AWS Control TowerとAWS Organizationsを活用した組織におけるセキュリティ設定

Slide 1

Slide 1 text

AWS Control TowerとAWS Organizationsを活用した組織におけるセキュリティ設定 2022年3月1日 NRIネットコム株式会社 Webネット事業本部 ITSデザイン事業部上野史瑛

Slide 2

Slide 2 text

Slide 3

Slide 3 text

2 Copyright（C） NRI Netcom, Ltd. All rights reserved. 自己紹介名前：上野史瑛（うえのふみあき）所属： NRIネットコム株式会社経歴：・多くのAWSプロジェクトに参画・AWSセキュリティガードレール導入・CCoE（内製化）支援・AWS最適化、Well-Architectedレビュー・2020/2021 APN Ambassadors ・2020/2021 APN AWS Top Engineers ・2020/2021 APN ALL AWS Certifications Engineer @fu3ak1

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Slide 8

Slide 8 text

7 Copyright（C） NRI Netcom, Ltd. All rights reserved. AWSにはセキュリティレベルを向上するサービスが多くある AWS CloudTrail AWS Config Amazon GuardDuty AWS Security Hub 監査証跡設定履歴不正検知集約・検知（CSPM） ⇒セキュリティサービスを組織内で自動設定できれば、組織のセキュリティ向上となる共通セキュリティ機能を作成 #nncwebinar

Slide 9

Slide 9 text

8 Copyright（C） NRI Netcom, Ltd. All rights reserved. ＳＯＭＰＯグループ様の特徴① Control Tower導入前から本番稼働しているAWSアカウントが多数あったマネジメント（管理者）アカウント Organizations 各社アカウント元々利用していたのは請求管理のみ各社アカウント各社アカウント一般利用者一般利用者一般利用者本番サービスを提供している AWSアカウントが多数全アカウント数は200以上 #nncwebinar

Slide 10

Slide 10 text

9 Copyright（C） NRI Netcom, Ltd. All rights reserved. ＳＯＭＰＯグループ様の特徴② AWSアカウント作成後の管理・運用は各社の管理者が実施するマネジメント（管理者）アカウント Organizations 各社アカウント各社アカウント各社アカウント各社管理者各社管理者各社管理者請求管理者 AWSアカウント、システムの管理は各社で実施する #nncwebinar

Slide 11

Slide 11 text

10 Copyright（C） NRI Netcom, Ltd. All rights reserved. 共通セキュリティ機能で使用するサービス AWS Control Tower AWS CloudTrail AWS Config SCP Amazon GuardDuty AWS Security Hub AWS IAM Access Analyzer Amazon SNS （通知用） AWS Organizations AWSアカウントで設定するセキュリティサービスを中心に、利用するサービスを選定 #nncwebinar

Slide 12

Slide 12 text

11 Copyright（C） NRI Netcom, Ltd. All rights reserved. 共通セキュリティ機能で使用するサービス ⇒これらのサービスが、AWSアカウント発行時に自動設定される AWSアカウント内の操作履歴が自動で保存され、不正な操作が拒否または検知されるようになる AWS Control Tower AWS CloudTrail AWS Config SCP Amazon GuardDuty AWS Security Hub AWS IAM Access Analyzer Amazon SNS （通知用） AWS Organizations AWSアカウントで設定するセキュリティサービスを中心に、利用するサービスを選定 #nncwebinar

Slide 13

Slide 13 text

Slide 14

Slide 14 text

13 Copyright（C） NRI Netcom, Ltd. All rights reserved. 構成詳細（AWSアカウント、機能実現方法を含む）サービスや設定内容に応じて実行方法を使い分け、共通セキュリティ機能を実装している ◼AWS CloudTrail、AWS Config→ AWS Control Towerにより自動設定 ◼Amazon GuardDuty、AWS Security Hub、IAM Access Analyzer、SNSトピック →CloudFormation StackSetsまたは Step Functions経由のLambda実行により自動設定 Service Control Policy（SCP）各社アカウント各社アカウント CloudTrail GuardDuty Security Hub Config Access Analyzer マネジメント（管理者）アカウント Control Tower SNS CloudFormation StackSets 自動設定自動設定監査アカウント GuardDuty Security Hub Config Access Analyzer SNS ログアーカイブアカウント S3 ・CloudTrail証跡ログ・Configログ全アカウント分全アカウント分 HD管理者管理、設定確認各社管理者 Lambda Step Functions #nncwebinar

Slide 15

Slide 15 text

Slide 16

Slide 16 text

15 Copyright（C） NRI Netcom, Ltd. All rights reserved. 組織単位 (OU) の考え方 Control Tower利用にあたっては、どの単位でルール（予防・検知ガードレール）を適用したいかがポイント OU どの単位でOUを作成すべきか Control Towerのガードレールを設定する単位（独自の）SCPを設定する単位 ⇒適用したい単位＝OU SCPはOU単位で設定できる Control TowerのガードレールはOU単位で設定 #nncwebinar

Slide 17

Slide 17 text

Slide 18

Slide 18 text

17 Copyright（C） NRI Netcom, Ltd. All rights reserved. 組織単位 (OU) の構成例② 2021年11月に、Control TowerがネストされたOUもサポート機密情報OU 共通OU ・ルートユーザーのアクション拒否・S3暗号化設定変更拒否・EBS非暗号化検知親OUで設定したガードレールは、子OUに引き継がれる。 ※ただし予防のみで検知は対象外 #nncwebinar

Slide 19

Slide 19 text

18 Copyright（C） NRI Netcom, Ltd. All rights reserved. SOMPOグループ様における組織単位 (OU) の構成 ◼各社ごとにProd、Devの2つずつOUを用意 ◼ネスト（階層）は無しですべてフラット（導入時にControl Towerが未サポートだったため） ◼グループ会社固有の要件に対応できるよう、会社ごとにOUを設定 [会社A]-Prod OU [会社A]-Dev OU [会社A]-Prod OU [会社A]-Dev OU #nncwebinar

Slide 20

Slide 20 text

19 Copyright（C） NRI Netcom, Ltd. All rights reserved. SOMPOグループ様における組織単位 (OU) の構成 ◼各社ごとにProd、Devの2つずつOUを用意 ◼ネスト（階層）は無しですべてフラット（導入時に未サポートだったため） ◼グループ会社固有の要件に対応できるよう、会社ごとにOUを設定 ◼Control Towerで作成される共通のOU（Security）を使用 ◼これらをマネジメントアカウントで管理 [会社A]-Prod OU [会社A]-Dev OU [会社A]-Prod OU [会社A]-Dev OU Security OU ログアーカイブ S3 Cloud Trail Logs Config Logs 監査 Config CloudTrail その他セキュリティサービスマネジメント Control Tower Organizations #nncwebinar

Slide 21

Slide 21 text

Slide 22

Slide 22 text

21 Copyright（C） NRI Netcom, Ltd. All rights reserved. SOMPOグループ様におけるSCPの基本方針 ◼SCPは強力であり、拒否した設定は一律操作不可能となるため利用者へ影響が出ないよう以下方針で設定 ⚫Control Towerや共通セキュリティ機能の設定内容を変更させない ⚫ルートユーザーのアクセスキーを使用させない ⚫使用していない、使用予定のないリージョンは使用させない #nncwebinar

Slide 23

Slide 23 text

22 Copyright（C） NRI Netcom, Ltd. All rights reserved. Control Towerで設定されるSCP Control Towerを使用して以下2種類のSCPをまず設定各社アカウント Config 「aws-controltower-」で始まる証跡の変更以下のIAMロールの変更「aws-controltower-」で始まる「AWSControlTower」を含む「stacksets-exec-」を含むルートユーザーのアクセスキーの作成ルートユーザーのアクセスキー SNS Configの設定変更 CloudWatch Logs Lambda CloudTrail IAMロール Control Towerで作成される Configルールの変更「aws-controltower」を含むロググループの変更「aws-controltower-」で始まるイベントの変更「aws-controltower-」で始まる関数の変更「aws-controltower-」で始まるトピックの変更トピック「aws-controltower-SecurityNotifications」のサブスクリプションの変更 EventBridge Control Towerで自動設定されるSCP（必須の予防ガードレール、自動設定されるSCP） Control Towerから追加設定できるSCP（推奨、選択的予防ガードレール） #nncwebinar

Slide 24

Slide 24 text

23 Copyright（C） NRI Netcom, Ltd. All rights reserved. Control Towerで設定されるSCP＋ＳＯＭＰＯグループ様独自のSCP Control Towerを使用して以下2種類のSCPをまず設定各社アカウント Config 「aws-controltower-」で始まる証跡の変更以下のIAMロールの変更「aws-controltower-」で始まる「AWSControlTower」を含む「stacksets-exec-」を含むルートユーザーのアクセスキーの作成ルートユーザーのアクセスキー SNS Configの設定変更 CloudWatch Logs Lambda CloudTrail IAMロール Control Towerで作成される Configルールの変更「aws-controltower」を含むロググループの変更「aws-controltower-」で始まるイベントの変更「aws-controltower-」で始まる関数の変更「aws-controltower-」で始まるトピックの変更トピック「aws-controltower-SecurityNotifications」のサブスクリプションの変更 EventBridge Control Towerで自動設定されるSCP（必須の予防ガードレール、自動設定されるSCP） Control Towerから追加設定できるSCP（推奨、選択的予防ガードレール）「（独自Prefix）-」で始まるイベントの変更「（独自Prefix） -」で始まる関数の変更 GuardDuty Security Hub GurardDuty、SecurityHub の無効化拒否「（独自Prefix） -」で始まるトピックの変更「（独自Prefix） -」で始まる Region 一部リージョンの利用ＳＯＭＰＯグループ様独自で設定したSCP #nncwebinar

Slide 25

Slide 25 text

24 Copyright（C） NRI Netcom, Ltd. All rights reserved. 使用可能としたリージョン # コードリージョン名 1 us-east-1 米国東部（バージニア北部） 2 us-east-2 米国東部 (オハイオ) 3 us-west-2 米国西部 (オレゴン) 4 ap-northeast-1 アジアパシフィック (東京) 5 ap-northeast-2 アジアパシフィック (ソウル) 6 ap-northeast-3 アジアパシフィック (大阪) 7 ap-southeast-1 アジアパシフィック (シンガポール) 8 ap-southeast-2 アジアパシフィック (シドニー) 9 eu-central-1 欧州 (フランクフルト) 10 eu-west-1 欧州 (アイルランド) 11 eu-west-2 欧州 (ロンドン) 12 eu-north-1 欧州 (ストックホルム) ◼Control Towerがサポートしており、利用実績のあるリージョンを利用対象 ◼大阪リージョンはControl Towerサポート外だが、DR対応としてすでに活用が進んでいるため利用許可 #nncwebinar

Slide 26

Slide 26 text

Slide 27

Slide 27 text

Slide 28

Slide 28 text

27 Copyright（C） NRI Netcom, Ltd. All rights reserved. Control Tower導入直後の状態 Security OUと新規アカウント２つ、空のSandbox OUが1つできる既存アカウントには影響しない（SCPやConfigルールは適用されない）マネジメント（管理者） Organizations B社既存アカウント A社既存アカウント監査アカウント Config SNS ログアーカイブアカウント S3 ・CloudTrail証跡ログ・Configログ Security OU Sandbox OU 既存は影響なし Control Tower #nncwebinar

Slide 29

Slide 29 text

28 Copyright（C） NRI Netcom, Ltd. All rights reserved. Control Tower導入後、既存アカウントの適用 Control Tower経由でOUを作成し、アカウントを登録することでガードレール（SCP、Configルール）が適用されるアカウントは1つずつ登録できるので、段階的な移行が可能既存環境でもControl Towerの導入は可能マネジメント（管理者） Organizations C社既存アカウント B社既存アカウント監査アカウント Config SNS ログアーカイブアカウント S3 ・CloudTrail証跡ログ・Configログ Security OU Sandbox OU Control Tower A社 Prod OU A社既存アカウント段階的に移行できる #nncwebinar

Slide 30

Slide 30 text

Slide 31

Slide 31 text

Slide 32

Slide 32 text

31 Copyright（C） NRI Netcom, Ltd. All rights reserved. CloudFormation StackSetsによる自動展開 OUにあらかじめCloudFormation StackSetsをデプロイしておくことで、アカウント追加時にCloudFormationスタックが自動作成される。 ※大阪リージョン用の設定も実施 Control Tower 新規アカウントアカウント作成 OU所属を検知自動実行スタック展開 OU マネジメント（管理者） CloudFormation StackSets Stack IAM Access Analyzerや通知用SNSトピックなどを設定 #nncwebinar

Slide 33

Slide 33 text

32 Copyright（C） NRI Netcom, Ltd. All rights reserved. EventBridgeとStepFunctionsによるアカウント設定自動実行 Control TowerのAccount Factoryでアカウント作成後、「CreateManagedAccount」というイベントが発行されるので、それをEventBridgeに渡してStep Functionsのステートマシンを自動実行 ※大阪リージョン用の設定も実施 Control Tower 新規アカウントアカウント作成作成完了後イベント発行 GuardDutyの集約、 Security Hubの基準無効など CloudFormationでできない処理を実行設定 EventBridge Step Functions ステートマシン起動 #nncwebinar

Slide 34

Slide 34 text

33 Copyright（C） NRI Netcom, Ltd. All rights reserved. アカウント管理者はアカウント作成をやれば良いだけアカウント管理者は、Account Factoryからアカウント作成のみ実施すれば、あとはCloudFormation StackSetsとStep Functionsが良い感じに設定してくれる Step Functionsから送信される完了メールを待つのみ各社アカウント CloudTrail GuardDuty Security Hub Config Access Analyzer マネジメント（管理者） Control Tower SNS CloudFormation StackSets 自動設定自動設定 HD管理者アカウント作成 Lambda Step Functions 手動作業はアカウント作成だけ #nncwebinar

Slide 35

Slide 35 text

Slide 36

Slide 36 text

Slide 37

Slide 37 text

Slide 38

Slide 38 text

Slide 39

Slide 39 text

Slide 40

Slide 40 text

Slide 41

Slide 41 text

40 Copyright（C） NRI Netcom, Ltd. All rights reserved. 各アカウントにセキュリティ機能が設定された Service Control Policy（SCP）各社アカウント各社アカウント CloudTrail GuardDuty Security Hub Config Access Analyzer マネジメント（管理者）アカウント Control Tower SNS CloudFormation StackSets 自動設定自動設定監査アカウント GuardDuty Security Hub Config Access Analyzer SNS ログアーカイブアカウント S3 ・CloudTrail証跡ログ・Configログ全アカウント分全アカウント分 HD管理者管理、設定確認各社管理者 Lambda Step Functions #nncwebinar めでたく各アカウントに共通セキュリティ機能が自動設定されるようになった

Slide 42

Slide 42 text

41 Copyright（C） NRI Netcom, Ltd. All rights reserved. 各アカウントにセキュリティ機能が設定された Service Control Policy（SCP）各社アカウント各社アカウント CloudTrail GuardDuty Security Hub Config Access Analyzer マネジメント（管理者）アカウント Control Tower SNS CloudFormation StackSets 自動設定自動設定監査アカウント GuardDuty Security Hub Config Access Analyzer SNS ログアーカイブアカウント S3 ・CloudTrail証跡ログ・Configログ全アカウント分全アカウント分 HD管理者管理、設定確認各社管理者 Lambda Step Functions #nncwebinar めでたく各アカウントに共通セキュリティ機能が自動設定されるようになっためでたしめでたし

Slide 43

Slide 43 text

42 Copyright（C） NRI Netcom, Ltd. All rights reserved. 各アカウントにセキュリティ機能が設定されためでたく各アカウントに共通セキュリティ機能が自動設定されるようになっためでたしめでたしではない！ Service Control Policy（SCP）各社アカウント各社アカウント CloudTrail GuardDuty Security Hub Config Access Analyzer マネジメント（管理者）アカウント Control Tower SNS CloudFormation StackSets 自動設定自動設定監査アカウント GuardDuty Security Hub Config Access Analyzer SNS ログアーカイブアカウント S3 ・CloudTrail証跡ログ・Configログ全アカウント分全アカウント分 HD管理者管理、設定確認各社管理者 Lambda Step Functions #nncwebinar

Slide 44

Slide 44 text

43 Copyright（C） NRI Netcom, Ltd. All rights reserved. 共通セキュリティ機能で守れる範囲は一部のみ AWSのセキュリティ機能を使って対策する範囲 AWSが対策を実施している範囲 AWS以外のサービスを利用する範囲 AWSが責任を持つ範囲 AWSの機能でセキュリティを保てる範囲 CloudTrail Config Trusted Advisor Security Hub GuardDuty 一部を共通セキュリティ機能で対策 Personal Health Dashboard IAM Access Analyzer • AWSが提供していないセキュリティ機能 • 運用負荷を軽減するための機能 • 開発スピードを加速させるための機能など法規制体制物理冗長性施設ハイパーバイザネットワークストレージサーバセキュリティ診断アクセス制御ファイアウォールユーザー認証フォレンジックデータ暗号化 AWS以外のサービスを利用する範囲セキュリティ診断フォレンジックアンチマルウェア IPS/IDS, WAF インシデント・レスポンスこの範囲の一部だけ #nncwebinar

Slide 45

Slide 45 text

44 Copyright（C） NRI Netcom, Ltd. All rights reserved. 共通セキュリティ機能で実現できないこと # 実現できないこと実施手段例 1 アプリの脆弱性の検知セキュアコーディング,SAST,DAST,アプリ脆弱性診断 2 アプリの脆弱性の緩和 WAF (AWSであればAWS WAFやWafCharmなど) 3 OSレイヤー／コンテナ／サーバレス特有のセキュリティ Contrast , Vuls , Amazon Inspector ,Dome9 等プラットフォーム/コンテナ脆弱性診断 4 ネットワークのセキュリティ (共通セキュリティ機能で実現できる部分もあり) VPC Flow logs、IDSの導入ネットワーク脆弱性診断 5 保持しているデータの機密情報検知 Amazon Macie (日本語未対応) 6 ウィルススキャン・マルウェア検知 TrendMicro Cloud One,F-Secure 7 検知した設定上の不備の自動是正 AWS Config Conformance Packs ,Dome9 等 8 AWS SSOによるシングルサインオン環境提供各社毎踏み台アカウントとIdPを構築 9 IAMのユーザー、権限設定〔最小特権の原則〕 (IAM Access Analyzerで実現できる部分もあり) ガイドラインを参考に各社要件に従い設定 ※共通セキュリティ機能の運用も、利用者（各社管理者）が実施する必要がある #nncwebinar

Slide 46

Slide 46 text

Slide 47

Slide 47 text

Slide 48

Slide 48 text

47 Copyright（C） NRI Netcom, Ltd. All rights reserved. ガイドラインを作成、配布してみて・・ ◼AWSのセキュリティサービスへの理解を深めてもらえた ◼自分たちで運用していく必要性も理解していただいた改善ポイントも・・ ◼200ページ超えの大作となり、すべて読むのはツライボリューム（実装方針が多いので、そこは辞書的に使ってもらえると嬉しい） ◼AWS側でアップデートが多いと追従がツライ・・基本方針だけ記載し、あとは利用者側で学習できる組織になるのが理想と考えているが、現状まだ難しい部分も多い #nncwebinar

Slide 49

Slide 49 text

Slide 50

Slide 50 text

49 Copyright（C） NRI Netcom, Ltd. All rights reserved. まとめ、今後に向けてまとめ ◼組織全体でAWSアカウントのセキュリティ基礎設定ができた（一部予定） ◼情報集約も行い、各社のセキュリティ状況を可視化できた ◼ガイドラインにより、セキュリティサービスの概要と必要性を各社に理解していただいた今後に向けて ◼まだ状況が見えてきた程度なので、実際のセキュリティレベル向上を進めたい ◼課題となるのはシステム構築や計画が多い、CCoEとして何ができるか検討したい ◼Control Towerの機能アップデートにも期待 ⚫ 大阪リージョン未対応 ⚫ ログの保存期間（現状1年間） ⚫ アカウント作成に時間がかかる（直列実行が必要） #nncwebinar