Cloud Guard設定・操作ガイド

Slide 1

Slide 1 text

Cloud Guard 設定・操作ガイド 2023年8⽉31⽇⽇本オラクル株式会社クラウド・エンジニアリング統括 COE本部セキュリティ&マネージメント・ソリューション部

Slide 7

Slide 7 text

構成ディテクタ・レシピ（⼀例） Cloud Guard 概要 Copyright © 2023, Oracle and/or its affiliates. 7 # ディテクタ・ルールディテクタ・ルール（翻訳）リスク・レベル 1 Load balancer SSL certificate expiring soon ロードバランサのSSL証明書の期限切れが近づいていますクリティカル 2 Bucket is public バケットがパブリックですクリティカル 3 Database version is not sanctioned データベースのバージョンが認可されていませんクリティカル 4 Database System version is not sanctioned データベースシステムのバージョンが認可されていませんクリティカル 5 Instance is publicly accessible インスタンスはパブリックにアクセスできますクリティカル 6 VCN Security list allows traffic to non-public port from all sources (0.0.0.0/0) VCNセキュリティリストで、すべてのソース（0.0.0.0/0）から⾮パブリックポートへのトラフィックが許可されていますクリティカル 7 VCN Security list allows traffic to restricted port VCNセキュリティリストで制限ポートへのトラフィックが許可されていますクリティカル 8 Scanned host has open ports スキャンされたホストにオープンポートがありますクリティカル 9 Scanned host has vulnerabilities スキャンされたホストに脆弱性がありますクリティカル 10 Database System is publicly accessible データベースシステムはパブリックにアクセスできますクリティカル 11 Database System has public IP address データベースシステムにパブリックIPアドレスがあります⾼ 12 Database is not backed up automatically データベースが⾃動的にバックアップされません⾼ 13 Instance has a public IP address インスタンスにパブリックIPアドレスがあります⾼ 14 NSG ingress rule contains disallowed IP/port NSGイングレスルールに許可されていないIP/ポートが含まれます⾼ 15 Load balancer allows weak SSL communication ロードバランサで強度の弱いSSL通信が許可されています⾼ 16 Load Balancer has public IP address ロードバランサにパブリックIPアドレスがあります⾼ 17 Data Safe is not enabled DataSafeが有効ではありません⾼ 18 Database patch is not applied データベースパッチが適⽤されていません中 19 Block Volume is not attached ブロックボリュームがアタッチされていません中 20 Database system patch is not applied データベースシステムパッチが適⽤されていません中 21 Instance is running without required Tags インスタンスが必須必タグなしで実⾏されています中 22 Key has not been rotated キーがローテーションされていません中 23 API key is too old APIキーが古すぎます中 24 IAM group has too many members IAMグループのメンバーが多すぎます中

Slide 8

Slide 8 text

アクティビティディテクタ・レシピ（⼀例） Cloud Guard 概要 Copyright © 2023, Oracle and/or its affiliates. 8 # ディテクタ・ルールディテクタ・ルール（翻訳）リスク・レベル 1 Suspicious Ip Activity 疑わしいIPアクティビティクリティカル 2 VCN Network Security Group Deleted VCNネットワークセキュリティグループが削除されました⾼ 3 Instance terminated インスタンスが終了しました⾼ 4 Database System terminated データベースシステムが終了しました⾼ 5 Intermediate Certificate Authority (CA) revoked 中間認証局（CA）が取り消されました⾼ 6 VCN Local Peering Gateway changed VCNローカルピアリングゲートウェイが変更されました中 7 VCN Route Table changed VCNルート表が変更されました中 8 VCN DHCP Option changed VCN DHCPオプションが変更されました中 9 VCN Security List deleted VCNセキュリティリストが削除されました中 10 VCN Internet Gateway created VCNインターネットゲートウェイが作成されました中 11 VCN deleted VCNが削除されました中 12 VCN Network Security Group ingress rule changed VCNネットワークセキュリティグループのイングレスルールが変更されました中 13 VCN Network Security Group egress rule changed VCNネットワークセキュリティグループのエグレスルールが変更されました中 14 VCN Security List ingress rules changed VCNセキュリティリストのイングレスルールが変更されました中 15 VCN Security List egress rules changed VCNセキュリティリストのエグレスルールが変更されました中 16 Certificate Authority (CA) deleted 認証局（CA）が削除されました中 17 Subnet Changed サブネットが変更されました低 18 Subnet deleted サブネットが削除されました低 19 Update Image イメージの更新低 20 VCN Security List created VCNセキュリティリストが作成されました低 21 VCN Internet Gateway terminated VCNインターネットゲートウェイが終了しました低 22 VCN created VCNが作成されました低 23 Security policy modified セキュリティポリシーが変更されました低 24 IAM User capabilities modified IAMユーザーの機能が変更されました低

Slide 9

Slide 9 text

9 Copyright © 2023, Oracle and/or its affiliates. ※ https://attack.mitre.org/techniques/enterprise/ ディテクタルール⼿法 ※ 説明不正ユーザー不可能な移動（Impossible Travel） Initial Access Valid Accounts: Cloud Accounts (T1078.004) 悪意のあるクラウド・アカウントの資格証明を取得して不正使⽤し、制限されたリソースへのアクセスを提供できます。正当な資格証明の不正な使⽤を検出する⽅法の1つは、アクセス間の期間が短すぎて物理的に不可能になった場合に、異なる地理的な場所から同じアカウントによるアクセスを識別することです。パスワード推測（Password Guessing） Credential Access Password Guessing (T1110.001) 1⼈のユーザーに対する総当たり攻撃。正当な資格証明に関する知識がなくても、パスワードによってアカウントへのアクセスが試⾏される可能性があります。アカウントのパスワードがわからない場合は、反復的なメカニズム、または⼀般的なパスワードのリストを使⽤して、パスワードを体系的に推測できます。攻撃者の⾃動プロセスに、失敗した認証試⾏間の⼗分な組み込み待機時間がある場合、アカウントのロックアウトは発⽣しません。パスワードのスプレー（Password Spraying） Credential Access Password Spraying (T1110.003) 複数のユーザーに対して、正当な資格証明に関する知識がなくても、複数のユーザーに対するブルート・フォース攻撃では、パスワードを使⽤してアカウントにアクセスを試みる可能性があります。逆仕訳では、多数の異なるアカウントに対して⼀般的に使⽤されるパスワードの単⼀または少数のリストを使⽤して、有効なアカウント資格証明の取得を試みることができます。ログインは多くの異なるアカウントに対して試⾏され、多数のパスワードを持つ1つのアカウントを強制的に実⾏するときに通常発⽣するロックアウトを回避します。事前認証済リクエスト(PAR)の昇格数（Elevated Number Of PARs） Exfiltration Exfiltration to Cloud Storage (T1567.002) 事前認証済リクエストの異常作成。事前認証済リクエストは、ユーザーが独⾃の資格証明を持たないプライベート・バケットまたはオブジェクトにアクセスできるようにする⼿段を提供します。これにより、攻撃者はコマンドや制御チャネルを経由せずにデータを漏洩する可能性があります。脅威ディテクタ・レシピ Cloud Guard 概要

Slide 10

Slide 10 text

10 Copyright © 2023, Oracle and/or its affiliates. ※ https://attack.mitre.org/techniques/enterprise/ ディテクタルール⼿法 ※ 説明不正ユーザー⾼度なアクセス（Elevated Access） Privilege Escalation Valid Accounts: Cloud Accounts (T1078.004) 攻撃者は、初期アクセス、永続性、特権昇格または防御回避を利⽤して、クラウドアカウントの資格情報を取得し、悪⽤する可能性があります。クラウドアカウントが悪⽤されると、攻撃者はアカウント操作を実⾏して（例えば、追加のクラウドロールを追加することにより）、永続性を維持し、特権にエスカレートする可能性があります。減損防⽌（Impair Defenses） Defense Evasion (TA0005) Impair Defenses: Disable or Modify Tools (T1562.001) 攻撃者は、マルウェア/ツールおよびアクティビティの検出を回避する為に、セキュリティツールを変更および/または無効にすることができます。これには、セキュリティソフトウェアプロセスやサービスの強制終了、レジストリキーや構成ファイルの変更/削除によるツールの正常な動作の停⽌、セキュリティツールのスキャンや情報の報告を妨げるその他の⽅法など、さまざまな形態があります。永続性（Persistence） Persistence (TA0003) Account Manipulation: Additional Cloud Credentials (T1098.001) 攻撃者が制御するクレデンシャルをクラウドアカウントに追加して、環境内の被害者のアカウントとインスタンスへの永続的なアクセスを維持できます。例えば、Azure ADの既存の正当なクレデンシャルに加えて、サービスプリンシパルとアプリケーションのクレデンシャルを追加できます。これらの資格情報には、x509キーとパスワードの両⽅が含まれます。⼗分なアクセス許可があれば、Azureポータル、Azureコマンドラインインターフェイス、AzureまたはAz PowerShellモジュールなど、さまざまな⽅法で資格情報を追加できます。脅威ディテクタ・レシピ Cloud Guard 概要

Slide 28

Slide 28 text

28 Copyright © 2023, Oracle and/or its affiliates. Cloud Guardが有効化されると、現状のセキュリティリスク（概要、問題などの項⽬）が表⽰されます。【セキュリティ・スコア】過去30⽇間の監視結果を基に、システムの保護状態に関する評価が表⽰されます。セキュリティ・スコアが⾼いほど優れており、100のセキュリティ・スコアはどのリソースに対しても問題が検出されなかったことを意味します。【リスクのスコア】問題の数と重⼤度に関連します。多くのリソースを持つ組織では、多くの問題が検出する可能性が⾼く、リスク・スコアも⾼くなります。多くのリソースがある場合、セキュリティ・スコアが優れていてもリスク・スコアは⾼くなる可能性があります。【セキュリティ推奨】セキュリティとリスクのスコアを改善する為の推奨事項です。 Cloud Guardが検出した最も優先度の⾼い問題を迅速に特定して解決します。 Cloud Guardの有効化【問題のスナップショット】重⼤度レベル別に問題を表⽰し、ドリルダウンして「問題」ページの各重⼤度レベルから問題のリストを参照します。【問題】コンパートメント、リージョンまたはリソース・タイプ別に問題を表⽰し、ドリルダウンして「問題」ページにリストされた問題名から参照します。【ユーザー・アクティビティの問題】ソースIPアドレスに基づいて、ユーザー・アクティビティの地理的起点を⽰すマップを表⽰します。【レスポンダ・ステータス】 Cloud Guardのレスポンダを介して、実⾏された最近の修正を確認します。 Cloud Guard 設定⼿順

Slide 49

Slide 49 text

Copyright © 2023, Oracle and/or its affiliates. 49 問題に対するアクションの実⾏は、3つの種類（「修正」、「解決済みとしてマーク」、「終了」）があります。それぞれの特徴およびURLを以下に記載しておりますので、どのアクションを選択するかの参考にしてください。修正「修正」をクリックすることで、Cloud Guardのレスポンダを使⽤してアクションを実⾏します。但し、レスポンダで対応できない問題もあり、その場合は「修正」ボタンがグレーアウトされています。また、将来発⽣する同じ問題に対しても同じレスポンダを実⾏してCloud Guardで⾃動解決します。担当者を介さずにCloud Guardで⾃動解決する為、「ディテクタ・レシピ」および「レスポンダ・レシピ」に関する知⾒のある⽅向けのアクションとなります。解決済みとしてマーク担当者が⼿動で任意のアクションを該当リソースで実⾏します。その後、「解決済みとしてマーク」をクリックして、修正した該当問題を解決済みにします。 Cloud Guardに関する知⾒が浅い⽅など向けのアクションとなります。（推奨）終了「終了」をクリックして問題をクローズします。検出された問題の対応を必要としない場合または同じ問題を再度検出する必要がない場合などに選択します。次回以降、同じ問題が検出されなくなる為、セキュリティリスクを鑑みたうえで選択してください。 Cloud Guard 検出結果と対応「推奨事項」ページからの対応〜問題に対するアクションの注意事項〜【参照】︓ https://docs.oracle.com/ja-jp/iaas/cloud-guard/using/problems-page.htm ※ 社内検証環境の為、コンパートメント名などは伏せております

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Slide 23

Slide 23 text

Slide 24

Slide 24 text

Slide 25

Slide 25 text

Slide 26

Slide 26 text

Slide 27

Slide 27 text

Slide 28

Slide 28 text

Slide 29

Slide 29 text

Slide 30

Slide 30 text

Slide 31

Slide 31 text

Slide 32

Slide 32 text

Slide 33

Slide 33 text

Slide 34

Slide 34 text

Slide 35

Slide 35 text

Slide 36

Slide 36 text

Slide 37

Slide 37 text

Slide 38

Slide 38 text

Slide 39

Slide 39 text

Slide 40

Slide 40 text