Security-JAWS IAMの設計を言語化する

Transcript

1. *".ͷઃܭΛݴޠԽ͢Δ /3*ωοτίϜגࣜձࣾɹ ࠤʑ໦୓࿠  4FDVSJUZ+"84
   ɹୈճ #secjaws

2. ࠤʑ໦୓࿠
   CMPH
   IUUQTCMPHUBLVSPTOFU
   5XJUUFS
   !ELGK ࣗݾ঺հ #secjaws

3. +BQBO
   "1/
   "NCBTTBEPS
   
   બग़͞Ε·ͨ͠ ࣗݾ঺հ #secjaws

4. ࠓ೔࿩͢ςʔϚ͸̐ͭ
   ෼ྨ্ͨ͠ͰݴޠԽ͢ΔͱԿͱͳ͘ղ͔Δ
   ઃܭ͢Δ্Ͱ͸ɺ·ͣσβΠϯύλʔϯΛ࡞Δ
   ۩ମతͳϙϦγʔͷઃܭྫ
   *".ͷ౾஌ࣝ #secjaws

5. "84ͱηΩϡϦςΟ
   

6. "84ͱηΩϡϦςΟ #secjaws ͍Ζ͍Ζ΍Δ͜ͱ͕ଟͯ͘ɺ
   ΍΍͍͜͠ͱࢥͬͨ͜ͱ͋Γ·ͤΜ͔ શମ૾Λ೺Ѳ͢ΔͨΊʹɺͬ͘͟Γͱ
   ෼ྨͯ͠Έ·͠ΐ͏

7. "84ͱηΩϡϦςΟ #secjaws "84ͷηΩϡϦςΟ͸ͭͷ࣠Ͱߟ͑Δ
   ᶃ"84಺ʹߏஙͨ͠ωοτϫʔΫͱαʔόʔͷηΩϡϦςΟ
   ᶄ"84ͷαʔϏε܈ͷઃܭɾઃఆ
   ᶅ"84ૢ࡞ʹؔ͢Δݖݶʢ*".ʣ
   ᶆηΩϡϦςΟΛҡ࣋؅ཧ͢ΔͨΊͷ"84αʔϏε AWS Management Console

   Role VPC AWS Cloud Subnet Internet gateway Amazon Simple Storage Service (S3) VPN gateway Endpoints User ૢ࡞ݖݶ Instance Instance Instance AWS Lambda Role ᶅ ᶄ ᶃ AWS Command Line Interface AWS Config AWS Systems Manager AWS Service Catalog AWS Trusted Advisor AWS CloudTrail ᶆ ηΩϡϦςΟΛҡ࣋ ؅ཧ͢ΔαʔϏε

8. ᶃ"84಺ʹߏஙͨ͠ωοτϫʔΫͱ
   αʔόʔͷηΩϡϦςΟ #secjaws ੹೚ڞ༗Ϟσϧͷ੺࿮ͷ෦෼
   ઃܭͷߟ͑ํ͸ΦϯϓϨͱେ͖͘ҧΘͳ͍͕ɺઃఆͷ࢓ ํ͸"84ͷྲّྀʹै͏ඞཁ͕͋Δ IUUQTBXTBNB[PODPNKQDPNQMJBODFTIBSFESFTQPOTJCJMJUZNPEFM

9. ᶄ"84ͷαʔϏε܈ͷઃܭɾઃఆ #secjaws ͍ΘΏΔϚωʔδυαʔϏε
   Ϣʔβʔࣗ਎ͰΧόʔ͢Δൣғ͸গͳ͍͕ɺαʔϏε͝ ͱʹಛੑΛཧղ͢Δඞཁ͕͋Δ
   㱺·ͣ͸ɺ࢖͏΋ͷ͚֮ͩ͑Ε͹ྑ͍ IUUQTXXXTMJEFTIBSFOFU"NB[PO8FC4FSWJDFT+BQBOBXTXIJUFCFMUPOMJOFTFNJOBSBXT

10. ᶅ"84ͷૢ࡞ʹؔ͢Δݖݶʢ*".ʣ #secjaws "84ͷηΩϡϦςΟͷத֩ͷҰͭ
    ͲΜͳʹωοτϫʔΫ΍αʔόʔͷηΩϡϦςΟઃఆΛ͠ ͍ͯͯ΋ɺ"84Λ௚઀ૢ࡞͞ΕΔͱ͕݀։͚ΒΕΔ ࠓ೔ͷςʔϚͰ͢ʂʂ

11. ᶆηΩϡϦςΟΛҡ࣋؅ཧ͢Δ
    ͨΊͷ"84αʔϏε #secjaws "84ಠࣗͷ෦෼
    ར༻͠ͳͯ͘΋γεςϜΛηΩϡΞͳঢ়ଶΛҡ࣋Ͱ͖Δ͕ɺ ্ख͘׆༻͢ΔͱࣗྗͰ΍ΔΑΓഒָʹͳΔ ͷ+"846(ઍ༿Ͱɺ͜ͷςʔϚͰ࿩͢༧ఆͰ͢
    IUUQTKBXTVHDIJCBEPPSLFFQFSKQFWFOUT

12. ෼ྨ͠ݴޠԽ͢Δ͜ͱʹΑΓ
    ཧղ͕ਐΉ #secjaws @kaitendaentais https://twitter.com/kaitendaentai/status/1052689241744896001

13. *".ͷઃܭΛݴޠԽ͢Δ
    

14. *".ͷϚχΞοΫͳ࿩ͷ঺հ
    https://takuros.booth.pm/items/1563844

15. *".ͷϚχΞοΫͳ࿩ɹ໨࣍ ͸͡Ίʹ
    ୈষ
    "84
    ͱ
    *".
    ୈষ
    *".
    ͷػೳ
    ୈষ
    *".
    νϡʔτϦΞϧ
    ୈষ
    *".
    ϙϦγʔͷσβΠϯύλʔϯ
    ୈষ
    *".
    άϧʔϓͷσβΠϯύλʔϯ
    ୈষ
    *".
    ͱηΩϡϦςΟ
    ୈষ
    *".
    ͷӡ༻
    ୈষ
    *".ͱ$MPVE'PSNBUJPO
    

    ୈষ
    *".ͷςϯϓϨʔτू
    ୈষ
    *".Ҏ֎ͷ"84
    αʔϏεͷ׆༻
    ෇࿥
    "
    ΞΧ΢ϯτ։ઃ࣌ͷઃఆνΣοΫϦετ #secjaws

16. *".ઃܭͷجຊํ਑
    

17. *".ઃܭͷجຊํ਑ #secjaws कΔ΂͖جຊํ਑͸͚̎ͭͩ
    ೝূ৘ใΛ౪·Εͳ͍Α͏ʹ͢Δӡ༻ઃܭ
    ΞΫηεΩʔʗγʔΫϨοτΞΫηεΩʔͰ͸ͳ͘ϩʔϧͷར༻
    HJUTFDSFUTͷར༻
    ೝূ৘ใ͕౪·Εͯ΋ඃ֐Λ࠷খݶʹ͢Δݖݶઃܭ
    .'"ඞਢԽ΍*1੍ݶ΍ͳͲͷར༻੍ݶ
    ࠷খݖݶͷઃఆ

18. *".ϙϦγʔͷσβΠϯύλʔϯ
    

19. *".ϙϦγʔ *".ϙϦγʔͷσβΠϯύλʔϯ͸̏ͭ
    ϗϫΠτϦετɾύλʔϯ
    ϒϥοΫϦετɾύλʔϯ
    ϋΠϒϦοτɾύλʔϯ
    #secjaws

20. ڐՄ͢ΔݖݶͷΈ෇༩͍ͯ͘͠ύλʔϯɹɹ
    &$΍4ͱ͍ͬͨαʔϏε୯Ґ΍ɺߋʹࡉ͔͘ΞΫγϣϯ୯ҐͰ෇༩
    "84؅ཧϙϦγʔ΋ɺ͋ΔҙຯϗϫΠτϦετύλʔϯ
    ˞Ͱ΋ɺͦͷ··࢖͏ʹ͸ૈ͍ #secjaws ϗϫΠτϦετɾύλʔϯ FD %FTDSJCF
    4UPQ 4UBSU

    ಛఆͷαʔϏεɾΞΫγϣϯͷΈڐՄ ڋ൱ ڐՄ ڐՄ ڐՄ ڋ൱ ϝϦοτɹ
    ࠷খݖݶͷઃܭ͕Ͱ͖Δ
    ཧղͯ͠࡞Ε͹ɺҰ൪ηΩϡΞ
    σϝϦοτɹ
    ઃܭ͕ਐ·ͳ͍ͱઃఆͰ͖ͳ͍
    ؅ཧෛՙ͕ߴ͍
    

21. ڋ൱Λ௥Ճ͍ͯ͘͠ύλʔϯɹɹ
    ڐՄͯ͠͸͍͚ͳ͍ݖݶΛണୣ͍ͯ͘͠
    #secjaws ϒϥοΫϦετɾύλʔϯ ڐՄ 4
    &D *".
    ಛఆͷαʔϏεɾΞΫγϣϯͷΈڋ൱ ڐՄ

    ڋ൱ ڋ൱ ڋ൱ ϝϦοτɹ
    ઃܭ͕࠷খݶʹͰ͖Δ
    ࣗ༝౓͕ߴ͍
    σϝϦοτɹ
    ༧ظͤ͵αʔϏε͕ಥવ࢖͑ΔΑ͏ ʹͳΔϦεΫ͕͋Δ
    

22. ϗϫΠτϦετɾϒϥοΫϦετͷ૊Έ߹Θͤ
    ݖݶΛ෇༩্ͨ͠Ͱɺېࢭ͍ͨ͠ݖݶΛ࡟Δ
    ˞ݫີʹ͍͏ͱɺϒϥοΫϦετύλʔϯ͸͢΂ͯϋΠϒϦοτʹͳΔ #secjaws ϋΠϒϦοτɾύλʔϯ ڐՄ
    "ENJOJTUSBUPS
    "DDFTT &D ࠷ॳʹݖݶΛ෇༩ͯ͠ɺෆཁͳݖݶΛ࡟Δ

    ϝϦοτɹ
    "84؅ཧϙϦγʔ͕࢖͍΍͍͢
    ࣗ༝౓͕ߴ͘ઃܭָ͕
    σϝϦοτɹ
    ͋·Γແ͍
    ɹ˞ॏͶ͕͚ํ๏ʹ͸஫ҙ
    *".
    ڋ൱

23. *".άϧʔϓͷσβΠϯύλʔϯ
    

24. *".άϧʔϓ *".άϧʔϓͷσβΠϯύλʔϯ͸̎ͭ
    ෳ਺άϧʔϓʹॴଐ
    άϧʔϓ಺ʹෳ਺ͷϙϦγʔ
    #secjaws

25. Ϣʔβʔ͕ෳ਺ͷάϧʔϓʹଐ͢Δ͜ͱΛલఏʹݖݶઃఆɹ શࣾһ޲͚ͷڞ௨άϧʔϓͱ໾ׂผͷάϧʔϓ
    ֊૚ߏ଄Λ࡞Γ΍͍͢
    #secjaws ෳ਺άϧʔϓʹॴଐ

26. Ϣʔβʔ͕
    
    ͭͷάϧʔϓʹଐ͢Δ͜ͱΛલఏʹݖݶઃఆ
    Ϣʔβ͔ΒΈΔͱγϯϓϧͳߏ੒
    ݖݶͷݟ௨͕͠ྑ͍
    #secjaws άϧʔϓ಺ʹෳ਺ϙϦγʔ

27. ύλʔϯͷݪଇΛ౿·্͑ͨͰ
    ۩ମతͳઃܭʹམͱ͠ࠐΉ
    

28. ڞ௨Ͱར༻͢ΔϙϦγʔͰ·ͣݕ౼͢Δͷ͸͜ͷͭ
    .'"ඞਢԽ͸ඞͣ͢Δ͜ͱ
    *1੍ݶ͸ɺӡ༻ϙϦγʔͱ૬ஊɻ࡞ۀ৔ॴΛ੍ݶͰ͖Δͱ͍͏ޮՌ͕͋Δ #secjaws .'"ඞਢԽͱ*1੍ݶ \
    &⒎FDU
    %FOZ
    "DUJPO
     

    
    $POEJUJPO
    \
    /PU*Q"EESFTT
    \
    BXT4PVSDF*Q
    <
    
    >
    ^
    ^
    3FTPVSDF
     
    ^ \
    &⒎FDU
    %FOZ
    /PU"DUJPO
    <
    JBN 
    >
    3FTPVSDF
     
    $POEJUJPO
    \
    #PPM*G&YJTUT
    \
    BXT.VMUJ'BDUPS"VUI1SFTFOU
    GBMTF
    ^
    ^
    ^

29. "ENJOݖݶΛ෇༩্ͨ͠Ͱ੍ݶΛՃ͑Δ
    .'"ඞਢˍ*1ΞυϨε੍ݶ
    *1੍ݶΛͳͨ͘͢Ίͷ؅ཧऀ༻ϩʔϧ #secjaws ؅ཧऀݖݶͷઃܭ 㱺εΠονલΛࢀরݖݶͷΈʹ͢Δͱ͍͏ઃܭ΋Α͋͘Δ

30. ϩάΠϯ࣌͸ࢀরݖݶͷΈ
    ࢀরݖݶͱ4XJUDI3PMFΛڐՄ͢ΔݖݶΛ෇༩
    εΠονϩʔϧ͢Δ͜ͱʹΑΓ؅ཧऀݖݶ͕ར༻Մೳ
    ஈΫογϣϯΛஔ͘͜ͱʹΑΓɺΦϖϛεͷ๷ࢭޮՌΛૂ͏ #secjaws ؅ཧऀݖݶͷ҆શઃܭ

31. ৬຿ػೳͷ
    "84
    ؅ཧϙϦγʔͷ׆༻
    ಛఆͷ༻్޲͚ͷݖݶηοτʢ৬຿ػೳͷ"84؅ཧϙϦγʔʣ
    FDͷݖݶ͸ɺΠϯελϯεͷૢ࡞ͱωοτϫʔΫૢ࡞ؚ͕·Ε͍ͯΔͷͰ ஫ҙ͕ඞཁ #secjaws ωοτϫʔΫ؅ཧऀͷઃܭ

32. ౾஌ࣝT
    

33. 1SJODJQBMΛߜΒͳ͍ͱɺશϢʔβʔ͕εΠονͰ͖Δ
    σϑΥϧτςϯϓϨʔτͷઃఆ͸ɺΞΧ΢ϯτ಺ͷϢʔβʔʹରͯ͠
    ߜΔඞཁ͕͋ΓɺϢʔβʔࢦఆͰߜΔʢάϧʔϓ͸Ͱ͖ͳ͍ʣ
    ผղͱͯ͠"TTVNF3PMFͷݖݶΛ͢΂ͯണୣͷ͏͑ͰɺඞཁͳϢʔβʔʹ ෇༩͢Δͱ͍͏ํ๏΋͋Δ #secjaws εΠονϩʔϧͷ஫ҙ఺ \
    
    
    7FSTJPO
    
    

    
    
    4UBUFNFOU
    <
    
    
    
    
    \
    
    
    
    
    
    
    &⒎FDU
    "MMPX
    
    
    
    
    
    
    1SJODJQBM
    \
    
    
    
    
    
    
    
    
    "84
    BSOBXTJBN SPPU
    
    
    
    
    
    
    ^
    
    
    
    
    
    
    "DUJPO
    TUT"TTVNF3PMF
    
    
    
    
    
    
    $POEJUJPO
    \^
    
    
    
    
    ^
    
    
    >
    ^ \
    
    
    7FSTJPO
    
    
    
    4UBUFNFOU
    <
    
    
    
    
    \
    
    
    
    
    
    
    &⒎FDU
    "MMPX
    
    
    
    
    
    
    1SJODJQBM
    \
    
    
    
    
    
    
    
    
    "84
    BSOBXTJBNVTFSUFTU VTFS
    
    
    
    
    
    
    ^
    
    
    
    
    
    
    "DUJPO
    TUT"TTVNF3PMF
    
    
    
    
    
    
    $POEJUJPO
    \^
    
    
    
    
    ^
    
    
    >
    ^

34. ϕετϓϥΫςΟε͚ͩͲɻɻɻ
    ઃܭ͕ݻ·্ͬͨͰɺ*".ʹؔ͢Δߴ౓ͳ஌͕ࣝඞཁ
    ϓϩάϥϜతͳར༻ʹ͸޲͍͍ͯΔ͕ɺ"84ίϯιʔϧ͔Βͷར༻͸޲͍ ͍ͯͳ͍
    ৽نαʔϏεͷ௥Ճʹऑ͍
    ͦ΋ͦ΋"ENJOݖݶΛ͍࣋ͬͯΔਓ͔͠࠷খݖݶΛ௥ٻͰ͖ͳ͍
    ઃܭɾӡ༻޻਺͕େ͖͍
    ݱ࣮తͳӡ༻
    ఆܕతͳ࡞ۀʢ-BNCEBɾόον౳ʣͷΈ࠷খݖݶΛ෇༩
    ਓؒܥͷ࡞ۀ͸ɺϒϥοΫϦετͷ׆༻΋ࢹ໺ʹ
    

    ηΩϡϦςΟࣄނΛى͜͞ͳ͍ͱ͍͏؍఺Ͱ࠷খݖݶΛ୳ٻ #secjaws ࠷খݖݶͷδϨϯϚ

35. #secjaws ͜Ε͚ͩ͸΍͓͚ͬͯ "84ΞΧ΢ϯτʹ࠷௿ݶɺԼهͷઃఆΛ͢Δ
    ϧʔτΞΧ΢ϯτͷ.'"ઃఆ
    ؅ཧऀ༻ͷ*".άϧʔϓͱ*".Ϣʔβʔͷ࡞੒
    *".ύεϫʔυϙϦγʔͷద༻
    $MPVE5SBJMͱ$POpH
    (VBSE%VUZͷ༗ޮԽ
    5SVTUFE
    "EWJTPUSͷ&ϝʔϧ௨஌ઃఆ
    $PTU
    6TBHF
    3FQPSUͷग़ྗ
    

    *".Ϣʔβʔ΁ͷ੥ٻ৘ใͷΞΫηεڐՄ
    ࢧ෷͍௨՟Λ೔ຊԁʹมߋ
    ίετ഑෼λάͷઃఆ
    ୅ସ࿈བྷઌͷઃఆ

36. #secjaws ͜Ε͸΍ͬͪΌμϝ *".Ͱ͜ΕΛ΍ͬͪΌμϝ
    ϧʔτϢʔβʔͰӡ༻
    ར༻ऀશһɺ"ENJOݖݶ
    ؅ཧऀҎ֎ʹ*".ݖݶΛ෇༩
    ڞ༻ͷ*".Ϣʔβʔͷ࡞੒
    ෳ਺ͷ$-*ɾϓϩάϥϜ͔Βͷ*".Ϣʔβʔʗϩʔϧͷڞ༻
    ιʔείʔυʹΫϨσϯγϟϧʢΞΫηεΩʔɾγʔΫϨοτΞ ΫηεΩʔʣͷຒΊࠐΈ
    

    -BNCEB
    'VMM
    "DDFTTͷ෇༩
    ωοτϫʔΫ؅ཧऀҎ֎ʹ&$
    'VMM
    "DDFTTͷ෇༩
    4ͷΞΫηείϯτϩʔϧΛ*".͚ͩͰߦ͏ʢόέοτϙϦγʔ ͷซ༻ඞਢʣ

37. ·ͱΊ
    

38. ࠓ೔࿩ͨ͠ςʔϚ
    ෼ྨ্ͨ͠ͰݴޠԽ͢ΔͱԿͱͳ͘ղ͔Δ
    ઃܭ͢Δ্Ͱ͸ɺ·ͣσβΠϯύλʔϯΛ࡞Δ
    ۩ମతͳϙϦγʔͷઃܭྫ
    *".ͷ౾஌ࣝ #secjaws

39. ͓·͚ *".ຊʢμ΢ϯϩʔυ൛ʣΛ
    ϓϨθϯτ #secjaws

40. એ఻ పఈ׆༻
    (PPHMF
    ΞφϦςΟΫε
    
    σδλϧϚʔέςΟϯάΛ੒ޭʹ
    ಋ͘ղੳɾվળͷͨΊͷૢ࡞ΨΠυ IUUQTBN[OUP181M #secjaws