Cloud Native Security

© Copyright 2017 Pivotal Software, Inc. All rights Reserved. Version 1.0
Version 1.0
September 2017
CredHub
Secure Credential Management in Cloud Foundry

ymantec 2016 Internet hreat eport
● 毎週、新たなゼロデイ脆弱性が発見されている
● 5億件も個人情報が盗まれた、また喪失した
● ウェブサイト 4分 3に脆弱性が見つかった
● 従業員を狙うスピアフィッシング攻撃が55パーセント増えた
● ランサムウェアが35パーセント増えた

ymantec 2016 Internet hreat eport
● 毎週、新たなゼロデイ脆弱性が発見されている
● 5億件も個人情報が盗まれた、また喪失した
● ウェブサイト 4分 3に脆弱性が見つかった
● 従業員を狙うスピアフィッシング攻撃が55パーセント増えた
● ランサムウェアが35パーセント増えた
技術進歩攻撃多様化脅威数増大

大打撃を与えるタイプ脅威
● マルウェア
○ これ、ウイルス、トロイ木馬、ワーム、スパイウェア、そ他悪意あるプログラムすべてに当
てまる用語です。
● 持続的標的型攻撃 (APT)
○ APTと、ネットワークへアクセスに成功した攻撃者が、長期にわたって検出されずに留まるタイ
プ侵害です。脅威が検出されずに留まれそれだけ、データリスクが高まります。
● 認証情報漏洩
○ 認証情報、情報またそ他リソースへアクセスを制御します。重要なシステムに対する従
業員認証情報を組織がいかに厳しく閉じ込めようとしても、相変わらず外に漏れてしまうようで
す。

従来エンタープライズセキュリティ考え方
システム変更リスク＝

従来エンタープライズセキュリティ考え方
システム変更リスク＝
セキュリティパッチ放置
マルウェア対策遅れ
認証情報更新遅れ

Cloud Native Security 3Rs
● Repair (修理)
○ ダウンタイムなしで VM 再構築
● Repave (再補修)
○ Stemcell(OS)やBuildpacks(アプリケーションスタック) 無停止で修正
● Rotate (循環)
○ 認証情報継続的かつ迅速な循環

Rotate
Secure Credential Management in Cloud Foundry

CredHub 機能
● Securing data for storage
● Authentication
● Authorization
● Access and change logging
● Data typing
● Credential generation
● Credential metadata
● Credential versioning

CredHub アーキテクチャ
CredHub
● REST APIサーバ
● 暗号化プロバイダー
○ AES256-GCM
○ LunaHSM
Authentication Provider
● UAA
● 相互TLS
Storage Provider
● MySQL
● PostgreSQL
PCFで BOSH Director上に構成

BOSH VM
CredHub
Elastic Runtime
MySQLfor PCF
Redis for PCF
Deployments
generate
rotate
etc..

jobs:
- name: streaming-mysql-backup-client
release: mysql-backup
consumes: {}
provides: {}
properties:
cf-mysql-backup:
symmetric_key: QlD5saBisFRCxzaP91Jxth-XPxUrxP3A
backup-all-masters: false
endpoint_credentials:
username: "((mysql-backup-server-db-credentials.username))"
password: "((mysql-backup-server-db-credentials.password))"

Rotate まとめ
● 利用技術
○ CredHub
○ OSSで開発が進む CF 用プロジェクト
○ CF内認証情報を一元管理する
○ BOSHマニフェスト内クレデンシャルを一部credhub で管理開始
○ PCF1.12から導入
○ 今後サービスクレデンシャルにも対応
● 利点
○ 認証情報循環を通した、情報漏えい対策が可能
○ 散財する認証情報を一元化
○ BOSHマニフェスト内へ認証情報記載を阻止(Gitにあげやすい)

Pivotal Cloud Foundryセキュリティへ取り組み
● 暗号化とセキュリティプロトコル
○ TLS, SSH, IPSec
● アンチウィルス
● 脆弱性対応
○ OSやミドルウェア脆弱性対応やアップグレードが容易
○ OSやミドルウェアセキュリティ対応を Pivotalが実施
● 認証
○ LDAP, AD, oAuthなど対応
● ログ
○ PCFから監査ログ、OS ログなどをすべて取得
○ 既存ログシステムを利用することでログ改ざん検知なども可能
● 脆弱性スキャニング
○ 出荷前にNessusを利用しチェック
○ 脆弱性対応 Pivotalが実施
○ アドオン機能を利用して定期的なスキャニングも可能
● 侵入検知と改ざん検知
○ ファイル改ざん検知アドオン機能を提供

Pivotal Cloud Foundry Security BOSH Add-ons
● アドオン機能によりセキュリティ機能を提供
● PCF常に展開するVMを管理するBOSHを介してア
ドオン形式でソフトウェアをインストール可能
● 一括適用や更新が可能であるため個別導入や
設定が不要となる
● ラインナップ
● File Integrity Monitoring Add-on
○ ファイル改ざん検知
● ClamAV Add-on
○ アンチウイルス
● IPSec Add-on
○ 通信暗号化
BOSH
Director
VM
FIM
ClamAV
IPSec
VM
FIM
ClamAV
IPSec
VM
FIM
ClamAV
IPSec

Cloud Native Security

Recommended

Recommended

More Related Content

What's hot

What's hot (17)

Similar to Cloud Native Security

Similar to Cloud Native Security (11)

Recently uploaded

Recently uploaded (8)

Cloud Native Security