知って得する！？ AWSのセキュリティ関連サービスをご紹介！

# はじめに
今回はAWSのセキュリティ周りのサービスを紹介します！

# YouTube動画
[【YouTube動画】 知って得する！？ AWSのセキュリティ関連サービスをご紹介！](https://youtu.be/B2lJ7SCSK9E)
[![知って得する！？ AWSのセキュリティ関連サービスをご紹介！](https://img.youtube.com/vi/B2lJ7SCSK9E/0.jpg)](https://youtu.be/B2lJ7SCSK9E)

# 認証・認可周りのセキュリティ
## IAM
IAMは<b>I</b>dentity and <b>A</b>ccess <b>M</b>anagementの略で、AWSサービスやリソースへ安全にアクセスするための管理サービスです。

IAMではグループ、ユーザー、ロール、ポリシー、IDプロバイダーの権限設定ができます。

<img src='https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/751408/be39f749-4cb3-6a5c-6666-b85259931980.png' width='750'>

もし初めてAWSを利用する場合は、最初はルートアカウントになっています。
ベストプラクティスとして、別途ユーザーを作成し、ポリシー (権限) をアタッチしておく方が安全です。

また、パスワードが流出してもログインされないために、MFAを設定しておくとより安全になります。
MFAデバイスとしては、AuthyやGoogle認証システムなどがあります。
<img src='https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/751408/f04c1170-1884-f56c-c9cb-b6ac29ebb685.png' width='550'>


# 防御方面のセキュリティ
AWSは攻撃を防ぐためのサービスも充実しています。

## セキュリティグループ
セキュリティグループはインスタンス単位のファイアウォールで、通信の許可のみを設定できます。

<img src='https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/751408/6e6f55c1-3985-5d23-b239-e2f3eb221ca1.png' width='750'>


## ネットワークACL
ネットワークACLはサブネット単位のファイアウォールで、通信の許可と拒否を設定できます。

<img src='https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/751408/0e5daf66-0d88-782e-95a5-8c10574ef59d.png' width='750'>

## AWS WAF
WAFは、<b>W</b>eb <b>A</b>pplication <b>F</b>irewallの略でwebアプリケーションレベルのfirewallです。
AWSやサードパーティが提供しているルールを設定できるため、簡単にセキュリティを高めることができます。
<img src='https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/751408/01ef9e2a-4714-8c1e-2ab3-9f9a0a3c3983.png' width='750'>


## AWS Shield
DDoS専用のサービスです。
toC向けなど攻撃されやすいサービスに適用すると良さげです。

<img src='https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/751408/cb03c53f-8610-1817-5a84-a8d338b01282.png' width='750'>


# 検知
ここからは脆弱性や攻撃を検知するためのサービスです。

## Amazon Inspector
EC2にエージェントを入れて、セキュリティチェックができるサービスです。
OSやネットワークの脆弱性チェックやPCI-DSSを満たしているか等のチェックもできます。

ちなみに、PCI-DSSはクレジットカード会社が規定した情報セキュリティ基準のことです。
<img src='https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/751408/59099207-0ddb-415d-2cd0-66d5804941ef.png' width='６00'>


## Amazon GuardDuty
AWS環境やAWSアカウントに対する脅威を検知できるサービスです。

<img src='https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/751408/c8d2398d-7b48-c05f-a9eb-e50433a0eb6b.png' width='750'>

例えば、Rootユーザーでログインした場合は以下の通知が表示されます。
![スクリーンショット 2020-11-13 11.13.11.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/751408/d8272370-a33c-e3da-3bbe-55e4e1c82c5c.png)

これをクリックすると、次のような画面になります。
Actorの部分を確認すると、どこからアクセスされたのかが確認できます。

EC2が攻撃された場合もどこから攻撃されたかがわかるようになります。
<img src='https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/751408/5354b270-05c3-5582-deea-82698dafdb0b.png' width='500'>



## AWS Trusted Advisor
セキュリティだけでなく、コストやパフォーマンスの最適化をしてくれるサービスです。
右上の更新ボタンをクリックすると、開始されます。
<img src='https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/751408/5729f00e-b10a-9a06-c8dc-1c298d8a0114.png' width='600'>

セキュリティグループの設定が甘かったり、S3がパブリックだと、以下のような警告が出てきます。
サポートプランを上げると、使用頻度の低いインスタンスを通知したり、使用頻度の高いインスタンスをモニタリングできるようです。
<img src='https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/751408/1366fdcd-8d76-6a68-f526-e773fe746728.png' width='600'>


# 監査 AWS CloudTrail
AWSアカウントの操作ログを保持するサービスです。
誰がインスタンスを立てたのか、消したのかをログに残すことができます。
<img src='https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/751408/f35f264b-48ce-d899-5aeb-d1da8d8d6f84.png' width='750'>


# その他 
## AWS Artifact
AWSセキュリティの監査レポートが見れるサービスです。
<img src='https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/751408/0c6c2b7c-05d2-1a08-8429-7cf849a40559.png' width='750'>

電子署名付きの監査レポートをダウンロードすることができます。
![artifact3.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/751408/950f0a89-cd12-54cc-fb2a-e8afc1dbca97.png)


## AWS KMS
KMSは<b>K</b>ey <b>M</b>anagement <b>S</b>erviceの略で、機密情報の暗号化と暗号化キーを管理できるサービスです。
AWS内で他のサービスとの連携もできます。
![kms1.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/751408/39ddb3a9-68ee-8fda-4644-eb7d624165d1.png)

# おわり
今回はAWSのセキュリティ周りのサービスを紹介しました。
AWSのサービスを使う際の参考になれば幸いです。

以上。