CloudWatchLogsが個人情報保護の盲点になっていませんか？

JAWSUG SRE支部 #6 LT発表資料
https://jawsug-sre.connpass.com/event/280862/presentation/

CloudWatch Logsに出力されているデータの機密情報を保護するにはどうしたよいか？という話です。

Transcript

1. $MPVE8BUDI-PHT͕
   ݸਓ৘ใอޢͷ
   ໡఺ʹͳͬͯ·ͤΜ͔ʁ
   גࣜձࣾΩϟϯαʔεΩϟϯ
   อࡔ কฏ
   

   View Slide

2. $MPVE8BUDI-PHTʹ
   ػີ৘ใ͸ͳ͍ͱݴ͍੾Ε·͔͢ʁ
   ग़͞ͳ͍ͷ͕લఏ͚ͩͲʜ
   • $MPVE8BUDI΋ؚΊͨσʔλͷϥΠϑαΠΫϧ੔ཧ
   • ඞཁͳϩά͸࢒ͭͭ͠ɺػີ৘ใ͸ഉআ͢ΔͨΊͷϚεΩϯά΍Ճ޻
   

   View Slide

3. ࣗݾ঺հ /3*ˠ ΩϟϯαʔεΩϟϯ
   • ໺ଜ૯߹ݚڀॴ
   • ۚ༥ܥγεςϜͷ"84ج൫
   • גࣜձࣾΩϟϯαʔεΩϟϯ
   • Πϯϑϥ݉43&୲౰
   • ࣾ಺ͷڞ௨"84ج൫࡞ͬͨΓʜ
   • 8FCαʔϏεͷ43&΍ͬͨΓʜ
   • σʔλ෼ੳج൫࡞ͬͨΓʜ
   • ݄຤ʹଉࢠ͕஀ੜ༧ఆ
   

   View Slide

4. ஍ํ࣏ࣗମ
   ΩϟϯαʔεΩϟϯ͸
   ݈߁σʔλΛར༻͠ɺ༧๷ߦಈΛଅ͢ࣄۀΛల։
   ݈߁อݥͷ਍ྍใुσʔλ
   ͲΜͳ࣏ྍ΍
   ݕࠪΛड͚͔ͨ
   
   ΩϟϯαʔεΩϟϯ ࢢຽͷօ༷
   σʔλΛ෼ੳ͠ɺ
   ϚʔέςΟϯά͢Δ
   ݕ਍ͷड਍ͳͲ
   ༧๷ߦಈΛଅ͢
   葉書
   SMSや電話
   メール
   ʮਓͱࣾձΛ݈߁ʹʯ
   

   View Slide

5. ཁ݅ɿࣗ༝ʹ෼ੳͭͭ͠ɺద੾ʹػີ৘ใΛ؅ཧ͢Δ
   • σʔλ͸࣏ࣗମɾࢢຽ͔Βͷ༬͔Γ΋ͷʹ୯೥౓Ͱ࡟আ͢Δ
   • Ұ෦ͷ࣏ࣗମͰ͸ݫ֨ͳ࡟আํ๏΍ϥΠϑαΠΫϧͷࢦఆ͕͋Δɻ
   • ؂ࠪূ੻ͳͲɺඞཁͳϩά͸࢒͢ɻ
   • ୯ͳΔݸਓ৘ใҎ্ͷηϯγςΟϒͳ৘ใΛѻ͏
   • ϫʔΫϑϩʔཱ͕֬͞Ε͍ͯͳ͍σʔλ෼ੳ͕͋Δɻ
   

   View Slide

6. ·ͣ΍Δ͜ͱɿσʔλͷϥΠϑαΠΫϧ ໡఺
   ͷ೺Ѳ
   • Ͳ͜ʹɺԿ͕ɺ͍ͭɺอଘ஝ੵ׆༻͞Ε͍ͯΔ͔ΛݟΔ
   • ͍ͭɺͲ͏΍ͬͯ࡟আ͢΂͖͔
   • ୭͕ΞΫηεͰ͖ΔʢڐՄ͢Δʣ͔
   S3 Sagemaker
   4BHF.BLFS 5SBJOJOHKPCͷ
   $MPVE8BUDI-PHTʹΤϥʔϩά͕
   ग़ΔͱॲཧͰ͖ͳ͔ͬͨϨίʔυ͕ʜ
   4BHF.BLFS 4UVEJPOPUFCPPLTIBSF
   ػೳΛ࢖͏ͱ4ʹσʔλ୳ࡧͷ݁Ռ͕
   ʜ
   

   View Slide

7. ؂ࠪϩά
   ΞϓϦϩά
   ϩάຖʹϥΠϑαΠΫϧ͸ҧ͏
   • ϥΠϑαΠΫϧͷҧ͏ϩάΛѻ͏ඞཁ͕͋Δ
   • ܖ໿ऴྃޙʹݸਓ৘ใ͸࡟আ͕ඞཁ
   • ୭͕͍ͭԿΛ͔ͨ͠ͷ؂ࠪϩά͸ܖ໿ऴྃޙʹ΋อଘ͕ඞཁ
   "QQT
   ػີ৘ใ͕͋ͬͯ΋ɺద੾ʹ
   ΞΫηε੍ޚͯ͠࡟আ͢Ε͹
   ໰୊ͳ͍
   ௕ظอଘ͢ΔͨΊʹɺػີ৘
   ใ͸࡟আͯ͠อଘ͍ͨ͠
   

   View Slide

8. "QQT
   ࣍ʹ΍Δ͜ͱɿ֤ϥΠϑαΠΫϧʹ͍ͭͯݕ౼
   • ஝ੵɾอଘ ༻్ɺίετ΍ΞΫηεੑΛߟྀͨ͠อଘํ๏ͷݕ౼ɻ
   ػີ৘ใͷ࡟আ
   • ׆༻ ద੾ͳΞΫηε੍ޚํ๏ͷݕ౼
   • ࡟আ ద੾ͳ࡟আλΠϛϯάɺ࡟আํ๏ͷݕ౼
   Glacier
   s3 standard
   CloudWatch
   Logs
   

   View Slide

9. ΞϓϦέʔγϣϯϩά ݉ ؂ࠪϩά
   4BHFNBLFS౳ͷϩάͰݸਓ৘ใͷอޢ
   • 4BHFNBLFS 4UVEJP΍5SBJOJOH+PCͳͲ͸ΞϓϦέʔ
   γϣϯ OPUFCPPLͷૢ࡞ͳͲ
   Λͦͷ··؂ࠪ໨తͰอଘ͠
   ͓͖͍ͯͨ
   • ΞϓϦέʔγϣϯͷϩά͸σόοά΍σʔλͷ୳ࡧͳͲʹඞཁɻ
   • ҰํͰશ෦࢒ͯ͠͠·͏ͱɺػີ৘ใ·Ͱ࢒ͬͯ͠·͏ɻ
   "QQT
   

   View Slide

10. ΞϓϦϩά ݉ ؂ࠪϩά
    ҊɿEBUBQSPUFDUJPO͸೔ຊޠඇରԠʜ
    • $MPVE8BUDI-PHT%BUBQSPUFDUJPOΛ࢖ͬͯػີ৘ใ
    ͕ϚεΫͰ͖Δʜ͚Ͳ೔ຊޠ͸ඇରԠ
    • ॅॴ΍ΫϨΧͷ൪߸͸อޢର৅͕ͩɺ೔ຊޠ͸͏·͘ݕ஌ͯ͘͠Εͳ
    ͍ɻ
    "QQT
    MPHΛอଘ͢ΔλΠϛϯάͰ
    EBUBQSPUFDUJPOͰϚεΫ͠
    ͯ͠·͏
    Data
    protection
    

    View Slide

11. ؂ࠪϩά
    ΞϓϦϩά
    ҊɿTVCTDSJQUJPOGJMUFSͰϚεΫͨ͠
    σʔλΛ4ʹసૹͯ͠อଘ
    • ϩάͷಛఆͷύλʔϯΛ஄͚ΔͷͰ͋Ε͹༗ޮ
    • &SSPS%FCVHͳͲΘ͔Γ΍͍͢ූ߸͕͋Ε͹؆୯ʹͰ͖Δɻ
    • ϚϧνόΠτจࣈɺͳͲͷෳࡶͳύλʔϯ͸೉͍͠ɻ
    "QQT
    ໌֬ʹݸਓ৘ใ͕ಛఆͰ͖Δ
    ύλʔϯ͕͋Ε͹0,
    firehose
    subscription
    filter
    

    View Slide

12. ؂ࠪϩά
    ΞϓϦϩά
    Ҋɿ4ʹసૹͨ͋͠ͱʹ޷͖ʹՃ޻
    • ͳΜͰ΋Ͱ͖Δ͕ɺ৭ʑͱେม
    • HMVF΍LJOFTJTͳͲ৭ʑͳํ๏͕औΕΔɻ
    • ࣗ༝౓΋ߴ͍͕ઃܭɾ։ൃɾӡ༻͸೉͍͠ɻ
    • ͜͜·ͰདྷΔͱαʔυύʔςΟ੡඼Λߟ͑ͨํ͕ྑ͍͔΋ʜ
    "QQT
    ࣗ༝౓͸ߴ͘৭ʑͳΞʔΩς
    Ϋνϟ͕ߟ͑ΒΕΔ͕ɺߏங
    ΍ӡ༻ͷख͕ؒେ͖͍
    Ճ޻લ
    όέοτ
    Ճ޻ࡁ
    όέοτ
    

    View Slide

13. ؂ࠪϩά
    ΞϓϦϩά
    ࡟আํ๏ͷݕ౼ɿ҉߸ԽফڈΛݕ౼͢Δ
    • /*4541ʮഔମͷσʔλຣফॲཧʢαχλΠζʣ
    ʹؔ͢ΔΨΠυϥΠϯʯ
    • ϋʔυσΟεΫͷഁյͳͲ෺ཧతͳ࡟আ͕Ͱ͖ͳ͍
    • ҉߸Խͯ͠҉߸ݤΛ࡟আ͢Δ͜ͱͰɺ෮ݩෆՄೳʹ͢Δ
    "QQT
    $MPVE8BUDI΋ϩάάϧʔϓ
    ୯ҐͰ,.4ͷ҉߸ԽΛࢦఆ
    Ͱ͖Δ
    

    View Slide

14. ຊ೔ͷ·ͱΊ
    • Կ͸ͱ΋͋Εɺσʔλ ϩά
    ͷϥΠϑαΠΫϧΛਖ਼֬ʹ೺Ѳ͢
    Δɻ
    • ϩά΋ؚΊͯͲΜͳσʔλ͕Ͳ͜ʹ͋Δͷ͔Λཧղ͢Δ͜ͱ͕ୈҰาɻ
    • ͜ΕΛ΍͓͚ͬͯ͹େৎ෉ɺͱ͍͏ରࡦ͸ͳ͍
    • ϥΠϑαΠΫϧͱσʔλͷத਎ʹ߹Θͤͯద੾ͳରࡦΛݕ౼͢Δɻ
    • ஝ੵɾอଘɾ׆༻ɾ࡟আͷ͢΂ͯͷஈ֊Λݕ౼͢Δɻ
    

    View Slide

15. ҎԼิ଍
    

    View Slide

16. $MPVE8BUDI-PHTͷΞΫηε੍ޚ
    • ୭͕ΞΫηεͯ͠Α͍͔Λ੔ཧ͢Δɻ
    • $MPVE8BUDI-PHTͷΞΠσΟϯςΟςΟϕʔεͷ*".Ͱ੍ޚ
    ͢Δɻ
    • Ϧιʔεϕʔεͷ੍ޚ͸Ͱ͖ͳ͍ɻ
    • ,.4ͷΩʔϙϦγʔͰͷ੍ޚ΋Ͱ͖ͳ͍ɻ
    

    View Slide

17. ஝ੵɾอଘɿ௕ظอଘ͸4΁
    • $MPVE8BUDI͸ίετޮ཰͕ѱ͍ɺ͔ΘΓʹίϯιʔϧ͔Β
    ௥͍΍͍͢
    • ΞΫηε͕ݮΔ࣌ظΛݕ౼ͯ͠4ʹసૹ͢Δɻ
    • ͙͢ʹऔΓग़͢ඞཁ͕ͳ͍৔߹͸(MBDJFS΁
    Glacier
    s3 standard
    CloudWatch
    Logs
    firehose
    AWS Lambda Step Function
    

    View Slide