手付かずだったSecurity Hub運用を改善した話

手付かずだったSecurity Hub運用を改善した話 2024年06月28日株式会社コドモン小西達大生成AIの話をしたら即終了！ランチタイムLTイベント

2 経歴 1996年生まれ、大阪育ち。前職でアプリケーションエンジニアとして従事後、株式会社コドモンのSREチームにジョイン。関心のある分野はコンテナとセキュリティ。自己紹介小西達大こにしたつひろ

3 Mission

4 すべての先生に子どもと向き合う時間と心のゆとりをこんなプロダクトを開発していますメインプロダクトは、保育・教育施設向けWebアプリケーション。保護者と施設のやり取りを支えるモバイルアプリケーションや、施設職員向けモバイル版アプリケーション、外部サービスと連携するAPIなども開発しています。

5 導入施設数推移（ICT） 8,000 5,200 1,500 全国導入数 18,000 施設 11,000 17,000
（2024年3月時点） 14,000 2021年4月 2020年4月 2019年4月 3,000 2018年4月 2017年4月 500 2016年4月 120 2022年2月 2024年3月 2023年4月

6 今日話すこと弊社が抱えていたSecurity Hub運用の課題課題に対して実施したSecurity Hub運用改善例改善実施結果と今後の課題について 1 2 3

7 はじめに

8 CONFIDENTIAL - © 2022 CoDMON Inc. 8 Security Hubとは？
• 「AWSリソースの設定がセキュリティのベストプラクティスに沿っているかどうか」を自動でチェック & 検出してくれる • https://aws.amazon.com/jp/security-hub/

9 数クリックで容易に導入可能だけど運用できている？

10 CONFIDENTIAL - © 2022 CoDMON Inc. 10 Security Hubを「運用」できているとは？
• 検知 → 反応 → 判断 → 対応のループを回せている状態

• 検知 → 反応 → 判断 → 対応のループを回せている状態 ◦ 検知：セキュリティリスクを伴う設定を検知 ◦ 反応：検知結果に対して人間が反応 ◦ 判断：対応が必要かどうか判断 ◦ 対応：対応必要と判断された場合に、修復対応を実施する

• 検知 → 反応 → 判断 → 対応のループを回せている状態 ◦ 検知：セキュリティリスクを伴う設定を検知 ◦ 反応：検知結果に対して人間が反応 ◦ 判断：対応が必要かどうか判断 ◦ 対応：対応必要と判断された場合に、修復対応を実施するアクティブな検知結果をSlackに通知通知結果に対して誰も反応しない通知結果に反応しないので、対応が必要かどうか判断されない対応必要かどうか不明なので対応されない

13 せっかくSecurity Hubを導入しているのに、運用ができていない

14 • Security Hubをより活用するため • 「反応」「判断」「対応」それぞれの工程ごとに改善を実施しました

15 改善1：反応

16 CONFIDENTIAL - © 2022 CoDMON Inc. 16 検出結果に対しての反応を妨げる要因 •
通知が複数発生することで、流れてしまう • 「誰かがやってくれるだろう」とお見合い状態になる

17 CONFIDENTIAL - © 2022 CoDMON Inc. 17 実施したこと •
通知が複数発生することで、流れてしまう ◦ → 通知結果をチケット化することで、対応状況を可視化して、流れないようにする • 「誰かがやってくれるだろう」とお見合い状態になる ◦ → 担当者を自動でアサインする

18 CONFIDENTIAL - © 2022 CoDMON Inc. 18 実現方法 •
Security Hub検知をトリガーに、Slack通知 & JIRAチケット作成を自動化 • JIRAのAutomation機能を用いて、担当者アサインを自動化

19 CONFIDENTIAL - © 2022 CoDMON Inc. 19 実例 Slack通知
JIRAチケット

20 改善2：判断

21 CONFIDENTIAL - © 2022 CoDMON Inc. 21 検出結果に対しての判断を妨げる要因 •
チームとしての判断基準がない

チームとしての判断基準がない ◦ → Security Hub検出コントロール項目ごとに、対応判断基準を作成

23 CONFIDENTIAL - © 2022 CoDMON Inc. 23 実現方法 •
検出コントロール項目ごとに、対応する/しないの基準を作成 ◦ 対応必要 ◦ 対応不要 ◦ 一部条件を満たした場合に対応必要

25 改善3：対応

26 CONFIDENTIAL - © 2022 CoDMON Inc. 26 検知結果に対しての対応を妨げる要因 •
対応手順がわからない

対応手順がわからない ◦ → Security Hub検出コントロール項目ごとに、対応手順を作成

29 実施結果

30 CONFIDENTIAL - © 2022 CoDMON Inc. 30 Security Hub運用改善後
◦ 検知：アクティブな検知結果をSlackに通知 ◦ 反応：通知結果に対して誰も反応しない　　　　→ JIRAチケットにアサインされたメンバーが反応 ◦ 判断：対応が必要かどうか判断されない　　　　→ 判断基準に基づき対応可否を判断 ◦ 対応：対応必要かどうか不明なので対応されない　　　　→対応必要と判断された場合に、対応手順書に沿って修復対応実施

31 CONFIDENTIAL - © 2022 CoDMON Inc. 31 Security Hub運用改善後
◦ 検知：アクティブな検知結果をSlackに通知 ◦ 反応：通知結果に対して誰も反応しない　　　　→ JIRAチケットにアサインされたメンバーが反応 ◦ 判断：対応が必要かどうか判断されない　　　　→ 判断基準に基づき対応可否を判断 ◦ 対応：対応必要かどうか不明なので対応されない　　　　→対応必要と判断された場合に、対応手順書に沿って修復対応実施検知 → 反応 → 判断 → 対応のループを回せている

32 今後の課題

34 CONFIDENTIAL - © 2022 CoDMON Inc. 34 目指していきたい姿に到達するためには •
検知結果のチケット化 ◦ 各開発チームの開発フローや、利用しているタスク管理ツールに合わせて、チケット自動作成機構を構築 • 対応手順の充足 ◦ AWSに詳しくない場合でも、迷わず対応できるようにする

35 まとめ

36 今日話したこと手付かずだったSecurity Hub運用の改善事例改善によって得られた効果今後の課題について 1 2 3

37 最後に

38 コドモン採用ページ開発ブログコドモンでは一緒に働きたい仲間を募集しています！

39 ご清聴ありがとうございました！

手付かずだったSecurity Hub運用を改善した話

手付かずだったSecurity Hub運用を改善した話

More Decks by Konishi tatsuhiro

Other Decks in Technology

Featured

Transcript