Download as PDF, PPTX
More Related Content
Amazon inspector
- 1.
- 2. WHO AM I? 小林孝剛 (こばやし たかよし) ▸ 技術1課 エンジニア ▸ サーバーワークス 大阪オフィス ▸ takayoshi.kobayashi.16 ▸ koba_taka ▸ 保育園の先生のあたりがキツい
- 3. 最近こんなことが ▸ 保育園の担当の先生から ▸ 昨日も小林さんのところだけエプロンがありませんでしたよ… ▸この服寒そうじゃないですか？ ▸ しっかりしてくださいよー ▸ おねがいしますよー ▸ 大丈夫ですかー ▸ もっとがんばってくださいよー 最近の悩み
- 4.
- 5.
- 6.
- 7.
- 8.
- 9.
- 10.
- 11.
- 12.
- 13.
- 14. 何ができるの？ 脆弱性診断のパターン ▸ Vulnerable Javascriptlibrary (Javascriptライブラリの脆弱性) ▸ Development configuration file (Configファイルへのアクセス) ▸ HTML form without CSRF protection (CSRF対策がされているか) ▸ Slow HTTP Denial of Service Attack ▸ Cookie without HttpOnly flag set ▸ Cookie without Secure flag set ▸ Content type is not specified など
- 15. 今日のお話 AMAZON INSPECTOR ▸ AmazonInspector ▸ re:Invent 2015で発表 ▸ AWSが提供する脆弱性診断 ▸ 対応OS (バージョンは要確認) ▸ Amazon Linux ▸ Ubuntu Server ▸ 現在、オレゴンリージョンでのみ利用可能 (2015/10/30 現在) ▸ プレビュー中
- 16. AMAZON INSPECTORってどんな脆弱性に対応してるの 脆弱性診断対応 ▸ AuthenticationBest Practices (認証) ▸ Network Security Best Practices (ネットワーク) ▸ Application Security Best Practices (アプリケーション) ▸ Common Vulnerabilities and Exposures (CVE) ▸ Operating System Security Best Practices (OS) ▸ PCI DSS 3.0 Readiness (PCI DSS)
- 17. ▸ 診断タイプ AUTHENTICATION BESTPRACTICE (認証) ▸Disable root log in over SSH ▸ rootでのSSHログイン ▸Support SSH Version 2 Only ▸ SSHv2のみ ▸Disable Password Authentication Over SSH ▸ Over SSHのパスワード認証 ▸Configure Password Maximum Age ▸ パスワード期限 ▸Configure Password Minimum Length ▸ パスワード長 ▸Configure Password Complexity ▸ パスワードの複雑性
- 18. ▸ 診断タイプ NETWORK SECURITYBEST PRACTICES (ネットワーク) ▸ Use Secure Protocols ▸ セキュアプロトコル ▸ FTP, Telnet, HTTP, IMAP, POPv3, SMTP, SNMPv1 and v2 など ▸ Enable Packet Signing on SMB Servers ▸ SMBサーバーにパケット証明
- 19. ▸ 診断タイプ APPLICATION SECURITYBEST PRACTICES (アプリケーション) ▸ Stack Cookies Enabled ▸ スタッククッキーをサポートしているか ▸ スタックバッファオーバーフローの攻撃に有効 ▸ Data Execution Prevention Enabled ▸ DEPのサポートをしているか ▸ ゼロデイ攻撃に有効
- 20. ▸ 診断タイプ COMMON VULNERABILITIESAND EXPOSURES (CVE) ▸ CVEで公開されている識別子をインスタンスがカバーされているか ▸ Amazonから対応CVE識別子が公開されています ▸ https://s3-us-west-2.amazonaws.com/rules-engine/CVEList.txt
- 21. ▸ 診断タイプ OPERATING SYSTEMSECURITY BEST PRACTICES (OS) ▸ DEP Enabled ▸ DEPの有効 ▸ Address Space Layout Randomization Enabled ▸ ASLRの有効 ▸ System Directories Writable for Root Users Only ▸ システムディレクトリへの書き込み権限 ▸ Secure Access to High Privilege Processes ▸ 特権プロセスへのアクセス
- 22. ▸ 診断タイプ PCI DSSREADINESS BEST PRACTICES (PCI DSS) ▸ Requirement 1.1.6 - Use Secure Protocols ▸ Requirement 2.2.1 - Do not run multiple major services on a single EC2 instance ▸ Requirement 2.2.3 - Use Secure Protocols ▸ Requirement 2.2.2 - Do not have unused protocols running ▸ Requirement 2.2.5 - Do not have unused protocols running ▸ Requirement 2.3 - Use Secure Protocols ▸ Support SSH Version 2 Only ▸ Requirement 7.0 - Leave no high privilege processes vulnerable to tampering ▸ Requirement 8.1.8 - Limit user's idle session time ▸ Requirement 8.2 - Configure Password Maximum Age ▸ Requirement 8.2 - Configure Password Minimum Length ▸ Requirement 8.2 - Configure Password Complexity
- 23.
- 24.
- 25.
- 26.
- 27.
- 28.
- 29.
- 30.
- 31. 環境 対決環境 ▸ EC2 (us-east2)にzabbixを導入(Amazon Linux) ▸ Zabbixは基本設定のみ ▸ 監視対象はなし ▸ Amazon Inspectorの設定 ▸ ルールは全部のせ
- 32. 対決 いざ、対決 ▸ 検査時間 1時間 ▸検査対象 2096メッセージ
- 33.
- 34. 対決 結果 ▸ Medium 2件 ▸Application Security Best Practices (Stack Cookies Enabled) 1件 ▸ Authentication Best Practices (Disable root log in over SSH) 1件 ▸ Information 8件 ▸ PCI DSS 3.0 Readiness 5件 ▸ Network Security Best Practices 1件 ▸ Common Vulnerabilities and Exposures 1件 ▸ Operating System Security Best Practices 1件
- 35.
- 36. まとめ ▸ サービスローンチ前に脆弱性診断は大事 ▸ AmazonInspectorの利用は簡単 ▸ これからに期待 ▸ 脆弱性はないようにキチンと設計しよう
- 37.