持続可能なクラウドガバナンス運用 - スモールステップと生成AIで始める運用効率化

Slide 1

Slide 1 text

© 2025, Amazon Web Services, Inc. or its affiliates. All rights reserved. © 2025, Amazon Web Services, Inc. or its affiliates. All rights reserved. 持続可能なクラウドガバナンス運⽤: スモールステップと⽣成AIで始める運⽤効率化鈴⽊陽三 Solutions Architect 2025/01/30 2025 クラウドガバナンスはこう変わる︕ マルチアカウント運⽤のre:Invent最新情報と活⽤例

Slide 2

Slide 2 text

Slide 3

Slide 3 text

© 2025, Amazon Web Services, Inc. or its affiliates. All rights reserved. © 2025, Amazon Web Services, Inc. or its affiliates. All rights reserved. 1. AWS Security Hub と Amazon GuardDuty の運⽤の課題 2. 運⽤をはじめるためのスモールステップ 3. ⽣成 AI による運⽤効率化 3 アジェンダ

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Slide 9

Slide 9 text

© 2025, Amazon Web Services, Inc. or its affiliates. All rights reserved. 9 スモールステップ＝⼩さく始める • ⼩さく始めること ≠ とりあえずやってみる • ⼩さく始めるためには、準備が重要です • 例えば、⽬的の明確化、達成したかどうかの評価⽅法、など • スコープも最⼩限になるように注意しましょう • 例えば、⽣成 AI アプリケーションの機能の有効性を検証するのに、いきなりアプリケーションを構築しはじめたりしませんよね︖ • まずは想定問答を作り、マネコンでプロンプトを調整するだけで検証する、といった始め⽅をするはずです

Slide 10

Slide 10 text

© 2025, Amazon Web Services, Inc. or its affiliates. All rights reserved. 10 スモールステップの⽅針適⽤する組織対処するスコープ（コントロールや保護プランの数）対処するイベントの数や組織の数を抑え、⼩さくはじめて運⽤プロセスを確⽴し、徐々にスケールさせていく対処する数も限定的なら、届く通知も限定的になる⾃組織から始めれば、担当者を決めやすく、プロセスの合意も取りやすい⾃組織のみ全社横断複数組織必要最低限・重要度が⾼いもの会社のガバナンスポリシー全体に拡充

Slide 11

Slide 11 text

Slide 12

Slide 12 text

Slide 13

Slide 13 text

© 2025, Amazon Web Services, Inc. or its affiliates. All rights reserved. Policies Set high-level expectations Control objectives Identify the conditions to meet Standards Define formal requirements Security controls Establish safeguards that meet your standards 13 ガバナンスポリシーの確認・優先順位づけ • 基本的には、⾃社のガバナンスポリシーを確認した上で、⼩さく始める上で、必要最低限なところを責任者と合意してください • AWS のセキュリティ標準を起点に始めるのではなく、⾃社のガバナンスポリシーを起点にすることが重要です起点必要最低限のスコープ徐々に広げる

Slide 14

Slide 14 text

© 2025, Amazon Web Services, Inc. or its affiliates. All rights reserved. 14 運⽤を始めるまでの準備ガバナンスポリシーの確認・優先順位づけ対象コントロールの洗い出し・有効化運用プロセスの担当者への周知・合意 Security Hub と GuardDuty でそれぞれ検討します Security Hub • セキュリティ標準 • 重要度 • リージョン GuardDuty • 保護プラン • 重要度

Slide 15

Slide 15 text

© 2025, Amazon Web Services, Inc. or its affiliates. All rights reserved. 15 Security Hub のスコープ｜セキュリティ標準 • セキュリティ標準のリスト • AWS Foundational Security Best Practices v1.0.0 (FSBP） • Center for Internet Security (CIS） AWS Foundations Benchmark • ⽶国国⽴標準技術研究所 (NIST) SP 800-53 Rev. 5 • Payment Card Industry Data Security Standard (PCI DSS） • AWS リソースタグ付け標準 • サービスマネージドスタンダード︓ AWS Control Tower • どのセキュリティ標準を最初に採⽤する︖ • AWS FSBP は必須 • CIS AWS Foundations Benchmark は、必要に応じて有効化してください • 不要なものは Suppression します

Slide 16

Slide 16 text

© 2025, Amazon Web Services, Inc. or its affiliates. All rights reserved. 16 Security Hub のスコープ｜重要度 • どの重要度まで監視する︖ • 重⼤、⾼、を監視できると良いです • ただし、⾃社ポリシーで重要なものは、重要度が低くてもチェックする、例外対応は必要侵害の可能性が⾮常に⾼い侵害の可能性が⾼い侵害の可能性が低い侵害の可能性が⾮常に低い悪⽤⾏為が⾮常に簡単重⼤重⼤⾼中悪⽤⾏為がやや簡単重⼤⾼中中悪⽤⾏為がやや難しい⾼中中低悪⽤⾏為が⾮常に難しい中中低低 Security Hub のコントロールの重要度の定義

Slide 17

Slide 17 text

© 2025, Amazon Web Services, Inc. or its affiliates. All rights reserved. 17 Security Hub のスコープ｜リージョン • どのリージョンまで対象とする︖ • まずは、利⽤しているリージョン • Amazon CloudFront などグローバルサービスのコントロールは、北部バージニアのみでしか有効にできないケースがあるため注意が必要です • 普段利⽤していないリージョンは、SCPなどとの併⽤でカバーしましょう • トライアル時点では、どこか⼀つだけ選び、費⽤対効果を⾒ると良いと思います

Slide 18

Slide 18 text

© 2025, Amazon Web Services, Inc. or its affiliates. All rights reserved. 18 GuardDuty のスコープ｜保護プラン • デフォルトで有効 • 基本的な脅威の検出 • 拡張脅威検出 • 保護プラン • S3 Protection • EKS 保護 • Runtime Monitoring • Malware Protection for EC2 • S3 向けのマルウェア防御 • RDS 保護 • Lambda Protection re:Invent 2024 のアップデート拡張脅威検出では、複数のアクションのシーケンスが疑わしいアクティビティと⼀致するかどうか GuardDuty を識別し、アカウントに攻撃シーケンスの検出結果を⽣成します。ワークロードで利⽤しているサービスとリソースに対するリスク分析に応じて有効化します

Slide 19

Slide 19 text

© 2025, Amazon Web Services, Inc. or its affiliates. All rights reserved. 19 GuardDuty のスコープ｜重要度 • どこまでの重要度を追跡する︖→まずはCritical と High • re:Invent 2024 のアップデート「検出結果が重要度別にソート」と、「追加されたクリティカルの重要度カテゴリーを含む最も重⼤な問題の概要が明⽰」されるようになりました →優先順位をつけて運⽤しやすくなりました︕ 重要度値の範囲説明 Critical 9.0〜10.0 攻撃シーケンスが進⾏中であるか、最近発⽣した可能性があることを⽰します。IAM ユーザーサインイン認証情報や Amazon S3 バケットなどの 1 つ以上の AWS リソースが侵害されている可能性があるか、既に侵害されている可能性があります。 High 7.0〜8.9 問題のリソース (Amazon EC2インスタンスまたは⼀連のIAMユーザーサインイン認証情報) が侵害され、不正な⽬的でアクティブに使⽤されていることを⽰します。 Medium 4.0〜6.9 通常観察される動作から逸脱する疑わしいアクティビティを⽰し、ユースケースによっては、リソースの侵害を⽰している可能性があります。 Low 1.0〜3.9 ポートスキャンや侵⼊試⾏の失敗など、環境を侵害しなかった不審なアクティビティが試みられたことを⽰します。

Slide 20

Slide 20 text

Slide 21

Slide 21 text

© 2025, Amazon Web Services, Inc. or its affiliates. All rights reserved. 21 運⽤プロセス • どこからお願いしたいタスクなのか、明⽰しましょう • どうなったら対応完了なのか、完了条件を明確にしましょう • 例えば、次のような条件です • 修正対応︓違反事項が対応済みで、ステータスが [PASSED] であること • 無効化 ︓リスクを許容できるので無効化する。理由を必ず記述すること検出/通知調査対応復旧/効果測定ワークロードの担当者監視担当者監視担当者役割分担例

Slide 22

Slide 22 text

© 2025, Amazon Web Services, Inc. or its affiliates. All rights reserved. 22 運⽤プロセス • ⾃組織または好意的な組織だけで始めることで、リードタイムを抑えやすいです＝フィードバックループが回しやすくなります • 検証したプロセスやナレッジ、コスト情報、を元に横展開していきましょう検出調査対応復旧/ 効果測定調査の参考にした情報コントールごとの対応⽅法 • 検出結果への対応が与える効果・影響 • 発⽣したコストフィードバックループで得たい情報の例

Slide 23

Slide 23 text

Slide 24

Slide 24 text

Slide 25

Slide 25 text

© 2025, Amazon Web Services, Inc. or its affiliates. All rights reserved. 25 運⽤時のよくある悩み • 検出結果が多数ある場合、なにから⼿をつけていいかわからない • 検出の通知が多すぎて⾒なくなってしまう検出結果がどの程度影響があるか分析できない検出範囲は最低限に制限同じイベントが頻発し、負担になる検出/通知調査対応復旧/効果測定

Slide 26

Slide 26 text

© 2025, Amazon Web Services, Inc. or its affiliates. All rights reserved. 26 ⽣成AIを利⽤した運⽤効率化アイデア 1/ • 運⽤時のお悩み • 検出結果がどの程度影響があるか、分析できない • 対処例 • 検出結果に対して、⽣成 AI にリスクを解説してもらう Amazon GuardDuty AWS Security Hub AWS Lambda Findings の分析レポート Amazon Bedrock ①Findingsの収集 ②推論 ③出⼒ Critical と High の Findings スコアが 4.0 以上の Findings

Slide 27

Slide 27 text

Slide 28

Slide 28 text

© 2025, Amazon Web Services, Inc. or its affiliates. All rights reserved. 28 ⽣成AIを利⽤した運⽤効率化アイデア 2/ • 運⽤時のお悩み • 同じイベントが頻発し、負担になる • リソース作成時に設定を漏らしてしまうケース • S3バケットの暗号化を忘れる、パスワードポリシーを変え忘れる • 対処例 • ⾃動化のための仕組みづくり with Amazon Q Developer • 頻発する Findings が検知された時に実⾏される⾃動修復の Lambda をお⼿軽に作る