Successfully reported this slideshow.
We use your LinkedIn profile and activity data to personalize ads and to show you more relevant ads. You can change your ad preferences anytime.

AD19_冨田・近江_TechSummit2018

1,360 views

Published on

Microsoft Tech Summit 2018

Published in: Technology
  • Hi there! I just wanted to share a list of sites that helped me a lot during my studies: .................................................................................................................................... www.EssayWrite.best - Write an essay .................................................................................................................................... www.LitReview.xyz - Summary of books .................................................................................................................................... www.Coursework.best - Online coursework .................................................................................................................................... www.Dissertations.me - proquest dissertations .................................................................................................................................... www.ReMovie.club - Movies reviews .................................................................................................................................... www.WebSlides.vip - Best powerpoint presentations .................................................................................................................................... www.WritePaper.info - Write a research paper .................................................................................................................................... www.EddyHelp.com - Homework help online .................................................................................................................................... www.MyResumeHelp.net - Professional resume writing service .................................................................................................................................. www.HelpWriting.net - Help with writing any papers ......................................................................................................................................... Save so as not to lose
       Reply 
    Are you sure you want to  Yes  No
    Your message goes here
  • There are over 16,000 woodworking plans that comes with step-by-step instructions and detailed photos, Click here to take a look ●●● http://t.cn/A6hKZsXN
       Reply 
    Are you sure you want to  Yes  No
    Your message goes here
  • The #1 Woodworking Resource With Over 16,000 Plans, Download 50 FREE Plans... ■■■ http://tinyurl.com/y3hc8gpw
       Reply 
    Are you sure you want to  Yes  No
    Your message goes here
  • Be the first to like this

AD19_冨田・近江_TechSummit2018

  1. 1. クラウド ネイティブなセキュア アプリケーションの 作り方に PCI DSS を添えて 冨田 順 シグマコンサルティング株式会社 CTO AD19 近江 武一 株式会社 kyrt 代表
  2. 2. ようこそ本セッションへ
  3. 3. セッションアンケートにご協力ください。 公式イベントアプリで、「Microsoft Tech Summit 2018 参加者アンケート(必須)」と 「各セッションアンケート( 5 つ以上)」、合わせて 6 つ以上のアンケートにご回答ください。 もれなくオリジナルグッズを贈呈いたします。 Information Twitter のご案内 本セッションに関するご質問やご感想は、 #mstsjp18 と セッション ID の ハッシュタグで、ご投稿をお願いします。 #mstsjp18
  4. 4. 本セッションの注意事項
  5. 5. 本セッションの禁則事項 シャッター音がするカメラでの撮影を禁止します https://www.microsoft.com/ja-jp/microsoftpix
  6. 6. 本セッションのスライドはここからダウンロードできます https://www.slideshare.net/harutama/presentations
  7. 7. 本セッションのレベルは400です
  8. 8. https://docs.microsoft.com/ja-jp/azure/ https://www.microsoft.com/ja-jp/TrustCenter/Compliance/PCI 本セッションで取り扱わないこと
  9. 9. ポエム 「セキュア と リスク」
  10. 10. セキュア = 安全 https://ejje.weblio.jp/content/secure
  11. 11. 安全とは? https://twitter.com/pasupakaru/status/746503306499919873
  12. 12. 安全とは? http://madness-satan.jugem.jp/?eid=1275
  13. 13. ここまでまとめ
  14. 14. この人が言っている「リスク」ってなんでしょう ?
  15. 15. 金融におけるリスクの定義 https://www.nomura.co.jp/terms/japan/ka/kabu_risk.html
  16. 16. アップサイドリスク と ダウンサイドリスク https://www.mizuho-ri.co.jp/glossary/0152.html
  17. 17. PMBOK でのリスクとは? https://www.pmi-japan.org/topics/pmi1/pmbok_5_9.php
  18. 18. PMBOK におけるリスクを図にすると https://www.it-innovation.co.jp/2013/09/11-191800/
  19. 19. ここまでまとめ
  20. 20. プロが語るセキュリティについてはこちらでどうぞ
  21. 21. 本セッションで話したいこと
  22. 22. こんなのはセキュアじゃない
  23. 23. 本セッションで言いたいこと
  24. 24. 本セッションの構造 目的 • セキュアなアプリケーションを作る 目標 • 必要な人だけが必要な情報に アクセスできる状態を作り出す • 何かにアクセスしたというログが 残っている Key Goal Indicator (KGI) • どれだけクラウドの機能を 利用できているのか? Key Performance Indicator (KPI) • PCI DSS の要件に対して どれだけ準拠できているのか?
  25. 25. 目的と目標
  26. 26. 本セッションの構造 目的 • セキュアなアプリケーションを作る 目標 • 必要な人だけが必要な情報に アクセスできる状態を作り出す • 何かにアクセスしたというログが 残っている Key Goal Indicator (KGI) • どれだけクラウドの機能を 利用できているのか? Key Performance Indicator (KPI) • PCI DSS の要件に対して どれだけ準拠できているのか?
  27. 27. Key Goal Indicator (KGI) 脅威 回避 マイナスのリスクを回避するために、プロ ジェクトマネージメント計画書を変更する。 転嫁 脅威によるマイナスの影響を、責任ととも に第三者へ転嫁する。 軽減 有害なリスク事象の発生確率や影響度 を、受容可能な限界値まで低減する。 受容 受動的:何のアクションも取らずリスク発 生時に対処する。 能動的:時間・お金・資源を含むコンティ ンジェンシー予備を設ける。 好機 活用 好機が確実に到来するようにする。 共有 プロジェクトの利益となる好機を捉える能 力の高い第三者にオーナーシップを割り当 てる。 強化 確率やプラスの影響を増加させることや、 これらのプラスの影響を持つリスクの主要 因を特定し最大化することで、好機の「規 模」を修正する。 受容 受動的:何もしない 能動的:コンティンジェンシー予備を設ける。 https://www.pmi-japan.org/topics/pmi1/pmbok_5_9.php
  28. 28. クラウドはセキュリティにとっての「好機」だと考えます
  29. 29. 本セッションの構造 目的 • セキュアなアプリケーションを作る 目標 • 必要な人だけが必要な情報に アクセスできる状態を作り出す • 何かにアクセスしたというログが 残っている Key Goal Indicator (KGI) • どれだけクラウドの機能を 利用できているのか? Key Performance Indicator (KPI) • PCI DSS の要件に対して どれだけ準拠できているのか?
  30. 30. Key Performance Indicator (KPI)
  31. 31. ここから本編
  32. 32. 今日のお話
  33. 33. 情報セキュリティ - CIA 機密性 JIS Q 27002(ISO/IEC 27002)
  34. 34. Shared responsibility model – 共有責任モデル https://docs.microsoft.com/ja-jp/azure/security/security-management-and-monitoring-overview
  35. 35. Blueprint: PaaS Web Application for PCI DSS https://docs.microsoft.com/ja-jp/azure/security/blueprints/pcidss-paaswa-overview https://servicetrust.microsoft.com/ViewPage/PCIBlueprint
  36. 36. 情報セキュリティ (CIA) 対策の方針
  37. 37. キーノートの話にもありましたね
  38. 38. アーキテクチャ ダイアグラム https://docs.microsoft.com/ja-jp/azure/security/blueprints/pcidss-paaswa-overview
  39. 39. 構成 ーインフラ視点 SQL Database App Service Environment Key Vault Log Analytics Application Insights Storage Public Web Private Web Batch Network Security Group VNet Azure AD
  40. 40. Demo: Azure Security Center
  41. 41. 認証・アクセス制御 不正アクセス防止 監査・ログ・監視 暗号化 ー 鍵管理
  42. 42. アーキテクチャ ダイアグラム https://docs.microsoft.com/ja-jp/azure/security/blueprints/pcidss-paaswa-overview
  43. 43. 3層のアクセス制御 SQL Database App Service Environment Key Vault Log Analytics Application Insights Storage Public Web Private Web Batch Network Security Group VNet
  44. 44. Azure Resource Manager と Resource ○☓
  45. 45. 確認:RBACの許可 Microsoft.Sql/servers/databa ses/write 例: SQL DatabaseのDatabaseの作成 認証されたプリンシパルでActionが許可 されているか確認
  46. 46. Actionの例 順位 頻度 名前 例 1 2338read 2 808write 3 669delete 4 87register ADD, ApiManagement, Automation 5 36listkeys Storage, Batch, Automation 6 34stop Automation, Redis 7 31start Automation, Redis 8 31join Network, ML 9 29listsecrets Functions, ApiManagement 10 26unregister ADD, ApiManagement, Automation
  47. 47. Workspaces 2015-03-20 – Purge Azure Resources 内に実装されたアクセス制御
  48. 48. まとめ
  49. 49. 認証・アクセス制御 不正アクセス防止 監査・ログ・監視 暗号化 ー 鍵管理
  50. 50. アーキテクチャ ダイアグラム https://docs.microsoft.com/ja-jp/azure/security/blueprints/pcidss-paaswa-overview
  51. 51. Unauthorized Access (不正アクセス)
  52. 52. 多段防御
  53. 53. ネットワーク分離と通信制限
  54. 54. 脅威分析 Internet DNS Web App Firewall (WAF) Application Gateway App Service Environment Web App WebJobs Azure Active Directory Azure KeyVault Azure RBAC Application Insights Storage (Azure) Azure SQL database Azure virtual network Interaction Interaction Interaction 運用管理者 コールセンター オペレーター Interaction Interaction Web App Firewall (WAF) Application Gateway Azure Recource Group VNSE
  55. 55. 認証・アクセス制御 不正アクセス防止 監査・ログ・監視 暗号化 ー 鍵管理
  56. 56. アーキテクチャ ダイアグラム https://docs.microsoft.com/ja-jp/azure/security/blueprints/pcidss-paaswa-overview
  57. 57. Log Analytics Application Insights ログ SQL Database App Service Environment Key Vault Log Analytics Application Insights Storage Public Web Private Web Batch Network Security Group VNet
  58. 58. 2つのログ保管サービスと役割
  59. 59. KQL によるデータのクエリ
  60. 60. まとめ
  61. 61. 認証・アクセス制御 不正アクセス防止 監査・ログ・監視 暗号化 ー 鍵管理
  62. 62. アーキテクチャ ダイアグラム https://docs.microsoft.com/ja-jp/azure/security/blueprints/pcidss-paaswa-overview
  63. 63. データの暗号化
  64. 64. Key Vault 2つのアクセス制御
  65. 65. アクセス制御と監査ログ 必ずこっちを使うこと
  66. 66. セキュリティワールド
  67. 67. まとめ
  68. 68. 最後に
  69. 69. 最後に
  70. 70. Information 「Ask The Speaker」 各ブレイクアウトセッション終了後の休憩時間に、 登壇したスピーカーに直接ご質問いただけるコーナーを B2F 「Ask The Speaker」 Room に用意 しています。セッション内容のより深い理解のため、 ぜひお役立てください。 (※ハンズオンラーニング、シアターセッション、ビジネストラック 及び 一部のセッションを除きます)
  71. 71. セッションアンケートにご協力ください。 公式イベントアプリで、「Microsoft Tech Summit 2018 参加者アンケート(必須)」と 「各セッションアンケート( 5 つ以上)」、合わせて 6 つ以上のアンケートにご回答ください。 もれなくオリジナルグッズを贈呈いたします。 Information Twitter のご案内 本セッションに関するご質問やご感想は、 #mstsjp18 と セッション ID の ハッシュタグで、ご投稿をお願いします。 #mstsjp18
  72. 72. 関連セッション
  73. 73. セキュリティ関連
  74. 74. インフラ関連
  75. 75. PaaS 関連
  76. 76. Azure AD
  77. 77. © 2018 Microsoft Corporation. All rights reserved. 本情報の内容(添付文書、リンク先などを含む)は、作成日時点でのものであり、予告なく変更される場合があります。

×