ビジネスの成長を支えるAWSクラウドセキュリティ
桐山 隼人
アマゾン ウェブ サービス ジャパン
シニアセキュリティソリューションアーキテクト
Twitter ハッシュタグ #AWSInnovate© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

本日の内容1. なぜクラウドセキュリティが重要なのか
2. クラウドセキュリティとは何か
3. どのようにクラウドセキュリティへ移行するか© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

サイバーセキュリティ経営ガイドラインの変遷
コストから投資へ、事業価値から社会価値へ
2015/12/28 Ver. 1.0

2016/12/8 Ver. 1.1

2017/11/16 Ver. 2.0「セキュリティ投資に対するリターンの算出はほぼ不可能であり、セキュリティ投資をしようという話は積極的に上がりにくい」「経営戦略としてのセキュリティ投資は必要不可欠かつ経営者としての責務である」「社会に対して損害を与えてしまった場合、経営責任や法的責任が問われる可能性がある」「サプライチェーン全体の対策及び状況把握」© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

サイバーセキュリティ経営ガイドライン（経済産業省）
http://www.meti.go.jp/policy/netsecurity/mng_guide.html

事業環境の変化
ビジネスセキュリティに求められるもの
外部環境

パートナー環境

内部環境

ステークホルダーの多様化

サプライチェーンの分業と統合

企業買収・合弁
リストラクチャ

正当性と説明力

エコシステム構築

統制と管理© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

ビジネスセキュリティの目標（仮説）ビジネスセキュリティとは、組織の中の様々な事業活動が滞りなく循環し、ダイナミックな平衡状態を保つこと
セキュリティインシデントにより瞬間的に平衡状態が崩れても、再び平衡を取り戻す「変化に適応する」組織を作る© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

クラウドサービスとは予め大規模に投資し準備する

必要な時に、必要なだけ、低価格で 初期投資不要

 低額の変動費

 実際の使用分のみ支払い

 スピード 容易なスケールアップ＆ダウン 市場投入と俊敏性の改善

データセンター
サービス化

サーバー

ストレージ機器© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

ITキャパシティ(オンプレミスの場合)

余剰キャパシティ

急成長やM&A

余剰キャパシティ

予測できないピーク

キャパシティ不足：機会損失© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

ITキャパシティ(クラウドの場合)
IT余剰からの解放急成長やM&A

IT余剰と不足からの解放

予測できないピーク

サイジングからの解放© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

クラウドとリスク管理
財務
リスク

機会損失
リスク

セキュリティ
リスク

従量課金変動費化

リードタイム短縮
技術革新追随可用性・可視性・監査性

事業ダウンサイド
リスクへの備え事業アップサイド
リスクの最大化

事業環境変化への適応© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

変化適応のためのクラウドセキュリティ
考え方

従来型のセキュリティクラウド時代のセキュリティ投資対効果(ROI)を追求

変化への適応を追求
最適なセキュリティレベル

イメージ

01

2

3

4

変化するセキュリティリスク© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

責任共有モデル© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

責任共有モデル https://aws.amazon.com/jp/compliance/shared-responsibility-model/

クラウドセキュリティの種類
役割によって異なる関心範囲
Security of Cloud

Security in Cloud

Security by Cloudクラウド環境自体のセキュリティ

クラウド内にあるアプリやデータのセキュリティ

クラウドネイティブ技術によるセキュリティ

既存(オンプレ)統制をクラウド上でも実現したい人

より良いビジネスセキュリティを実現したい人

データセンターやシステムの物理統制をする人© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

クラウドセキュリティの特長
可用性

可視性

監査性

事業継続の要事業計画の要事業責任の要© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

可用性

DDoS脅威の増大
2016年9月20日 Krebs on SecurityのWebサイトに過去最大の665GbpsのDDoS攻撃内閣サイバーセキュリティセンター(NISC)「2020年及びその後を見据えたサイバーセキュリティの在り方について－サイバーセキュリティ戦略中間レビュー－」(2017年7月13日)より抜粋

2016年10月21日 Dyn Managed DNSがDDoS攻撃により停止。Netflix, Twitter,Spotify, GitHubなどが一時使用不能に「IoTボットネットによるDDoS脅威は今後も増大する」と明記される© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

可用性

金銭目的の脅威の変化
データ
侵害

入口対策

出口対策

企業に侵入し機密情報を不正に取得
入口対策と出口対策を要突破取得した情報を売却

企業内データを暗号化し身代金要求
ランサム
ウェア 入口対策を要突破
ビットコインによる身代金受取

DDoS
攻撃

企業の公開サーバーをサービス停止にいつでも攻撃可能
ランサムDDoSという形態の登場
攻撃者が最も楽に利益を得る手段© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

インフラ層に対するDDoS保護 – AWS ShieldAWS Shield

クラウドのキャパシティを活かしたDDoS対策
これまでのDDoS保護経験に基づくL3/L4自動緩和システ
ム
エッジロケーションの前にインラインで配置され、すべての着信パケットを検査

AWS CloudEdge LocationRegion

VPC

CloudFront
Route 53

DDoS攻撃DDoS攻撃の96％を自動軽減
自動緩和システム

追加設定や手数料なし© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

CloudFront
Route 53AWS Shield > Global Threat Environment 画面© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

AWS Shield

アプリ層に対する防御 – AWS WAF Managed Rules
専門的なWAFルールをすぐに利用可能• WAFパートナーが管理するマネージドルールを利用することで、ウェブアプリやAPIの保護を即座に開始することができるように• 現時点でAlert Logic, Fortinet, Imperva, Trend
Micro, TrustWaveなどセキュリティのエキスパートがルールを提供• AWS Marketplaceを通じて調達でき、従量制の料金で利用可能。長期契約は必要ない© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

AWS WAFのマネージドルール https://aws.amazon.com/mp/security/WAFManagedRules/AWS WAF

セキュリティリスクの方程式

可視性

脅威

脆弱性

情報資産

Threats

Vulnerabilities

Assets

標的型攻撃
マルウェア
サイバー攻撃セキュリティホール
設定ミス
心理的要素

機密情報
個人情報
知的財産

© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

リスクの分析と可視化
AWS Security Hub

リスク分析
脅威分析
✓異常検知
✓脅威インテリジェンス

Amazon GuardDuty

脆弱性分析✓脆弱性診断✓ベンチマーク評価

Amazon Inspector© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

情報資産分析
✓ユーザー振る舞い分析✓情報漏洩防止Amazon Macie継続的監視と脅威検知 – Amazon GuardDuty

Amazon GuardDuty

機械学習を用いたクラウドネイティブな脅威検知サービス
脅威の種類
悪意のあるスキャン・ポートスキャン・総当たり攻撃データソース

検知結果

AWS CloudVPC Flow logs
(ネットワークログ)

HIGH

インスタンスへの脅威
・C&Cサーバーとの通信
・アウトバウンドDDoS

DNS Logs(DNSクエリログ)

アカウントへの脅威
・不正なAPIの呼び出し
・予期しないリソースアクセス

Amazon GuardDuty

MEDIUMLOWAWS CloudTrail(API操作ログ)© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

プラットフォーム脆弱性分析 – Amazon Inspector
API連携によって開発運用プロセスにリスク評価を統合

Amazon Inspector

Amazon Inspector• ホスト型脆弱性診断サービス• CVE(共通脆弱性識別子)やCIS業界ベンチマークに基づいたリスク評価• エグゼクティブサマリー含めた評価レポート
CVEルールに基づいた脆弱性診断結果画面© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

事業価値のあるデータを保護 – Amazon Macie
情報漏えい防止(DLP) + ユーザー振る舞い分析(UEBA)
S3に保存データの分類と可視化• 継続的監視によりデータ漏えいや不正アクセスを検知• 個人特定情報 (PII)、個人医療情報 (PHI)、知的財産 (IP)、ソースコード、認証情報などの機密データを識別• ユーザー振る舞い分析により、リスクの高い不審なアクティビティを特定© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

CloudTrailイベントの時系列表示

Amazon Macieリスク分析ダッシュボード – AWS Security Hub

AWS Security Hub

AWS環境のセキュリティ・コンプライアンス状態を可視化
AWS Security Hub 管理コンソール画面

AmazonGuardDutyAmazonInspector

AmazonMacie

ComplianceCheck© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

監査のための一般的なガイドライン• 徹底して行う。定期的に使用しないものを含め、セキュリティ設定のあらゆる面について調べます。
• 推測しない。セキュリティ設定のある面(例: 特定のポリシーやロールの存在の背後にある根拠) が良くわからない場合、満足するまでビジネスニーズを調査します。
• 作業を単純にする。監査 (および管理) を容易にするために、IAM グループ、一貫した命名スキーム、単純なポリシーを使用します。
© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

AWS セキュリティ監査のガイドライン https://docs.aws.amazon.com/ja_jp/general/latest/gr/aws-security-auditguide.html

監査性ユーザーアカウントの認証レポート – AWS IAM
ポリシーに基づいたアカウント管理と確認
AWS IAMの認証情報レポート画面

AWS Identity and Access
Management (IAM)

レポート項目• ユーザーの作成日時• 最後にパスワードが使われた日時• 最後にパスワードが変更された日時• MFAを利用しているか• Access KeyがActiveか• Access Keyのローテートした日時• Access Keyを最後に使用した日時• Access Keyを最後に利用したAWS
サービス• 証明書はActiveか• 証明書のローテートした日時© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

ユーザー活動履歴の監査ログ – AWS CloudTrail
AWSサービスに対する各種APIログ取得

Tag

AWS CloudTrail

ScaleupAWS CloudTrail”ユーザーアクティビティ“ を切り口に時系列ベースでロギング© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

セキュリティルール適合評価 – AWS Config Rules
準拠すべきルールに基づいたリソース構成の評価
評価ルール
評価実行タイミング
AWS Managed Rules

AWS Config

Event-Based Evaluations•

関連リソースが作成、変更された際にルールの評価が実行される例) 新規で作成するEC2にタグ付けされているかの評価

Periodic Evaluations••

Customer Managed Rules

自分でAWS Lambdaをベースにルールを作成可能

任意のタイミング
AWS Config が構成 スナップショットを取る際にルールの評価が実施される
例) CloudTrailが有効になっているかどうかの評価© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

インフラのコード化 – AWS CloudFormationAWS CloudFormation

設計時におけるセキュリティの組み込みと強制•

AWSリソースの環境構築を設定
ファイル（テンプレート）を基に自動化
スタック

•

•

テンプレートに起動すべきリソースの情報をJSONやYAML形
式で記述

セキュリティ要件を満たす上で必須の設定が入った構成を再現できる

テンプレートに基づき各リソースが起動&構成

テンプレートCloudFormationAWS Identity and Access
Management (IAM)© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

AWS CloudTrailAWS Config

© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

クラウドを活用する事で享受できる価値お客様のコアビジネスにフォーカスする※サーバーの構築やインフラの管理から解放する

イノベーションを加速する※ビジネスアジリティを向上することによって競争上の優位性を固める

セキュリティを強化する※セキュリティ・コンプライアンス要件の対応、規模の経済による継続的なセキュリティの強化・投資© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

クラウドが加速する２つの変革
ITトランスフォーメーション

デジタルトランスフォーメーション• 本業に集中• ITコスト削減• グローバル展開、BCP等の付加価値• セキュリティ• システム堅牢性向上• 新しい顧客体験• 革新的な製品やサービスの創造• 新ビジネスモデルへの移行• IoT, AI, モバイル等
新しい技術の応用• トライ&エラー…

© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

デジタルトランスフォーメーション(DX)時代のセキュリティ
全ての要素がデジタルスピードで変化
脅威環境

サイバー
セキュリティ

New Edgeでのセキュリティ

セキュリティ専門
チームと組織文化

Operational Technology
Connected Things

Threat IntelligenceContinuous Security

Cloud/SaaS
BYOD/Identity

CISO/CSIRT
DevSecOps© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

DX時代の新しいセキュリティ技術領域
IoTセキュリティ

データレイク
セキュリティ

サーバーレス
セキュリティAWS Lambda

サーバーレスコンピューティング

各種センサー

Amazon Redshift

Amazon S3

各種IoT GWサーバー

データウェアハウス

デジタルセキュリティ
トランスフォー
メーション

Amazon SageMaker
機械学習

各種モバイルデバイス

各種クライアント

AWS
Glue

AmazonGlacier

カタログデータ

アーカイブデータ

Amazon QuickSight
ビジネスインテリジェンス

ITインフラストラクチャセキュリティ© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

AWS Dev Day Tokyo 2018 セキュリティセッション & ワークショップ 開催レポート
https://aws.amazon.com/jp/blogs/news/aws-dev-day-tokyo-2018-security/

ITセキュリティ
トランスフォー
メーション

クラウドへの移行と技術的負債
Value
PROJECT

FOUNDATIONMIGRATION

REINVENTION

限られたヒトが多くの経験を積む

基礎を固めながら小さな成功を積み重ねる

全社的に利用しビジネス効果を享受

クラウドを最大活用しビジネス効果を最大化

クラウドネイティブ
クラウド最適なシステムを構築し、イノベーションを加速する

技術的負債の返済
クラウドへ単純移行し、過去の技術的負債を返済するTime© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

AWS Cloud Enterprise Strategy Blog - The Journey Toward Cloud-First & the Stages of Adoption
https://aws.amazon.com/jp/blogs/enterprise-strategy/the-journey-toward-cloud-first-the-stages-of-adoption/

クラウドネイティブなセキュリティへ

Level 1オンプレ環境でFWを導入運用

クラウド環境にFW仮想アプライアンス導入運用© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

クラウドネイティブなセキュリティへ

Level 2境界で通信パケット
フィルタリング

境界とは？(GW/内部NW/EP)
フィルタしたいものとは？
ゾーニングと侵入保護

オンプレ環境でFWを導入運用

クラウド環境にFW仮想アプライアンス導入運用

抽象化
Level 1

© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

クラウドネイティブなセキュリティへ
Level 3

不正通信の検知とブロック・無害化

不正とは？本当の境界とは？
振る舞い分析・異常検知・
Software Defined Perimeter・”Identity Is Next Perimeter”

境界で通信パケットフィルタリング

境界とは？(GW/内部NW/EP)
フィルタしたいものとは？
ゾーニングと侵入保護

オンプレ環境でFWを導入運用

クラウド環境にFW仮想アプライアンス導入運用

抽象化
Level 2
抽象化
Level 1

© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

セキュリティトランスフォーメーションの原則
クラウドの特長を活かしてセキュリティも変革

可用性

可視性

監査性

Security atScale

Continuous
Security

Security asCode© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

まとめ
1. 事業変化適応にクラウドセキュリティが不可欠
2. 事業継続(可用性)・事業計画(可視性)・事業責任(監査性)の要となるクラウドセキュリティ
3. Security at Scale, Continuous Security, Security as Codeの原則に基づきセキュリティトランスフォーメーションを実現する© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

その他の日本語資料© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.

AWS 資料で検索Thank you!
桐山 隼人
#AWSInnovate© 2019, Amazon Web Services, Inc. or its affiliates. All rights reserved.