クラウド・ガードについて＜レスポンダの説明編＞

Slide 1

Slide 1 text

Slide 2

Slide 2 text

© 2024 Database Technology Inc. All Rights Reserved. 2 はじめに本書は、Oracle Cloud Infrastructure（以下「OCI」）のマネージドサービスであるクラウド・ガードについて、弊社の解釈による解説を付記して紹介するものです。 OCIの各サービスにおける最新情報については、オラクル社による公式情報をご確認ください。 OCIコンソールの実際の画面は、本書と若干異なる可能性がございます。

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

© 2024 Database Technology Inc. All Rights Reserved. 6 1：これまでの内容のまとめ ⚫ クラウド・ガードとは、クラウド全体や特定のコンピュートインスタンス内の問題を検出する、セキュリティサービス ⚫ ターゲットを指定した後は、以下の動作の繰り返し 1. ディテクタ……問題を検出 2. 問題……問題を表示 3. レスポンダ……検出された問題に対して通知・対応今回は、レスポンダ部分を解説

Slide 7

Slide 7 text

© 2024 Database Technology Inc. All Rights Reserved. 7 1：レスポンダ【1回目の資料 p.28 の内容】 ⚫ 問題に対してクラウド・ガードが実行可能なアクション ⚫ レスポンダレシピに基づいて、アクションを実行 ⚫ レスポンダレシピは1種類のみ ⚫ イベント生成による通知や、個別の対応を行う ⚫ 1つのターゲットに、レスポンダレシピを1つ設定可能レスポンダによって、クラウド・ガードのアクションを実行可能

Slide 8

Slide 8 text

© 2024 Database Technology Inc. All Rights Reserved. 8 Tips：レシピの注意点（ディテクタとレスポンダ共通）【2回目の資料 p.11 の内容】 ⚫ レシピは2種類存在する 1. Oracle管理レシピ ⚫ ルールの編集不可 ⚫ デフォルトでルートコンパートメントに作成される ⚫ 各ディテクタレシピが1つずつ（合計で5つ） ⚫ レスポンダレシピが1つ（レスポンダはタイプ分けがないため） 2. ユーザ管理レシピ ⚫ ルールの編集可 ⚫ 既存レシピをクローニングして作成ルールを編集するためには、ユーザ管理レシピを作成する

Slide 9

Slide 9 text

Slide 10

Slide 10 text

© 2024 Database Technology Inc. All Rights Reserved. 10 2：レスポンダの特徴 ⚫ レスポンダレシピとレスポンダルール ⚫ レスポンダレシピ……レスポンダルールをまとめたもの ⚫ レスポンダルール……問題を検出するための条件 ⚫ レスポンダルールは、適宜更新されていく ⚫ 最新のレスポンダルールのリストは、以下のURLから確認 https://docs.oracle.com/ja-jp/iaas/cloud-guard/using/respond-recipes- reference.htm レスポンダはディテクタと似た構造になっている

Slide 11

Slide 11 text

© 2024 Database Technology Inc. All Rights Reserved. 11 2：レスポンダについて ⚫ 2024/11/15現在、レスポンダレシピは1個 ⚫ ディテクタレシピと違い、レスポンダレシピはタイプ分けなどはない ⚫ 2024/11/15現在、レスポンダルールは10個 ⚫ ディテクタルールと違い、レスポンダルールは2種類のタイプが存在する ⚫ レスポンダルールのタイプは、アクションの分類を示している 1. NOTIFICATION……通知タイプ。通知を行う 2. REMEDIATION……改善タイプ。当該リソースの削除や変更を行うレスポンダルールのタイプによって、アクションが異なる

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

© 2024 Database Technology Inc. All Rights Reserved. 14 3：レスポンダ ⚫ 検出された問題に対して、クラウド・ガードが実行可能なアクション ⚫ ユーザの代わりに、クラウド・ガードが自動でアクションを行う ⚫ レスポンダを使わずに、ユーザが手動で対応する事も可能 ⚫ レスポンダルール毎に、異なるIAMポリシーの設定が必要 ⚫ 例） ⚫ コンピュートインスタンスを停止……Allow service cloudguard to manage instance-family ⚫ IAMポリシーを削除……Allow service cloudguard to manage policies etc. ⚫ 無料で使用可能レスポンダルールのタイプによっては、当該リソースの削除や変更が行われるので、レスポンダは慎重に設定する

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

© 2024 Database Technology Inc. All Rights Reserved. 17 3：レスポンダルールのサマリー情報 1 レスポンダルール名タイプ実行されるアクションの詳細トリガーとなるディテクタルール Cloud Event NOTIFICATION 問題の詳細をイベントに公開全てのディテクタルール Delete IAM Policy REMEDIATION IAMポリシーを削除構成：Policy gives too many privileges 構成：Tenancy admin privilege granted to group Disable IAM User REMEDIATION IAMユーザの資格を無効化アクティビティ：Bastion created アクティビティ：Bastion session created アクティビティ：CA bundle updated アクティビティ：Certificate Authority (CA) deleted アクティビティ：Intermediate Certificate Authority (CA) revoked アクティビティ：Export Image アクティビティ：Import Image アクティビティ：Instance terminated アクティビティ：Update Image アクティビティ：Database System terminated アクティビティ：All rules in IAM group アクティビティ：All rules in Networking group

Slide 18

Slide 18 text

© 2024 Database Technology Inc. All Rights Reserved. 18 3：レスポンダルールのサマリー情報 2 レスポンダルール名タイプ実行されるアクションの詳細トリガーとなるディテクタルール Delete Internet gateway REMEDIATION インターネットゲートウェイを削除構成：VCN has Internet Gateway attached Enable DB Backup REMEDIATION DBの自動バックアップを有効化構成：Database is not backed up automatically Make Bucket Private REMEDIATION バケットの可視性をプライベートに変更構成：Bucket is public Rotate Vault Key REMEDIATION 新しいバージョンのキーでローテーション構成：Key has not been rotated Delete Public IP(s) REMEDIATION コンピュートインスタンスのパブリックIP を削除構成：Instance has a public IP address Stop Compute Instance REMEDIATION コンピュートインスタンスを停止構成：Instance has a public IP address Terminate Compute Instance REMEDIATION コンピュートインスタンスを削除構成：Instance has a public IP address

Slide 19

Slide 19 text

Slide 20

Slide 20 text

© 2024 Database Technology Inc. All Rights Reserved. 20 4：レスポンダの動作 ⚫ ターゲットにレスポンダレシピを設定する事が可能 ⚫ ターゲット内で検出された問題に対して、アクションを実行 ⚫ レスポンダルールがトリガーされた際の挙動について、2種類の構成設定から選択 1. ルールの実行前に確認 2. 自動的に実行ターゲットにレスポンダレシピを設定すると、レスポンダルール毎に構成の設定が可能になる

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Slide 23

Slide 23 text

© 2024 Database Technology Inc. All Rights Reserved. 23 4：レスポンダルールの構成 IAMポリシーステートメントの追加も可能ルールの実行前に確認するか、自動実行するかを選択 ▼IAMポリシーステートメントの追加・CloudGuardPolicies-security_service というIAMポリシーが作成される・表示されているポリシーステートメントが追加される

Slide 24

Slide 24 text

Slide 25

Slide 25 text

Slide 26

Slide 26 text

Slide 27

Slide 27 text

Slide 28

Slide 28 text

© 2024 Database Technology Inc. All Rights Reserved. 28 5：まとめ ⚫ レスポンダレシピはレスポンダルールをまとめたもの ⚫ ユーザ管理のレスポンダレシピしかレスポンダルールの編集が出来ない ⚫ レスポンダルールによっては、既存の構成を変えてしまう可能性がある ⚫ 検出された問題に対して、手動で対応するという運用もありレスポンダは自動でアクションを行ってくれるが、使用には注意が必要

Slide 29

Slide 29 text

© 2024 Database Technology Inc. All Rights Reserved. 29 お問い合わせ OCIに関するお困りごとは，ぜひ弊社までご相談ください。お電話でのお問い合わせ 075-231-6131 受付時間：平日 10:00～17:00 メールでのお問い合わせ inquiry@db-tec.com ※お手数ですが、御社名、ご氏名、お問い合わせ内容を本文中にご記載ください。 https://www.db-tec.com/ 弊社ホームページからも、お問い合わせを承っております。 Oracleは、オラクルおよびその関連会社の登録商標です。その他の社名、商品名等は各社の商標または登録商標である場合があります。