Recommended
More Related Content
Featured
Featured (20)
コンテナ時代の体系的情報セキュリティ対策入門
- 2. アジェンダ • 情報セキュリティについて • リスクとユーザー保護のトレンド • 体系的な情報セキュリティ対策 • コンテナを利用した対策の例 • まとめ 2
- 5. アジェンダ • 情報セキュリティについて • リスクとユーザー保護のトレンド • 体系的な情報セキュリティ対策 • コンテナを利用した対策の例 • まとめ 5
- 6. リスクとユーザー保護のトレンド • 情報システムにおける被害例 • サイバー攻撃による被害 WannaCryによる身代金要求 コインチェック社の仮想通貨流出 • サービス事業者の違反による被害 ケンブリッジ・アナリティカ社とフェイスブック社の個人情報保護違反 6
- 8. • ユーザー保護のトレンド • 改正個人情報保護法 2017年5月30日施工 5,000人分以下の個人情報を取り扱う小規模な事業者も対象 個人情報を取得する場合は、あらかじめ本人に、利用目的を明示する必要がある 個人情報を他企業などに第三者提供する場合、あらかじめ本人から同意を得る必要がある • PCI DSS 2018年3月末までに準拠 加盟店のカード情報「非保持化」 • GDPR 2018年5月25日から適用 EUの個人データの処理と移転に関するルールを定めた規則 8
- 9. • 情報セキュリティ標準・ガイドライン OWASP ウェブアプリケーションセキュリティ課題の解決を目的とする国際的なオープンなコミュニティ 脆弱性診断の標準や規格などを策定 経済産業省 システム管理基準 効果的な情報セキュリティマネジメント体制を構築し適切な管理策の整備運用のための規範 IPA 情報セキュリティ 情報セキュリティ対策のガイドラインや学習用ドキュメント等 9
- 10. アジェンダ • 情報セキュリティについて • リスクとユーザー保護のトレンド • 体系的な情報セキュリティ対策 • コンテナを利用した対策の例 • まとめ 10
- 15. アジェンダ • 情報セキュリティについて • リスクとユーザー保護のトレンド • 体系的な情報セキュリティ対策 • コンテナを利用した対策の例 コンテナとコンテナオーケストレーション概要 コンポーネントの脆弱性対応 A9.既知の脆弱性のあるコンポーネントの使用 暗号化キーの保管 A3.機微な情報の露出 ロギング A10.不十分なロギングとモニタリング • まとめ 15
- 16. コンテナとコンテナオーケストレーション概要 • コンテナ概要 • コンテナのベストプラクティス 1コンテナに1プロセス 最小限のパッケージで構成する よくメンテナンスされたベースイメージを利用する • コンテナランタイム Docker、rkt 16 PHP-FPM PHP コンテナ PHP実行できるサーバー PHP実行できないサーバー 実行可 実行可
- 17. • コンテナオーケストレーション概要 コンテナ間の連携や監視、スケーリング等、統合的に運用管理する • コンテナオーケストレーションツール Kubernetes(GKE、OpenShift等) Docker Swarm • Pod 複数で機能を提供するコンテナをまとめたもの 17 PHP-FPM PHP Nginx Pod(フロントエンドの機能)
- 18. • Kubernetes概要 https://www.xenonstack.com/blog/devops/kubernetes-overview-monitoring-security/ 18
- 19. コンポーネントの脆弱性対応 • セキュリティパッチ(EOL)の傾向 PHPのEOL ※5.6.x => 7.0.x、7.0.x => 7.1.x、7.1.x => 7.2.xの各バージョン間でも多少互換性がない Java SEのEOL Java 8無償版は2019年1月でEOL Java SE無償版(相当)はJava 11以降でOpen JDKに ※Oracle Javaのコンテナ利用はライセンス上の注意が必要 19
- 21. Dockerイメージの更新 Dockerfile 21 FROM alpine:3.7 RUN apk —update add … ENV PHP_VERSION 7.2.5 => 7.2.6 RUN wget http://$PHP_VERSION … RUN make … …
- 22. 本番環境へのデプロイ デプロイ実行 $ kubectl … deployment.yml (kubernetesのデプロイ設定ファイル) 22 spec: replicas: 5 strategy: rollingUpdate: maxSurge: 1 maxUnavailable: 0 type: RollingUpdate …
- 23. デプロイ時の動作 https://codefresh.io/kubernetes-tutorial/continuous-deployment-strategies-kubernetes-2/ 23
- 25. 2台目の切り替え https://codefresh.io/kubernetes-tutorial/continuous-deployment-strategies-kubernetes-2/ 25
- 27. カナリアリリース https://codefresh.io/kubernetes-tutorial/continuous-deployment-strategies-kubernetes-2/ 27
- 28. 暗号化キーの保管 • データ保護の対策 個人情報等の機微な情報を暗号化して保存 必要に応じて復号化 • ありがちな運用例 暗号化キーがアプリケーションコンフィグに書かれてリポジトリで保管している 別の場所に保管しているが誰がアクセスしているか分からない => 予期せず機密情報と機微な情報が漏えいするリスクがある 28
- 30. 30 config ‘encryption_key‘ => ‘abcdefg‘; リポジトリ config ‘encryption_key‘ => ‘/path/to‘; リポジトリ abcdefg encrypted 不正なアクセス AP
- 31. • 機密情報管理ツールの比較 31 ツール名/機能 機密情報の分離 機密情報の暗号化 監査ログ HashiCorp Vault ○ ○ ○ Ansible Vault ○ ○ × Docker Secrets ○ ○ × Kubernetes Secrets ○ ○ ? (advanced audit)
- 32. • HashiCorp Vault 独立したサーバーとして稼働し、REST APIでやりとりできる 32 オープンソース版の主な機能 Secure storage ストレージに書き込む前に暗号化、復号にはVaultが必要 Credential leasing & revocation 機密情報の利用期限の設定と失効 Detailed Audit Logs 全ての処理に対し詳細な監査ログを保存 Access control policies アクセス制御のポリシー設定 Encryption as a service プレインテキストを暗号化する Pro版の主な機能 Disaster Recovery Replication データセンター間でVaultをフェイルオーバーする機能 Premium版の主な機能 HSM Autounseal HSM(Hardware Security Module)との連携
- 36. シャミアの秘密分散法 36
- 38. ロギング • Dockerの標準ログ出力 ホストOS内に保存される 標準出力と標準エラー出力がファイルに保存される /var/lib/docker/containers/${container-id}/${container-id}-json.log アプリケーションがファイルに出力しているとここには出力されない オプションでローテートと破棄もできる(デフォルトは1ファイル無制限) 38 docker run … --log-opt max-size=10m —log-opt max-file=3
- 44. • OWASP TOP 10以降の対策 10まででやめない OWASP Developer's GuideやOWASP Cheat Sheet Series、OWASP Testing Guideに進む 定期的に変更する OWASP Top 10はこれからも変化し続けます 積極的に思考する OWASP Proactive ControlsやOWASP Application Security Verification Standardに進む 賢くツールを活用する(ツールだけに依存しない) 脆弱性を発見して排除する最も費用対効果の高いアプローチは、高度なツールを手元に備えている専門家 左へ右へ、どこへでも進める OWASP Software Assurance Maturity Modelに進む https://www.owasp.org/images/2/23/OWASP_Top_10-2017%28ja%29.pdf p.3 44