AWSネイティブサービス＆AIサービスで自社で内製化するAWSセキュリティのPDCAサイクル / 20260117 Hironobu Otaki

2026/1/17 JAWS-UG沖縄 2026年1月 AWS re:Invent 2025 re:Cap
https://jawsug-okinawa.connpass.com/event/377344/

株式会社SHIFT
セキュリティ・ネットワークサービス部
AWSセキュリティコンサルタント
大瀧広宣

Transcript

1. Copyright SHIFT Inc, All Rights Reserved. 2025 / Copyright SHIFT Inc, All Rights Reserved. 1 JAWS 沖縄 株式会社SHIFT セキュリティ・ネットワークサービス部 2025 Japan AWS Ambassadors Hironobu Otaki 17 1 大瀧 広宣 AWSネイティブサービス＆AIサービスで 自社で内製化するAWSセキュリティの PDCAサイクル 2026
2. 2 株式会社SHIFT セキュリティ・ネットワークサービス部 AWSセキュリティコンサルタント、CCoE推進リーダー 大瀧広宣（おおたきひろのぶ） 経歴 IT業界歴30年以上、時代のトレンドに沿ったカテゴリーを選んで転職。 • ソフトウェアエンジニアとして、JavaやHTMLの創成期にWebシステム構築に従事。 • ネットワークエンジニアとして、R&D、自社ネットワークアプリ開発に従事。 • 大手中古車情報サイト運営企業でAWS事業責任者を務め、データセンターのAWS延伸を実現。 • クラウド会計のフリーでCIO補佐を務め、コロナ禍による情シスのクラウド化、モダン情シス化を実現。 • AWSプレミアティアパートナーのサーバーワークスで急成長顧客を担当するPM兼マネージャーを務める。 • 大手ブランド買取企業でAWSのセキュリティ対策PM（DLP対策、個人情報保護）を務める。 • 2024年2月にSHIFTに入社し、AWSセキュリティコンサルタント、CCoE推進リーダーを務める。 自己紹介
3. 3 個人資格 • 2025 AWS Ambassadors • 2025 Japan AWS Top Engineer（Security） • 2024-2025 Japan AWS All Certifications Engineers 企業資格 • AWS アドバンストティアサービスパートナー認定 • AWS 300 APN Certification Distinction • AWS Foundational Technical Review for Service Offering認定 • AWSセキュリティアセスメントサービスが認定取得 • AWS WAFパートナー認定 • 内製化支援推進 AWSパートナー認定 保有資格 3
4. 4 Agenda 1. セキュリティ改善は順序だてて進めよう 2. アセスメントから始めよう 3. AWSセキュリティ対策の基本 4. セキュリティ状況の可視化をしよう 5. セキュリティ改善のPDCAサイクルを回そう 6. AI-Opsを意識しよう 7. さいごに
5. 5 5 セキュリティ改善は順序だてて進めよう
6. 6 セキュリティ対策ロードマップ 現状調査 ThirdParty製 品導入 SIEMonAOS導入 セキュリティ運用検討 運用方針検討 ThirdParty製品検 討（Datadog等） セキュリ ティア ラート 整理と 運用確 立(手 順書含 む） テスト＆修復自動化 SAST/DAST導入 202X年X月 202X年X＋3ヶ月 インフラ対策から アプリ側対策へ移行 ★PDCAサイクルの完成★ 方針決定 インフラ施策 実施 アプリケーションリ ファクタリング AWS Waf L7導入 運用方針決定 ログ可視化 L7Dddos対策 運用確立 エンドポイントセキュリ ティ整理 ワークロード環境モダナイ ズ ネットワークのμセグメン テーション化 L3，L4セキュリティ実 装 被害の極小化 対策 多層防御 運用工数削減 202X年X＋6ヶ月 202X年X＋9ヶ月 202X年X＋12ヶ月 アセスメント
7. 7 7 アセスメントから始めよう
8. 8 セキュリティ対策状況の把握・可視化 ◼ AWSのセキュリティ対策状況を可視化する場合は、お客様の負担が少ない「AWSセキュリティ成 熟度モデル」を利用することをお勧めします。 AWSセキュリティ成熟度モデル ◼ ヒアリング担当者がお客様のAWS環境の状態 をヒアリングシートに基づいてヒアリングを 行い、アセスメントを実施 ◼ お客様側の負担が少なく、セキュリティ状況 の可視化が可能 セキュリティ対策の可視化の方法として お勧めのフレームワーク AWS Well-Architected フレームワーク ◼ AWS管理画面からヒアリング担当者が質問形 式で実施 ◼ 6つの評価軸から構成されており、１つの評価 軸で4時間程度必要（お客様を長時間拘束） ◼ お客様とヒアリング担当者との相性（マッチ ング）が成否のポイントになる アセスメント効率が悪く、可視化には不向き AWSのセキュリティ対策状況の可視化手法
9. 9 ◼ AWSセキュリティ成熟度モデル(AWS Security Maturity Model)v2は、AWSから提供されている、 組織がAWSのセキュリティ対策をどの程度実現できているかを定量的に測るためのフレームワークです。 ◼ 以下の図ように10個のCAFベースのセキュリティカテゴリと、それぞれ4つのフェーズで分類されています。 ＜10個のカテゴリ＞ 1.セキュリティ ガバナンス 2.セキュリティ保証 3.アイデンティティとアクセス管理 4.脅威検出 5.脆弱性管理 6.インフラ保護 7.データ保護 8.アプリケーションセキュリティ 9.インシデント対応 10.回復性 ＜4つのフェーズ＞ 1.クイックウィン（Quick Wins）：まずは実施すべきこと 2.基礎（Foundational）：基本的な設定の実施 3.効率化（Efficient）：自動化を含んだ設定の効率化 4.最適化（Optimized）：クラウドに最適化された仕組みの導入 74項目の質問に答えるだけ AWSセキュリティ成熟度モデルv2
10. 10 可視化結果（例：結果はResultsタグ、Chartsタグに集計されています) ★かなり悪い評価結果ですが、実例です。 セキュリティエンジニア抜きで開発すると、このような結果も珍しくありません。 AWSセキュリティアセスメント可視化の一例
11. 11 11 AWSセキュリティ対策の基本
12. 12 AWSネイティブサービスによるセキュリティ構成例① AWSのネイティブサービスだけで構成することがポイント！！ ワークロード環境 log Archive (証跡) Audit (監査) Amazon Detective AWS WAF AWS Security Hub AWS Shield Amazon GuardDuty Amazon Inspector AWS Trusted Advisor AWS CloudTrail AWS Config 可視化 多層防御 AWS Config AWS CloudTrail Amazon S3 インターネットアクセス Amazon Cognito 認証 1 ２ ３ ４ ６ 5 CloudWatch※ 7 API-GW AWS Security Hub インシデント集約 ログ集約 ８ 10 9
13. AWSにおける脅威対策マップ 項番 脅威内容 対策 番号（構成図） 1 OSSの脆弱性 Amazon Inspector ⑧ 2 ランサムウェア AWS-Backupのコンプライアンスモードによるバック アップ保護 3 SQLインジェクション、XSS、 DDoS、ブルートフォースなど OWASP Top 10に該当する攻撃 AWS Shield、AWS WAF+マネージドルールセット ⑨＋④ 4 AWS設定ミス、アクセスキー漏洩 AWS Config、CloudTrail、TrusedAdvisor (有償オプションのセキュリティ設定） ②＋①＋⑩ 5 仮想通貨マイニング AWS Budgetsによるリソース課金監視 6 マルウェア、その他の未知の脅威 Amazon GuardDuty （ランタイムモニタリング、S3プロテクション、S3マ ルウェアスキャン） ⑥ ◼ AWSにおけるセキュリティサービスは、カバーする脅威対策を想定し実装を行います。 ◼ 以下１,３,４,６についてはインシデントを統合し、インシデントレベルの高いものから対策を行うのが基本です。
14. AWSにおける最低限のセキュリティ ◼ AWSにおけるセキュリティ設定は最低限以下を推奨します。 ◼ こちらの内容はAWSのプレミアパートナー企業であれば最低限実施されている項目となり、AWS マネージド サービスプロバイダー (MSP) プログラム MSP 検証チェックリストでも定義されているものです。 出典：https://partners.awscloud.com/GLOBAL-homekey-IND-Managed-Service-Provider-Program-2025-interest.html
15. 項番 ログ内容 対応サービス 番号（構成図） 1 AWS APIのCallの履歴（いつ、誰が、何をしたか) AWS CloudTrail ① 2 AWS設定変更操作ログ AWS Config ② 3 公開APIのユーザー認証ログ AWS Cognito ③ 4 L7レベルの不正アタックログ AWS WAF ④ 5 公開APIへのアクセスログ API-GW ⑤ 6 AWS環境への不正アクセスの検知ログ Amazon GuardDuty ⑥ 7 各種アプリケーションの動作ログ CloudWatch ⑦ 有事の際に備え、ログはしっかり残そう ▪不正検知の際に、事象を追跡、影響範囲を特定するためにセキュリティログはしっかり残しましょう。 ▪ログの改ざんを防ぐため、ログ専用のAWSアカウントにログを集約しましょう。 ▪集約したログは1年間は即時参照可能な形式で保存し、1年経過後は3年間アーカイブ保存することを推奨しま す。企業がもつ情報セキュリティポリシーに合わせた形で決定することが好ましいです。
16. 16 16 セキュリティ状況の 可視化をしよう
17. SIEMonAOSでセキュリティ状況を可視化しよう ★立ち上がるAWSリソースの利用料はかかります。入手先は以下↓↓ https://github.com/aws-samples/siem-on-amazon-opensearch-service/blob/main/README_ja.md WAF Sample GuardDuty Sample ▪取得したログは可視化して見やすくしましょう。AWSが提供するSIEMonAOSを利用すれば無料で（★）簡単に可視化 ができます。 ▪提供されるCloudFormationを実行することで30分ほどで構築されます。 ▪アドオンタイプなので、既設環境への影響度はないです。
18. 18 AWSネイティブサービスによるセキュリティ構成例② AWS CloudTrail Amazon GuardDuty S3 log Bucket ワークロード環境 Amazon EventBridge AWS Security Hub S3 Cross Account Replication Amazon OpenSearch Service OpenSearch Dashboards Amazon Kinesis S3 event log Bucket S3 log Bucket AWS Lambda S3 Loader SIEM on AOS環境 SIEM On AOS 参照 S3 Bucket Amazon GuardDuty AWS CloudTrail AWS Security Hub S3 Replication Amazon Kinesis Amazon EventBridge S3 event log Bucket S3 log Bucket S3 log Bucket Office Users Internet Availability Zone 1 東京Region 東京Region 接続をオフィ スGIPに限定 AWSのネイティブサービスだけで構成することがポイント！！
19. 可視化すべきもの GuardDutyのアラート監視の実施 アラート内容の調査 • 誰が、いつ、なにをしたかを明確にしましょう。 • GuardDutyだけではわからないのでCloudTrailも併用しましょう。 ▪SEIMonAOSを導入したら最低限、GuardDutyとWAF＆LB、CloudTrailのログは可視化しましょう。 CloudTrailで特権ユーザーの監視を行う 重大な情報漏洩は内部犯行がほとんどです。特権ユーザー挙動をしっかりトレースしましょう WAF&LBのログ可視化 Countモードでなにを検出したか、なにをBlockしたのかをチェックしましょう。 • Countモードでの運用はなにもしていないのと同じです。 • 可視化することで、以下の判断がしやすくなります。生ログでの判断は苦行です。。。 • Blockなら誤検知ではないか • CountならBlockしなくていいのか
20. 20 20 セキュリティ改善の PDCAサイクルを回そう
21. セキュリティ改善に終わりはありません。 今起こったセキュリティインシデントを潰してもまたすぐ違うインシデントが発生します。 インシデントが発生した時の対応スキームをしっかり整備しましょう。 スキームに従って定期的に対応を実施することが大事です。 セキュリティ運用の確立スキーム 1. セキュリティ発生状況を可視化し、対応の優先順位を決める 2. まずは発生しているインシデントをできるだけ潰す 3. 潰したノウハウをもとにインシデントが発生した時の対応手順書を作成する 4. 新規に発生したインシデントは対応手順書に基づき対応する 5. 発生したインシデントをチケット化し、だれがいつまでに対応するのか明確にする運用フローを策定する 6. チケットに基づき、運用フローのPDCAサイクルを回しセキュリティ状況を担保する セキュリティ改善のPDCAサイクル
22. 22 22 AI-Opsを意識しよう
23. 23 AI-Opsを意識しよう ▪アラートログを人間系で確認し一次切り分けする時代は終わりつつあります。 AWSのAIサービスをフル活用し、発生したインシデントの一次切り分けを実施しましょう。 ▪わからないことはAmazon Q Developerに聞くことで、かなりの情報が得られます。 AWS Shield network security director • AWS内のネットワークリソースの可視化をし、不⾜または誤設定されたネットワークセキュリティサービスを特定し、 推奨の修正手順を提⽰ • 自然⾔語でネットワークセキュリティ構成に関する質問に簡単に回答を得ることも可能 CloudWatch Investigations(クラウドウォッチ インベスティゲーションズ) • システムのインシデント対応を支援する生成AIを活用したアシスタント • システム内にあるテレメトリデータを元に何が起こっているのか推察し仮説を立てて根本原因を突き止めていく機能 AWS Security Agent（New！Re:Invent2025 で発表された。まだプレビュー版） • コードやアプリに対するセキュリティチェックをするAIエージェント • SAST（アプリケーションコードのセキュリティレビュー）、DAST（侵入テスト）に加え、設計書のレビューまでする
24. Copyright SHIFT Inc., All Rights Reserved. ご清聴ありがとうございました 24