20240213 Trend Micro社共催Webinar

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Slide 3

Slide 3 text

Copyright © IDS Corporation. All rights reserved. 3 Confidential 3 株式会社アイディーエスが提供するAWSクラウド導入支援サービス「Sunny Cloud」は世界トップレベルのクラウド導入・設計・運用ノウハウと実績が評価され、AWSから認定を取得しています。６つの専門領域認定 APN（AWS Partner Network）のコンピテンシー制度、サービスデリバリープログラムは、 APNパートナーに対し、AWS全般に豊富な実践経験とお客様導入事例を持つこと、その分野における技術的要求に対応できる体制があることをAWSが認定するものです。 Sunny Cloudは、Solution Providerプログラム、パブリックセクターパートナープログラム、Well- Architectedパートナープログラム、Digital Workplace Servicesプログラム、Amazon QuickSight、 Amazon Redshiftのサービスデリバリープログラムの認定を受けています。

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Copyright © IDS Corporation. All rights reserved. 6 Confidential 6 古いOSをお使いではないですか？ Windows Server 2008 R2 Windows Server 2012 R2 Windows Server 2012/2012 R2 は2023年10月に延長サポートが終了済みです！ ※他Windows以外でもCentOS7が2024年6月にサポート終了が予定されています。 EC2の脆弱性について

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Copyright © IDS Corporation. All rights reserved. 9 Confidential 9  Amazon Inspectorとは AWSのEC2 インスタンスにおいて、ソフトウェアの脆弱性や意図しないネットワークの外部流出がないか継続的に診断を行う EC2で活用いただけるセキュリティサービスInspector Amazon Inspector  Inspectorの特長・自動検出と継続的なリアルタイムスキャンができる・SSMエージェントの利用・リスクスコアが可視化

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Copyright © IDS Corporation. All rights reserved. 11 Confidential 11 SecurityHubと組み合わせてCVE情報を送付できる EC2で活用いただけるセキュリティサービスInspector  Security HubはAWSのサービスで検知された優先度の高いセキュリティアラートやコンプライアンスにおける状態を、1つの集約された管理画面でわかりやすく提示 AWS Security Hub

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Copyright © IDS Corporation. All rights reserved. 14 Confidential 14 コンテナ移行を検討または既に移行されている方向けです。  コンテナFargateなどへ移行されたがセキュリティが組織内で十分に議論されていますか？  サーバレスアーキテクチャに対する明確なセキュリティガイドラインはありますか？  専用の責任共有モデルについて理解されていますか？

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Copyright © IDS Corporation. All rights reserved. 16 Confidential 16 責任共有モデル Amazon ECS on Fargate https://docs.aws.amazon.com/ja_jp/AmazonECS/latest/bestpracticesguide/security-shared.html より引用 ECS on EC2と比較してもより、Fargateの方がより多くのセキュリティの責任を負い利用者側の対策が必要

Slide 17

Slide 17 text

Copyright © IDS Corporation. All rights reserved. 17 Confidential 17 コンテナ環境の用語を復習サービス名特長 AWS App2Container Java および .NET アプリケーションをコンテナへ変換できる Amazon Elastic Container Registry (Amazon ECR) ・可用性が高く安全なプライベートコンテナリポジトリ・Docker コンテナイメージの保存と管理ができる Amazon Elastic Container Service (Amazon ECS) Docker コンテナを実行するための高度にスケーラブルで高性能なコンテナオーケストレーションサービス AWS Fargate Fargate は各ワークロードを独立した仮想環境で実行

Slide 18

Slide 18 text

Copyright © IDS Corporation. All rights reserved. 18 Confidential 18 では何を元に対策を行えばよいのか？ NIST SP800-190 （Application Container Security Guide）に従い、対策を進めてみるガイドに書かれている概要は以下の通り 1.コンテナ技術の概要/アーキテクチャ 2.コンテナ技術のコアコンポーネントにおける主なリスク 3.主なリスクへの対策 4.コンテナ脅威の例【引用元】日本語版 https://www.ipa.go.jp/security/reports/oversea/nist/ug65p90000019cp4-att/000085279.pdf 【引用元】英語版 https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-190.pdf

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Copyright © IDS Corporation. All rights reserved. 20 Confidential 20 リスクと対応策リスク対応策コンテナイメージ  イメージの脆弱性  イメージの設定不備  マルウェアの埋め込みイメージスキャンを行うコンテナレジストリ（ECR）  レジストリのセキュアではないアクセス  レジストリ内の古いイメージ  認証・認可の不十分 Amazon ECRを利用することでレジストリへは暗号化通信となり、IAMロールベースでの制御ができるコンテナオーケストレータ  制限されていない管理者アクセス  不正アクセス  オーケストレータノードの設定不備 AWS EKSやAWS ECSの利用で対応可能コンテナ  ランタイムソフトウェア内の脆弱性  アプリケーションの脆弱性  承認されていないコンテナの稼働 AWS Fargate（AWS EKS、 AWS ECS）で対応可能。アプリの脆弱性はサードパーティー製品を検討ホストOS  ホストOSの脆弱性  不適切なユーザアクセス  ホストOSファイルシステムの改ざん EC2に対する脆弱性対策と同様 ※Fargateを利用すれば対応不要

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Copyright © IDS Corporation. All rights reserved. 22 Confidential 22 Amazon ECR に格納されたコンテナイメージに対応 Amazon Inspector コンテナイメージに対しての直接スキャンと何が異なるの？ Inspectorスキャン ECR のスキャン機能スキャンエンジン AWS が開発した脆弱性管理サービス OSSでの提供パッケージ OSとプログラミング言語 (Python、 Java、および Ruby など) パッケージの両方対応 OSのみスキャン頻度継続的なスキャンありプッシュ時のみ脆弱性スコア NVDとベンダーの両方から、 Inspector スコアと共通脆弱性評価システム (CVSS) v2 および v3 スコア CVSSのv2のみ AWS サービスの統合 AWS Security Hub、AWS Organizations、AWS EventBridge 統合はなしコンテナイメージの脆弱性対策としてはInspectorを用いる！

Slide 23

Slide 23 text

Copyright © IDS Corporation. All rights reserved. 23 Confidential 23 Inspectorでのスキャン実施をするなら re:Invent 2023 で Amazon Inspector が CI/CD 内で実行可能に【引用元】 https://aws.amazon.com/jp/about-aws/whats-new/2023/11/amazon-inspector-image-security-developer-tools/ CI/CDツール内でコンテナイメージのソフトウェア脆弱性を評価できるため、ソフトウェア開発ライフサイクルの早い段階でセキュリティを強化

Slide 24

Slide 24 text

Copyright © IDS Corporation. All rights reserved. 24 Confidential 24 AWSの機能のみでは対応できない場合は？「Trend Vision One – Container Security」がご利用いただけます。トレンドマイクロ社の提供している「Trend Micro Cloud One – Container Security」の後継です。 Amazon Elastic Container Service (Amazon ECS)と AWS Fargateの組み合わせにも対応可

Slide 25

Slide 25 text

Slide 26

Slide 26 text

Copyright © IDS Corporation. All rights reserved. 26 Confidential 26 Trend Micro Cloud One Workload Securityの必要性についてクラウドセキュリティは責任共有モデルに基づくデータ暗号化通信の保護アプリケーションオペレーティングシステム・ネットワークデータ・コンテンツ類 Foundation Services Compute Storage Database Networking Global Infrastructure Regions Domains, Availability Zones サービスのインフラ部分コンピューティングストレージデータベースネットワークグローバルインフラリージョンドメインなど Cloud Provider 利用者の責任

Slide 27

Slide 27 text

Copyright © IDS Corporation. All rights reserved. 27 Confidential 27 Amazon EC2 インスタンスの脆弱性診断を実施しリスクを可視化してくれるサービス。ウェブアプリケーションファイヤーウォール。 SQL インジェクションやクロスサイトスクリプティングなどの一般的な攻撃パターンをブロックするセキュリティルールを作成できる、もしくはManaged Serviceでルールを契約できる。 AWS CloudTrail、 VPC フローログ、 DNSログを主なソースとし、悪意のあるアクティビティを脅威検出するサービス。脆弱性対策に活用できるAWSサービスとその特徴

Slide 28

Slide 28 text

Copyright © IDS Corporation. All rights reserved. 28 Confidential 28 診断サービスのため通信の遮断は行わない。 WAFのため、 OS/ミドルウェアを狙う攻撃や、すり抜けてホストに到達したものは監視できない検出ソースに通信のデータ部分は含まないので、脆弱性を狙う攻撃コードなどは検知できない。 “防御”という観点で注意が必要なポイント Cloud One Workload Securityにて解決・パッチが適用できない期間のセキュリティリスク・OS/ミドルウェアの脆弱性すり抜け時のセキュリティリスク・脆弱性を狙う攻撃からの防御

Slide 29

Slide 29 text

Copyright © IDS Corporation. All rights reserved. 29 Confidential 29 クラウドワークロードセキュリティ市場シェア 4年連続No.1※ トレンドマイクロは、IDC の調査でクラウドワークロードセキュリティ市場において、2位のベンダーと比較して 3倍近い市場シェアを保持し、最も高いシェア※を占めています。 ※ 出典: IDC, Worldwide Cloud Workload Security Market Shares, 2021 Prepare for a Wild Ride (Published July 2022) Worldwide Cloud Workload Security Market Shares, 2021: Prepare for a Wild Ride(Published July 2022) 「Trend Micro Cloud One は、ソースコードリポジトリ、コンテナイメージ、サーバレス、ファイルストレージ、ワークロードなど多岐にまたがる、Software-Defined Compute環境上に構築されたワークロードとアプリケーションを保護するプラットフォームです。」（本レポートより）

Slide 30

Slide 30 text

Slide 31

Slide 31 text

Slide 32

Slide 32 text

Slide 33

Slide 33 text

Copyright © IDS Corporation. All rights reserved. 33 Confidential 33 構成イメージ例（Amazon EKS on Fargate 環境）ユーザ Pus h 任意のエンドポイント、またはCI/CD上のサーバ等 CLIツールイメージの取得＆スキャン EKS Cluster （Production Cluster ） Fargate ランタイム脆弱性検索 Pod EKS Cluster （Dev Cluster） Fargate ランタイム脆弱性検索 Pod イメージ取得＆デプロイ Container Security Service スキャン実行＆結果取得スキャン結果送付デプロイ制御 Pod デプロイ制御 Pod Artifact Scanning as a Service コンテナイメージスキャン検索結果検索に必要な SBOM送付ランタイム監視 Sidecar Sidecar

Slide 34

Slide 34 text

Copyright © IDS Corporation. All rights reserved. 34 Confidential 34 Trend Vision One – Container Securityでできること・コンテナイメージスキャンコンテナイメージ内に存在する脆弱性の検出・デプロイ制御イメージに紐づく情報を基にデプロイを制御スキャン結果の情報に基づきデプロイを制御・コンテナランタイム監視(ランタイムセキュリティ) 稼働中のコンテナ内部の挙動から典型的な攻撃パターンをルールベースで検出し、削除/隔離を実施・ランタイム環境の脆弱性検索コンテナ稼働環境に存在する脆弱性を検索

Slide 35

Slide 35 text

Copyright © IDS Corporation. All rights reserved. 35 Confidential 35 Cloud One Workload Security/Vision One – Container Security 運用代行のプランについて・初期構築お客様のクラウド環境における Cloud One – Workload Security の構築を行ないます。また、侵入検知/変更監視/セキュリティログ監視のためのルール設定（IDS標準）を行います。・運用保守 Cloud One – Workload Security のアラート監視を24時間365日リモートで行ない、アラートが確認された場合、お客さま指定の連絡先にお伝えします。加えて、ログを分析し、定期的にレポートを提出します。

Slide 36

Slide 36 text

Slide 37

Slide 37 text

Copyright © IDS Corporation. All rights reserved. 37 Confidential 37 Trend Micro製品の購入について Trend Micro Cloud One及びVision One – Container Securityのご利用料はAWS MarketplaceからAWS利用料とまとめて毎月のお支払いが可能です。 ※利用料について、正式情報は以下サイトよりご確認をお願いいたします。 https://aws.amazon.com/marketplace/pp/prodview-g232pyu6l55l4 従来の購入方法 AWS利用料ライセンスは代理店様から購入 AWS Marketplace AWS利用料ライセンスは AWS Marketplaceから購入

Slide 38

Slide 38 text

Slide 39

Slide 39 text

Copyright © IDS Corporation. All rights reserved. 39 Confidential 39 1200 ご利用実績プロジェクト以上 2011年のサービス開始から、のべ1200以上のシステムでAWS をご利用頂いています。 5 AWS利用料％引きビジネスサポートも無料になり、当社サービスの利用だけで、最大15％安くAWSをご利用いただけます。お得なだれでも AWSインフラ保険安心万が一を保証します万が一AWSに障害が発生した際の損害保険が無料付帯されます。 AWS責任共有モデルのAWS責任部分を補償します。本セキュリティ運用サービスの加入には、「AWS請求代行（リセール）サービス Sunny Pay」が必要です。

Slide 40

Slide 40 text

Copyright © IDS Corporation. All rights reserved. 40 Confidential 40 お問い合わせ先株式会社アイディーエス〒105-0014東京都港区芝2-3-18 YM芝公園ビル5階・Web : http://www.ids.co.jp ・メール：[email protected] ・電話：03-5484-7811 サニークラウドブランドサイト https://www.sunnycloud.jp/