Security Hub と出会ってから 1年半が過ぎました

JAWS-UG 福井 #1 での発表資料

Transcript

1. Security Hub と出会って ら 1年半 過 ました JAWS-UG 福井 #1 株式会社 jig.jp 木村秀敬
2. 祝 JAWS-UG 福井 リブート！
3. • 木村 秀敬 / KIMURA, Hidetaka ◦ りちゃ / rch850 ともいいます • 茨城出身、福井在住 ◦ サッカー茨城旋風！ • 昨年頑張ったことはビール検定3級の取得 ◦ 1F の OUR BREWING をぜひ • 紀元前の JAWS-UG 福井メンバー 🦕 • 仕事は色々やってます ◦ AWS のセキュリティ対策もそのひとつ ◦ 好きなサービス　AWSサポート 自己紹介
4. jaws ug 福井 第0回 でググってみよう
5. • 注意しなければならない事 た さんある！ • EC2 の設定は安全か？ ◦ 意図せずパブリックIPがついてない？ • セキュリティグループがゆるくなってないか？ ◦ 22番ポートを 0.0.0.0/0 に許可してない？ • S3 バケットの設定は安全か？ ◦ ブロックパブリックアクセスしてる？ • RDS の設定は安全か？ ◦ 削除保護は有効になってる？ 初心者には、そもそもどの設定が必要か、危険かも分からない AWS のセキュリティ対策
6. AWS Security Hub CSPM AWS のセキュリティ分からんを 解消してくれる 頼もしい味方
7. AWS Security Hub CSPM • セキュリティのベストプラクティスに準拠しているかを自動チェック • セキュリティスコアをパーセント表示
8. ここでちょっと歴史の話 (当時の) AWS Security Hub 2024年 AWS Security Hub CSPM (現在の) AWS Security Hub 2026年 Security Hub と出会ってから1年半が過ぎました というタイトルですが、今で言う AWS Security Hub CSPM の話をしています 似て非なるもの
9. AWS Security Hub CSPM に出て る用語 • 個々のセキュリティチェックは「コントロール」 ◦ 例. [S3.1] S3 汎用バケットではブロックパブリックアクセスの設定が有効になっ ている必要があります • 複数のコントロールがまとまった「セキュリティ標準」 ◦ 例. AWS基礎セキュリティのベストプラクティス • チェック結果に応じて「セキュリティスコア」が算出される • コントロールの要件を満たしていれば「成功（合格）」 • コントロールごとに「重大度」が決まっている ◦ CRITICAL / HIGH / MEDIUM / LOW
10. AWS基礎セキュリティの ベストプラクティス セキュリティ標準とコントロール 300コントロールのうち 240で成功 → セキュリティスコア 80% セキュリティ標準 [Account.1] AWS アカウント について、セ キュリティの連絡先情報を提供する必要 があります [ACM.1] インポートされ ACM によって発行 された証明書は、一定期間後に更新する 必要があります その他たくさんのコントロール コントロール 成功 失敗 …… この標準に含まれるコントロール一覧 https://docs.aws.amazon.com/ja_jp/securityhub/latest/userguide/fsbp-standard.html
11. チェックすべき300以上の項目が まとまっている それらを自動チェックしてくれる これは便利！
12. [EC2.9] Amazon EC2 インスタンスは、 パブリック IPv4 アドレスを 未設定にすることをお勧めします 重大度＝HIGH ドキュメントへのリンク コントロールの成功/失敗 パブリック IPv4 なし → 成功 パブリック IPv4 なし → 成功 パブリック IPv4 なし → 成功 対象リソースが全て成功 → 成功 コントロール 設定状況は AWS Config 経由で取得（後述）
13. [EC2.9] Amazon EC2 インスタンスは、 パブリック IPv4 アドレスを 未設定にすることをお勧めします 重大度＝HIGH ドキュメントへのリンク コントロールの成功/失敗 パブリック IPv4 なし → 成功 パブリック IPv4 あり → 失敗 パブリック IPv4 なし → 成功 対象リソースがひとつでも失敗 → 失敗 コントロール
14. チェック結果 このように表示される
15. 1年半使ってみて
16. 状況に応じたカスタマイズ • コントロールを無効化 ◦ 「このサービスは使ってないな」 • コントロールでチェックする一部リソースを抑制 ◦ 「開発環境でのバックアップはコストと不要だな」
17. AWS Config のコスト対策 • あるときに AWS Config のコストが高いことに気づいた • なぜ AWS Config？ ◦ Security Hub CSPM を使うためには AWS Config を有効化する必要がある • Config の記録頻度を調整してコスト対策 ◦ 連続　→　日次　→　除外
18. 好 なコントロール3選 • [EC2.2] VPC のデフォルトのセキュリティグループでは、インバウン ドトラフィックまたはアウトバウンドトラフィックを許可しないよう にすることをお勧めします • [EC2.9] Amazon EC2 インスタンスは、パブリック IPv4 アドレスを 未設定にすることをお勧めします • [S3.1] S3 汎用バケットではブロックパブリックアクセスの設定が有 効になっている必要があります
19. まとめ AWS Security Hub CSPM をセキュリティ強化のヒントに！ コントロールのドキュメントを読むだけでも気づきがあります