力が欲しいか!!力が欲しいのなら...最小権限をくれてやる!!

Slide 1

Slide 1 text

力が欲しいか!!  力が欲しいのなら...最小権限をくれてやる!!    株式会社ブロードリーフ   左近充裕樹  #CODT2023 

Slide 2

Slide 2 text

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Copyright (c) Broadleaf Co., Ltd. All rights reserved. Copyright (c) Broadleaf Co., Ltd. All rights reserved. • 今回話すこと  • 最小権限の原則とは？  • 明日から使えるプラクティス  • 最小権限の先にあるもの  • 話さないこと  • セキュリティ全体の話  • オンプレミスに関わるプラクティス  • 完璧な最小権限に関する話(不可能に近いため)  • 今よりﾁｮｯﾄでもセキュアにするプラクティスのみ  Agenda 

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Copyright (c) Broadleaf Co., Ltd. All rights reserved. Copyright (c) Broadleaf Co., Ltd. All rights reserved. • 人、またはシステムが役割を果たすことが可能な最小の権限のみを与えること  • ビジネスインパクトの許容限界点とも考えられる  • 何がインパクトがあるのかという情報のアセット管理が必要となる  • 英語表記はPrinciple of Least Privilege(PoLP)、最小特権の原則とも言う  • セキュリティフレームワーク・規格でも言及されている  • NIST CSF  • ISO 27001  • PCI DSS  最小権限の原則とは？ 

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Copyright (c) Broadleaf Co., Ltd. All rights reserved. Copyright (c) Broadleaf Co., Ltd. All rights reserved. セキュリティにおける3大要素 CIA  (今は7要素真正性、信頼性、責任追跡性、否認防止が追加されている)   • 機密性 (Confidentiality)  • 完全性 (Integrity)  • 可用性 (Availability)    悪意が無くても、過度な権限はCIAを脅かす可能性がある    • S3を公開Bucketにしてしまった😱  • 本番環境のDBをdropしてしまった 😱  • EC2をTerminateしてしまった😱  なぜ最小権限が必要なのか？ 

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Copyright (c) Broadleaf Co., Ltd. All rights reserved. Copyright (c) Broadleaf Co., Ltd. All rights reserved. • 過剰な権限でもシステムは動いてしまう  • 過剰な権限でもやりたいことが出来る  • 何をもって最小権限かという定量的判断が難しい    最小権限導入の難しさ  非機能要件である 

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Copyright (c) Broadleaf Co., Ltd. All rights reserved. Copyright (c) Broadleaf Co., Ltd. All rights reserved. • 適切に分割されたマイクロサービス(プロセス)が必要  • オーナーシップが明確な組織が必要  • 使われていない権限が無いかを定期的に監査するプロセスが必要        最小権限導入の難しさ  セキュリティは創発特性である  創発  創発(そうはつ)とは、部分の性質の単純な総和にとどまらない性質が、   全体として現れることである。  局所的な複数の相互作用が複雑に組織化することで、個別の要素の振る舞いからは   予想できないようなシステムが構成される   引用: wikipedia ( https://ja.wikipedia.org/wiki/%E5%89%B5%E7%99%BA )  

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Copyright (c) Broadleaf Co., Ltd. All rights reserved. Copyright (c) Broadleaf Co., Ltd. All rights reserved. • 個々人に権限付与をしているとすぐにカオスになる  • 「同じチームの◯◯さんと同じ権限にしてください」にすぐ対応出来る  • GCPの場合、Google Groupをチーム(またはロール)単位で作り、  チームの権限は同一にする。  • AWSの場合、IAM ユーザーグループを作る  プラクティス  グループ単位で付与する 

Slide 18

Slide 18 text

Copyright (c) Broadleaf Co., Ltd. All rights reserved. Copyright (c) Broadleaf Co., Ltd. All rights reserved. • 各パブリッククラウドプロバイダが用意した分析ツールを使う  • AWS: AWS Identity and Access Management Access Analyzer   • GCP: Policy Analyzer    プラクティス  サービスで補う 

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Copyright (c) Broadleaf Co., Ltd. All rights reserved. Copyright (c) Broadleaf Co., Ltd. All rights reserved. “  Zero Touch Prodはプロダクション環境における  すべての変更について、(人間ではなく)自動化に  よって行うか、ソフトウェアで事前検証するか、  監査済みの非常ボタンの仕組みを通じてトリガーする  ことを要求する、Googleのプロジェクトです  “    最小権限の先にあるもの  ZTP(Zero Touch Prod)  URL: https://www.oreilly.co.jp/books/9784814400256/   出典: 株式会社オライリー・ジャパン  

Slide 21

Slide 21 text

Copyright (c) Broadleaf Co., Ltd. All rights reserved. Copyright (c) Broadleaf Co., Ltd. All rights reserved. • 直接sshで接続しない  • 必ずproxyを通る  • 自動化されている  • 非常停止ボタンがある  最小権限の先にあるもの  ZTP(Zero Touch Prod)はどういうものか？ 

Slide 22

Slide 22 text

Copyright (c) Broadleaf Co., Ltd. All rights reserved. Copyright (c) Broadleaf Co., Ltd. All rights reserved. • 人、またはシステムが役割を果たすことが可能な最小な権限にする  • プラクティス  • 権限を引き算から始める   • グループ単位で付与する   • クラウドプロバイダのサービスを使う   • Zero Touch Prodを目指そう  まとめ 

Slide 23

Slide 23 text

We’re  Hiring!! 