セキュリティ活動をちょっとずつやる戦略を実行した気づき / Incremental Security Initiatives

Slide 1

Slide 1 text

セキュリティ活動をちょっとずつやる作戦を導入するにあたって目指したこと、得られたもの KDDIアジャイル開発センター株式会社 Tomoya Kitaura KDDI Group Developer Community(KGDC) 2024/7/29

Slide 2

Slide 2 text

自己紹介 Tomoya Kitaura @kitta0108 KDDIアジャイル開発センターリードSRE ■技術コミュニティ運営 - - JAWS-UG コンテナ支部 - JAWS-UG SRE支部 - NRUG SRE支部 2 2 ■著書 - 俺たちのSREとNew Relic

Slide 3

Slide 3 text

当時の僕のポジション 3 SRE Unit プロダクトA プロダクトA プロダクトB プロダクトC チーム横断組織とプロダクト開発を大体5:5くらいの割合で従事

Slide 4

Slide 4 text

当時の僕のモチベーション 4 上手にセキュリティ活動がやりたい！！！

Slide 5

Slide 5 text

ところで。 5 上手とは・・・？

Slide 6

Slide 6 text

料理の場合 6 作りたい料理を考える。思いつく。材料や使う調味料の種類や量、調理工程を計画作る食べる無理やり料理に例えてみる。全体の流れはこんな感じ。

Slide 7

Slide 7 text

問題点にいつ気づけるか 7 作りたい料理を考える。思いつく。材料や使う調味料の種類や量、調理工程を計画作る食べる修正コスト影響検知する難易度

Slide 8

Slide 8 text

セキュリティも同じ 8 企画設計実装リリース如何にコストや影響が低いタイミングで問題を解決できるかどうか。より左での解決を目指すアプローチをシフトレフトという。

Slide 9

Slide 9 text

ところで。 9 さて、何をやろう？

Slide 10

Slide 10 text

ツールの導入（ボツ） 10 企画設計実装リリースツールを導入するところまでをゴールとするような企画も検討した。ただ、それだと企画・設計での解決アプローチからは遠いと感じた。（導入コスト高いし）ツール導入の検知タイミング

Slide 11

Slide 11 text

企画・設計に介入するためには 11 企画設計実装リリース開発者の予兆能力を上げるために、少ない投資でセキュリティと向き合うことを習慣化したらどうかと考えた。

Slide 12

Slide 12 text

選定したセキュリティツール 12 - AWS Security Hub - AWSの設定上の脅威を検知。 - マネコン上から数クリックで実装が可能 - みんなAWSは触り慣れてる。 - New Relic Vulnerability Management - アプリケーションモジュール脆弱性検知 - APM導入してたので、自動で計測されていた。

Slide 13

Slide 13 text

実施した活動 13 - パフォーマンス定点観測会 - 週に1回、1時間枠で実施。 - やろうと思えば無限にできてしまうので、 1時間枠は守る。 - 手ぶら参加OK（事前用意などはしない） - モブプロスタイル - 気づきがあれば、みんなで考察し、必要あれば、調査タスクや対応タスクを作る

Slide 14

Slide 14 text

パフォーマンス定点観測会のアジェンダ① 14 - 開催イベントの確認 - システムに影響のありそうな今週分のイベントをサッと見る。 - プッシュ通知いつ打ったとか。 - 最初にイベントを把握しておくと、後に因果関係を把握することができる。

Slide 15

Slide 15 text

パフォーマンス定点観測会のアジェンダ② 15 - New Relicのメトリクスダッシュボードをサッと見る。 - ALBの2xx,4xx,5xxカウントやレイテンシー - RDSのCPU使用量、スロークエリ - APMのTransactions - SLO/SLI（作ってたら） - プロダクトのビジネスにとって最も大切にしていることが観測できると良い。

Slide 16

Slide 16 text

パフォーマンス定点観測会のアジェンダ③ 16 - セキュリティ周りの遵守状況をサッと見る。 - Security Hubのコントロール - New Relic Vulnerability Managementの検知状況 - STG環境で活用した。 - 抑制処理や優先度などは開発チームが意思決定する。 - 検知項目を解消することを目的としない。

Slide 17

Slide 17 text

パフォーマンス定点観測会のアジェンダ④ 17 - AWSの請求ダッシュボードをサッと見る。 - 月に一回、最初の週だけ実施。 - 先月と比較して、料金に変化はあるか - 変化は想定の範囲かどうか

Slide 18

Slide 18 text

所感 18 - シフトレフトできたか。 - 体感できた。 - 緊急性の高い脆弱性が発見された時の初動も早くなった。 - 週に1回やってることだし慣れた。 - トリアージも開発チーム内でできるし、提案までいけるようになった。 - 何より、システムを観測することは楽しかった

Slide 19

Slide 19 text

さいごに 19 ご静聴ありがとうございました！！