クラウドセキュリティ入門〜オフェンシブ視点でAWS環境に着目した際の脅威と対策〜

Slide 1

Slide 1 text

1  2024年7月10日（水）18:00 〜 19:00  クラウドセキュリティ入門   オフェンシブ視点でAWS環境に   着目した際の脅威と対策   ISC2 Japan Chapter 勉強会　森岡優太 (@scgajge12) 

Slide 2

Slide 2 text

2  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」本講演の注意点   注意・免責事項   ● 本資料は、発表者の個人的な見解に基づいて作成されており、   所属組織の見解を代表するものではありません。   ● 本資料は、セキュリティに関する知見を広く共有する目的で   作成されており、悪用行為を推奨するものではありません。  

Slide 3

Slide 3 text

3  前置き 

Slide 4

Slide 4 text

4  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」自己紹介「森岡優太」   ■略歴  神奈川県出身・在住  2024年4月 ~　GMOサイバーセキュリティ byイエラエ株式会社　新卒入社  　　　　　　　　　　　　　　　　　　　　　　　　セキュリティエンジニア     ■サブ情報   学生時代から数社でWebやクラウドなどの脆弱性診断等の業務を経験し、  現在は所属企業でWebペネトレーションテストやソースコード診断等の業務に従事する。   外部活動では、サイバーセキュリティに関する登壇や講師、執筆などに取り組み、   プライベートでもバグバウンティで脆弱性探しに取り組んでいる。   　　　AWS Community Builder (Security & Identity Builder since 2024)   @scgajge12 https://scgajge12.github.io/ ・6月：セキュリティミニキャンプ講師・7月：Hack Fes. 2024 講師・8月：P3NFEST 2024 Summer 講師

Slide 5

Slide 5 text

5  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」過去の外部活動   クラウドセキュリティに関する執筆 (ブログ)   ● Lambda の落とし穴 - 脆弱なライブラリによる危険性とセキュリティ対策  ● サーバーレスのセキュリティリスク - AWS Lambda における脆弱性攻撃と対策  ● Amazon S3の脆弱な利用によるセキュリティリスクと対策  ● CTF Cloud 問題の攻撃手法まとめ (2021, 2022, 2023年版)  ● HTB Cloud 問題の攻撃手法まとめ  ● Amazon EC2 におけるセキュリティ(脆弱性)事例  ● フィッシングによる AWS ログインの MFA 認証の回避と事例  ● オフェンシブ視点による Cloud Security 入門 ~AWS 編~    https://scgajge12.github.io/tags/cloud/

Slide 6

Slide 6 text

6  本題 

Slide 7

Slide 7 text

7  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」本講演の概要 (定義)   ISC2 Japan Chapterの開催概要 (ホームページより)   https://sites.google.com/isc2chapter.jp/meetup/202407

Slide 8

Slide 8 text

8  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」本講演の概要 (定義)   ISC2 Japan Chapterの開催概要 (ホームページより)   https://sites.google.com/isc2chapter.jp/meetup/202407

Slide 9

Slide 9 text

9  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」本講演のポイント (ゴール)   １. 攻撃者から見たクラウド環境のターゲット２. AWS環境における攻撃者の侵入手順　　３. 攻撃者を想定したセキュリティ対策

Slide 10

Slide 10 text

10  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」タイムテーブル (55分)   18:05 ~ 18:10 (5分)　前置き + 本題説明   18:10 ~ 18:20 (10分)　クラウドセキュリティ  18:20 ~ 18:40 (20分)　攻めの視点  18:40 ~ 18:45 (5分)　守りの視点  18:45 ~ 18:50 (5分)　まとめ  18:50 ~ 19:00 (10分)　Q&Aセッション 

Slide 11

Slide 11 text

11  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 18:05 ~ 18:10 (5分)　前置き + 本題説明  18:10 ~ 18:20 (10分)　クラウドセキュリティ   18:20 ~ 18:40 (20分)　攻めの視点  18:40 ~ 18:45 (5分)　守りの視点  18:45 ~ 18:50 (5分)　まとめ  18:50 ~ 19:00 (10分)　Q&Aセッション    タイムテーブル (55分)  

Slide 12

Slide 12 text

12  クラウド環境における   一般的な脅威  

Slide 13

Slide 13 text

13  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」クラウド環境における一般的な脅威   CSA “クラウドの重大セキュリティ脅威11”   1位：不十分なIDや資格情報、およびアクセスと鍵の管理  2位：安全でないインターフェースやAPI  3位：設定ミスと不適切な変更管理  4位：クラウドセキュリティのアーキテクチャと戦略の欠如  5位：安全でないソフトウェア開発  6位：安全でないサードパーティのリソース  https://www.cloudsecurityalliance.jp/site/wp-content/uploads/2022/11/topthreat_morozumi_20221117.pdf 重要

Slide 14

Slide 14 text

14  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」クラウド環境における一般的な脅威   CSA “クラウドの重大セキュリティ脅威11”   7位：システムの脆弱性  8位：偶発的なクラウドデータの漏洩  9位：サーバーレスやコンテナのワークロードの構成ミスや悪用  10位：組織的な犯罪、ハッカーとAPTグループ  11位：クラウドストレージのデータの漏洩  https://www.cloudsecurityalliance.jp/site/wp-content/uploads/2022/11/topthreat_morozumi_20221117.pdf

Slide 15

Slide 15 text

15  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」クラウド環境における一般的な脅威   CSA “クラウドの重大セキュリティ脅威11” (分類別)   設定不備  1位：資格情報の管理  3位：設定と変更の管理  4位：セキュリティ対策  8位：データの漏洩  9位：クラウド構成  11位：データの漏洩  脆弱性  2位：InterfaceやAPI  5位：ソフトウェア開発  6位：サードパーティ  7位：システム  外部影響  10位：ハッカー   

Slide 16

Slide 16 text

16  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」クラウド環境における一般的な脅威   Trend Micro “AWSの設定ミスランキング”   1位：AWS CloudFormation　　　66.20%  2位：AWS CloudTrail　　　　　　33.14%  3位：Aamzon EBS　　　　　　　 30.84%  4位：Amazon S3　　　　　　　　30.73%  5位：AWS Lambda　　　　　　　27.70%  6位：AWS Config　　　　　　　 18.37%  https://www.trendmicro.com/ja_jp/devops/21/k/top-10-aws-security-misconfigurations.html

Slide 17

Slide 17 text

17  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」クラウド環境における一般的な脅威   Trend Micro “AWSの設定ミスランキング”   1位：AWS CloudFormation　　　66.20%　　構成  2位：AWS CloudTrail　　　　　　33.14%　　運用(監査)　　  3位：Aamzon EBS　　　　　　　 30.84%　　データ　  4位：Amazon S3　　　　　　　　30.73%　　データ  5位：AWS Lambda　　　　　　　27.70%　　リソース  6位：AWS Config　　　　　　　 18.37%　　運用(監査)  https://www.trendmicro.com/ja_jp/devops/21/k/top-10-aws-security-misconfigurations.html

Slide 18

Slide 18 text

18  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 AWSにおける責任共有モデル (公式)   https://aws.amazon.com/jp/compliance/shared-responsibility-model/

Slide 19

Slide 19 text

19  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 AWSにおける責任共有モデル (公式)   https://aws.amazon.com/jp/compliance/shared-responsibility-model/ 利用者が対策する必要あり

Slide 20

Slide 20 text

20  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」クラウドサービスの現状と課題   ISC2 “2024 Cloud Security Report”   Cybersecurity InsidersとISC2が共同で実施した調査 (回答者951人)  ● クラウドサービスへの懸念  ○ 回答者の96%が「パブリッククラウドのセキュリティ」に懸念を抱いている   ■ マルチクラウド環境の課題  ■ クラウドセキュリティ導入の障壁  ■ セキュリティ人材の不足  ■ クラウドセキュリティ戦略のベストプラクティス  ■ クラウドセキュリティのスキル  https://www.isc2.org/-/media/5C011B9E35624F309CB4D00EA1A22FED.ashx

Slide 21

Slide 21 text

21  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」クラウドサービスの現状と課題   ISC2 “2024 Cloud Security Report”   今後重視されるクラウドセキュリティのスキル  ● クラウドおよびアプリケーションセキュリティ (60%)  ● IDおよびアクセス管理 (59%)  ● ガバナンス・リスク・コンプライアンス (58%)  ● セキュリティ監視 (57%)  ● 脅威インテリジェンス (57%)  https://www.isc2.org/-/media/5C011B9E35624F309CB4D00EA1A22FED.ashx

Slide 22

Slide 22 text

22  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」クラウドサービスの現状と課題   ISC2 “2024 Cloud Security Report”   今後重視されるクラウドセキュリティのスキル  ● クラウドおよびアプリケーションセキュリティ (60%)  ● IDおよびアクセス管理 (59%)  ● ガバナンス・リスク・コンプライアンス (58%)  ● セキュリティ監視 (57%)  ● 脅威インテリジェンス (57%)  https://www.isc2.org/-/media/5C011B9E35624F309CB4D00EA1A22FED.ashx 今回触れる　　　箇所

Slide 23

Slide 23 text

23  クラウド環境における   被害事例 

Slide 24

Slide 24 text

24  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」クラウド環境における被害事例   被害事例のタイプ   ● 事故  ○ 構成や設定の不備による外部への情報漏洩  ○ パスワードや認証情報の不適切な管理による情報漏洩  ● サイバー攻撃   ○ 外部の第三者による不正操作や情報漏洩  ○ 内部犯による不正操作や情報漏洩  ■ 正社員, 派遣社員, 元正社員, 関連企業の方, ... 

Slide 25

Slide 25 text

25  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」クラウド環境における被害事例   よくある公開された事例   ● 事故  ○ S3バケットの設定不備による情報漏洩  ○ 認証情報がソースコードにハードコードされていることによる情報漏洩  ● サイバー攻撃   ○ 脆弱なEC2インスタンス上のアプリに対する攻撃による不正アクセス  ○ 会社のGitHubアカウントが外部で侵害され、認証情報が漏洩することによる情報漏洩 

Slide 26

Slide 26 text

26  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」クラウド環境における被害事例   被害事例1 (2024年)   1. 攻撃者が何らかの方法でのGitLabリポジトリに不正アクセス  a. (推測：フィッシングやマルウェア感染などで開発者の端末から漏洩)  2. リポジトリ内からAmazon S3 へのアクセス権を持つ認証情報を奪取  a. シークレットなソースコードに認証情報(IAM)がハードコードされていた  3. S3 バケットから顧客情報を盗む    　　　　　　　2024年4月にSisense(ソフトウェア会社)で起きた事例  　　　  https://krebsonsecurity.com/2024/04/why-cisa-is-warning-cisos-about-a-breach-at-sisense/

Slide 27

Slide 27 text

27  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」クラウド環境における被害事例   被害事例2 (2020年)   1. 攻撃者が会社が提供するJS SDKが置いてあるAmazon S3 に不正操作  a. JS SDKのライブラリをホストしたS3 バケット  2. S3バケットの設定不備により、攻撃者が悪意のあるコードを挿入  a. S3 バケットを第三者が書き込み&編集が可能な状態だった  3. JS SDKのライブラリを読み込んでいるWebサイトで不正操作  a. (改ざんされて15分で開発者が気づき、未然に被害を防いだ)  　　　2020年7月にTwilio(プラットフォームサービス会社)で起きた事例  　　　  https://www.twilio.com/blog/incident-report-taskrouter-js-sdk-july-2020

Slide 28

Slide 28 text

28  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」クラウド環境における被害事例   被害事例3 (2019年)   1. 攻撃者がWAFの設定ミスでAmazon EC2 のサーバーに対して脆弱性攻撃  2. 脆弱性攻撃により一時的な認証情報を奪取  a. EC2のメタデータサービスからIAMを取得  3. 認証情報を悪用してS3バケットに不正アクセスし、顧客情報を盗む      　　　　　　　　　　2019年7月にCapital One(金融会社)で起きた事例  　　　  https://www.fugue.co/blog/a-technical-analysis-of-the-capital-one-cloud-misconfiguration-breach

Slide 29

Slide 29 text

29  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」クラウド環境における被害事例   被害事例4 (2022年)   1. 攻撃者が契約業者の認証情報をダークウェブで購入して入手  a. (契約業者の個人デバイスがマルウェアに感染して認証情報が漏洩していた)  2. 入手した認証情報で社内サイトに不正アクセス  a. (2段階認証があり大量のリクエストを送り、最終的に被害者は承認: MFA疲れ攻撃)  3. 侵入して他の従業人アカウントや社内情報、AWSの認証情報を盗む  a. 最終的にG-SuiteやSlackなどのツールへの権限昇格して、多くの情報を盗む  　　　　　　　　　　　　　　　　2022年9月にUber EXTで起きた事例  　　　  https://www.uber.com/newsroom/security-update/

Slide 30

Slide 30 text

30  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」クラウド環境における一般的な脅威   主な原因  ● 設定不備や不適切な変更管理、ID管理  ● 脆弱なアプリケーションやAPI    主な脅威  ● 顧客情報や社内情報の漏洩  ● プログラムやデータに関する改ざんなどの不正操作 

Slide 31

Slide 31 text

31  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」タイムテーブル (55分)   18:05 ~ 18:10 (5分)　前置き + 本題説明  18:10 ~ 18:20 (10分)　クラウドセキュリティ  18:20 ~ 18:40 (20分)　攻めの視点   18:40 ~ 18:45 (5分)　守りの視点  18:45 ~ 18:50 (5分)　まとめ  18:50 ~ 19:00 (10分)　Q&Aセッション 

Slide 32

Slide 32 text

32  攻撃者視点で見る   企業のクラウド環境  

Slide 33

Slide 33 text

33  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」攻撃者視点で見るクラウド環境   AWS環境に対する攻撃者の主な目的   ● 最終目的  ○ 機密情報の奪取 (顧客情報, 社員情報, 社内情報, ...)  ■ S3, RDS, DynamoDB, EBS, EFS, ...  ○ AWSリソースの悪用 (マイニング, マルウェア配布, DoS攻撃, ...)  ■ EC2, Lambda, S3, Fargate, ...  ○ ビジネス的な悪影響 (サービス停止, 改修コスト, 印象操作, 株価, ...)  ● その他 (一次目的)   ○ AWSやAPIなどの認証情報の奪取  ポイント

Slide 34

Slide 34 text

34  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」攻撃者視点で見るクラウド環境   AWS環境における情報セキュリティ3要素 (CIA)   ● 機密性 (Confidentiality)   ○ 許可された者のみがAWSリソースやデータにアクセス(操作)できること  ● 完全性 (Integrity)   ○ データや設定が完全な状態に保たれて不正な改ざんから保護できること  ● 可用性 (Availability)   ○ システムやアプリケーションが必要な時に利用可能な状態であること 

Slide 35

Slide 35 text

35  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」攻撃者視点で見るクラウド環境   AWS環境における情報セキュリティ3要素 (CIA)   ● 機密性 (Confidentiality)   ○ NG例：機密情報の漏洩やAWSリソースの不正操作  ● 完全性 (Integrity)   ○ NG例：機密情報やAWS設定の改ざん・削除  ● 可用性 (Availability)   ○ NG例：DoS攻撃や脆弱性攻撃によるサービスの停止 

Slide 36

Slide 36 text

36  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」攻撃者視点で見るクラウド環境   攻撃者の大まかなフロー                 攻撃者サービス社員クラウドストレージデータベースサーバー

Slide 37

Slide 37 text

37  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」攻撃者視点で見るクラウド環境   攻撃者の大まかなフロー                 攻撃者サービス社員クラウドストレージデータベースサーバー

Slide 38

Slide 38 text

38  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」攻撃者視点で見るクラウド環境   攻撃者の大まかなフロー                 攻撃者サービス社員クラウドストレージデータベースサーバー

Slide 39

Slide 39 text

39  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」攻撃者視点で見るクラウド環境   AWS環境の「外部」から見た際の観点   前提  ● 外部情報のみを持つ攻撃者  観点 (例)   ● Webアプリケーションなどに対して脆弱性攻撃による認証情報の取得  ● AWSサービスの設定不備による不正操作や機密情報の取得  ● GitHubなどの外部サービスに保存されたリソースから認証情報の取得  ● フィッシングやマルウェア感染による端末から認証情報の取得 

Slide 40

Slide 40 text

40  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」攻撃者視点で見るクラウド環境   AWS環境の「内部」から見た際の観点   前提  ● なにかしらの認証情報を既に持った攻撃者 (もしくは内部犯)  ○ 外部からの観点で入手  観点 (例)   ● IAMの許可されたAWSサービスやリソースの不正操作や機密情報の取得  ● IAMの権限昇格による更なる侵害 

Slide 41

Slide 41 text

41  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」攻撃者視点で見るクラウド環境   MITRE ATT&CK Framework for Cloud (IaaS)   ● クラウド環境におけるセキュリティインシデントを理解して、対策するためのフレームワーク  ○ 特に、標的型攻撃で使われる戦術、技術、手順 (TTPs) を分類した  フレームワーク  ■ 標的型攻撃：特定の組織や個人を狙った攻撃  ● 攻撃ライフサイクルを11の戦術 (Tactics) に分けている  https://attack.mitre.org/matrices/enterprise/cloud/iaas/

Slide 42

Slide 42 text

42  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 MITRE ATT&CK (IaaS)   https://attack.mitre.org/matrices/enterprise/cloud/iaas/

Slide 43

Slide 43 text

43  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」攻撃者視点で見るクラウド環境   MITRE ATT&CK Framework for Cloud (IaaS)   11の攻撃ライフサイクル (ステップ)   1. 初期アクセス  2. 実行  3. 永続性  4. 権限昇格  5. 防御回避  6. 認証情報アクセス  7. 探索  8.　水平展開  9.　収集  10. 持ち出し  11. 影響   

Slide 44

Slide 44 text

44  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」攻撃者視点で見るクラウド環境   MITRE ATT&CK Framework for Cloud (IaaS)   11の攻撃ライフサイクル (ステップ)   初期侵入  1. 初期アクセス  2. 実行  奪取・悪用   9.　収集  10. 持ち出し  11. 影響    調査・探索   3.　永続性  4.　権限昇格  5.　防御回避  6.　認証情報アクセス  7.　探索  8.　水平展開 

Slide 45

Slide 45 text

45  AWS環境における   攻撃者の侵入手口  

Slide 46

Slide 46 text

46  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」攻撃者視点で見るクラウド環境   MITRE ATT&CK Framework for Cloud (IaaS)   11の攻撃ライフサイクル (ステップ)   1. 初期アクセス   2. 実行  3. 永続性  4. 権限昇格  5. 防御回避  6. 認証情報アクセス  7. 探索  8.　水平展開  9.　収集  10. 持ち出し  11. 影響    1. 初期アクセス　

Slide 47

Slide 47 text

47  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 AWS環境における攻撃者の侵入手口   1. 初期アクセス (Initial Access)   概要  ● AWS環境に侵入するために認証情報(IAM)を入手する  ポイント  ● 「攻撃者」は何でもありなスタイル  ■ 多種多様な攻撃手法・観点がある   

Slide 48

Slide 48 text

48  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 AWS環境における攻撃者の侵入手口   1. 初期アクセス (Initial Access)   主なターゲット   ● 企業が提供するサービス (脆弱性攻撃)  ● 企業の社員 (フィッシング, マルウェア感染)  ● 関連企業や取引先企業 (サプライチェーン攻撃)  ● その他  ○ インターネット上のあらゆる情報  ■ (GitHub, Internet Archive, ダークウェブ, ...)  ○ 物理的なオフィスへの侵入による社内ネットワークへの侵入   

Slide 49

Slide 49 text

49  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 AWS環境における攻撃者の侵入手口   1. 初期アクセス (Initial Access)   アクション例1 (サービスやリソースに対して)   ● 企業が提供するWebアプリケーションやモバイルアプリ、APIなどに対して脆弱性攻撃  ○ → 一次目的なIAMなどの認証情報の取得  ● AWSリソースの設定不備による、公開を意図しない情報の取得  ○ → 最終目的な個人情報, 一次目的に使える認証情報の取得   

Slide 50

Slide 50 text

50  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 AWS環境における攻撃者の侵入手口   1. 初期アクセス (Initial Access)   アクション例2 (人や外部に対して)   ● 企業の社員や取引先の企業に対してフィッシングやマルウェア感染による情報の取得  ○ → 最終目的な個人情報, 一次目的に使える認証情報の取得  ● GitHubなどの外部サービスからハードコードされた情報の取得  ○ ソースコード, .gitファイル, ログファイル, ...  ○ → 一次目的に使える認証情報の取得   

Slide 51

Slide 51 text

51  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 AWS環境における攻撃者の侵入手口   1. 初期アクセス (Initial Access)   具体例1  ● WebアプリケーションやAPIに対する脆弱性攻撃  ○ EC2のメタデータサーバーからIAMを取得する  ○ EC2やLambdaの環境変数から認証情報を取得する    詳細ブログ  ● 「Amazon EC2 におけるセキュリティ(脆弱性)事例」  ● 「サーバーレスのセキュリティリスク - AWS Lambdaにおける脆弱性攻撃と対策」   

Slide 52

Slide 52 text

52  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 EC2とLambdaに関するブログ   　　　「EC2 セキュリティ」　　　　　　「Lambda セキュリティ」      

Slide 53

Slide 53 text

53  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 EC2上のアプリにおける脆弱性 (事例)   PDF生成機能におけるIAMの取得   条件  ● EC2上で動くWebアプリに任意の文字列を入力してPDFに埋め込まれる  脆弱性攻撃   ● HTMLインジェクション  ○ 任意のHTMLタグを埋め込むことができる (iframe)  ● SSRF (Server Side Request Forgery)  ○ 内部サーバー(メタデータサービス)にリクエストを投げてアクセスできる  ● OWASP Top 10 ○ 10位 ● OWASP Top 10 API Security Risks ○ 7位 https://blog.appsecco.com/finding-ssrf-via-html-injection-inside-a-pdf-file-on-aws-ec2-214cc5ec5d90

Slide 54

Slide 54 text

54  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 EC2上のアプリにおける脆弱性 (事例)   PDF生成機能におけるIAMの取得   ● SSRF via HTML Injection inside a PDF file on Amazon EC2   https://blog.appsecco.com/finding-ssrf-via-html-injection-inside-a-pdf-file-on-aws-ec2-214cc5ec5d90

Slide 55

Slide 55 text

55  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 EC2上のアプリにおける脆弱性 (事例)   PDF生成機能におけるIAMの取得   ペイロード (例)   ●     　　　　　　　　　生成されたPDF→  

Slide 56

Slide 56 text

56  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 AWS環境における攻撃者の侵入手口   1. 初期アクセス (Initial Access)   具体例2  ● 特定のターゲットに対してフィッシングやマルウェア感染  ○ 悪意のある添付ファイルをメールで送り、マルウェアに感染させる  ○ 悪意のあるWebサイトのURLをメールで送り、被害者にアクセスさせる    詳細ブログ  ● 「フィッシングによる AWS ログインの MFA 認証の回避と事例」 

Slide 57

Slide 57 text

57  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 AWSログインに関するブログ   「フィッシングによるAWS ログインの MFA 認証の回避と事例」   ● AWSログインの  仮想MFAデバイス認証の回避  ● AWSログインのSSO認証の回避  ● AWSログインをターゲットにした  　　　　　　フィッシングの事例  ○ Google検索, メール 

Slide 58

Slide 58 text

58  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 AWS環境における攻撃者の侵入手口   フィッシングによるAWSログインの事例   ● 特定の個人・組織を標的にする場合 (Spearphishing Attachment)  ○ 特定の個人：企業の社員  ○ 事例：Google検索経由    ● 特定のプラットフォームを標的にする場合 (Spearphishing via Service)  ○ 特定のプラットフォーム：AWSマネコン  ○ 事例：メール経由 

Slide 59

Slide 59 text

59  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」偽のAWSログインページ (事例)   ツールキットを用いることで　簡単に偽ページを　　作成することが可能偽URL：「https://aws1-console-login.us/login/」

Slide 60

Slide 60 text

60  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 AWS環境における攻撃者の侵入手口   1. 初期アクセス (Initial Access) - まとめ   概要  ● AWS環境に侵入するために認証情報を入手する  入手方法  ● アプリケーションやAPIに対して脆弱性攻撃による機密情報の入手  ● AWSリソースの設定不備から機密情報の入手  ● フィッシングやマルウェア感染による端末やシステムから機密情報の入手  ● GitHubなどにあるソースコードやgitファイル、ログファイルから入手 

Slide 61

Slide 61 text

61  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」攻撃者視点で見るクラウド環境   MITRE ATT&CK Framework for Cloud (IaaS)   11の攻撃ライフサイクル (ステップ)   1. 初期アクセス  2. 実行  3. 永続性  4. 権限昇格  5. 防御回避  6. 認証情報アクセス  7. 探索  8.　水平展開  9.　収集  10. 持ち出し  11. 影響    2. 実行　

Slide 62

Slide 62 text

62  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 AWS環境における攻撃者の侵入手口   2. 実行 (Execution)   概要  ● 取得した認証情報をもとに、AWS環境に侵入し不正操作を実行する  ポイント  ● 「1.初期アクセス」で入手した認証情報の許可された権限を全て調査する  ● 操作可能な範囲でAWSリソースを不正に操作(実行)する   

Slide 63

Slide 63 text

63  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 AWS環境における攻撃者の侵入手口   2. 実行 (Execution)   主なアクション   ● 権限調査  ○ 有効な権限を列挙するツールを用いて、許可された権限を調査する  ■ Pace, enumerate-iam, ...  ● 新規作成や編集操作   ○ 悪用できそうなAWSリソースを作成したり操作する  ■ IAM, EC2, Lambda, S3, スナップショット, ...   

Slide 64

Slide 64 text

64  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 AWS環境における攻撃者の侵入手口   2. 実行 (Execution)   権限調査の例   ● Pacu  ○ 様々な攻撃手法にモジュールが用意されたAWS環境における  セキュリティテストを行えるオープンソースなツール  ○ モジュール：iam__bruteforce_permissions  ■ 全てのAWSサービスの可能なAPIコールを実行して、許可された権限を列挙する  https://github.com/RhinoSecurityLabs/pacu

Slide 65

Slide 65 text

65  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 AWS環境における攻撃者の侵入手口   実行結果

Slide 66

Slide 66 text

66  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 AWS環境における攻撃者の侵入手口   2. 実行 (Execution) - まとめ   概要  ● 取得した認証情報をもとに、AWS環境に侵入し不正操作を実行する  不正操作  ● ツール「Pacu」などを用いて認証情報の許可された権限を全て調査する  ● 操作可能な範囲でAWSリソースを不正に操作(実行)する  ○ 悪用できそうなAWSリソースを作成・編集 

Slide 67

Slide 67 text

67  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」攻撃者視点で見るクラウド環境   MITRE ATT&CK Framework for Cloud (IaaS)   11の攻撃ライフサイクル (ステップ)   1. 初期アクセス  2. 実行  3. 永続性  4. 権限昇格  5. 防御回避  6. 認証情報アクセス   7. 探索  8.　水平展開   9.　収集  10. 持ち出し  11. 影響    調査・探索パート

Slide 68

Slide 68 text

68  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」攻撃者視点で見るクラウド環境   調査・探索パート   3. 永続化 (Persistence)  4. 権限昇格 (Privilege Escalation)  5. 防御回避 (Defense Evasion)  6. 認証情報アクセス (Credential Access)  7. 探索 (Discovery)  8. 水平展開 (Lateral Movement) 

Slide 69

Slide 69 text

69  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」攻撃者視点で見るクラウド環境   調査・探索パート (例)   3. 永続化 (Persistence)   ● 新しい認証情報を作成したり、編集したり、MFAを無効化したりする  ● AWSリソースにバックドアを仕込む  4. 権限昇格 (Privilege Escalation)   ● IAMに他の権限や少しでも強い権限のロールやポリシーを追加して権限昇格する  ● Lambda関数やCloudFormatioなどにロールを渡して、  呼び出したりテンプレートを作成することで、権限昇格させる 

Slide 70

Slide 70 text

70  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」攻撃者視点で見るクラウド環境   調査・探索パート (例)   5. 防御回避 (Defense Evasion)   ● CloudWatchやGuardDutyなどの設定を変更したり、停止させたりする  ● 新しいVPNエンドポイントやLambda APIなどを作成する  ● S3バケットなどにあるログファイルを削除する  6. 認証情報アクセス (Credential Access)   ● Secrets ManagerやDynamoDBなどから認証情報を取得する 

Slide 71

Slide 71 text

71  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」攻撃者視点で見るクラウド環境   MITRE ATT&CK Framework for Cloud (IaaS)   11の攻撃ライフサイクル (ステップ)   1. 初期アクセス  2. 実行  3. 永続性  4. 権限昇格  5. 防御回避  6. 認証情報アクセス  7. 探索  8.　水平展開  9.　収集  10. 持ち出し   11. 影響     奪取・悪用パート

Slide 72

Slide 72 text

72  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」攻撃者視点で見るクラウド環境   奪取・悪用パート   9. 収集 (Collection)  10. 持ち出し (Exfiltration)  11. 影響 (Impact) 

Slide 73

Slide 73 text

73  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」攻撃者視点で見るクラウド環境   奪取・悪用パート   11. 影響 (Impact)   ● AWS 環境内のデータやリソースなどを改ざん・削除する  ○ 本番環境(Prod)・検証環境(Staing)・開発環境(Dev)・社内環境  ● 企業が提供するサービスを直接的に停止させる  ● AWS 環境内のリソースを悪用して、  　　　他の脆弱性攻撃やフィッシング、暗号通貨マイニングなどを行う  ● ランサムウェアのように取得した機密データをもとに、  　　　　　　　　　　　　　　　　企業に対して金銭を要求(脅迫)する 

Slide 74

Slide 74 text

74  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」攻撃者視点で見るクラウド環境   MITRE ATT&CK Framework for Cloud (IaaS)   11の攻撃ライフサイクル (ステップ)   初期侵入  1. 初期アクセス  2. 実行  奪取・悪用   9.　収集  10. 持ち出し  11. 影響    調査・探索   3.　永続性  4.　権限昇格  5.　防御回避  6.　認証情報アクセス  7.　探索  8.　水平展開 

Slide 75

Slide 75 text

75  Cloud(AWS)に関する   CTFの問題事例  

Slide 76

Slide 76 text

76  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 HTB Business CTF 2024   Cloud問題 (問題名：Asceticism)   1. 問題文からIAMの認証情報を元に、S3バケットに隠された別の認証情報を取得  2. 認証情報を元に、EC2インスタンスとスナップショットの情報を取得  3. スナップショットの解析で得られたAdminのNTLMハッシュでEC2に接続  4. EC2を調査してメタデータから認証情報を取得  5. 認証情報を元に、データを復号化して、新たな認証情報を取得  6. 認証情報を元に、Secretを列挙して、新たな認証情報を取得  7. 認証情報を元に、マネコンにログインして、答え(S3バケットの中身)を入手  https://github.com/hackthebox/business-ctf-2024/tree/main/cloud/%5BInsane%5D%20Asceticism

Slide 77

Slide 77 text

77  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 HTB Business CTF 2024   1. (問題から)入手したIAMの調査   ● IAM(1)の許可された権限をツールで列挙  ○ Pacu  ■ iam__enum_permissions, iam__bruteforce_permissions  ○ enumerate-iam  ● S3バケットが1つ見れることを確認 (flagの答えは見れず)  $ aws s3 ls --profile asceticism-stone-dev 2024-05-07 23:07:20 vault11-reports $ aws s3 ls s3://vault11-reports/flag/ --profile asceticismstone-dev 2024-05-07 23:07:25 43 flag.txt スキップ

Slide 78

Slide 78 text

78  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 HTB Business CTF 2024   2. IAM(1)で許可されたS3バケットの調査   ● オブジェクトのバージョニングを確認  ○ 削除された古いバージョンでIAM(2)を含むCSVファイルが存在したことを確認   ● AWS CLIでCSVファイルをダウンロード      ● CSVファイルから取得したIAM(2)を確認  ○ EC2インスタンスの⼀覧とスナップショットの⼀覧が閲覧可能  $ aws s3api get-object --bucket vault11-reports --key snapper_accessKeys.csv --version-id O_Ybx9qvdhhJgdcuaeQNBXy9weknoyIi snapper_accessKeys.csv --profile asceticism-stone-dev スキップ

Slide 79

Slide 79 text

79  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 HTB Business CTF 2024   3. IAM(2)で許可されたEC2の調査   ● EC2インスタンスやスナップショットを確認      ● 許可されていたスナップショットのブロックをダウンロード    ○ Pacu の「ebs__download_snapshots」モードやツール「dsnap」でも  ダウンロード可能  $ aws ec2 describe-instances --profile asceticism-snapper $ aws ec2 describe-snapshots --owner-ids 532587168180 -- profile asceticism-snapper $ aws ebs list-snapshot-blocks --snapshot-id snap04d68f6296b5893de --profile asceticism-snapper スキップ

Slide 80

Slide 80 text

80  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 HTB Business CTF 2024   4. 取得したスナップショットの調査   ● イメージ解析 (.vhdxファイルが見つかる)    ● マウントして、NTLMハッシュを取得  ○ mimikatz.exe を用いる  $ guestfish -a snap-00197900d5ed8277e.img スキップ

Slide 81

Slide 81 text

81  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 HTB Business CTF 2024   5. NTLMハッシュでインスタンスに接続&調査   ● 別のEC2インスタンスに接続    ● EC2インスタンス内を調査  ○ EC2インスタンス内からメタデータにアクセス&IAM(3)の取得  $ python3 psexec.py -hashes :0b4781dad49c808c37bf3491dec3df91 Administrator@54.208.244.117 $ curl http://169.254.169.254/latest/meta-data/iam/security-credentials/KMSRoleWin スキップ

Slide 82

Slide 82 text

82  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 HTB Business CTF 2024   6. IAM(3)の調査   ● KMSの権限があり、先ほどインスタンスで見つかった  ファイル「backup.ps1.enc」を復号する    ● 復号すると、IAM(4)を含むPowershellスクリプトを取得  ○ 認証情報がハードコードされている  $ aws kms decrypt --ciphertext-blob fileb://./backup.ps1.enc --key-id 038c41d9-b337-43fe-a0a3-6d622bb7131d --region us-east-1 --profile KMSRoleWin スキップ

Slide 83

Slide 83 text

83  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 HTB Business CTF 2024   6. IAM(4)の調査   ● Secrets Managerの権限があり、Secretを列挙  ● 発見したSecretの内容を確認      ● 内容から、AWSマネコンへのログイン情報を得る  ● 最終的に、AWSマネコンにログインして  S3バケットにアクセスして答え(Flag)を取得  $ aws secretsmanager list-secrets --region us-east-1 --profile vaultmanager $ aws secretsmanager get-secret-value --secret-id AWSVault11-dev --region us-east-1 --profile vaultmanager スキップ

Slide 84

Slide 84 text

84  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 HTB Business CTF 2024   Cloud問題 (問題名：Asceticism) - まとめ   1. IAM → S3バケット内で消されたファイルから別のIAMを取得  2. IAM → EC2のスナップショットをブロックで取得  3. スナップショット → 解析してNTLMハッシュを取得  4. NTLMハッシュ → EC2インスタンスに接続  5. EC2インスタンス → メタデータサービスから別のIAMを取得  6. IAM → KMSを利用してデータを復号化&別のIAMを取得  7. IAM → S3バケットから機密情報(答えのFlag)を取得  →認証情報(IAM)が 1つ漏洩した状態からスタートした問題　(調査・探索パート ) https://github.com/hackthebox/business-ctf-2024/tree/main/cloud/%5BInsane%5D%20Asceticism

Slide 85

Slide 85 text

85  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」公式解説  HTB Business CTF 2024   https://github.com/hackthebox/business-ctf-2024/tree/main/cloud/%5BInsane%5D%20Asceticism

Slide 86

Slide 86 text

86  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」ブログ「CTFやHTBのCloud問題に関するまとめ」  

Slide 87

Slide 87 text

87  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」タイムテーブル (55分)   18:05 ~ 18:10 (5分)　前置き + 本題説明  18:10 ~ 18:20 (10分)　クラウドセキュリティ  18:20 ~ 18:40 (20分)　攻めの視点  18:40 ~ 18:45 (5分)　守りの視点   18:45 ~ 18:50 (5分)　まとめ  18:50 ~ 19:00 (10分)　Q&Aセッション   

Slide 88

Slide 88 text

88  クラウド環境における   セキュリティ対策  

Slide 89

Slide 89 text

89  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」クラウド環境におけるセキュリティ対策   攻撃者視点から学ぶセキュリティ対策   1. クラウド環境の全体から「重要資産・機密情報」を把握する  a. 顧客情報, 社員情報, 社内情報, 認証情報(IAM, API Key), AWSリソース, ...  2. 外部や内部の視点から様々な脅威(セキュリティリスク) を想定する  a. 脆弱性攻撃, 設定不備, フィッシング, マルウェア感染, ...  3. 様々な脅威に対して各対象や段階でセキュリティ対策を検討&実施する  a. 脆弱性対策, AWSリソースや設定の管理, AWSセキュリティサービスの活用, ...  4. 初期侵入された場合に被害を最小限に抑えられるように多層防御を実施する  a. 侵入検知, 侵入防止, セキュリティ監視・運用, (最小権限の徹底), ...  ポイント

Slide 90

Slide 90 text

90  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」クラウド環境におけるセキュリティ対策   攻撃者視点から学ぶセキュリティ対策 (キーワード)   ● 多層防御  ○ 組織において複数の防御策を施すセキュリティ対策  ■ 3つの領域：入口対策 → 内部対策 → 出口対策  ■ クラウド環境：  ● MITRE ATT&CKの3段階 (初期侵入 → 調査・探索 → 奪取・悪用)   ● ゼロトラスト   ○ 社内外を問わず全てのユーザーやデバイスを信頼せず、  常に認証や承認を求める考え方 (セキュリティモデル)  

Slide 91

Slide 91 text

91  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」クラウド環境におけるセキュリティ対策   攻撃者視点から学ぶセキュリティ対策 (キーワード)   ● アタックサーフェス (攻撃対象領域)   ○ 自社サービスが動く外部向けのクラウド環境   ○ 社内システムが動く内部向けのクラウド環境   ○ クラウド環境を扱う人間    　→対策：脆弱性診断, IaaS監視, 脅威検知, EDR, 多要素認証, 認証認可の管理, 研修, 啓発, ... 

Slide 92

Slide 92 text

92  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」クラウド環境におけるセキュリティ対策   AWS公式ドキュメント   AWS Well-Architected Framework セキュリティの柱   ● ID とアクセス管理  ○ アクセス権限の付与・範囲・強さ・管理  ● 検知  ○ 設定変更, 不要な動作, アラート  ● インフラストラクチャ保護  ○ ネットワーク, コンピューティング  ● データ保護  ○ 保管中のデータ, 転送中のデータ   ● インシデント対応  ○ 予防的対策(設計レベル)と事後対策 (自動化)  ● アプリケーションのセキュリティ  https://docs.aws.amazon.com/ja_jp/wellarchitected/latest/security-pillar/welcome.html

Slide 93

Slide 93 text

93  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」クラウド環境におけるセキュリティ対策   AWS公式ドキュメント   AWS Well-Architected Framework セキュリティの柱   　　　　[優先度：高]   ● ID とアクセス管理  ○ アクセス権限の付与・範囲・強さ・管理  ● アプリケーションのセキュリティ  ● データ保護  ○ 保管中のデータ, 転送中のデータ  　　　　[優先度：中・小]   ● インシデント対応  ○ 予防的対策と事後対策  ● 検知  ○ 設定変更, 不要な動作, アラート  ● インフラストラクチャ保護  ○ ネットワーク, コンピューティング 

Slide 94

Slide 94 text

94  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」クラウド環境におけるセキュリティ対策   AWS公式ドキュメント   IAMベストプラクティス   　　(認証情報の権限管理)   https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/best-practices.html

Slide 95

Slide 95 text

95  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」クラウド環境におけるセキュリティ対策   https://www.soumu.go.jp/menu_news/s-news/01cyber01_02000001_00209.html 総務省からのガイドライン  

Slide 96

Slide 96 text

96  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」クラウド環境におけるセキュリティ対策   組織として理想的なセキュリティの取り組み   1. 技術観点  a. 脆弱性診断, ペネトレーションテスト(侵入テスト)  2. 運用観点  a. 攻め：MITRE ATT&CK, レッドチーム演習  b. 守り：セキュリティ対応組織の教科書(SOC,CSIRT), ブルーチーム演習 

Slide 97

Slide 97 text

97  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」組織として理想的なセキュリティの取り組み   1. 技術観点  a. 脆弱性診断, ペネトレーションテスト(侵入テスト)  2. 運用観点  a. 攻め：MITRE ATT&CK, レッドチーム演習  b. 守り：セキュリティ対応組織の教科書(SOC,CSIRT), ブルーチーム演習    　　専門家やセキュリティチームによる評価・改善が大切になる。   クラウド環境におけるセキュリティ対策   一時的な観点継続的な観点

Slide 98

Slide 98 text

98  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」技術観点におけるセキュリティの取り組み   ● 脆弱性診断   ○ Webアプリケーション診断, クラウド診断  ● ペネトレーションテスト   ○ Webペネトレーションテスト, 社内ネットワークペネトレーションテスト  クラウドに特化する場合(AWS) ：  ● 閲覧権限を持つIAMをもとに、AWS環境内の設定不備や不適切な管理をチェックする。  ● 役割別のIAMをもとに、侵入・侵害や機密情報の取得などができないかをチェックする。  ○ 各役割の例(漏洩を想定)：開発者の端末にあるIAM, WebアプリのEC2に付与されたIAM, ...  クラウド環境におけるセキュリティ対策  

Slide 99

Slide 99 text

99  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」タイムテーブル (55分)   18:05 ~ 18:10 (5分)　前置き + 本題説明  18:10 ~ 18:20 (10分)　クラウドセキュリティ  18:20 ~ 18:40 (20分)　攻めの視点  18:40 ~ 18:45 (5分)　守りの視点  18:45 ~ 18:50 (5分)　まとめ   18:50 ~ 19:00 (10分)　Q&Aセッション 

Slide 100

Slide 100 text

100  まとめ 

Slide 101

Slide 101 text

101  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」本講演のポイント (ゴール)   １. 攻撃者から見たクラウド環境のターゲット２. AWS環境における攻撃者の侵入手順　　３. 攻撃者を想定したセキュリティ対策

Slide 102

Slide 102 text

102  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」攻撃者視点で見るクラウド環境   AWS環境に対する攻撃者の主な目的   ● 最終目的  ○ 機密情報の奪取 (顧客情報, 社員情報, 社内情報, ...)  ■ S3, RDS, DynamoDB, EBS, EFS, ...  ○ AWSリソースの悪用 (マイニング, マルウェア配布, DoS攻撃, ...)  ■ EC2, Lambda, S3, Fargate, ...  ○ ビジネス的な悪影響 (サービス停止, 改修コスト, 印象操作, 株価, ...)  ● その他 (一次目的)   ○ AWSやAPIなどの認証情報の奪取  ポイント

Slide 103

Slide 103 text

103  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」攻撃者視点で見るクラウド環境   MITRE ATT&CK Framework for Cloud (IaaS)   11の攻撃ライフサイクル (ステップ)   初期侵入  1. 初期アクセス  2. 実行  奪取・悪用   9.　収集  10. 持ち出し  11. 影響    調査・探索   3.　永続性  4.　権限昇格  5.　防御回避  6.　認証情報アクセス  7.　探索  8.　水平展開 

Slide 104

Slide 104 text

104  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」攻撃者視点で見るクラウド環境   AWS環境におけるセキュリティツール「Pacu」   ● 様々な攻撃手法にモジュールが用意されたAWS環境における  セキュリティテストを行えるオープンソースなツール  ● 各フェーズに合わせた攻撃モジュールが多数用意されている  ○ 現在73個のモジュールあり    https://github.com/RhinoSecurityLabs/pacu

Slide 105

Slide 105 text

105  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」クラウド環境におけるセキュリティ対策   攻撃者視点から学ぶセキュリティ対策   1. クラウド環境の全体から「重要資産・機密情報」を把握する  a. 顧客情報, 社員情報, 社内情報, 認証情報(IAM, API Key), AWSリソース, ...  2. 外部や内部の視点から様々な脅威(セキュリティリスク) を想定する  a. 脆弱性攻撃, 設定不備, フィッシング, マルウェア感染, ...  3. 様々な脅威に対して各対象や段階でセキュリティ対策を検討&実施する  a. 脆弱性対策, AWSリソースや設定の管理, AWSセキュリティサービスの活用, ...  4. 初期侵入された場合に被害を最小限に抑えられるように多層防御を実施する  a. 侵入検知, 侵入防止, セキュリティ監視・運用, (最小権限の徹底), ...  ポイント

Slide 106

Slide 106 text

106  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 ISC2のクラウドセキュリティ資格   CCSP(Certified Cloud Security Professional)   ● クラウドサービスを安全に利用するために必要な知識を体系化した資格  https://japan.isc2.org/ccsp_gaiyou.html

Slide 107

Slide 107 text

107  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 ISC2のクラウドセキュリティ資格   https://x.com/ISC2_Japan/status/1810838213935947799 CCSP公式問題集  

Slide 108

Slide 108 text

108  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 OffSecのクラウドセキュリティ   OffSec Learning Path: Offensive Cloud Security   シラバス  ● パブリッククラウドの偵察 - 外部からの調査  ● パブリック・クラウドの偵察 - 危殆化後 - IAM  ● CICDを攻撃するポイズンド・パイプラインに漏れた秘密  ● CICDを攻撃する不十分なフロー制御  ● CICDを攻撃する依存関係の悪用  ● コンテナによる情報収集の回避  ● コンテナがホストとのやり取りを逃れる  ● 暴露されたDockerソケットの発見  ● 公開されたKubernetesダッシュボードの発見  https://www.offsec.com/learning/paths/offensive-cloud/

Slide 109

Slide 109 text

109  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」トレーニングコンテンツ   AWSに関する脆弱な演習環境 (例)   CloudGoat   ● 脆弱なLambda関数  ● 脆弱なEC2  ● Cognitoの設定不備  ● ECSの設定不備  ● 不適切なIAMポリシー  ● 不適切なCodeBuild  ● ...  AWSGoat   ● XSS  ● SQL Injection  ● IDOR  ● SSRF on Lambda Environment   ● Sensitive Data Exposure and Password Reset  ● S3 Misconfigurations  ● IAM Privilege Escalations  ● ECS Container Breakout  https://github.com/RhinoSecurityLabs/cloudgoat https://github.com/ine-labs/AWSGoat

Slide 110

Slide 110 text

110  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」本「AWS Pentest」  

Slide 111

Slide 111 text

111  ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」執筆したブログ   クラウドセキュリティに関する執筆 (ブログ)   ● Lambda の落とし穴 - 脆弱なライブラリによる危険性とセキュリティ対策  ● サーバーレスのセキュリティリスク - AWS Lambda における脆弱性攻撃と対策  ● Amazon S3の脆弱な利用によるセキュリティリスクと対策  ● CTF Cloud 問題の攻撃手法まとめ (2021, 2022, 2023年版)  ● HTB Cloud 問題の攻撃手法まとめ  ● Amazon EC2 におけるセキュリティ(脆弱性)事例  ● フィッシングによる AWS ログインの MFA 認証の回避と事例  ● オフェンシブ視点による Cloud Security 入門 ~AWS 編~    https://scgajge12.github.io/tags/cloud/

Slide 112

Slide 112 text

112  質疑応答 (Q&A)   18:50 ~ 19:00 (10分間) 終了後は懇親会の方で

Slide 113

Slide 113 text

113  ご清聴ありがとうございました！  