CloudWatchLogsが個人情報保護の盲点になっていませんか？

JAWSUG SRE支部 #6 LT発表資料
https://jawsug-sre.connpass.com/event/280862/presentation/

CloudWatch Logsに出力されているデータの機密情報を保護するにはどうしたよいか？という話です。

Transcript

1. $MPVE8BUDI
   -PHT͕ ݸਓ৘ใอޢͷ ໡఺ʹͳͬͯ·ͤΜ͔ʁ גࣜձࣾΩϟϯαʔεΩϟϯ อࡔ কฏ
2. $MPVE8BUDI
   -PHTʹ ػີ৘ใ͸ͳ͍ͱݴ͍੾Ε·͔͢ʁ ग़͞ͳ͍ͷ͕લఏ͚ͩͲʜ • $MPVE8BUDI΋ؚΊͨσʔλͷϥΠϑαΠΫϧ੔ཧ • ඞཁͳϩά͸࢒ͭͭ͠ɺػີ৘ใ͸ഉআ͢ΔͨΊͷϚεΩϯά΍Ճ޻
3. ࣗݾ঺հ /3*
   ˠ ΩϟϯαʔεΩϟϯ • 
   ໺ଜ૯߹ݚڀॴ • ۚ༥ܥγεςϜͷ"84ج൫ •  גࣜձࣾΩϟϯαʔεΩϟϯ • Πϯϑϥ݉43&୲౰ • ࣾ಺ͷڞ௨"84ج൫࡞ͬͨΓʜ • 8FCαʔϏεͷ43&΍ͬͨΓʜ • σʔλ෼ੳج൫࡞ͬͨΓʜ • ݄຤ʹଉࢠ͕஀ੜ༧ఆ
4. ஍ํ࣏ࣗମ ΩϟϯαʔεΩϟϯ͸ ݈߁σʔλΛར༻͠ɺ༧๷ߦಈΛଅ͢ࣄۀΛల։ ݈߁อݥͷ਍ྍใुσʔλ ͲΜͳ࣏ྍ΍ ݕࠪΛड͚͔ͨ ΩϟϯαʔεΩϟϯ ࢢຽͷօ༷ σʔλΛ෼ੳ͠ɺ ϚʔέςΟϯά͢Δ ݕ਍ͷड਍ͳͲ ༧๷ߦಈΛଅ͢ 葉書 SMSや電話 メール ʮਓͱࣾձΛ݈߁ʹʯ
5. ཁ݅ɿࣗ༝ʹ෼ੳͭͭ͠ɺద੾ʹػີ৘ใΛ؅ཧ͢Δ • σʔλ͸࣏ࣗମɾࢢຽ͔Βͷ༬͔Γ΋ͷʹ୯೥౓Ͱ࡟আ͢Δ • Ұ෦ͷ࣏ࣗମͰ͸ݫ֨ͳ࡟আํ๏΍ϥΠϑαΠΫϧͷࢦఆ͕͋Δɻ • ؂ࠪূ੻ͳͲɺඞཁͳϩά͸࢒͢ɻ • ୯ͳΔݸਓ৘ใҎ্ͷηϯγςΟϒͳ৘ใΛѻ͏ • ϫʔΫϑϩʔཱ͕֬͞Ε͍ͯͳ͍σʔλ෼ੳ͕͋Δɻ
6. ·ͣ΍Δ͜ͱɿσʔλͷϥΠϑαΠΫϧ ໡఺ ͷ೺Ѳ • Ͳ͜ʹɺԿ͕ɺ͍ͭɺอଘ஝ੵ׆༻͞Ε͍ͯΔ͔ΛݟΔ • ͍ͭɺͲ͏΍ͬͯ࡟আ͢΂͖͔ • ୭͕ΞΫηεͰ͖ΔʢڐՄ͢Δʣ͔ S3 Sagemaker 4BHF.BLFS 5SBJOJOH
   KPCͷ $MPVE8BUDI
   -PHTʹΤϥʔϩά͕ ग़ΔͱॲཧͰ͖ͳ͔ͬͨϨίʔυ͕ʜ 4BHF.BLFS 4UVEJP
   OPUFCPPL
   TIBSF ػೳΛ࢖͏ͱ4ʹσʔλ୳ࡧͷ݁Ռ͕ ʜ
7. ؂ࠪϩά ΞϓϦϩά ϩάຖʹϥΠϑαΠΫϧ͸ҧ͏ • ϥΠϑαΠΫϧͷҧ͏ϩάΛѻ͏ඞཁ͕͋Δ • ܖ໿ऴྃޙʹݸਓ৘ใ͸࡟আ͕ඞཁ • ୭͕͍ͭԿΛ͔ͨ͠ͷ؂ࠪϩά͸ܖ໿ऴྃޙʹ΋อଘ͕ඞཁ "QQT ػີ৘ใ͕͋ͬͯ΋ɺద੾ʹ ΞΫηε੍ޚͯ͠࡟আ͢Ε͹ ໰୊ͳ͍ ௕ظอଘ͢ΔͨΊʹɺػີ৘ ใ͸࡟আͯ͠อଘ͍ͨ͠
8. "QQT ࣍ʹ΍Δ͜ͱɿ֤ϥΠϑαΠΫϧʹ͍ͭͯݕ౼ • ஝ੵɾอଘ ༻్ɺίετ΍ΞΫηεੑΛߟྀͨ͠อଘํ๏ͷݕ౼ɻ ػີ৘ใͷ࡟আ • ׆༻ ద੾ͳΞΫηε੍ޚํ๏ͷݕ౼ • ࡟আ ద੾ͳ࡟আλΠϛϯάɺ࡟আํ๏ͷݕ౼ Glacier s3 standard CloudWatch Logs
9. ΞϓϦέʔγϣϯϩά ݉ ؂ࠪϩά 4BHFNBLFS౳ͷϩάͰݸਓ৘ใͷอޢ • 4BHFNBLFS 4UVEJP΍5SBJOJOH
   +PCͳͲ͸ΞϓϦέʔ γϣϯ OPUFCPPLͷૢ࡞ͳͲ Λͦͷ··؂ࠪ໨తͰอଘ͠ ͓͖͍ͯͨ • ΞϓϦέʔγϣϯͷϩά͸σόοά΍σʔλͷ୳ࡧͳͲʹඞཁɻ • ҰํͰશ෦࢒ͯ͠͠·͏ͱɺػີ৘ใ·Ͱ࢒ͬͯ͠·͏ɻ "QQT
10. ΞϓϦϩά ݉ ؂ࠪϩά ҊɿEBUB
    QSPUFDUJPO͸೔ຊޠඇରԠʜ • $MPVE8BUDI
    -PHT
    %BUB
    QSPUFDUJPOΛ࢖ͬͯػີ৘ใ ͕ϚεΫͰ͖Δʜ͚Ͳ೔ຊޠ͸ඇରԠ • ॅॴ΍ΫϨΧͷ൪߸͸อޢର৅͕ͩɺ೔ຊޠ͸͏·͘ݕ஌ͯ͘͠Εͳ ͍ɻ "QQT MPHΛอଘ͢ΔλΠϛϯάͰ EBUB
    QSPUFDUJPOͰϚεΫ͠ ͯ͠·͏ Data protection
11. ؂ࠪϩά ΞϓϦϩά ҊɿTVCTDSJQUJPO
    GJMUFSͰϚεΫͨ͠ σʔλΛ4ʹసૹͯ͠อଘ • ϩάͷಛఆͷύλʔϯΛ஄͚ΔͷͰ͋Ε͹༗ޮ • &SSPS%FCVHͳͲΘ͔Γ΍͍͢ූ߸͕͋Ε͹؆୯ʹͰ͖Δɻ • ϚϧνόΠτจࣈɺͳͲͷෳࡶͳύλʔϯ͸೉͍͠ɻ "QQT ໌֬ʹݸਓ৘ใ͕ಛఆͰ͖Δ ύλʔϯ͕͋Ε͹0, firehose subscription filter
12. ؂ࠪϩά ΞϓϦϩά Ҋɿ4ʹసૹͨ͋͠ͱʹ޷͖ʹՃ޻ • ͳΜͰ΋Ͱ͖Δ͕ɺ৭ʑͱେม • HMVF΍LJOFTJTͳͲ৭ʑͳํ๏͕औΕΔɻ • ࣗ༝౓΋ߴ͍͕ઃܭɾ։ൃɾӡ༻͸೉͍͠ɻ • ͜͜·ͰདྷΔͱαʔυύʔςΟ੡඼Λߟ͑ͨํ͕ྑ͍͔΋ʜ "QQT ࣗ༝౓͸ߴ͘৭ʑͳΞʔΩς Ϋνϟ͕ߟ͑ΒΕΔ͕ɺߏங ΍ӡ༻ͷख͕ؒେ͖͍ Ճ޻લ όέοτ Ճ޻ࡁ όέοτ
13. ؂ࠪϩά ΞϓϦϩά ࡟আํ๏ͷݕ౼ɿ҉߸ԽফڈΛݕ౼͢Δ • /*4541
    ʮഔମͷσʔλຣফॲཧʢαχλΠζʣ ʹؔ͢ΔΨΠυϥΠϯʯ • ϋʔυσΟεΫͷഁյͳͲ෺ཧతͳ࡟আ͕Ͱ͖ͳ͍ • ҉߸Խͯ͠҉߸ݤΛ࡟আ͢Δ͜ͱͰɺ෮ݩෆՄೳʹ͢Δ "QQT $MPVE8BUDI΋ϩάάϧʔϓ ୯ҐͰ,.4ͷ҉߸ԽΛࢦఆ Ͱ͖Δ
14. ຊ೔ͷ·ͱΊ • Կ͸ͱ΋͋Εɺσʔλ ϩά ͷϥΠϑαΠΫϧΛਖ਼֬ʹ೺Ѳ͢ Δɻ • ϩά΋ؚΊͯͲΜͳσʔλ͕Ͳ͜ʹ͋Δͷ͔Λཧղ͢Δ͜ͱ͕ୈҰาɻ • ͜ΕΛ΍͓͚ͬͯ͹େৎ෉ɺͱ͍͏ରࡦ͸ͳ͍ • ϥΠϑαΠΫϧͱσʔλͷத਎ʹ߹Θͤͯద੾ͳରࡦΛݕ౼͢Δɻ • ஝ੵɾอଘɾ׆༻ɾ࡟আͷ͢΂ͯͷஈ֊Λݕ౼͢Δɻ
15. ҎԼิ଍
16. $MPVE8BUDI
    -PHTͷΞΫηε੍ޚ • ୭͕ΞΫηεͯ͠Α͍͔Λ੔ཧ͢Δɻ • $MPVE8BUDI
    -PHTͷΞΠσΟϯςΟςΟϕʔεͷ*".Ͱ੍ޚ ͢Δɻ • Ϧιʔεϕʔεͷ੍ޚ͸Ͱ͖ͳ͍ɻ • ,.4ͷΩʔϙϦγʔͰͷ੍ޚ΋Ͱ͖ͳ͍ɻ
17. ஝ੵɾอଘɿ௕ظอଘ͸4΁ • $MPVE8BUDI͸ίετޮ཰͕ѱ͍ɺ͔ΘΓʹίϯιʔϧ͔Β ௥͍΍͍͢ • ΞΫηε͕ݮΔ࣌ظΛݕ౼ͯ͠4ʹసૹ͢Δɻ • ͙͢ʹऔΓग़͢ඞཁ͕ͳ͍৔߹͸(MBDJFS΁ Glacier s3 standard CloudWatch Logs firehose AWS Lambda Step Function