AWS セキュリティ入門

Size: px

Start display at page:

Download "AWS セキュリティ入門"

きみつぐかせ
5 years ago
Views:

AWSセキュリティ入門アマゾンウェブサービスジャパン株式会社セキュリティコンサルタント松本照吾 2017/6/2

2 松本照吾 (Shogo Matsumoto) AWS Professional Services / Security Consultant 得意分野セキュリティポリシー策定支援各種コンプライアンス認証への適合支援好きな AWS サービスプロフェッショナルサービス主な保有資格活動 AWS 認定資格 5 資格 CISA CISSP MBA(University of Massachusetts Lowell) 公認情報セキュリティ主任監査人 (JASA CAIS-lead auditor)

3 本日お伝えしたいこと AWS を知り始めてセキュリティに不安を覚える皆様に AWS によってセキュアかつ運用を効率化 = 楽にするセキュリティを実現する方法をご紹介します今回はその中でも特に重要な四つのサービスをご紹介します

4 AGENDA 本セッションの目的クラウドセキュリティの期待と不安 AWS がセキュリティにもたらしたもの AWS Identity and Access Management (IAM) がもたらすクラウド時代の認証認可 AWS Key Management Service (KMS) がもたらす暗号鍵管理からの解放 Amazon Inspector がもたらすスケーラブルな脆弱性管理 AWS Certificate Manager(ACM) がもたらす常時 SSL 時代の経路暗号化まとめにかえて

5 クラウドセキュリティへの期待と不安

6 クラウドのセキュリティに不安はありませんか? クラウド = 不透明クラウド = 規格や法令順守が困難クラウド = セキュリティ管理が複雑

7 一方で!!! 金融業界は最悪なサイバー犯罪に狙われている我々は AWS と綿密に協同したセキュリティモデルを発展させることで自分たちでデータセンターを所有する以上に安全な運用をすることができるようになる Rob Alexander, Capital One's chief information officer AWS re:invent 2015 Key Note

8 組織のクラウド経験によって大きなギャップが存在する

9 そもそも良いセキュリティとは何か

10 セキュリティとは? アクセスコントロールや暗号化など電子署名など可用性バックアップ冗長化設計など

11 Work Factor( 労力要因 ) で考えるセキュリティ (I) 一般的なセキュリティにおける用法 : 一定量の専門能力と資源を使うとき潜在的な侵入者がシステムに侵入するのに要するあるいは特定の対策を突破するのに要すると予想される労力もしくは時間の見積もり Internet Security Glossary Copyright (C) The Internet Society (2000). All Rights Reserved.

12 Work Factor= 何かを行う時の面倒くささ

13 一方で運用利用する側も面倒な運用ならセキュリティはやりたくない = 形骸化無視利用 / 運用側の Work Factor を軽減することもセキュリティの重要な要素

14 つまり良いセキュリティとは本質的にセキュアなことに加えて運用 / 利用側の Work Factor を減らすことで本来業務にフォーカスできる楽なセキュリティ

15 AWS がセキュリティにもたらしたもの

16 規模の経済 AWSの持続的な改善提供 1, スタートアップもエンタープライズも等しくセキュアなインフラを利用可能

17 すべてをコンプライアンスに準拠したインフラストラクチャで構築 AWS の基盤サービスコンピューティング AWS グローバルインフラストラクチャストレージデータベースアベイラビリティーゾーンリージョンネットワーキングエッジロケーション AWS はクラウドのセキュリティに責任を持つ

18 お客様に代わって AWS が負担となる作業を実行お客様 AWS が管理するセキュリティお客様が管理する + = セキュリティ求めるべきセキュリティレベル

19 お客様に代わって AWS が負担となる作業を実行お客様求めるべきセキュリティレベル AWSがお客様が - 管理する = 管理するセキュリティセキュリティ

20 セキュリティを分担できることはお客様がやるべきことへの集中をもたらすれが AWS セキュリティ責任共有モデルです

21 IAM AWS KMS Amazon Inspector ACM サーバからサービスへ

22 お客様に代わって AWS が負担となる作業を実行お客様求めるべきセキュリティレベル AWSがお客様がセキュリティ = セキュリティ管理するここを大きくすると管理するここは小さくなる負担が減る

23 AWS Identity and Access Management (IAM) がもたらすクラウド時代の認証認可

24 AWS Identity and Access Management (IAM) AWS 操作をよりセキュアに行うための認証認可の仕組み AWS 利用者の認証とアクセスポリシーを管理 AWS 操作のためのグループユーザーロールの作成が可能グループユーザーごとに実行出来る操作を規定できるユーザーごとに認証情報の設定が可能

25 IAM 動作イメージアクセスする主体に対する認証を提供アクセスコントロールをポリシーとして定義 AWS の各サービスに対する認可を提供

26 オンプレミスにおける権限管理オンプレミスの世界ポリシーは変更が少なく単純に管理されることが多かった

27 スケールイン / アウトとポリシーの関係インスタンスに合わせてポリシーもそれぞれに適用される必要がある

28 Infrastructure as code とポリシーの関係ヒトではないもの同士がつながる

29 新しいサービスの追加とポリシーの関係新しいサービスに対してのアクセス可否をどこかで決定しなければならない

30 IAM がもたらす価値 IAM が利用者にかわって変更されるポリシーの管理や異なるサービスに対する共通言語を提供するもちろんお客様の要望に応じた柔軟なポリシー適用が可能となる

31 IAM 動作イメージアクセスする主体に対する認証を提供アクセスコントロールをポリシーとして定義 AWS の各サービスに対する認可を提供

32 IAM 動作イメージアクセスする主体に対する認証を提供アクセスコントロールをポリシーとして定義 AWS の各サービスに対する認可を提供同じ文法体系立てて扱えるアクセスポリシーの提供

33 IAM動作イメージアクセスする主体に対する認証を提供アクセスコントロールをポリシーとして定義 AWSの各サービスに対する認可を提供 IAMがもたらすものはポリシー言語の共通化がもたらすセキュリティ運用の効率化

34 AWS Key Management Service (KMS) がもたらす暗号鍵管理からの解放

35 AWS Key Management Service 暗号鍵の作成管理運用サービス暗号鍵の可用性機密性を確保暗号鍵の有効化無効化ローテーション AWS サービスにおけるデータを暗号化 SDK との連携でお客様の独自アプリケーションデータを暗号化 35

36 鍵の管理はいつも大変

37 セキュアな鍵管理環境の維持鍵が失われたら全ての情報へのアクセスが失われる

38 鍵のライフサイクル管理の維持鍵の更新失効などのライフサイクル管理のための運用が必要となる

39 暗号化のサービスへの実装暗号化を実装として組み込むための開発ワークロードには工数がかかる

40 KMS がもたらす価値暗号鍵管理のマネージドサービス ( ライフサイクル管理 ) セキュアな鍵管理環境の提供 AWS サービスとの統合 Customer Master Key(s) Data Key 1 Data Key 2 Data Key 3 Data Key 4

41 KMS によって鍵を安全に預けることでお客様は本来のワークロードに集中できる

42 さらに言えば AWS がもたらす価値は暗号化に対するお客様のニーズに沿った豊富なオプション

43 Amazon Inspector がもたらすスケーラブルな脆弱性管理

44 Amazon Inspector 自動化されたセキュリティ評価サービス Amazon EC2 にエージェントを導入しセキュリティを評価するホスト型診断 AWS への事前申請の必要なし

45 サービスインフラは日々変動する

46 評価すべきルールセットの管理日々発見されるプラットフォームの脆弱性情報をどのように収集するか

47 変動するインフラ評価すべきサーバインスタンスの状況を可視化することは難しい

48 理解可能な改善案の提示発見された脆弱性に対する緊急度対応の方針はどのように立案できるか

49 Inspector がもたらす価値 AWS が提供する複数のルールパッケージによる評価評価結果のエグゼクティブサマリ提供自動化による DevOps プロセスへの統合

50 評価タイミングのスケジュール化自動化 DevOps の一歩先を行く Secure な CI/CD (DevSecOps)

51 AWS Certificate Manager(ACM) がもたらす常時 SSL 時代の経路暗号化

52 SSL/TLS の提供はビジネスの要件にも常時 SSL が SEO の要件化 Apple によるアプリケーションへの HTTPS 義務付け (ATS)

53 SSL/TLS 証明書の役割自己の証明経路の暗号化

54 AWS Certificate Manager(ACM) 簡単に SSL/TLS 証明書を作成管理配置ドメイン認証 (DV) タイプの証明書を無料で提供秘密鍵は AWS サービス内で安全に管理される更新も自動的に行われる

55 脆弱性が潜在するリスク古いバージョンを利用し続けることによるセキュリティ侵害の大きなリスク Ex. Heart breed

56 失効更新に対する運用の負荷証明書の期限切れは管理の不備をエンドユーザに見せてしまう事態に

57 証明書に係るコストすべての通信経路を有償の証明書を使って暗号化することはコストに対するインパクトをもたらす

58 ACM がもたらす価値 AWS が更新処理をマネージドサービスとして管理 CloudFront,ELB などの AWS サービスへの統合利用は無料

59 ACM は運用コストビジネス要求の様々なお客様の期待をかなえる

60 まとめにかえてつまり AWS がセキュリティにもたらしたものは

61 責任共有モデルマネージドサービスの活用によりお客様の Work Factor の軽減をもたらしますつまり楽に運用できるセキュリティを提供します

62 そして今日ご紹介したのはほんの一部です皆様も幅広く深い AWS セキュリティの世界に触れてみてください AWS クラウドサービス活用資料集セキュリティ & アイデンティ

63 本セッションの Feedback をお願いします受付でお配りしたアンケートに本セッションの満足度やご感想などをご記入くださいアンケートをご提出いただきました方にはもれなく素敵な AWS オリジナルグッズをプレゼントさせていただきますアンケートは受付又はパミール 3F の EXPO 展示会場内にて回収させて頂きます

64 ご清聴ありがとうございました!

そこが知りたい！AWSクラウドのセキュリティ

そこが知りたい！AWSクラウドのセキュリティそこが知りたい! AWS クラウドのセキュリティ #AWSRoadshow 1 Twitter で AWS Cloud Roadshow に参加しよう! #AWSRoadshow 皆さんのご意見聞かせてください! 公式アカウント @awscloud_jp 最新技術情報イベント情報お得なクーポン情報など日々更新中! 2 自己紹介名前:鈴木宏昌スズキヒロアキ所属:AWSテクニカルトレーナー