１から学ぶクラウドのセキュリティ勉強会＠北九州「AWSに組み込まれてるセキュリティ機能」

１から学ぶクラウドのセキュリティ勉強会＠北九州 HAW International, Inc　　 2014. 8. 23　安土茂亨 AWSに組み込まれているセキュリティ機能

自己紹介（安土　茂亨）株式会社ハウインターナショナル ● Cloud Integratoin Service （クラウドに特化したシステム設計、環境構築、運用監視、 etc..） ● クラウドに特化した受託開発

AWSでのセキュリティの考え方共有責任モデル（Shared Responsibility Model） ● 物理的なセキュリティ ○ 場所の秘匿 ○ 全アクセスをロギング ○ 物理アクセス可能なスタッフは論理アクセス不可能 ● VMのセキュリティ ○ インスタンスの隔離 ○ 別のEC2のインスタンスデータの読み取りは不可能 ○ APIのエンドポイントSSL ● ネットワークセキュリティ ○ SGの設定に従ったアクセス制御 ○ ポートスキャンの検知・ブロック ● OSより上の階層の設定 ● OSのファイアウォール ● ネットワーク設定 ● SGの管理 ● アカウント管理 ● アプリケーションのセキュリティよくあるいつも気をつけていないといけないこと。

AWS独自のセキュリティ関連機能 ● セキュリティグループ ● VPC（Virtual Private Cloud） ● IAM（Identity and Accesss Management） ● MFA（Multi Factor Authentication）デバイス ● ストレージの暗号化 ● Trusted Advisor AWSセキュリティセンター http://aws.amazon.com/jp/security/

セキュリティグループ EC2のインスタンスのトラフィックを制御する仮想ファイアウォール Amazon EC2 Inbound、Outboundのトラフィックをプロトコル、ポート、Sourcsを指定して制御 Inbound Outbound security group

VPC（Virtual Private Cloud） virtual private cloud AWS cloud コーポレートDC Public subnet Private subnet Amazon EC2 Amazon EC2 オンプレサーバ VPN 論理的に分離した仮想ネットワーク環境を構築 IP レンジ Subnet ルートテーブル Gateway インターネットからのアクセスを許可するPublic Subnet インターネットからのアクセスは許可せず、既存データセンターからのアクセスを許可するPrivate Subnet セキュリティグループ、ACLでセキュリティ制御

Private Subnetへの接続方法 ① 専用線接続 DC or オフィスとAWS間をインターネットを介さずに専用線経由でアクセス。 AWS Direct Connect customer gateway virtual private gateway VPN connection ②ハードウェアVPN接続 DC or オフィスのルーターとAWSの仮想ゲートウェイを IPSec VPNで接続。 ③ソフトウェアVPN接続 Public Subnet内のインスタンスに構築したOpenVPN Serverを経由しPrivate Subnetに接続。 instance

VPCのネットワークACL VPC subnet security group Amazon EC2 Network ACL Subnet内のトラフィックを制御するファイアウォールセキュリティグループネットワークACL インスタンス単位で設定 Subnet単位で設定許可するルールのみ設定可能許可ルールと拒否ルールを設定可能

IAM （Identity and Access Management） ● AWSサービスにアクセス可能な個々のユーザを作成 ● ユーザ個別にセキュリティ認証情報（パスワード、アクセスキー、MFA）を設定 ● 各AWSサービスへのPermission設定 ● ユーザの集合に対して権限設定できるグループ ● AWSサービスにアクセスできる権限を定義し、AWSサービスに適用できるRole ● IAM Role for EC2 Instance EC2起動時にインスタンスに適用するRoleを指定すれば、Roleの権限によって、そのインスタンスから他のAWSサービスへアクセス可能に。 user group role instancerole 適用 Roleに定義された権限を有するアクセスキーが自動的に配信され定期的に更新される APIやSDKを利用し AWSリソースにアクセスする際のアクセスキー等

MFAデバイスユーザ名とパスワードに加えて MFAデバイスからの認証コードを使って認証を行う仕組み。購入するには US amazon.comのアカウントが必要スマホ向け仮想MFAアプリ

ストレージの暗号化 Amazon S3 Server Side Encryption アップロード暗号化 AWS側で生成したキーで暗号化 Client Side Encryption アップロードアップロード暗号化自前のキーを使用暗号化後はメモリ上から削除 Ruby Java 暗号化クライアントサイド暗号化

ストレージの暗号化 Amazon RDS SSLによる通信の暗号化 instances SSL 透過的なデータ暗号化（TDE）をサポート暗号化/復号化のオーバヘッドは発生 ● ストレージに書き込まれる前にデータを暗号化 ● ストレージから読み込まれた後にデータを復号化 Amazon EBS EBS Volumeの暗号化をサポート volumeinstance M3、C3、R3、CR1、G2、I2 ファミリーのみサポートスナップショット作成アタッチ snapshot スナップショットも自動的に暗号化※Root Volumeの暗号化は不可

Trusted Advisor 最近、無料化 (4プラクティス) ● 特定のポートに対して無制限アクセスを許可してないか？ ● ルートアカウントでMFAが無効でないか？ ● EC2のインスタンスやEBSボリュームが８０％超えてないか？ ● 最近EBSのSnapshotが取られてない？ ● ロードバランサの最適化の提案

１から学ぶクラウドのセキュリティ勉強会＠北九州「AWSに組み込まれてるセキュリティ機能」

by shigeyuki azuchi, Director at HAW International Inc.

on Aug 23, 2014

Statistics

Views

Actions

2 Embeds 29

Accessibility

Categories

Upload Details

Usage Rights

Report content

１から学ぶクラウドのセキュリティ勉強会＠北九州「AWSに組み込まれてるセキュリティ機能」 Presentation Transcript

https://twitter.com	28
http://s.deeeki.com	2