AWS環境での Sophos UTM 稼働・運用のポイント

164a161443835d8479c19d33241cab2a?s=47 smokeymonkey
September 10, 2015

AWS環境での Sophos UTM 稼働・運用のポイント

9/10 SOPHOS PARTNER SUMMIT 2015
http://sophos-event.jp/sps2015/

164a161443835d8479c19d33241cab2a?s=128

smokeymonkey

September 10, 2015
Tweet

Transcript

  1. 5.

    5 会社紹介   l a s v d I  

      : 7 6 9 : 8 jc m l a m c pel 105 4 p s p s , , ./3 o l e clp O h o l e C Cclp o l eclp s 16B6O s J t   ” 052 Q t   ” P eS Q P eS Q eS eS classmethod.jp
  2. 6.

    w "84ϓϨϛΞίϯαϧςΟϯάύʔτφʔೝఆ w ੈքࣾ  w "1/Ϗοάσʔλίϯϐςϯγʔೝఆ w ੈքࣾ 

    w "1/ϞόΠϧίϯϐςϯγʔೝఆ w ੈքࣾ  w "84ίϛϡχςΟώʔϩʔೝఆ w ੈքਓɺࣾ௕ԣా 6 AWSのプロフェッショナル集団 classmethod.jp
  3. 15.

    15 Amazon  Web  Services  (AWS) w ถ"NB[PO͕ఏڙ͢ΔύϒϦοΫΫϥ΢υαʔϏε w ೥݄ʹͭͷαʔϏεͰελʔτ w

    ݱ࣌఺Ͱ໿ͷαʔϏε͕ఏڙ w ೥݄ʹ౦ژϦʔδϣϯ͕։ઃ w ݱ࣌఺ͰશੈքϦʔδϣϯͰఏڙ w ಺ͭ (PW$MPVEɺ๺ژ ͸Ұൠར༻ෆՄ classmethod.jp
  4. 16.

    16 Magic  Quadrant  for  Cloud  Infrastructure  as  a  Service From:Magic

     Quadrant  for  Cloud   Infrastructure  as  a  Service,   Worldwide   http://www.gartner.com/ technology/reprints.do? id=1-‐‑‒2G2O5FC&ct=150519&st=sb ʮ*BB4Ϋϥ΢υαʔϏεʹ͓͚ΔϦʔμʔʯ classmethod.jp
  5. 17.

    17 AWSの特徴  D A A2 C C  

    "# $%      !  D C A A W 0 4 D C 2 2 W D W D C CW 4 D 0 C C 0 S C D D C A2 S classmethod.jp
  6. 18.

    18 AWSが提供する多様なサービス ! Amazon!VPC Direct!Connect Route!53 EC2 ! Lambda !

    EC2!Container!Service RDS ! DynamoDB ! Redshi@! S3 Glacier ! Storage!Gateway! CloudFront ElasFc!Beanstalk ! OpsWorks CodeDeploy ! CloudFormaFon EMR Kinesis ! Data!Pipeline Directory!Service IAM ! Trusted!Advisor CloudTrail ! Config CloudWatch Cognito ! Mobile!AnalyFcs ! SNS SQS SWF SES ! AppStream CloudSearch ! ElasFc!Transcoder WorkSpaces ! WorkDocs ! WorkMail ! ElasFCache ! ! ! ! classmethod.jp
  7. 20.

    20 Sophos  UTM w ηΩϡϦςΟػೳΛΦʔϧΠϯϫϯ w ωοτϫʔΫอޢ w ϑΝΠΞ΢Υʔϧɺ*14ɺ71/ w

    ϫΠϠϨεอޢ w ϊʔυ؅ཧɺκʔϯ෼཭ɺΞΫηε੍ޚ w 8FCอޢ w 8FCϚϧ΢ΣΞอޢɺ63-ϑΟϧλϦϯάɺ)5514εΩϟϯ w ϝʔϧอޢ w ҉߸Խɺྲྀग़๷ࢭɺΞϯνεύϜ w 8FCαʔόอޢ w 8"'ɺϦόʔεϓϩΩγೝূɺϚϧ΢ΣΞεΩϟϯɺ44-Φϑϩʔυ classmethod.jp
  8. 21.
  9. 22.

    22 Sophos  UTM  on  EC2 w ".* "NB[PO.BDIJOF*NBHF ͱͯ͠ఏڙ w

    "NB[PO&$ &MBTUJD$MPVE$PNQVUJOHɺԾ૝αʔόαʔ Ϗε ্Ͱىಈ͢Δ w ϋʔυ΢ΣΞΞϓϥΠΞϯε΍ιϑτ΢ΣΞ*40Πϝʔδ ͱͯ͠ఏڙ͞Ε͍ͯΔ4PQIPT65.ͱػೳʹࠩҟ͸ແ͍ɻ AWS Cloud EC2 Sophos   UTM   AMI = classmethod.jp
  10. 23.

    23 Sophos  UTM  on  EC2のライセンス w ϥΠηϯεܗଶ͸छྨ w ࣌ؒ՝ۚ ΦϯσϚϯυ

     w &$Πϯελϯεͷར༻ྉۚͱɺ4PQIPT65.ͷϥΠη ϯεྉۚΛɺར༻ͨ࣌ؒ͠෼͚ͩ՝ۚ͞ΕΔ w ੥ٻ͸શͯ"84͔ΒߦΘΕΔ w ݸผʹϥΠηϯεߪೖΛ͢Δඞཁ͕ͳ͍ w ྉۚ͸࢖༻͢ΔϦʔδϣϯͱΠϯελϯελΠϓʹΑͬͯ ҧ͏ w Ұ࣌ར༻΍ݕূ؀ڥ༻ͱͯ͠ద༻͢Δ͜ͱ͕ଟ͍ classmethod.jp
  11. 26.

    26 w #:0- #SJOH:PVS0XO-JDFOTF  w ϥΠηϯεΛ࣋ͪࠐΜͰ࢖༻͢Δ w ϥΠηϯε͸4PQIPTϦηϥʔ͔Βߪೖ w

    "84͔Β͸&$Πϯελϯεͷར༻ྉۚ ࣌ؒ՝ۚ ͚ͩ ੥ٻ w ྉۚ͸࢖༻͢ΔϦʔδϣϯͱΠϯελϯελΠϓʹΑͬ ͯҧ͏ w ຊ൪ར༻Ͱ͸#:0-͕ଟ͍ classmethod.jp Sophos  UTM  on  EC2のライセンス
  12. 28.

    28 Sophos  UTM  on  EC2のサポート w "84͸ɺ"84ʹؔ࿈͢Δ಺༰ͷΈαϙʔτ͢Δ w 4PQIPT65.ͷαϙʔτ͕ඞཁͳ৔߹͸ɺผ్ߪೖ͕ඞཁ w

    ࣌ؒ՝ۚͷ৔߹ˠ4PQIPTϦηϥʔ͔Β65.αϙʔτΛ ߪೖ w #:0-ͷ৔߹ˠ4PQIPTϦηϥʔ͔ΒϥΠηϯεͱҰॹʹ 65.αϙʔτΛߪೖ classmethod.jp
  13. 29.

    29 Sophos  UTM  on  EC2の起動⽅方法 w "84.BSLFUQMBDF͔Βىಈ w ࣌ؒ՝ۚͱ#:0-Ͱىಈը໘͕ผ w

    ݱ࣌఺Ͱͷ࠷৽όʔδϣϯ͸ 時間課⾦金金 BYOL classmethod.jp
  14. 30.

    30 Sophos  UTM  on  EC2のサイジング w ϋʔυ΢ΣΞͱҧ͍ɺ"84Ͱ͸ޙ͔Βࣗ༝ʹɺ਺ΫϦοΫͰมߋ Մೳ w ύϑΥʔϚϯε͕଍Γͳ͍ˠΠϯελϯελΠϓΛେ͖͘͢Δ

    w ύϑΥʔϚϯε͕༨৒ˠΠϯελϯελΠϓΛখ͘͢͞Δ w ͲͷΑ͏ͳγεςϜͰ͋ͬͯ΋ɺαʔϏε։࢝ޙͷτϥϑΟοΫ Λਖ਼֬ʹ༧ଌ͢Δ͜ͱ͸ࠔ೉ w ͱΓ͋͑ͣେຌͷ༧ଌͰߏஙɺ࣮ՔಇޙͷύϑΥʔϚϯεʹ͋Θ ͤͯมߋ w ͜Ε͕؆୯ʹग़དྷΔͱ͜Ζ͕Ϋϥ΢υͷྑ͍ͱ͜Ζ classmethod.jp
  15. 33.

    33 Sophos  UTMをIPS/WAFとして使う w /FUXPSL1SPUFDUJPOػೳ w 8FC4FSWFS1SPUFDUJPOػೳ Availability Zone Sophos

    UTM Web Server • IPS   • DoS防御   • Webアプリケーションファイアウォール   • マルウェアスキャン   • ハードニング   • リバースプロキシ認証   • SSLオフロード   classmethod.jp
  16. 35.

    35 Tips:サブネットを分離離する Availability Zone Sophos UTM Web Server • 外部と直接通信が可能なようにルーティングテーブ

    ルを設定。   • Sophos  UTMインスタンスでは、Source/Dest   CheckをDisableにし、⾃自分がSource/Destではない パケットも受信可能にする。 • 外部と直接通信が出来ないようにルーティングテー ブルを設定。   • 具体的には、DefaultGWをSophos  UTMに向ける。 classmethod.jp
  17. 36.

    36 Tips:Auto  Scalingに対応する w "VUP4DBMJOH"NB[PO&$ΛࣗಈతʹεέʔϧΠϯΞ΢ τͤ͞ΔαʔϏε w γεςϜෛՙ্͕͕ͬͨΒɺ&$ͷ୆਺Λ૿΍ͯ͠εέʔ ϧΞ΢τ͠ɺෛՙʹରԠ w

    γεςϜෛՙ͕Լ͕ͬͨΒɺ&$ͷ୆਺ΛݮΒͯ͠εέʔ ϧΠϯ͠ɺίετμ΢ϯ システム負荷に   応じてEC2を増減 classmethod.jp
  18. 37.

    37 Availability Zone Sophos&UTM& Web& Server& Availability Zone Web& Server&

    Auto scaling Group 課題:   Sophos  UTMでは、複数台のサー バを登録出来る   が、スケールアウトによって増え たサーバを⾃自動的に登録すること は出来ない classmethod.jp Tips:Auto  Scalingに対応する
  19. 38.

    38 Availability Zone Sophos&UTM& Web& Server& Availability Zone Web& Server&

    Auto scaling Group classmethod.jp Tips:Auto  Scalingに対応する Answer:ELBを使う   ELB(Elastic  Load  Balancing):  AWSが提供するフル マネージドなロードバランサー。   外部向けだけでなく、システム内部で使うためのELB を構成可能。   ELBとAuto  Scalingを組み合わせれば、Sophos  UTM はELBだけを登録していれば良良い。
  20. 39.

    39 課題:   Sophos  UTMがSPOF(Single  Point   of  Failure、単⼀一障害点)となって おり

      Sophos  UTMに障害が発⽣生するシ ステムが全断する Availability Zone Sophos&UTM& Web& Server& Availability Zone Web& Server& Auto scaling Group classmethod.jp Tips:Sophos  UTMの冗⻑⾧長化
  21. 41.

    41 w ख๏खಈͰ୆ߏங͢Δ Availability Zone Sophos&UTM& Web& Server& Availability Zone

    Web& Server& Auto scaling Group Sophos&UTM& (1)1台⽬目のSophos  UTMを構築   (2)1台⽬目のSophos  UTMの設定を、サイト固有情報(ラ イセンス、パスワード、エンドポイント情報、等)を削 除した形でバックアップ   (3)2台⽬目のSophos  UTMにリストア   (4)2台⽬目にサイト固有情報をセットアップ   (5)以降降、設定変更更は⼿手動で同期。   ※障害時、サーバからの戻り通信の経路路も切切替要 classmethod.jp Tips:Sophos  UTMの冗⻑⾧長化
  22. 45.

    45 公式テンプレートでやっていること Sophos&UTM& Elas-c&IP& Amazon S3 Auto scaling Group (1)AWS環境⼀一式を作成

      (2)Sophos  UTMをAuto  Scalingで作成   (3)Sophos  UTMにElastic  IP(固定グローバル IPアドレス)を付与   (4)ConfigをAmazon  S3(ストレージサービス) にバックアップするよう設定 classmethod.jp
  23. 46.

    46 (1)Sophos  UTMに障害が発⽣生したら、別 のSophos  UTMを起動   (2)新しいSophos  UTMは、Amazon  S3か らConfigのバックアップを取得、リストア

      (3)Elastic  IPを新しいSophos  UTMに付け 替え Sophos&UTM& Elas-c&IP& Amazon S3 Auto scaling Group Sophos&UTM& classmethod.jp 公式テンプレートでやっていること
  24. 47.

    47 Tips:Sophos  UTMの冗⻑⾧長化 w ໨త͕৑௕Խͱεέʔϧ w τϥϑΟοΫʹ߹Θͤͯ୆਺Λม͍͑ͨ w ઃఆมߋΛखಈͰಉظͨ͘͠ͳ͍ ͷͰ͋Ε͹ɺ"VUP4DBMJOHԽɻ

    ˞ެࣜςϯϓϨʔτ͸৑௕ԽͷΈͰεέʔϧ͸͍ͯ͠ͳ͍ɻ ˞ݱࡏެ։͞Ε͍ͯΔςϯϓϨʔτ͸64ϦʔδϣϯͷΈͰಈ࡞͢ΔͨΊɺ౦ژϦʔδϣϯͰ࢖͏ͨ Ίʹ͸ςϯϓϨʔτͷमਖ਼͕ඞཁɻ classmethod.jp
  25. 49.

    49 Sophos  UTMをVPN  Gatewayとして使う w /FUXPSL1SPUFDUJPOͷ*14FD44-71/ػೳ VPN Availability Zone Sophos&UTM&

    Server& • 様々なデバイスからリモートVPN接続   • Sophos  UTMにVPN接続することで、 AWS内のサーバに安全にアクセス可能 classmethod.jp
  26. 53.

    53 (1)障害発⽣生時、別のSophos  UTMを 起動   (2)Elastic  IPを新しいSophos  UTMに 付け替え  

    (3)AWS環境のルーティングテーブル を変更更し、VPN通信⽤用のIPアドレスに 対しては新しいSophos  UTMを経由し て通信するように設定 classmethod.jp Tips:VPN  Gatewayの冗⻑⾧長化
  27. 55.

    55 w /FUXPSL1SPUFDUJPOͷ*14FD44-71/ػೳ classmethod.jp • AWSでは、VPC間をVPC  Peering機能 によって相互接続可能   •

    ただし、VPC  Peeringは同⼀一リージョ ン内でしか使え無い   • リージョンの違うVPC間をSophos   UTMのIPSec/SSL  VPN機能で相互接続 する Sophos  UTMでAmazon  VPC間VPN接続する Sophos&UTM& Region Region Sophos&UTM&
  28. 57.

    57 Tips:VPN接続の冗⻑⾧長化 Availability Zone Sophos&UTM& Region Region Sophos&UTM& Availability Zone

    Availability Zone Sophos&UTM& Sophos&UTM& Availability Zone Route&Table& • Sophos  UTMによるVPN接続 を2つ構築する   • ルーティングテーブルによっ て切切り替える   • サブ経路路となるVPN接続を構 成するSophos  UTMは、未使 ⽤用時Stopしておいても良良い
  29. 59.

    59 w /FUXPSL1SPUFDUJPOͷ*14FD44-71/ػೳ Availability Zone ΦϑΟε ΦϑΟε Sophos&UTM& classmethod.jp •

    Sophos  UTMを拠点間VPN接続のHUBにする   • 各拠点にはSophos  REDを展開   • 拠点間、AWS-‐‑‒拠点間でセキュアに通信 Sophos  UTMを拠点間VPN接続のHUBとして使う
  30. 62.

    62 Sophos  REDの3つのモード 【標準/分割モード】   • Sophos  REDがDHCPサーバ及びデフォ ルトゲートウェイとして動作  

    • RED配下のネットワークのトラフィック のうち、指定したネットワーク宛のトラ フィックのみをUTMに送信 classmethod.jp
  31. 64.

    64 【透過/分割モード】   • Sophos  REDは、DHCPサーバにもデ フォルトゲートウェイにもならない   • RED配下のネットワークは、リモート拠

    点にあるルータからDHCPでIPアドレス を取得、デフォルトゲートウェイもルー タを指定   • 指定したネットワーク宛のトラフィック のみUTMに送信 classmethod.jp Sophos  REDの3つのモード
  32. 70.

    70 w "NB[PO8FC4FSWJDFTͷ঺հ w 4PQIPT65.PO&$ͷ঺հ w Ϣʔεέʔεͱ5JQT w *148"' w

    71/(BUFXBZ w "NB[PO71$ؒ71/઀ଓ w ڌ఺ؒ71/઀ଓ ࠓ೔͓࿩ͨ͜͠͠ͱ classmethod.jp
  33. 73.