AWSアカウントのセキュリティ自動化、どこまで進める？　最適な設計と実践ポイント

Slide 1

Slide 1 text

AWSアカウントのセキュリティ自動化、どこまで進める？最適な設計と実践ポイントハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c

Slide 2

Slide 2 text

◼ 登壇者：大林優斗 ◼ 受賞歴：2024 Japan AWS Jr. Champions ◼ アウトプット最高！ ◼ 今年度のアウトプット ◼ 書籍執筆：AWS の薄い本の合本 Vol.01 ◼ ブログ：記事8本 ◼ 外部向け勉強会：登壇15本(予定を含む)。企画・運営も担当。自己紹介ハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c

Slide 3

Slide 3 text

セキュリティ・ガバナンス運用の課題ハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c

Slide 4

Slide 4 text

セキュリティ・ガバナンス運用の課題セキュリティ・ガバナンス運用のあるべき姿ハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c 調査・修正分析改善検知・通知セキュリティ検知にどのような傾向があるのか分析する検知内容を確認してリソースの設定変更分析した結果を踏まえて改善アクションを実施ガードレールからの逸脱などを検出

Slide 5

Slide 5 text

セキュリティ・ガバナンス運用の課題 ● 人手不足 ○ 限られたリソースを効率よく活用したい ● 人的リソース配置の最適化 ○ 人的リソースを単純タスクではなく、複雑なタスクに配置したい ● ガバナンス強化 ○ ある程度の自動化を実現して効率的にガバナンスを効かせたい自動化をする理由ハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c

Slide 6

Slide 6 text

セキュリティ運用の自動化例ハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c

Slide 7

Slide 7 text

FW系リソースの自動更新ハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c

Slide 8

Slide 8 text

セキュリティ運用の自動化例 ⚫ FW系リソースの自動更新するパターン例 1. AWSサービスのみで作成する完全自動化パターン 2. チャットツール起点とした自動化パターン 3. AWSサービスのみで作成する自動化パターン ➢ ケースごとにそれぞれのパターンをどのように活用していけばいいのか FW系リソースの自動更新ハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c

Slide 9

Slide 9 text

セキュリティ運用の自動化例 1. AWSサービスのみで作成する完全自動化パターン ⚫ 処理フロー ⚫ WAFのログをS3バケットに出力する ⚫ ログファイルが出力されるたびにStep Functionsを起動する ⚫ Step FunctionsでブロックされたIPアドレスをIPSetsに追加する FW系リソースの自動更新ハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c AWS WAF Amazon Simple Storage Service (Amazon S3) Amazon EventBridge AWS Step Functions IPSets更新処理

Slide 10

Slide 10 text

セキュリティ運用の自動化例 1. AWSサービスのみで作成する完全自動化パターン ⚫ メリット ⚫ 人の手が加わることがなく、 IPSetsを更新できる ➢ 人的リソースを重要なタスクに割り当てることができる ⚫ 考慮しなければならない点 ⚫ 意図しないIPアドレスをIPSetsに追加してしまい、インシデントが発生するリスクがある ➢ その結果、インシデント対応に人的リソースが取られる FW系リソースの自動更新ハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c

Slide 11

Slide 11 text

セキュリティ運用の自動化例 2. チャットツール起点とした自動化パターン ● 全体構成図 ● 処理フロー ○ チャットツールでチャットボットに話しかける ○ チャットボット経由でLambda関数が起動してFW系リソースを更新する FW系リソースの自動更新ハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c Amazon Q Developer in chat applications AWS Lambda AWS WAF ・Slack ・Teams

Slide 12

Slide 12 text

2. チャットツール起点とした自動化パターン ● Slackワークフローを活用したパターンの構成セキュリティ運用の自動化例 FW系リソースの自動更新ハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c 運用担当者運用責任者 Amazon Q Developer in chat applications AWS Lambda AWS WAF ①依頼 ②承認 ③リソース更新処理 ④処理完了通知

Slide 13

Slide 13 text

2. チャットツール起点とした自動化パターン ⚫ Slackワークフローを活用したパターンで考慮したい点 1. タスク依頼：直感的な操作を可能とする入力フォームを作成するセキュリティ運用の自動化例 FW系リソースの自動更新ハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c

Slide 14

Slide 14 text

2. チャットツール起点とした自動化パターン ⚫ Slackワークフローを活用したパターンで考慮したい点 2. 承認：承認できるユーザーを限定する ⚫ Slackワークフローで承認ボタンをクリックできるユーザーを限定する ⚫ 承認者だけが参加できるチャンネルに承認依頼メッセージを送信するセキュリティ運用の自動化例 FW系リソースの自動更新ハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c

Slide 15

Slide 15 text

セキュリティ運用の自動化例 2. チャットツール起点とした自動化パターン ⚫ メリット・使いどころ ⚫ チャットツール側のアップデートがあるため作りこみやすい ⚫ 簡単に承認フローを追加して、運用を効率化できる ⚫ 考慮しなければならない点 ⚫ ケースによっては、タスク依頼用の入力フォームの改修が頻発する ⚫ 誤って承認ボタンをクリックする可能性もある ⚫ そもそも社内規定上、チャットツールを起点としたフローでの承認を受け入れるのか ⚫ チャットツール自体の障害が起きることを考慮して、別の手段でFWを更新できるようにしておく FW系リソースの自動更新ハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c

Slide 16

Slide 16 text

セキュリティ運用の自動化例 3. AWSサービスのみで作成する自動化パターン ⚫ 処理フロー ⚫ 運用担当者がFWリソースに追加するIPアドレスをファイルに記載 ⚫ ファイルをS3バケットにアップロード ⚫ ファイルがS3バケットにアップロードされたことをトリガーに Step Functionsを起動して更新処理 FW系リソースの自動更新ハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c AWS WAF Amazon Simple Storage Service (Amazon S3) Amazon EventBridge AWS Step Functions AWS Cloud

Slide 17

Slide 17 text

セキュリティ運用の自動化例 3. AWSサービスのみで作成する自動化パターン ⚫ メリット・使いどころ ⚫ 今回提示したケースで最も汎用的な運用 ⚫ チャットツールのように誤って処理が実行されるリスクは小さい ⚫ 社内規定でチャットツールが使用できないケースでも使用可能 ⚫ デメリット ⚫ チャットツールを起点とした自動化と比較すると、俊敏性はなくなる ⚫ AWSリソースの運用が必要になる FW系リソースの自動更新ハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c

Slide 18

Slide 18 text

自動更新したFWはFirewall Managerを活用して組織に展開する ⚫ タグを用いた管理で柔軟性を確保しつつ、統制を強化できるセキュリティ運用の自動化例 FW系リソースの自動更新ハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c AWS Organizations 監査アカウント AWS Firewall Manager System OU A AWS WAF タグ「FMSPolicy：WAF-Block-A」 WAFポリシー FMSPolicy：WAF-Block-A WAFポリシー FMSPolicy：WAF-Block-B AWS WAF タグ「FMSPolicy：WAF-Block-B」 WAFポリシー FMSPolicy：WAF-Block-C System OU A AWS WAF タグ「FMSPolicy：WAF-Block-C」 AWS WAF タグ「FMSPolicy：WAF-Block-」

Slide 19

Slide 19 text

GuardDuty Malware Protection for S3 を最大限活用するための自動化ハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c

Slide 20

Slide 20 text

セキュリティ運用の自動化例 GuardDuty Malware Protection for S3 ⚫ 概要 ⚫ S3バケットに新しくアップロードされたファイルをスキャンしてマルウェアを検出してくれる機能 ⚫ 制約 ⚫ 指定できるパスは最大5個までの制限がある ⚫ ワイルドカードを使用したパスパターンを設定できない ⚫ マルウェアを検出するだけでマルウェアが検出されたファイルを隔離・削除はしてくれない ⚫ Security Hubに検知結果を集約できない GuardDuty Malware Protection for S3を最大限活用するための自動化ハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c

Slide 21

Slide 21 text

セキュリティ運用の自動化例 GuardDuty Malware Protection for S3 ⚫ 特に対処すべき制約 ⚫ マルウェアを検出するだけでマルウェアが検出されたファイルを隔離・削除はしてくれない ➢ 感染拡大を防ぐためにマルウェアが検出されたファイルは隔離・削除するべき ⚫ Security Hubに検知結果を集約できない ➢ セキュリティ検知はSecurity Hubで管理すれば、対応漏れがなくなりやすい GuardDuty Malware Protection for S3を最大限活用するための自動化ハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c

Slide 22

Slide 22 text

セキュリティ運用の自動化例 GuardDuty Malware Protection for S3 ⚫ 「マルウェアを検出するだけで隔離はしてくれない」への対処を自動化する GuardDuty Malware Protection for S3を最大限活用するための自動化ハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c Amazon GuardDuty Amazon Simple Storage Service (Amazon S3) （マルウェアスキャン用） Amazon EventBridge AWS Lambda （マルウェアファイルを削除・隔離） Amazon Simple Storage Service (Amazon S3) （マルウェアファイル隔離用）マルウェアが検出された場合にトリガーユーザー

Slide 23

Slide 23 text

セキュリティ運用の自動化例 GuardDuty Malware Protection for S3 ⚫ 「Security Hubに検知結果を集約できない」への対処を自動化する ⚫ 「Boto3：batch_import_findings」で検出結果をインポートする GuardDuty Malware Protection for S3を最大限活用するための自動化ハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c Amazon GuardDuty Amazon Simple Storage Service (Amazon S3) （マルウェアスキャン用） AWS Security Hub AWS Lambda （検出結果をインポート）検出結果をSecurity Hubにインポート Amazon EventBridge

Slide 24

Slide 24 text

Configを活用した自動修復機能とそのポイントハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c

Slide 25

Slide 25 text

セキュリティ運用の自動化例 Configの非準拠リソースをLambdaで自動修復する Configを活用した自動修復機能とそのポイントハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c Security group Public subnet Amazon Elastic Compute Cloud (Amazon EC2) AWS Config [インバウンドルール] 0.0.0.0/0 Amazon EventBridge AWS Lambda 「インバウンドルール 0.0.0.0/0」を削除

Slide 26

Slide 26 text

セキュリティ運用の自動化例 Configの非準拠リソースをLambdaで自動修復するときのポイント 1. 修復対象をタグで制御する • 全てのリソースを修復してしまうとインシデントにつながるため、修復対象をタグで制御する必要がある • 例：「Config-AutoRepair：True」というタグが設定されていたら削除しない 2. Security Hubの「AWS リソースタグ付け標準」を活用してタグが設定されていないリソースを追跡する 3. Configの記録頻度設定がポイントになる Configを活用した自動修復機能とそのポイントハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c

Slide 27

Slide 27 text

セキュリティ運用の自動化例 Configの記録頻度設定がポイントになる ⚫ Configがリソースタイプを記録するたびに料金が発生する Configを活用した自動修復機能とそのポイントハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c

Slide 28

Slide 28 text

セキュリティ運用の自動化例ケースごとのConfigの記録頻度設定 ⚫ ケース1：とにかく堅牢な環境を作成する ⚫ ケース2：コストが増加しにくい環境を作成する ⚫ ケース3：マルチアカウント環境で運用 Configを活用した自動修復機能とそのポイントハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c

Slide 29

Slide 29 text

セキュリティ運用の自動化例ケースごとのConfigの記録頻度設定ケース1：とにかく堅牢な環境を作成する ⚫ 「継続的な記録」を採用する ⚫ メリット ⚫ コンプライアンス違反のリソースを早期に修復できる ➢ 意図しない脆弱な設定がされたリソースが環境に残りにくい ⚫ デメリット ⚫ リソース作成・削除が高頻度で繰り返される環境ではコストが増加する ➢ 1万円、5万円、10万円単位のコスト増加も起こりうる Configを活用した自動修復機能とそのポイントハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c

Slide 30

Slide 30 text

セキュリティ運用の自動化例ケースごとのConfigの記録頻度設定ケース2：コストが増加しにくい環境を作成する ⚫ 「日次記録」を採用する ⚫ メリット ⚫ リソース作成・削除が高頻度で繰り返される環境でもコストが増加しにくい ⚫ デメリット ⚫ 24時間以内にAWSリソースが侵害される可能性はある ⚫ 24時間以内に攻撃者によってAWSリソースが侵害されて、侵害に気づきにくくなることもある Configを活用した自動修復機能とそのポイントハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c

Slide 31

Slide 31 text

セキュリティ運用の自動化例ケースごとのConfigの記録頻度設定ケース3：マルチアカウント環境で運用 ⚫ ケース3.1：組織全体で「日次記録」を採用する ⚫ ケース3.2：組織全体で「継続的な記録」を採用する ⚫ ケース3.3：「日次記録」と「継続的な記録」のハイブリッドを採用する Configを活用した自動修復機能とそのポイントハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c

Slide 32

Slide 32 text

セキュリティ運用の自動化例ケース3.3：「日次記録」と「継続的な記録」のハイブリッドを採用する特定のリソースタイプのみ記録頻度設定を変更する ➢ ドリフト検出対象のAPIではないためドリフト検出はされない Configを活用した自動修復機能とそのポイントハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c Root OU マネジメントアカウント System OU アカウント_01 アカウント_02 AWS Control Tower AWS Config AWS Config 「AWS::EC2::SecurityGroup」のみ「日次記録」にオーバーライド

Slide 33

Slide 33 text

セキュリティ運用の自動化例 Configの意図しない利用料の増加に気づくために ⚫ 予算作成 • アカウント全体で予算を作成して、請求金額の閾値を設定する • 特定のサービスで予算を作成して、請求金額の閾値を設定する ⚫ コスト分析 • 月次、日次などでAWSサービスごとにコスト推移を分析する ⚫ メトリクス分析 • Configがどのリソースタイプを一番記録しているのか確認する Configを活用した自動修復機能とそのポイントハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c AWS Cost Explorer AWS Budgets Amazon CloudWatch 予算作成コスト分析メトリクス分析

Slide 34

Slide 34 text

セキュリティ運用の自動化例 ★ガバナンス強化とコストのバランス調整が重要 ➢ ガバナンスを強化するためには一定のコストがかかる ➢ 組織として目指しているAWS環境を実現するための選択が重要になる Configを活用した自動修復機能とそのポイントハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c コストセキュリティ

Slide 35

Slide 35 text

自動化のポイントハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c

Slide 36

Slide 36 text

自動化のポイント ⚫ クリティカルな作業は自動化しすぎない ⚫ 自動化したフロー自体の障害対応に追われる ⚫ 自動化したフロー自体の障害対応に人手が取られるので人手不足になる ➢ 自動化の仕組みが機能しなくなったとしても代替手段で実現可能なフローを自動化していく ➢ まずは小さいところから自動化を進めていく ⚫ ガバナンス強化における自動化は、セキュリティ対策とコストのバランス調整が重要になるセキュリティ運用における自動化のポイントハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c

Slide 37

Slide 37 text

おわりにハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c

Slide 38

Slide 38 text

メンバーが足りません！！ハッシュタグ：#jawsdays2025 #jawsug #jawsdays2025_c

Slide 39

Slide 39 text

No content