーディングの段階から潜在的リスクを防止するのに便利です • 通常、正規表現ベースのアプローチが用いられます • 迅速なフィードバックのために設計されており、他のフェーズでのアプローチと組み合わせて利用する必要があります。

Slide 18

Slide 18 text

© 2023, Amazon Web Services, Inc. or its affiliates. ソースコントロールでのセキュリティ- Git Hook • アクセスキー、アクセストークン、SSH キーなどの機密情報は、偶発的な git コミットにより誤って漏洩することがよくあります • Pre-Commit フックは、開発者のマシンまたはクラウド IDE にインストールし、機密データをフィルタリングします • 通常、正規表現ベースのアプローチが⽤いられます Talisman GitHound

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Slide 22

Slide 22 text

© 2023, Amazon Web Services, Inc. or its affiliates. ソフトウェア構成解析 (SCA) • ソフトウェアの⼤部分はサードパーティのライブラリであり、多くのセキュリティ脆弱性の由来となっています [5] • OSS ライブラリの⼊⼿は⾮常に簡単なものの、継続的な更新が必要です • pip、npm、bundler、go get、composer など • Software Composition Analysis (SCA) では、脆弱なサードパーティライブラリを識別するためのチェックを⾏います https://www.veracode.com/state-of-software-security-report

Slide 23

Slide 23 text

Slide 24

Slide 24 text

© 2023, Amazon Web Services, Inc. or its affiliates. 動的アプリケーションセキュリティテスト (DAST) • ⾃動化ツールを使⽤したブラック/グレーボックスのセキュリティテスト • SAST だけでは結合的な結果を得られない場合があります • DAST は、デプロイメント固有の問題の特定に役⽴ちます • SAST と DAST の結果を⽐較して、誤検出を除外します OWASP ZAP