上司の一言から始めるAWSセキュリティ確保生活〜SecurityHubでスコア100を目指す〜

上司の一言から始める
〜SecurityHubでスコア100を目指す〜
AWSセキュリティ確保生活
JAWS DAYS 2022
2022/10/08
株式会社ベガコーポレーション
石内涼太

名前：石内涼太
所属：株式会社ベガコーポレーション SRE G
経歴：独学で色々な言語を触り、就職後は PHP を中心に WEB の開発保
守に従事。現在の会社に移ってから AWS を触り、1年半ほど前から SRE
グループに異動となる。
趣味：車、釣り
最近の出来事：3日ほど前に車のクラッチシリンダーが壊れ修理中。釣りに
行けねぇ！
自己紹介

● AWS のセキュリティ関連サービス
○ AWS SecurityHub
○ Amazon GuardDuty
○ Amazon Inspector
○ Amazon Detective
○ SIEM on Opensearc
● 構成について
● SecurityHub の運用
● まとめ
本日のお品書き

- IAM
- Amazon Cognito
- AWS Directory Service
- AWS Resource Access Manager
- AWS Organizations
- AWS Security Hub
- Amazon GuardDuty
- Amazon Inspector
- AWS Config
- AWS CloudTrail
- AWS IoT Device Defender
- AWS Network Firewall
- AWS Shield
AWS のセキュリティ関連サービス
- Amazon R53 Resolver DNS Firewall
- AWS WAF
- AWS Firewall Manager
- Amazon Macie
- AWS KMS
- AWS CloudHSM
- AWS Certificate Manager
- AWS Secrets Manager
- Amazon Detective
- AWS Elastic Disaster Recovery
- AWS Artifact
- AWS Audit Manager
- SIEM on Amazon Opensearch Service

- 有効化することで各リソースに対し自動的にチェックが行われる
- 実態は AWS Config
- チェック項目は AWS 側が管理し、不定期で項目の変更が行われる
- より強固なセキュリティ基準も存在（CIS、PCI DSS）
- チェック結果に従いスコアが算出される
- 複数アカウント、リージョンの結果を一つのアカウントに集約
- カスタムアクションを定義することで検出時の自動実行ができる
- GuardDuty や Inspector の結果も集約
AWS Security Hub

- 有効化することで各リソースに対する怪しいアクティビティを検知する
- 検知結果には脅威度が設定され、優先順位づけて対処が可能
- S3、Kubernetes、Malware(EC2, ECS) も検知が可能
- コンソール内にて別途有効化が必要
- 複数アカウントの結果を一つのアカウントに集約
Amazon GuardDuty

- 有効化することで EC2 インスタンス、ECR コンテナイメージに対して脆
弱性スキャンが行われる
- 検知結果には脅威度が設定され、優先順位づけて対処が可能
- スキャンタイミングは自動実行と継続実行
- 自動実行：インスタンス作成時やイメージプッシュ時
- 継続実行：新しい脆弱性が公開された時など
- 複数アカウントを一括操作（可能だが Organizations が使える場合の
み orz）
Amazon Inspector

- SecurityHub、GuardDuty、パートナー企業のセキュリティサービスの
結果を集約し原因特定をより簡単に行える
- 従来は複数の結果、ログを ETL ツールなどを使用して独自に分析
する必要があった
- ダッシュボード化されているので視覚的にも簡素化される
- 複数アカウントを一括操作
Amazon Detective

（本家より）SIEM on Amazon OpenSearch Service は、セキュリティインシ
デントを調査するためのソリューション
SIEM on Amazon Opensearch Service

- SIEM は Security Information and Event Management の略
- あらゆる機器のデータを収集及び一元管理をして、相関分析によって
脅威検出とインシデントレスポンスをサポートする
- GitHub にて公開されており、CloudFormation テンプレートからデプロ
イする
- 各種データは Opensearch に集約され、事前に用意されたダッシュ
ボードにより視覚化される

重要なポイント
- やる、やらないを決める
- 段階的にスコアの目標を定める
- スコアよりも脅威度の高いものから対応する
- 一人で解決しない
SecurityHub の運用

やる、やらないを決める
全部やろうとすると途方
に暮れる。
自社の運用にマッチしな
いチェックも存在する。
SRE 内で相談し実施
要否を判断。

段階的にスコアの目標を定める
いきなり短期間で100%
を目指すとなると他業務
にも支障が出る場合が
ある。
半期ごとに10%ずつ上
げることを KPI として設
定する。など

スコアよりも脅威度の高いものから対応する
脅威度が低いものから
対処しても全体的なセ
キュリティリスクは軽減さ
れない。
重要度 (Critical) から優
先的に対処する。

一人で解決しない
数が多いので、特に複
数アカウント存在する環
境だと途方に暮れる。
属人化が進む要因に。
各サービスの担当者に
対応をお願いする。

セキュリティ対策は継続的な監視、対応が重要。これを円滑に行うための仕
組み化、運用手順の設定、組織としての目標設定が必要になる。
まとめ

上司の一言から始めるAWSセキュリティ確保生活〜SecurityHubでスコア100を目指す〜

Recommended

Recommended

More Related Content

Similar to 上司の一言から始めるAWSセキュリティ確保生活〜SecurityHubでスコア100を目指す〜

Similar to 上司の一言から始めるAWSセキュリティ確保生活〜SecurityHubでスコア100を目指す〜 (20)