20240712_JAWSUG - Speaker Deck

Slide 1

Slide 1 text

Slide 2

Slide 2 text

2 © 2024 Japan Digital Design, Inc. 米澤拓也 Software Engineer Technology & Development Div. 前職ではCCoE、現職ではSoftware Engineer フロントの実装からインフラ構築など何でもやっていますジョブチェンジを経て、Security HubのASFFを見つめる生活から CDKドキュメントを見つめる生活に変化 re:Inforceは初参加 JAWS DAYS2024 / PANKRATION2024 の運営（WEB担当）好きなAWSサービスは CloudFront、Lambda プロフィール @CDK Conference 2024

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

6 © 2024 Japan Digital Design, Inc. CI/CDにおけるソフトウェアサプライチェーンセッション紹介実行される全コードのうち、オープンソースを由来とするコードの割合システム開発におけるOSS活用は加速 (2023年の統計) 33% 3.9M OSSの総プロジェクト数（Maven, npm, PyPI, NuGet）最大 90% ライブラリのダウンロード成長率（前年比） https://www.sonatype.com/state-of-the-software-supply-chain/open-source-supply-and-demand

Slide 7

Slide 7 text

7 © 2024 Japan Digital Design, Inc. CI/CDにおけるソフトウェアサプライチェーンセッション紹介 ECS×FargateをターゲットとしたCodePipelineの中に下記要素を組み込み、コンテナアプリケーションのセキュリティを向上させる ① ソフトウェアの依存関係を管理するためにSBOM※を生成 ② 署名を用いてコンテナイメージの真正性を担保 ③ 脆弱性を最小化するためにコンテナイメージのスリム化概要（※）Software Bill of Materials （ソフトウェア部品表）

Slide 8

Slide 8 text

8 © 2024 Japan Digital Design, Inc. CI/CDにおけるソフトウェアサプライチェーンセッション紹介 InspectorのSBOM出力機能を用いてCodeBuildの中でスキャンを実施。 Amazon Inspector SBOM Generator※というCLIツールがあるので利用 SBOMとして出力されるJSONは「CycloneDX」という OWASP由来のフォーマットらしい（初めて知った） ① ソフトウェアの依存関係を管理するためにSBOMを生成 ※ https://docs.aws.amazon.com/ja_jp/inspector/latest/user/sbom-generator.html Amazon Inspector

Slide 9

Slide 9 text

9 © 2024 Japan Digital Design, Inc. CI/CDにおけるソフトウェアサプライチェーンセッション紹介 AWS Signerを用いてビルドしたコンテナイメージに署名（=信頼されたイメージ CNCFのNotationというプロジェクトと統合されており、 Notation製CLIを用いてCode Build内でコンテナイメージに署名署名されていないコンテナイメージはデプロイ時にブロック ② 署名を用いてコンテナイメージの真正性を担保 AWS Signer

Slide 10

Slide 10 text

10 © 2024 Japan Digital Design, Inc. CI/CDにおけるソフトウェアサプライチェーンセッション紹介フットプリントの小さなイメージを利用するのはベストプラクティス軽量イメージがもたらすもの：・潜在的な脆弱性のリスク低減・コンテナの起動速度向上・コンピュートリソース使用の最適化 ③ 脆弱性を最小化するためにコンテナイメージのスリム化 nginx（標準）のSBOM nginx alpine（軽量）のSBOM 4357行 342行

Slide 11

Slide 11 text

Slide 12

Slide 12 text

12 © 2024 Japan Digital Design, Inc. セッション紹介 CDKを利用しつつ、抽象度の高いAWSサービスを積極活用してセキュリティ担保は極力AWSにお任せする（責任共有モデル）上記に加え、cdk-nagを開発初期段階から適用してセキュアにリソース構築どのようにcdk-nagを利用した開発を進めるのかというデモも https://d1.awsstatic.com/serverless-jp/Security%20Overview%20of%20AWS%20Lambda_JP.pdf AWS Lambdaの責任共有モデル AWSプロトタイピング部隊のセキュリティ実践例

Slide 13

Slide 13 text

13 © 2024 Japan Digital Design, Inc. AWSプロトタイピング部隊のセキュリティ実践例セッション紹介アカウントはAWS Control Tower経由で払い出し（セットアップ自動化による提供速度Up、ガードレールの自動展開） 1アカウント×1プロトタイプコードファーストプロトタイプはAWS CDKを用いて開発コード化することによりインフラやアプリケーションコードの静的解析 ex.) CodeGuru, Automated Security Helper, cdk-nag, SonarQube etc… インフラのモニタリング Configによるデプロイ済みリソースのウォッチ違反リソースの自動修復＋Eメールアラート Config Conformance Packs（適合パック）みんな大好きLambdaなどのサーバレスサービスを活用。セキュリティの色々をAWSに面倒見てもらう（責任共有モデル）抽象度の高いマネージドサービス