AWS Configの自動修復機能使ってみた

https://jaws-ug-kyushu.doorkeeper.jp/events/157035

Transcript

1. AWS Configの⾃動修復機能 使ってみた JAWS-UG 福岡 #14 11度⽬はちょっと濃い⽬にAWS re:Inforce 2023を振り返ろう 2023.7.23 苑⽥朝彰 1
2. ⾃⼰紹介 苑⽥ 朝彰 Sonoda Tomotada - ID - Github︓tomomj - Twitter︓@sonoda_mj - Work at - 株式会社 Fusic （フュージック） 技術開発第⼆部⾨所属 - ソフトウェアエンジニアリング - 新卒3年⽬ - Skill - AWS／React(Native)／Ruby on Rails 2
3. アジェンダ 3 l 背景 l AWS Config自動修復機能使ってみた l まとめ
4. 01 背景
5. ⾃⼰紹介 苑⽥ 朝彰 Sonoda Tomotada - ID - Github︓tomomj - Twitter︓@sonoda_mj - Work at - 株式会社 Fusic （フュージック） 技術開発第⼆部⾨所属 - ソフトウェアエンジニアリング - 新卒3年⽬ - Skill - AWS／React(Native)／Ruby on Rails 5 new!!
6. ໰ʢΠϝʔδʣ ηΩϡϦςΟʔάϧʔϓͰ44)Λશղ์ʢʣ͍ͯ͠Δ৔߹ɺࣗಈͰແޮʹ͠ Ϣʔβʔʹ௨஌͍ͨ͠Ͱ͢ɻͲ͏͢Ε͹͍͍Ͱ͔͢ʁ "84
   $POGJHͰϧʔϧΛ࡞੒͠ɺͦͷҧ൓͕ݕग़͞Εͨͱ͖ʹࣗಈͰम෮͢ΔΞΫγ ϣϯΛઃఆ͢Δɻͦͯ͠ɺͦͷ݁ՌΛ"NB[PO
   4/4΍"84
   $IBUCPUΛ࢖ͬͯϢʔβ ʔʹ௨஌͢Δɻ
7. ໰ʢΠϝʔδʣ ηΩϡϦςΟʔάϧʔϓͰ44)Λશղ์ʢʣ͍ͯ͠Δ৔߹ɺࣗಈͰແޮʹ͠ Ϣʔβʔʹ௨஌͍ͨ͠Ͱ͢ɻͲ͏͢Ε͹͍͍Ͱ͔͢ʁ "84
   $POGJHͰϧʔϧΛ࡞੒͠ɺͦͷҧ൓͕ݕग़͞Εͨͱ͖ʹࣗಈͰम෮͢ΔΞΫγ ϣϯΛઃఆ͢Δɻͦͯ͠ɺͦͷ݁ՌΛ"NB[PO
   4/4΍"84
   $IBUCPUΛ࢖ͬͯϢʔβ ʔʹ௨஌͢Δɻ
8. 02 AWS Configの⾃動修復 機能使ってみた
9. AWS Configとは 9 AWS Config ͸ɺAWSɺΦϯϓϨϛεɺͦͷଞͷΫϥ΢υ্ͷϦιʔεͷઃఆͱؔ܎ ΛܧଓతʹධՁɺ؂ࠪ͢Δɻ 参考：https://aws.amazon.com/jp/config/ EC2(V1) EC2(V2) AWS Config 構成変更 記録 変更・更新
10. AWS Config マネージドルールとは ఆٛࡁΈͷΧελϚΠζՄೳͳϧʔϧͰ͋Γɺ"84
    Ϧιʔε͕ҰൠతͳϕετϓϥΫ ςΟεʹ४ڌ͍ͯ͠Δ͔Ͳ͏͔ΛධՁ͢ΔͨΊʹ
    "84
    $POGJH
    Ͱ࢖༻͢Δϧʔϧ 10 参考：https://docs.aws.amazon.com/ja_jp/config/latest/developerguide/evaluate-config_use-managed-rules.html ྫʣ • 44)͕શ։์͞Ε͍ͯͳ͍͔ʢSFTUSJDUFETTIʣ • Ϣʔβʔͷଟཁૉೝূ
    .'"
    ͕༗ޮʹͳ͍ͬͯΔ͔Ͳ͏͔ʢJBNVTFSNGBFOBCMFEʣ • &#4҉߸Խ͕σϑΥϧτͰ༗ޮʹͳ͍ͬͯΔ͔Ͳ͏͔ʢFDFCTFODSZQUJPOCZEFGBVMUʣ
11. ⾃動修復機能とは 11 "84
    $POGJH
    3VMFT
    ͰධՁ͞Ε͍ͯΔඇ४ڌͷϦιʔεΛम෮Ͱ͖Δɻ ࣗಈͱखಈ͕͋Δɻ 参考：https://docs.aws.amazon.com/ja_jp/config/latest/developerguide/remediation.html ルール設定 System manager Automation 修復 非準拠のEC2 AWS Config
12. 構成図 12 ηΩϡϦςΟʔάϧʔϓͰ44)Λશղ์ʢʣ͍ͯ͠Δ৔߹ɺແޮʹͯ͠Ϣʔ βʔʹ௨஌͢Δ
13. 構成図 13 SSHを全開放する
14. 構成図 14 restricted-ssh（マネージドルール） SSHが全開放されているか確認する
15. 構成図 15 AWS-DisablePublicAccessForSecurityGroup すべての IP アドレスに対して開かれている デフォルトの SSH ポートと RDP ポートを 無効にする。
16. 構成図 16 SSHを無効にする
17. 構成図 17 通知を送る
18. 03 実際にやってみた
19. セキュリティグループのSSH全開放 19
20. AWS Configマネージドルールの設定 20
21. AWS Configマネージドルールの設定 21 AWS-DisablePublicAccessForSecurityGroup すべての IP アドレスに対して開かれている デフォルトの SSH ポートと RDP ポートを 無効にする。
22. 動作確認 22
23. ⾮準拠の確認 23
24. ⾮準拠の確認 24 体感数分くらいで反映される
25. Eメールが⾶んでくる 25
26. 04 まとめ
27. まとめ AWS Configの⾃動修復機能は実際に存在した Point 2 ⾃動で修復してくれるので、かなり便利で安全 27 Point 1
28. ご清聴いただきありがとうございました Thank You We are Hiring ! https://recruit.fusic.co.jp/