Home
Explore
Submit Search
Upload
Login
Signup
Advertisement
Check these out next
20190723 AWS Black Belt Online Seminar AWS CloudHSM
Amazon Web Services Japan
20190130 AWS Black Belt Online Seminar AWS Identity and Access Management (AW...
Amazon Web Services Japan
AWS BlackBelt AWS上でのDDoS対策
Amazon Web Services Japan
20210216 AWS Black Belt Online Seminar AWS Database Migration Service
Amazon Web Services Japan
SaaS テナント毎のコストを把握するための「AWS Application Cost Profiler」のご紹介
Amazon Web Services Japan
Black Belt Online Seminar AWS Amazon S3
Amazon Web Services Japan
AWS Well-Architected Security とベストプラクティス
Amazon Web Services Japan
20190514 AWS Black Belt Online Seminar Amazon API Gateway
Amazon Web Services Japan
1
of
78
Top clipped slide
AWS初心者向けWebinar AWS上でのDDoS対策
Feb. 10, 2016
•
0 likes
59 likes
×
Be the first to like this
Show More
•
50,355 views
views
×
Total views
0
On Slideshare
0
From embeds
0
Number of embeds
0
Download Now
Download to read offline
Report
Technology
2016/2/9 AWS初心者向けWebinar AWS上でのDDoS対策
Amazon Web Services Japan
Follow
Amazon Web Services Japan
Advertisement
Advertisement
Advertisement
Recommended
20200722 AWS Black Belt Online Seminar AWSアカウント シングルサインオンの設計と運用
Amazon Web Services Japan
11K views
•
63 slides
AWS Black Belt Online Seminar 2017 AWS OpsWorks
Amazon Web Services Japan
42.2K views
•
81 slides
20190828 AWS Black Belt Online Seminar Amazon Aurora with PostgreSQL Compatib...
Amazon Web Services Japan
16.9K views
•
66 slides
AWS Black Belt Online Seminar 2017 AWS Elastic Beanstalk
Amazon Web Services Japan
44.6K views
•
94 slides
20201028 AWS Black Belt Online Seminar Amazon CloudFront deep dive
Amazon Web Services Japan
6.6K views
•
80 slides
202110 AWS Black Belt Online Seminar AWS Site-to-Site VPN
Amazon Web Services Japan
7.3K views
•
94 slides
More Related Content
Slideshows for you
(20)
20190723 AWS Black Belt Online Seminar AWS CloudHSM
Amazon Web Services Japan
•
8.1K views
20190130 AWS Black Belt Online Seminar AWS Identity and Access Management (AW...
Amazon Web Services Japan
•
41.4K views
AWS BlackBelt AWS上でのDDoS対策
Amazon Web Services Japan
•
32K views
20210216 AWS Black Belt Online Seminar AWS Database Migration Service
Amazon Web Services Japan
•
5.5K views
SaaS テナント毎のコストを把握するための「AWS Application Cost Profiler」のご紹介
Amazon Web Services Japan
•
4K views
Black Belt Online Seminar AWS Amazon S3
Amazon Web Services Japan
•
37.4K views
AWS Well-Architected Security とベストプラクティス
Amazon Web Services Japan
•
6K views
20190514 AWS Black Belt Online Seminar Amazon API Gateway
Amazon Web Services Japan
•
19.1K views
20200219 AWS Black Belt Online Seminar オンプレミスとAWS間の冗長化接続
Amazon Web Services Japan
•
46.5K views
20191002 AWS Black Belt Online Seminar Amazon EC2 Auto Scaling and AWS Auto S...
Amazon Web Services Japan
•
23.1K views
AWS Black Belt Techシリーズ AWS Direct Connect
Amazon Web Services Japan
•
59.5K views
20190129 AWS Black Belt Online Seminar AWS Identity and Access Management (AW...
Amazon Web Services Japan
•
63.8K views
20191029 AWS Black Belt Online Seminar Elastic Load Balancing (ELB)
Amazon Web Services Japan
•
65.8K views
20190814 AWS Black Belt Online Seminar AWS Serverless Application Model
Amazon Web Services Japan
•
15.7K views
AWS Black Belt Online Seminar 2017 Auto Scaling
Amazon Web Services Japan
•
56.3K views
20190402 AWS Black Belt Online Seminar Let's Dive Deep into AWS Lambda Part1 ...
Amazon Web Services Japan
•
72.2K views
20190424 AWS Black Belt Online Seminar Amazon Aurora MySQL
Amazon Web Services Japan
•
29.2K views
20190604 AWS Black Belt Online Seminar Amazon Simple Notification Service (SNS)
Amazon Web Services Japan
•
11.8K views
20190806 AWS Black Belt Online Seminar AWS Glue
Amazon Web Services Japan
•
17.3K views
AWS Black Belt Online Seminar 2017 AWS Shield
Amazon Web Services Japan
•
18.6K views
Similar to AWS初心者向けWebinar AWS上でのDDoS対策
(20)
AWS初心者向けWebinar AWS上にWebサーバーシステムを作ってみましょう ~まずは仮想サーバーから[演習つき]~
Amazon Web Services Japan
•
3.2K views
AWS初心者向けWebinar AWSクラウドでのWindowsの実行
Amazon Web Services Japan
•
7.4K views
AWS 初心者向けWebinar AWS上にWebサーバシステムを作ってみましょう~まずは仮想サーバーから[演習つき]
Amazon Web Services Japan
•
7.7K views
AWS 初心者向けWebinar 利用者が実施するAWS上でのセキュリティ対策
Amazon Web Services Japan
•
20.5K views
初心者向けWebinar スケーラブルWebアプリケーションの構築
Amazon Web Services Japan
•
10.1K views
AWS初心者向けWebinar AWSとのネットワーク接続入門
Amazon Web Services Japan
•
43.1K views
WS Black Belt Online Seminar 2016 RDBのAWSへの移行
Amazon Web Services Japan
•
28.6K views
AWS Black Belt Online Seminar Antipattern
Amazon Web Services Japan
•
3.9K views
AWS Black Belt Online Seminar 2017 Amazon EC2 Systems Manager
Amazon Web Services Japan
•
17.1K views
[AWS初心者向けWebinar] AWSへのアプリケーション移行の考え方と実践
Amazon Web Services Japan
•
12.3K views
AWSからのメール送信
Amazon Web Services Japan
•
162.9K views
AWS初心者向けWebinar .NET開発者のためのAWS超入門
Amazon Web Services Japan
•
9.7K views
AWS Black Belt Online Seminar 2017 EC2 Windows
Amazon Web Services Japan
•
13.2K views
【AWS初心者向けWebinar】AWSから始める動画配信
Amazon Web Services Japan
•
39.4K views
アマゾンクラウドの真価
kaminashi
•
1.1K views
AWS Black Belt Online Seminar 2017 Deployment on AWS
Amazon Web Services Japan
•
14.7K views
【JAWS-UG Sapporo】はじめてのAWSワークショップ 概説
Machie Atarashi
•
1.7K views
Jawsdays2018 - The cost driven aws cloud architecture design
Han Jin Ryu
•
311 views
Jawsdays2018 - The cost driven aws cloud architecture design
Han Jin Ryu
•
227 views
CTO Night & Day Morning Session "Auto Scaling & Spot Instances Deep Dive"
akitsukada
•
3.1K views
Advertisement
More from Amazon Web Services Japan
(20)
202205 AWS Black Belt Online Seminar Amazon VPC IP Address Manager (IPAM)
Amazon Web Services Japan
•
6.9K views
Infrastructure as Code (IaC) 談義 2022
Amazon Web Services Japan
•
3.1K views
Amazon Game Tech Night #25 ゲーム業界向け機械学習最新状況アップデート
Amazon Web Services Japan
•
1.9K views
20220409 AWS BLEA 開発にあたって検討したこと
Amazon Web Services Japan
•
3.5K views
マルチテナント化で知っておきたいデータベースのこと
Amazon Web Services Japan
•
6.5K views
機密データとSaaSは共存しうるのか!?セキュリティー重視のユーザー層を取り込む為のネットワーク通信のアプローチ
Amazon Web Services Japan
•
832 views
パッケージソフトウェアを簡単にSaaS化!?既存の資産を使ったSaaS化手法のご紹介
Amazon Web Services Japan
•
759 views
202201 AWS Black Belt Online Seminar Apache Spark Performnace Tuning for AWS ...
Amazon Web Services Japan
•
4.3K views
20211209 Ops-JAWS Re invent2021re-cap-cloud operations
Amazon Web Services Japan
•
3.5K views
20211203 AWS Black Belt Online Seminar AWS re:Invent 2021アップデート速報
Amazon Web Services Japan
•
15.1K views
[AWS EXpert Online for JAWS-UG 18] 見せてやるよ、Step Functions の本気ってやつをな
Amazon Web Services Japan
•
5.2K views
20211109 JAWS-UG SRE keynotes
Amazon Web Services Japan
•
2K views
20211109 bleaの使い方(基本編)
Amazon Web Services Japan
•
2.1K views
AWS の IoT 向けサービス
Amazon Web Services Japan
•
2K views
AWS IoT Coreを オンプレミス環境と使う際の アーキテクチャ例 (AWS IoT Deep Dive #5)
Amazon Web Services Japan
•
1.9K views
AWS IoT SiteWise のご紹介 (AWS IoT Deep Dive #5)
Amazon Web Services Japan
•
1.7K views
製造装置データ収集の選択肢 (AWS IoT Deep Dive #5)
Amazon Web Services Japan
•
788 views
IoT@Loft#20 - IoTプラットフォームを進化さ せるAWSの活用方法
Amazon Web Services Japan
•
1.3K views
202106 AWS Black Belt Online Seminar 小売現場のデータを素早くビジネス に活用するAWSデータ基盤
Amazon Web Services Japan
•
2.3K views
03_AWS IoTのDRを考える
Amazon Web Services Japan
•
2K views
Recently uploaded
(20)
Omnis
DaisukeFujita10
•
19 views
社内ソフトスキルを考える
infinite_loop
•
82 views
CDLEハッカソン2022参加報告.pdf
SHOIWA1
•
9 views
Forguncy製品概要.pptx
フォーガンシー
•
57 views
量子論.pdf
hiro150493
•
7 views
留信网认证可查【皇家霍洛威学院文凭证书毕业证购买】
32lkhng
•
2 views
ペンタエリスリトール市場.pdf
HinaMiyazu
•
3 views
【DL輪読会】Flow Matching for Generative Modeling
Deep Learning JP
•
766 views
ChatGPT触ってみた
infinite_loop
•
54 views
Kubernetes超入門
Takashi Suzuki
•
5 views
AIEXPO_CDLE名古屋紹介
KotaMiyano
•
3 views
【2023年5月】平成生まれのためのUNIX&IT歴史講座
法林浩之
•
16 views
【DL輪読会】DINOv2: Learning Robust Visual Features without Supervision
Deep Learning JP
•
24 views
HTTPの仕組みについて
iPride Co., Ltd.
•
8 views
☀️【麦吉尔大学毕业证成绩单留学生首选】
15sad
•
3 views
統計学の攻略_統計的仮説検定の9パターン.pdf
akipii Oga
•
184 views
SoftwareControl.pdf
ssusercd9928
•
6 views
《杨百翰大学毕业证|学位证书校内仿真版本》
d520dasw12
•
2 views
【DL輪読会】Egocentric Video Task Translation (CVPR 2023 Highlight)
Deep Learning JP
•
59 views
Üslup ve tercüme.pdf
1Hmmtks
•
2 views
Advertisement
AWS初心者向けWebinar AWS上でのDDoS対策
2016 / 02
/ 09 アマゾン ウェブ サービス ジャパン 株式会社 プロフェッショナルサービス コンサルタント 松本 照吾 【 AWS 初心者向け Webinar 】 AWS上でのDDoS対策
2 ご質問を受け付け致します! 質問を投げることができます! • Adobe Connect
のチャット機能を使って、質問を書き込ん でください。(書き込んだ質問は、主催者にしか見えませ ん) • 最後の Q&A の時間で可能な限り回答させていただきます。 ①画面右下のチャッ トボックスに質問を 書き込んでください ②吹き出しマークで 送信してください
3 AWS 初心者向け Webinar
のご紹介 • AWS についてこれから学ぶ方むけの ソリューションカットの Webinar です • 過去の Webinar 資料 – AWS クラウドサービス活用資料集ページにて公開 http://aws.amazon.com/jp/aws-jp-introduction/ • イベントの告知 – 国内のイベント・セミナースケジュールページにて告知 http://aws.amazon.com/jp/about-aws/events/ (オンラインセミナー枠)
4 自己紹介 名前:松本 照吾 所属:アマゾン ウェブ
サービス ジャパン株式会社 プロフェッショナルサービス本部 セキュリティ コンサルタント 経歴:セキュリティコンサルタント (情報セキュリティ監査、ISMS、BCMS等) 好きなAWSサービス:リスクとコンプライアンスホワイトペーパー
5 アジェンダ イントロダクション 攻撃領域を削減 スケールして攻撃を吸収 公開されたリソースを保護 通常時の動作を学習 攻撃に対する計画を作成 まとめ
6 アジェンダ イントロダクション 攻撃領域を削減 スケールして攻撃を吸収 公開されたリソースを保護 通常時の動作を学習 攻撃に対する計画を作成 まとめ
7 DoS攻撃とは? • DoS=Denial of
Service attack • 攻撃者がやりたいこと=サービスをさせないこと
8 DDoS攻撃とは? • DDoS=Distributed Denial
of Service attack • 複数から攻撃すれば、より効果的な攻撃に
9 ターゲットはどこか? 分類 ターゲット 狙い
代表的な攻 撃例 割合 主な対処 Application layer DDoS attacks アプリケー ション層 アプリケー ションリソー スを消費 HTTP GET Flood 15% WAFによるアプリ ケーションレイヤ 保護、スケール State- exhaustion D DoS attacks トランス ポート層 FW、IPS、 ロードバラン サーなどのシ ステムリソー スを消費 SYN Flood 20% 有効なトラフィッ クのみの受付 (CloudFront、 ELB) Volumetric DDoS attacks ネットワー ク層 ネットワーク で処理が不可 能な大量のパ ケットを送信 UDP増幅攻 撃 65% 有効なトラフィッ クのみの受付 (CloudFront、 ELB)、スケール
10 攻撃の例:DNSリフレクター攻撃 ・発信元のIPアドレスを偽装 ・通信時にセッション確立が不要な UDP ・大量の問い合わせをDNSサーバに ・問合せと応答のパケットサイズ の差を利用 DNSを使った攻撃例
11 狙われやすい(やられやすい)環境とは? • 攻撃を受け止めるキャパシティがない • 単一障害点 •
攻撃対象の露出
12 AWSのセキュリティの考え方=責任共有モデル AWS Foundation Services Compute
Storage Database Networking AWS Global Infrastructure Regions Availability Zones Edge Locations Client-side Data Encryption Server-side Data Encryption Network Traffic Protection Platform, Applications, Identity & Access Management Operating System, Network, & Firewall Configuration Customer Applications & Content Customers
13 AWSにおけるDDoS対策とは? “Amazon API エンドポイントは、Amazon
を世界最大のイン ターネットショッピング業者にしたエンジニアリングの専門知 識を参考にして、大規模で、インターネット規模の、ワールド クラスのインフラストラクチャにホストされています。専属的 な DDoS 緩和技術が使用されています。“ (「セキュリティプロセスの概要」ホワイトペーパーより)
14 お客様によるDDoS対策 • 次の5つの観点から対策を検討・実施 – 攻撃対象領域を削減する –
スケールして攻撃を吸収できるようにする – 公開されたリソースを保護する – 通常時の動作について学習する – 攻撃に対する計画を作成する
15 レジリエンシーの高いAWSアーキテクチャの活用 • サービスを提供しているアプリケーションを止 めない設計を!
16 アジェンダ イントロダクション 攻撃領域を削減 スケールして攻撃を吸収 公開されたリソースを保護 通常時の動作を学習 攻撃に対する計画を作成 まとめ
17 東京リージョン Amazon Virtual Private
Cloud (VPC) • 特徴 (http://aws.amazon.com/jp/vpc/) – AWS上にプライベートネットワークを構築 – AWSと既存環境のハイブリッド構成を実現 – きめ細かいネットワーク設定が可能 仮想プライベートクラウドサービス VPC ( 172.16.0.0/16) 既存システム プライベート サブネット パブリック サブネット インターネット VPN or 専用線 ネットワークを 要件に応じて設定 インターネット ゲートウェイ
18 Amazon VPC を使用した脅威からの保護 ウェブ アプリケー ション サーバー パブリックサブネット ssh 踏み台 NAT ELBユーザー 管理者 インターネット Amazon
EC2 セキュリティグループ セキュリティグループ Gateway セキュリティグループ フロントエンドプライベート サブネット TCP: 8080 Amazon EC2 TCP: 80/443 バックエンドプライベート サブネット セキュリティグループ TCP: 1433; 3306 MySQL db TCP: アウトバウン ド TCP: 22
19 SSH踏み台ホストのセキュリティグループ(例) • インターネットや特定のイ ンターネットアドレスのレ ンジよりTCPポート 22に 接続を許可 •
このポートに対するDDoS 攻撃があった場合は、SSH サービスのみが影響 • 不正アクセスの可能性を最 小化するために、ネット ワークのPublic IPのレンジ のみSSH要塞ホストのセ キュリティグループとコ ミュニケーションすること を許可
20 ELBセキュリティグループ(例) • インターネットからのTCP ポート80と443のみを許可 し、リクエストをウェブア プリケーションサーバー セ キュリティグループのEC2 インスタンスに送信可能に
21 NAT Gateway(例) • ソフトウェアの更新等のた めにインスタンスのイン ターネット接続を許可する ため、Network
Address Translation (NAT)インスタ ンスを作成 • NATインスタンスにより、 インターネットからのイン バウンドの接続を拒否しつ つ、プライベートサブネッ トからインターネットへと トラフィックを安全に通す
22 ウェブアプリケーションサーバセキュリティグループ (例) • ELBからくるウェブアプリ ケーションのリクエストの み受け付け • 攻撃対象領域を最小化する 取組として、これらのイン スタンスにはVPCのサブ ネットのアドレスレンジか らのプライベートIPアドレ スしかアサインされない •
ELB セキュリティグループ からのTCPポート80及び 443とSSH踏み台ホスト セ キュリティグループからの TCPポート22だけを許可
23 MySQLサーバセキュリティグループ(例) • MySQLデータベースサー バーはウェブアプリケー ションをホストするEC2イ ンスタンスからのみアクセ ス可能に • ウェブアプリケーション サーバー
セキュリティグ ループのEC2インスタンス からのみTCPポート3306 の接続を許可
24 ネットワークACL(例) • Network ACLは伝統的なファイアウォールの ように番号順に処理されるステートレスの allow及びdenyルールを作れるようにすること で追加の防御レイヤーを提供 •
EC2のインスタンスレベルでトラフィックを許 可するセキュリティグループとは反対に、サブ ネットレベルでトラフィックを許可したり拒否 したりするために便利 • 望ましくない、もしくは悪用の可能性のあるイ ンターネットのIPアドレスかレンジを識別した 場合、denyルールによりそれらをアプリケー ションに到達する前にブロック
25 アジェンダ イントロダクション 攻撃領域を削減 スケールして攻撃を吸収 公開されたリソースを保護 通常時の動作を学習 攻撃に対する計画を作成 まとめ
26 スケールによる攻撃の吸収 • アプリケーションが対応できないレベルのトラフィッ クを送信されるなら、受け止めてしまえばいい。 水平スケーリング: インフラストラクチャの活用により、攻撃を広い範囲に分散 垂直スケーリング: より多くのメモリ、CPU、およびキャパシティにより攻撃を吸収
27 スケールによる攻撃の吸収のメリット • 攻撃は、より広い領域に分散され、影響する範囲に ついては最小化される。 • 攻撃者は、攻撃をスケールアップするためにさらに 多くにリソースを消費する必要がある。 •
スケーリングによって、DDoS 攻撃を分析し、対策 を実行するまでの時間を稼ぐことができる。 • スケーリングによって、その他の障害シナリオでの 冗長性のセキュリティレイヤーが追加される。
28 DDoS対策におけるスケーリングの活用 (1)アプリケーションに対して適切なイン スタンスタイプを選択する (2) Elastic Load
Balancing や Auto Scaling といったサービスを自動的にス ケールするよう設定する (3) Amazon CloudFront や Amazon Route 53 など、AWS グローバルサー ビスに組み込まれた固有のスケールを使 用する Route 53
29 Amazon Elastic Compute
Cloud(EC2) スケールしてアプリケーション や予期しないスパイクをサポー トできるインスタンスタイプを 選択 拡張ネットワーキング C3、C4、R3、D2、および I2 インスタンスでは、拡張ネット ワーキング機能を有効に コスト<ネットワーク接続
30 Elastic Load Balancing
(ELB) 〜 AWSクラウド上のロードバランシングサービス 〜 ELBで実現できるシステム スケーラブル : 複数のEC2インスタンスに負荷分散 高い可用性 : 複数のアベイラビリティゾーンにある複数のEC2インスタンス の中から正常なEC2インスタンスにのみ振り分け ELB自体の特徴 スケーラブル : ELB自体も負荷に応じてキャパシティを自動増減 安価な従量課金 : 従量課金で利用可能 運用管理が楽 : マネージドサービスなので管理が不要 豊富な連携機能 : Auto Scaling, Route 53, Cloud Formation… などと連携
31 Elastic Load Balancing
(ELB)利用のメリット • 特定のインスタンスのみが過負荷になるリスク を最小限に抑える。 • インターネットへの公開はELBのみに。 • セキュリティグループやネットワークACLとの 組み合わせによる追加のレイヤーを提供 • 有効な TCP リクエストのみをサポート(UDP や SYN フラッドなどの DDoS 攻撃は、インス タンスに到達しない)
32 Auto Scaling • 特徴
(http://aws.amazon.com/jp/autoscaling/) – Amazon EC2インスタンス群を自動的に スケール – 耐障害性の向上(インスタンスの異常を 検知して、新しいインスタンスを起動) – EC2インスタンスの起動料金の最適化 • 価格体系 (http://aws.amazon.com/jp/autoscaling/pricing/) – Auto Scaling自体の利用は無料 – Auto Scalingによって起動されるEC2インス タンスの起動料金 • Spotインスタンスとしても起動可能 EC2インスタンスを負荷またはスケジュールに応じて自動増減 Auto Scaling group Desired Capacity 必要に応じて 追加される Capacity 起動設定 • インスタンスタイプ • AMI • Spot入札価格 など
33 Auto Scalingを活用するうえでの注意点(1/2) • サーバーの起動と設定に要する時間 –
アプリケーションの起動に 5 分以上かかる場合は、複数のインスタンスに おいてアプリケーションを事前に実行状態にしておくか、スケーリングの しきい値を低くすることを推奨 • アプリケーションのパフォーマンスと最も関連性が高い メトリックスの特定 – DDoS 攻撃を示すメトリックスの例 (CPUUtilization、NetworkIn、StatusCheckFailed など) • Auto Scaling グループの一部として使用する可能性があ る既存リソース(EC2 インスタンスや AMI など) – Auto Scaling グループに対して攻撃を受けている状態でもアプリケーショ ンを実行しつづけるためには、同じタイプのインスタンスまたはより高い キャパシティーが必要
34 Auto Scalingを活用するうえでの注意点(2/2) • Auto
Scaling グループに含める AZ の数 – 最低でも 2 つの AZ を推奨 • スケールアップおよびスケールダウンを行う速度 – DDoS 攻撃は波のように押し寄せることに注意。最初の攻撃の後で スケールダウンしたが、結局再度スケールアップしなければならな くなる状況は避けたい。 • Auto Scaling グループでの EC2 インスタンスの最 大数 – インスタンスが追加されると、コストも増える可能性がある。 Auto Scaling ポリシーを作成するときは、インスタンスの最大数を 設定可能(最大数に達したときのアラームを設定可能)
35 Amazon CloudFront • 高性能な分散配信 (世界54拠点のエッジサーバ)
※2016年1月時点 • 高いパフォーマンス (業界トップクラスのパフォーマンス測定結果) • キャパシティアクセスからの開放 (予測不可能なスパイクアクセスへの対応) • 完全従量課金 (初期費用がなく安価かつスポットも利用可能) • 設定が容易で即時利用が可能 (GUIからの設定で15分程度でサービス利用開始可能)
36 複数のエッジによるトラフィック分散 転送 攻撃者 AWS リージョン AWS エッジ AWS エッジ AWS エッジ AWS エッジ クライアント クライアント トラフィックのフィルタリング (有効なTCP接続とHTTPリクエストのみ)
37 DDoSの標的としてのDNS • DNSは単一障害点に • アプリケーションが利用 可能でも名前解決ができ なければ“使えない” •
DNSはUDPを利用
38 • AWSの提供する権威DNSサービス – DNSはドメイン名をIPアドレスに変換するインターネット上の「電話帳」 –
“Route 53” はDNSサーバがポート53番で動作することに由来 • AWS上で高可用性、低レイテンシなアーキテクチャを実現す るツール – ポリシーベースの柔軟なトラフィックルーティング、フェイルオーバー、トラ フィックフローなどの機能により、様々な条件に基づくルーティングが可能 • 高い可用性を提供 – DNSはインターネットの根幹のサービス – Route 53 は 100%のAvailabilityのSLAを提供 • マネージドサービスとして提供 – DNSサーバーの設計・構築・維持管理が不要 – 冗長性・性能・セキュリティ等は全てAWSにて管理される Route 53 Amazon Route 53 とは
39 Route53によるスケーリングとDDoS対策 • シャッフルシャーディング – 数多くのエンドポイントに
DNS リクエストを分散させ、アプリケーションの複 数のパスとルートを提供します。 • Anycastルーティング – 複数の PoP から同じ IP アドレスをアドバタイズすることで冗長性を高めます。 DDoS 攻撃が 1 つのエンドポイントを攻略した場合、シャッフルシャーディン グによって障害が分離され、インフラストラクチャに追加のルートが提供され ます。 • ヘルスチェックとDNSフェイルオーバー – DNSクエリで正常なリソースのみを使用
40 アジェンダ イントロダクション 攻撃領域を削減 スケールして攻撃を吸収 公開されたリソースを保護 通常時の動作を学習 攻撃に対する計画を作成 まとめ
41 リソース保護の概要 転送 攻撃者 AWS リージョン AWS エッジ AWS エッジ AWS エッジ AWS エッジ クライアント クライアント アプリケーションへの エントリポイントを減らせない Amazon CloudFront、Amazon Route
53、およびウェブア プリケーションファイアウォール(WAF)によるエントリポイ ントへのアクセス制限、保護が必要
42 CloudFrontによるDDoS緩和技術 • 全てのディストリビュー ションは共有IPスペース でユニークなコンビネー ションを保持 • 特定のIPスペースがア タックされた場合にどの ディストリビューション がアタックされたか特定 •
特定されると、DDoSト ラフィックを他の正常な トラフィックから切り離 し、配信基盤と顧客を保 護 CloudFront edge location CloudFront edge location DDoS attack DDoS attack users users distribution distribution distribution distribution Distribution Signatures
43 CloudFrontによるDDoS緩和技術 • 独自のDDoS緩和システム でサービスベースの防御 • 全てのパケットは検査され、 学習アルゴリズムでスコア リングされる •
他ユーザートラフィックは、 インラインシステムが可用 性、スループット、レイテ ンシに影響を与えずに迅速 に対応 Customer’s Origin Infrastructure (ELB, EC2, S3, etc). CloudFront Route 53 CloudFront Route 53 DDoS Attack Users DDoS Mitigation System DDoS Mitigation System Edge Location AWS Region DDoS への対処
44 最近のDDoS 攻撃排除例 • Route53の34のエッジロケーションを標的としたDNS
フラッド攻撃 • ピークボリュームは今までのDDoSのトップ4%に入る規模 (source: Arbor Networks) • 自動的に検知を行い、可用性に影響を与えることなく緩和 • 毎年数百件のアタックを鎮静化 May 6, 2015
45 最近のDDoS 攻撃排除例 • Route53の34のエッジロケーションを標的としたDNS
フラッド攻撃 • ピークボリュームは今までのDDoSのトップ4%に入る規模 (source: Arbor Networks) • 自動的に検知を行い、可用性に影響を与えることなく緩和 • 毎年数百件のアタックを鎮静化 May 6, 2015 Amazon Route 53 Response Time
46 CroudFrontのセキュリティ機能 • セキュア配信 – HTTPS対応
(強制リダイレクト / HTTPSのみ許可) – SSL証明書 (デフォルト / 独自証明書 / SNI / Certification Manager) – オリジン暗号化通信 – GEOリストリクション (Whitelist / Blacklist) – オリジンカスタムヘッダー – 署名付きURL/Cookie (有効期間指定) – AWS WAF連携
47 GEOリストリクション • 地域指定によるアクセス制御 – 接続されるクライアントの地域情報を元に、エッジでアクセス判定 –
BlacklistもしくはWhitelistで指定可能 – Distribution全体に対して適用される – 制限されたアクセスには403を応答 CloudFront Edge 接続クライアントの 地域情報をもとに判定 クライアント GEO Restriction有効 オリジンサーバ 403
48 署名付きURL/Cookie • オリジンサーバの保護 – オリジンがAmazon
S3の場合、Origin Access Identity(OAI)を利用 • S3のBucketへのアクセスをCloudFrontからのみに制限 – カスタムオリジンの場合、下記の2種類が選択可能 • オリジンカスタムヘッダーを利用し、CloudFrontで指定された任意のヘッダーをオリジン側で チェック • オリジン側のアドレスを公開しないとともに、CloudFrontが利用するIPアドレスのみの許可させる – CloudFrontが利用するIPアドレスは下記URLから取得可能 https://ip-ranges.amazonaws.com/ip-ranges.json – JSONフォーマット » Serviceキーの“CLOUDFRONT”でフィルタすることで抽出可能 CloudFront Edge カスタムオリジンサーバ S3 クライアント OAI IP制限/ ヘッダ−制限 クライアント ダイレクト アクセス ヘッダー付与
49 CloudFrontとAWS WAFの連携 • AWS
WAFで定義したWeb ACLをCloudFront Distributionに適用 可能 – CloudFrontをサービスの前段に配置することでサイトの保護を実現 – AWS WAFでの制御 • IPアドレス制限 / SQLインジェクション / ヘッダー, クエリ等のStringマッチ – AWS WAFの内容が即時反映 – ブロック時は403(Forbidden)を応答 CloudFront Edge クライアント 不正なアクセスを ブロック オリジンサーバ 403
50 Route53によるリソース保護 ーALIASリソースレコードセット • ALIASレコードとは – Route
53固有の仮想リソースレコード – DNSクエリに対して、以下のAWSサービスのエンドポイントのIPアドレス を直接返す(通常はCNAMEを利用) • 静的ウェブサイトとして設定されたS3バケット • CloudFront ディストリビューション • ELB • ホストゾーン内のリソースレコードセット (複雑なポリシーの作成で使用) • ALIASレコードを使うメリット – DNSクエリに対するレスポンスが高速 – Zone Apexが利用可能 – ALIASレコードに対するクエリが無料(S3, CloudFront, ELB) エイリアスリソースレコードセットと非エイリアスリソースレコードセットの選択 - Amazon Route 53 http://docs.aws.amazon.com/ja_jp/Route53/latest/DeveloperGuide/resource-record-sets-choosing-alias-non-alias.html
51 Route53によるリソース保護ープライベートDNS • プライベートホストゾーンとは – VPCに閉じたプライベートネットワーク内のDNSドメインのレコードを管理するコンテナ •
VPC内のDNSドメインに対して、どのようにトラフィックをルーティングするかを定義 – インターネットにリソースを公開せずに、名前解決が可能 – 1つのプライベートホストゾーンで、複数のVPCをサポート • 複数のVPCネットワークで、同じホストゾーンを利用可能 • 複数リージョンのVPCでも、同じホストゾーンを利用可能。ただしVPCが相互にアクセスできることが必要。 – パブリックホストゾーンと合わせて、スプリットビューが設定可能 • 制約・注意点 – Route 53 ヘルスチェックは利用できない – ALIASレコードは、ホストゾーン内のRoute 53リソースレコードセットのみサポート – プライベートホストゾーンを使用するには、以下のVPC 設定を trueに設定する必要がある • enableDnsHostnames • enableDnsSupport
52 ウェブアプリケーションファイアウォール(WAF)とは? • Web Application
Firewall (WAF) は、HTTPトラフィックを フィルタなどの制御をするためのアプライアンスや、サーバプ ラグインなどのルールセットのこと。 • WAFは以下4つで提供されることが多い • Pure Play: スタンドアローンのアプライアンスやソフトウェア • CDN: Content Delivery Networkへのバンドル • Load Balancer: ロードバランサへのバンドル • Universal Threat Manager (UTM): 統合セキュリティ管理 (UTM)の一部として提供
53 ウェブアプリケーションファイアウォール(WAF)の活用 • WAFは、Webサイトやアプリケーションが、攻撃されてダウン したりデータが流出したりすることがないように手助けをする • WAFの一般的なユースケース •
SQL Injection (SQLi) 、Cross Site Scripting (XSS)対策 • Webクローラ、スクレイピング等のBOT対策 • DDoS緩和 (HTTP/HTTPS floods) • ガートナーのレポートによると、導入理由の25-30%はPCI- DSS対応のため • Magic_Quadrant_for_Web_Application_Firewalls.pdfによる
54 WAFによるDDoSへのリソース保護 • HTTPレート制限 – 特定の期間にわたりエンドユーザーごとにサポートされる
HTTP リクエストのしきい値を確立 – エンドユーザーがそのしきい値を超えると、WAF は新しいリクエ ストをブロックまたはバッファリングし、他のエンドユーザーがア プリケーションにアクセスできるように • HTTPリクエストの検査 – 通常のパターンに準拠しないものを識別 – Ex.文字制限を超えているログインを防止、全件検索を防止 – 応答がコンピュータでないことを確認するテスト(Completely Automated Public Turning test to tell Computers and Humans Apart (CAPTCHA) テスト)や IP 評価リストの実装
55 AWS WAF カスタムルールに よるフィルタ SQLインジェクション、 XSSなどの よくある攻撃への対策 モニタリング
AWS WAF • Amazon
CloudFrontとの併用 • クラウドベースの防御 • セルフサービス、簡単なデプロイ、 使った分だけのお支払い • オートスケール • DevOpsと相性がいい • “Do it yourself” AWS WAFとMarketplaceの併用について Marketplace WAFs • EC2インスタンス上で動作 • マネージドサービス、BYOL、1時間単 位など様々 • スケールさせるには別途設定、変更点、 特別作業等必要
57 WAFサンドイッチ
58 ターゲットはどこか? 分類 ターゲット 狙い
代表的な攻 撃例 割合 主な対処 Application layer DDoS attacks アプリケー ション層 アプリケー ションリソー スを消費 HTTP GET Flood 15% WAFによるアプリ ケーションレイヤ 保護 State- exhaustion D DoS attacks トランス ポート層 FW、IPS、 ロードバラン サーなどのシ ステムリソー スを消費 SYN Flood 20% 有効なトラフィッ クのみの受付 (CloudFront、 ELB) Volumetric DDoS attacks ネットワー ク層 ネットワーク で処理が不可 能な大量のパ ケットを送信 UDP増幅攻 撃 65% 有効なトラフィッ クのみの受付 (CloudFront、 ELB)
59 アジェンダ イントロダクション 攻撃領域を削減 スケールして攻撃を吸収 公開されたリソースを保護 通常時の動作を学習 攻撃に対する計画を作成 まとめ
60 攻撃を受けていることを検知しよう 早期の発見=アラームが対応を加速 アプリケーションの正常と異常の切り分 けとベンチマーク化
61 Amazon CloudWatchとは • AWSの各種リソースを監視するサービス –
AWSリソースの死活、性能、ログ監視 (監視) – 取得メトリックスのグラフ化 (可視化) – 各メトリックスをベースとしたアラーム(通知)、アクションの設定が可能
62 DDoS攻撃の推奨アラートメトリクス(1/2) サービス メトリクス 説明 Auto
Scaling GroupMaxSize Auto Scaling グループの最大サイズ。 AWS の請求 EstimatedCharges AWS 使用量に対する予想請求額。 Amazon CloudFront Requests すべての HTTP/S リクエストに対するリクエスト数 Amazon CloudFront TotalErrorRate HTTP ステータスコードが 4xx または 5xx であるすべ てのリクエストの割合。 Amazon EC2 CPUUtilization 割り当てられた EC2 コンピュートユニットのうち、現 在使用されているものの比率。 Amazon EC2 NetworkIn すべてのネットワークインターフェースでの、このイン スタンスによって受信されたバイトの数。 Amazon EC2 StatusCheckFailed StatusCheckFailed_Instance と StatusCheckFailed_System の組み合わせで、どちら かのステータスチェックが失敗したら報告します。
63 DDoS攻撃の推奨アラートメトリクス(2/2) サービス メトリクス 説明 ELB
UnHealthyHostCount 各アベイラビリティーゾーンの異常なインスタン ス数。 ELB RequestCount 受信され、登録されたインスタンスにルーティン グされた、完了したリクエスト数。 ELB Latency リクエストがロードバランサーから送信され、応 答を受信するまでの経過時間(秒)。 ELB HTTPCode_ELB_4xx HTTPCode_ELB_5xx ロードバランサーで生成される HTTP 4XX または 5XX エラーコードの数。 ELB BackendConnectionErrors 成功しなかった接続の数。 ELB SpilloverCount キューがいっぱいなため、拒否されたリクエスト の数。 Amazon Route 53 HealthCheckStatus ヘルスチェックのエンドポイントのステータス。
64 CloudWatch Metrics CloudWatch Logs Amazon
Linux Ubuntu Windows Red Hat Enterprise Linux CloudWatch Logs CloudWatch Alarm SNS Log Agent Log Agent Log Agent Log Agent • サーバ、アプリケーションリソースの監視
65 CloudWatch Logsを使ったログ監視 • デフォルトのメトリクスに加え、CloudWatch
Logsを使っ てOS、アプリケーション等のテキストログをモニタリング • エージェント経由でログメッセージをCloudWatchエンドポ イントに転送 • 例えば・・・ • アプリケーションログの特定の文字列「NullReferenceException」をモニタリング • ログデータの特定の場所での任意の文字列(例: Apache アクセスログの「404」ス テータスコード)の発生数をカウント
66 アジェンダ イントロダクション 攻撃領域を削減 スケールして攻撃を吸収 公開されたリソースを保護 通常時の動作を学習 攻撃に対する計画を作成 まとめ
67 対応計画をたてよう 攻撃されているときに対応戦略を立てても、効果は期待で きません。 • アーキテクチャを検証し、インフラストラク チャにとって有効な手法を選択する。 • 弾力性を高めるためのコストを評価し、防御の 目標を理解する。 •
攻撃が発生したときの連絡先を明確にする
68 攻撃と課金(コスト)の問題 • AWSのリソースによる吸収=コストはかかる • コストに対する許容度は組織により異なる •
コストと業務継続のバランス • 異常を判定し、あらかじめ対応を考える
69 DDoSだけが“攻撃”とは限らない • DDoSに紛れて他の攻撃が行われている可能性も。 • アクセスコントロールとアラート、ログにより、 “何が起きているか”を判定 •
サービスを“止める”決断も必要かも
70 AWSサポートの効果的な活用 DDoS 攻撃の際により高いレベルのサポートを必要とす るお客様は、次のメリットに基づいてエンタープライズ サポートレベルをご検討ください。 テクニカルアカウントマネージャー(TAM)による 専属的なサポート
71 アジェンダ イントロダクション 攻撃領域を削減 スケールして攻撃を吸収 公開されたリソースを保護 通常時の動作を学習 攻撃に対する計画を作成 まとめ
72 まとめ • 責任共有モデルに基づき、AWSとお客様それぞれが対策を 実施する必要があります。 • AWSの様々なサービスの組み合わせにより、DDoS対策を 実現することが可能です。 •
攻撃を分散、許容する対策と、リソースを攻撃から保護し、 正当なトラフィックを許容する対策を組み合わせましょう。 • 対策の費用対効果を考えた実装をしましょう。
73 参考資料 • DDoSに対するAWSのベストプラクティス – http://media.amazonwebservices.com/jp/DDoS%20White%20 Paper_Revised.pdf •
セキュリティプロセスの概要 – https://d0.awsstatic.com/International/ja_JP/Whitepapers/AW S%20Security%20Whitepaper.pdf • 「Amazon CloudFront から Edge Services へ 〜CDN を再定義する AWS の新たな取り組み〜」(AWS Summit Tokyo2015) – http://media.amazonwebservices.com/jp/summit2015/docs/T E-09-Tokyo-Summit-2015.pdf
74 Q&A
75 詳しくは、http://aws.amazon.com/training をご覧ください メリット • AWS
について実習や実践練習を通じ て学習できる • AWS を熟知したエキスパートから直 接 AWS の機能について学び、疑問の 答えを得られる • 自信をもって IT ソリューションに関 する決定を下せるようになる 提供方法 e ラーニングや動画 セルフペースラボ クラスルーム トレーニング AWSトレーニングでは様々な学習方法をご提供しています
76 公式Twitter/Facebook AWSの最新情報をお届けします @awscloud_jp 検索 最新技術情報、イベント情報、お役立ち情報、お得なキャンペーン情報などを 日々更新しています! もしくは http://on.fb.me/1vR8yWm
77 AWSの導入、お問い合わせのご相談 • AWSクラウド導入に関するご質問、お見積り、資料請 求をご希望のお客様は、以下のリンクよりお気軽にご相 談ください https://aws.amazon.com/jp/contact-us/aws-sales/ ※「AWS 問い合わせ」で検索してください
ご清聴ありがとうございました!
Advertisement