複数のAWSアカウントのMFAを効率的に実現するには？ （2017/02 OPS Jawsにて）

1. CONFIDENTIAL
クラウドで、世界を、もっと、はたらきやすく Copyright © Serverworks Co.,Ltd. All Rights Reserved. http://www.serverworks.co.jp
多要素認証を使った運⽤でもっと安全に
より安全なAWS運⽤
株式会社サーバーワークス
マツシタ ミノル
2017/2

2. Page: 2Copyright © Serverworks Co.,Ltd. All Rights Reserved.
⼤学卒業後、サーバー・ストレージベンダーに就職
サポート畑⼀筋
2014年9⽉ サーバーワークス⼊社
クラウド歴＝サーバーワークス在籍歴
趣味：野球、ランニングなど
好きなサービス：EC2, IAM
株式会社サーバーワークス
Minoru Matsushita

3. Page: 3Copyright © Serverworks Co.,Ltd. All Rights Reserved.
運⽤でカバー
悪癖？
運⽤でカバーは悪癖かもしれない。
運⽤でカバーしないといけないのは運⽤設計してない時。
MFA(多要素認証)の設定で終わらずに
MFAを設定した環境の運⽤設計も考えて
AWSセキュリティをさらに⾼めよう！

4. Page: 4Copyright © Serverworks Co.,Ltd. All Rights Reserved.
MFAデバイス
AWS環境へのアクセスを守る
ID・パスワードだけでログインできてしまうAWSマネージメントコンソールのセキュリティウォール
6桁の認証コード（ワンタイムパスワード、30秒更新）でセキュリティを⾼める
カードタイプ キーホルダータイプ ソフトウェアタイプ

5. Page: 5Copyright © Serverworks Co.,Ltd. All Rights Reserved.
ソフトウェアMFA（仮想MFA）の種類
情報格納場所で分類
SaaSタイプ
クラウド上に保管
モバイルアプリタイプ
スマートフォン上に保管
ローカルアプリタイプ
OS上に保管
https://www.authy.com/
https://duo.com/
https://winauth.com/

6. Page: 6Copyright © Serverworks Co.,Ltd. All Rights Reserved.
ID・パスワードが漏洩してしまった
認証コードを⼊⼿する⽅法
QRコード、シークレット設定キー、スマートフォン、強運

7. Page: 7Copyright © Serverworks Co.,Ltd. All Rights Reserved.
不正アクセスの脅威はどこ？
MFAを設定すれば外部の脅威はほぼない
次に考えるのは内部からの不正侵⼊リスクです
Nifty // 内部犯による情報漏洩は全体の6割近く
Ref. http://houjin.nifty.com/blog-security/199
PwC // 外部からの攻撃よりも内部犯罪の方がコストや損害が大きい
Ref. http://www.pwc.com/jp/ja/japan-knowledge/thoughtleadership/managing-insider-threats1509.html

8. Page: 8Copyright © Serverworks Co.,Ltd. All Rights Reserved.
以前の運⽤状況
パスワード管理とデバイス管理
総務とサポートなどの⼀定役職者は
AWS環境に誰の⼒も借りずにアクセスできる
（情シスだけで管理するとボトルネックになりすぎる）
保管場所 アクセス権限
（root）パスワード SaaS上 一定の役職者以上
デバイス 総務・サポート リクエストベース

9. Page: 9Copyright © Serverworks Co.,Ltd. All Rights Reserved.
やるべきこと＝ID・パスワード管理とMFA管理の分離
デバイス管理の限界
管理方法案 懸念事項
会社の金庫で厳重管理 休日・深夜はどうするの？
ID・パスワードを知らない人に
MFAデバイスを預ける
ID・パスワードを教えられない人に
預けていいの？
信用できる3rd Partyに保管を委ねる 運用面で難しそう？！

10. Page: 10Copyright © Serverworks Co.,Ltd. All Rights Reserved.
安全で仮想な環境といえば
MFAデバイスを3rd Partyに委託する⽅法
on
管理方法案 懸念事項
物理デバイスを3rd Partyに委ねる 登録・解除時の受け渡し
SaaSサービスで3rd Partyと共有する 社外からも制限なくアクセスできる
？？？ ？？？

11. Page: 11Copyright © Serverworks Co.,Ltd. All Rights Reserved.
WinAuth on EC2

12. Page: 12Copyright © Serverworks Co.,Ltd. All Rights Reserved.
運⽤の利便性も外せない
担当者がやること
• Questetra BPM
ワークフローを起動
• 3rd Partyからの電話を待つ

13. Page: 13Copyright © Serverworks Co.,Ltd. All Rights Reserved.
運⽤の利便性も外せない
担当者がやること
以下のフォームに⼊⼒して待つだけ

14. Page: 14Copyright © Serverworks Co.,Ltd. All Rights Reserved.
本当に安全か？

15. Page: 15Copyright © Serverworks Co.,Ltd. All Rights Reserved.
今の課題
もっともっと安全に
• EC2インスタンスのログイン監視とアラート通知
• 情シスの不正操作をどこまで監視するか

16. Page: 16Copyright © Serverworks Co.,Ltd. All Rights Reserved.
もっと⼀緒に考えてくれる⼈を探してます
サーバーワークス全部⾒せます！#12
https://serverworks.doorkeeper.jp/

17. Thank you
最後までご覧下さいまして、誠にありがとうございました
Page: 17Copyright © Serverworks Co.,Ltd. All Rights Reserved.
クラウドで、​
世界を、​
もっと、​
はたらきやすく
MFA管理も
AWS上で