IA M運用でのアンチパターンを整理してセキュ リティを意識したクラウド 環境づくり
Cloud Operator Days 2024 クロージングイベント
株式会社Flatt Security
齋藤 徳秀

自己紹介

名前

Norihide Saitox(旧Twitter) @a_zara_n所属職種

セキュリティエンジニア

趣味

AWSやGCPをいじり倒す
旅行 / クラフトビール

2

とは？

https://flatt.tech/3

本日のアジェンダ
1. IAMの10本ノックのおさらい

2. 課題における脅威と、攻撃者の思考

3.脅威に立ち向かうための運用・管理側の準備と心構え

まとめ※本日の発表は、本イベントのオンラインの部でお話をしたIAMアンチパターン10本ノックをもとに、実際の管理運用でどのように対策を施すべきかや心構えに関して整理したものです。
オンラインの部の登壇資料を読んでいない方でもわかるようにしておりますが、該当資料を前提にお話をする箇所があるかもしれませんので、そちらご容赦ください。
4

IAMアンチパターン10本ノックのおさらい

二つの要素

最小権限原則統制と仕組みIAMアンチパターン10本ノックのおさらい
最小権限原則人間における最小権限機能における最小権限

環境: 本番や開発といった環境における操作可能な範囲

対象: 操作を行いたいリソースやサービス

職種: 顧客情報を触れることが可能か等

動作: どのような操作が必要か

特徴: 開発において行動を明確に定義することは難しい

特徴: 機能に関連する動作や対象は明確である

利用者は何をできるべきか？

6

機能は何をするのか？

IAMアンチパターン10本ノックのおさらい
最小権限原則の例 - 開発環境の場合人間における最小権限 - AWS上でインフラを構築するエンジニアの例

職種の特徴: クラウドインフラを構築するため、リソースの作成や削除とった作業を行う利用を想定する環境:
開発環境で検証や更新のテストなどを行う

必要な権限: 開発に利用すると思われる比較的大きめな権限を設定する必要がある
7

IAMアンチパターン10本ノックのおさらい
最小権限原則の例 - 本番環境の場合人間における最小権限 - AWS上でインフラを構築するエンジニアの例

職種の特徴:本番環境へはCI/CDでIaCをもとに作成をするので自身での作業は基本的に存在しない
必要に応じて、デバッグ用の閲覧権限が必要

利用を想定する環境:
本番環境で障害対応などを行う

必要な権限: Logの確認やメトリクス設定などが見れる
閲覧権限のみにする
8

IAMアンチパターン10本ノックのおさらい
最小権限原則の例
機能における最小権限 - DynamoDBから特定のテーブルを読み取るLambda

機能特性: 特定のテーブルから指定したKeyのデータを読み取るサービス(DynamoDB)の特性:
IAMを用いることで、テーブル読み取るテーブルを絞り込むことが可能

必要な権限:
特定テーブルの読み取りやList権限のみを付与する

9

IAMアンチパターン10本ノックのおさらい
IAMにおける統制や仕組みづくり
なぜ統制を考えるべきなのか「最小権限の原則」の役割"こと"が起きた際の権限による操作の制限 / リスクの最小化

統制の役割

リスクに対して予防と発見を行うための施策考えられるリスク○ 認証情報の共有が第三者からもアクセス可能で攻撃者から取得される○ 認証情報が漏洩した際にどのような操作を行なったのか追跡しずらい○ 退職者や異動した社員が誤ってクラウド資産を操作してしまう

10

IAMアンチパターン10本ノックのおさらい
IAMにおける統制や仕組みの整備における知識的障壁

11

工数的障壁

○ 何をすべきか？

○ 優先度は？

○ どのように役に立つのか？

○ 万全を目指していませんか？

○ 何が危険なのか？

○ どの単位で対応すべきか？

IAMアンチパターン10本ノックのおさらい
10本ノックにおける課題の抽出
1.IAM Userを複数アカウントで作成し運用している
2.Logの取得がなされていない
3.IAM Userの棚卸しがされていない
4.ローテーションされない認証情報
5.認証情報のハードコードやずさんな保管
6.IAM ユーザーにMFAが設定されていない
7.IAM ポリシーを常に管理者で設定 / “*” を多用する
8.IAM Roleの信頼関係やリソース制限が緩い
9.複雑なリソースタグ戦略と複雑なポリシー
10.既知の権限昇格につながる可能性のある権限が付与されている
12

IAMアンチパターン10本ノックのおさらい
10本ノックにおける課題の抽出

13

管理に関する課題

セキュリティに関する課題

誤操作における

内部不正における課題

課題

Logにおける外部の脅威における課題

課題

おさらいをもとにした本発表の役割

本発表では、オンラインセッションでお話ししたアンチパターンが実際どのような影響をもたらすのか？実際の脅威(攻撃者)はどのような思考で、クラウドの認証情報を取得しに来るのかについてお話しします。
主なトピック○ 課題における攻撃者の思考○

攻撃者が認証情報を取得しなにをするのか？

○

認証情報の杜撰な管理がなにを及ぼすか？

○ 管理運用をするメンバーの心構え14

課題における攻撃者の思考○ クラウドにおいては、攻撃者は顧客情報や機微情報を取得するため、IAM等の認証情報を奪取しようと攻撃を行います。
○ そのような環境下で、管理や開発、運用をするエンジニアはどのように考えるべきか、逆算をして考えていこうと思います。
○ 逆算をするためには、攻撃者が結果としてなにを考え、どのように攻撃を行うのかを知る必要があります。
○ 本章ではそのような「攻撃者の思考」について、見ていきます。
○15

攻撃者の思考(実例ベース)

16

攻撃者の思考(実例ベース)

17

攻撃者の思考(実例ベース)18

攻撃者が認証情報を取得しなにをするのか？
攻撃者の思考の追体験

認証情報が取得可能な権限の確認

データの持ち出し

脆弱性や設定ミスの調査

認証情報の取得

特権の取得や悪用し情報の抜き取り

19

認証情報の杜撰な管理がなにを及ぼすか？

○ ファイルサーバやSlackのDM、Google Driveでの広範な許可設定での共有などは、攻撃者が社内ネットワークやユーザーの端末を乗っ取った際に、まず初めに認証情報を探す箇所です。
○ 認証情報をこのようなずさんな共有をするとどのような課題をうむのか、図にしながら見ていきましょう。

20

ずさんな管理だとファイルサーバーでの認証情報の受け渡し
OK！

新しくチームに入ったのでIAM発行してください21

認証情報の受け渡しをどうしましょうか？

ファイルサーバー経由で送ります！

ずさんな管理だとファイルサーバーでの認証情報の受け渡し

あれ、認証情報が不特定多数からアクセスできるな

22

ずさんな管理だとファイルサーバーでの認証情報の受け渡しそのまま悪用して、認証情報に付与してある権限で情報を抜き取ってしまおう

23

ずさんな管理だとファイルサーバーでの認証情報の受け渡し

アカウント内に機密情報を保管しているS3が存在したぞ

24

認証情報の杜撰な管理がなにを及ぼすか？

○ 付与された権限が広範な権限を持っていた場合、あくいのある人が権限を悪用することで、意図しない情報漏洩につながる。
○ 認証情報を共有する際は、閲覧の範囲を極小にした状態で、不要になったら削除をするなどし、対策を施して下さい。

25

脅威に立ち向かうための管理・運用をするメンバーの心構えと仕組みづくり

AWSなどのサービスを使うことで共通の課題を解決

IAMで制御をする
関心事の最小化とアクセス権限の整理

固有の課題の解決

26

IAMにおける脅威とリスクの理解と対策

ご清聴ありがとうございました

弊社HP
27

登壇者SNS