「クラウドが原因で止まっても謝る」とアーキテクトが実情明かす
アイレットなどを経て、2015年11月にAWSを使ったシステム構築を手掛けるセクションナインを設立。AWSの普及に尽力した個人に与えられる「AWS Samurai」を2014年と2017年に受賞。サーバーレスアーキテクチャーのコミュニティー「Serverless Meetup Japan（Tokyo/Osaka）」を主宰 停止させたくないシステムはクラウドに乗せないとしても、ダウンタイムは短いほうがいい。今回のような障害がAWSの東京リージョンで起こるかもしれないという前提に立ったとき、どんな対策をすればいいでしょうか。 吉田 今回障害が発生したオブジェクトストレージのAmazon S3であれば、複数のリージョンに同じデータを保存しておき、障害発生時にすぐ切り替えられるようにすることですね。簡単にリージョンを横断して冗長化できるのがクラウドの利点です。 しかし無条件にそうすべきというわけで
AWS環境のセキュリティ対策
Trend Vision One はサーバレスやコンテナなど、さまざまなAWS環境のセキュリティをまとめてシンプルに運用。 Trend Vision OneはAWS環境を守る複数のセキュリティ製品を１つの単一プラットフォームで提供します。ベンダーの違う製品を複数契約すると、それぞれの運用体制を構築する必要がありますが、Trend Vision Oneは単一プラットフォームで提供されるため、運用をよりシンプルにすることができます。 Trend Vision One はサーバレスやコンテナなど、さまざまなAWS環境のセキュリティをまとめてシンプルに運用。 Trend Vision OneはAWS環境を守る複数のセキュリティ製品を１つの単一プラットフォームで提供します。ベンダーの違う製品を複数契約すると、それぞれの運用体制を構築する必要がありますが、Trend Vision Oneは単一プラット
AWS Microsoft ADとオンプレミスの資格情報を使用してAWS管理コンソールにアクセスする方法 | Amazon Web Services
Amazon Web Services ブログ AWS Microsoft ADとオンプレミスの資格情報を使用してAWS管理コンソールにアクセスする方法 これは、AWS Security blogに投稿された「How to Access the AWS Management Console Using AWS Microsoft AD and Your On-Premises Credentials」の翻訳記事です。 AWS Microsoft ADと略される、AWS Directory Service for Microsoft Active Directory は、AWSクラウドにホストされた管理されたMicrosoft Active Directory（AD）です。オンプレミスのAD管理ツールを使用して、AWSリソースを管理する権限をユーザに簡単に付与できます。AWS Micro
2017年版 AWSの侵入テストについて | DevelopersIO
2017年9月23日更新 許可されているリソースについてアップデートがあることを確認したので「対象リソースについて」を更新しました 2018年11月07日更新 ブログを更新しました。 【2018年版】AWSの脆弱性テスト、侵入テストについて はじめに 以前AWSの侵入テストについて(Amazon EC2への侵入テスト申請について)を投稿しましたが、 新たに「Total Bandwidth (Please provide expected Gbps)*」の項目が追加されたので、 侵入テストに関する確認事項や内容についてアップデートしました。 侵入テスト AWSではAWS環境への、またはAWS環境からの侵入テストと脆弱性スキャンを実施する場合、 AWSで禁止されている行為と区別するために事前に侵入テストの承認を得る必要があります。 侵入テスト 私たちの適正利用規約では、禁止されているセキュリテ
多要素認証を使った運用でもっと安全に - サーバーワークスエンジニアブログ
こんにちは、カスタマー・サポート課のマツシタです。 AWSアカウントの特にrootアカウントは多要素認証（MFA）を設定することが強く推奨されています。ただ、多要素認証を設定するだけで安全と言えるでしょうか？ 今日はAWSアカウント運用のセキュリティのさらなる強化を考えてみたいと思います。 多要素認証に今、求められているもの 多要素認証を設定しない場合、AWSアカウント発行時に設定したメールアドレス（＝rootアカウント）とパスワードだけで最高権限でAWSアカウントにアクセスできてしまいます。多要素認証を設定すると、それ加えて、6桁の数字の認証コード（30秒ごとに更新されるワンタイムパスワード）が求められます。なので、外部から悪意のあるアクセス防止という観点では、セキュリティ強度を高めています。 しかし、最近よく指摘されるのは内部犯による不正侵入の可能性です。”一人”の悪意ある人によりAW
AWSのMFAを解除するためにアメリカ大使館に足を運んだ話 - Qiita
Help us understand the problem. What is going on with this article? TL;DR AWSの二段階認証（Multi-Factor Authentication）を利用しているとき、認証端末を無くすとAWSのサポートが必要になる 電話番号での認証ができない場合には本人確認書類を提出して二段階認証を解除する必要がある 本人確認書類には公証人のサインが必要で、アメリカ大使館でサインをしてもらうことができる AWSアカウントにはMFAを設定しよう、というプラクティス AWSを利用しているアカウントが不正利用され、高額な請求を受けてしまうケースが話題となり、個人であってもルートアカウントでMFAを設定することが当たり前な世の中になりました。 初心者がAWSでミスって不正利用されて$6,000請求、泣きそうになったお話。 - Qiita
クラウドはすごい、"ベテラン"は去れ
Hackademy Facebookページはこちら 岡田 アメリカからお帰りなさいまし。 蔵本 はい。ただいま帰りました。 岡田 アメリカは何してきたんですか？ 蔵本 アメリカはいろいろ、トレーニング受けに行ったりとかしてたんですけど、まとめて勉強する時間があったんで、いろいろ勉強してきたんですけど、やっぱり「クラウドすげえな」って。 岡田 クラウドのすごさを学んできたの？ 蔵本 「クラウドすげえな」ですね。やっぱりちょっとオンプレじゃあれ無理やなっていうのは、ちょっと感じましたね。 岡田 じゃあ、今日のトピックその1はそれですね。 蔵本 はい。 岡田 僕もね、実はトレーニングといえば、先週、セキュア開発ブートキャンプというのを某出版社S社の、CodeZine Academyというのをやってきたんですけど、そこもトレーニング。まあ、言ってみたら、「セキュア開発すげえな」。 蔵本 あーなるほ
MyJVN APIを利用した脆弱性情報収集 | DevelopersIO
はじめに 藤本です。 のんのんびよりは二周目でも癒やされます。 概要 みなさん、ソフトウェアの脆弱性対応をどのように取り組んでいますか？ ソフトウェアの多くには潜在的なバグが内在していて、そのバグ、脆弱性を利用されることでシステムが停止したり、情報を漏洩したり、最悪、システムが乗っ取られると言った様々なリスクを抱えています。これらのバグ、脆弱性の情報は様々な組織が運営する脆弱性情報データベースにより公開されることで私達は情報を知ることができます。ただ、脆弱性情報は多くのソフトウェアで小さいものから大きいものまであり、過去3ヶ月で1,790件（NVD検索結果）が報告されています。このように日々報告される情報から必要な情報を探すのは大変な労力を要します。 脆弱性データベース 有名な脆弱性データベースは以下のようなものがあります。 CVE（Common Vulnerabilities and E
JNSA西日本支部 技術研究WG AWSを使ったセキュアなシステム構築
2016.08.25開催の勉強会で使った資料。 IaaSメインのシステム構築をする場合に、如何にサードパーティ製品に頼らずAWSネイティブの機能でセキュアにシステムを作っていくかに焦点を絞った内容にしました。Read less
「【エンジニア編】AWS活用を考えているなら”必ず！”知っておくべきセキュリティの話」参加レポート | DevelopersIO
大阪出張中の丹内です。 アマゾン大阪オフィスで開催された、【エンジニア編】AWS活用を考えているなら”必ず！"知っておくべきセキュリティの話に参加したのでレポートします。 なお、ビジネス編のレポートはこちらになります。 発表 AWSを利用する上で知っておくべきセキュリティ事項とセキュリティ関連サービスの紹介 登壇者はアマゾンウェブサービスジャパン株式会社 パートナーソリューションアーキテクトの小梁川 貴史氏です。 お馴染みの責任共有モデルから始まりました。会場でも半数の方が聞いたことがあるようでした。これは、総合的なセキュリティを保つため、AWSはクラウドのセキュリティに、ユーザはクラウド内のセキュリティに責任を分担して持つという考え方です。「セキュリティをAWSにオフロードする」という表現をされていて、しっくりきました。 RDSなどマネージドサービスを使う場合は、AWSがミドルウェアまで
AWSが新しいPCI DSS 3.2を採用する最初のクラウドサービスプロバイダに | Amazon Web Services
Amazon Web Services ブログ AWSが新しいPCI DSS 3.2を採用する最初のクラウドサービスプロバイダに 2016/2017サイクルのアマゾンウェブサービスPCI DSS 3.2 コンプライアンスパッケージがご利用可能になったことを発表できることを嬉しく思います。AWSは、新しくリリースされたPCI Data Security Standard(PCI DSS) version 3.2に対するアセスメントを成功裏に完了した最初のクラウドサービスプロバイダ(CSP)です。また、これは強制的なデッドラインである2018年2月1日の18ヶ月前に達成されました。リクエストによってご利用可能なAWS Attestation of Compliance (AOC)には、最も最近追加されたAmazon EC2 Container Service (ECS), AWS Config
AWS セキュリティとコンプライアンス
1. 2016 / 03 / 15 アマゾン ウェブ サービス ジャパン 株式会社 プロフェッショナルサービス本部 高田 智己 【 AWS 初心者向け Webinar 】 AWSにおけるセキュリティとコンプライアンス 2. ご質問を受け付け致します！ 質問を投げることができます！ • Adobe Connect のチャット機能を使って、質問を書き込んで ください。（書き込んだ質問は、主催者にしか見えません） • 最後の Q&A の時間で可能な限り回答させていただきます。 ①画面右下のチャッ トボックスに質問を 書き込んでください ②吹き出しマークで 送信してください 3. AWS 初心者向け Webinar のご紹介 • AWS についてこれから学ぶ方むけの ソリューションカットの Webinar です • 過去の Webinar 資料 – AWS クラウドサービス活用資料集ページにて公開
自分のAWS環境をScout2を使ってセキュリティ監査を行ってみる | DevelopersIO
今回は、自分のAWS環境に対してセキュリティチェックを行うことができるScout2というツールを紹介したいと思います。 Scout2とは 先ほども書きましたが、Scout2はAWS環境に対するセキュリティ監査ツールです。 例えば、不要なポートがSecurityGroupでAnywhereでアクセスできる状態になっていないか、IAMユーザにMFAが導入されているか、といったことをチェックすることができます。 GitHub - iSECPartners/Scout2: Security auditing tool for AWS environments Scout2 主な特徴 Scout2は、まだ開発途上にあるツールですが、以下のような特徴があります。 独自の監査ルール 独自に監査ルールを設定することができ、ルールセットはjson形式で作成します。 これにより自社に合ったルールでセキュリティ
キャンセル待ち150人！Security-JAWS第1回で現場の苦労を見た (1/3)
5月17日、AWSのセキュリティを扱う勉強会「Security-JAWS」の第1回がセキュリティ企業ラックの会議室で開催された。40人の定員に対して、150人がキャンセル待ちという人気の高い勉強会では、期待通り現場感のあふれたセッションが披露された。 セキュリティ規程に従ってクラウドを運用 トップバッターは、リクルートテクノロジーズ ITソリューション統括部の宮崎幸恵さん。2011年入社以来、クラウド一筋の宮崎さんは、JAWS DAYSや女子会などでも登壇しているが、今回はログインIDのクリーニングやIAM（AWS Identity and Access Management）の運用について説明した。 セキュリティをテーマに講演するものの、宮崎さんはいわゆるセキュリティの業務についているわけではない。7つの事業会社、3つの中核機能会社で構成されているリクルートグループの中で、宮崎さんの所属
とある診断員とAWS
2. ⾃自⼰己紹介 Shun Suzaki(洲崎 俊) ユーザ企業のセキュリティチームに所属する セキュリティエンジニア Twitter: とある診断員@tigerszk • ISOG-‐‑‒J WG1 • Burp Suite Japan User Group • OWASP JAPAN Promotion Team • IT勉強会「#ssmjp」運営メンバー I‘M A CERTAIN PENTESTER! 公開スライドなど http://www.slideshare.net/zaki4649/ 3. 脆弱性診断とは ＦＷ サーバ機器 診断環境 診断対象環境 Ｗｅｂアプリ NW機器 l システムやアプリケーションの脆弱性を 洗い出し、安全性について調査するサービス scanning! × 脆弱性診断⼠士 × Internet ※図は疑似攻撃試⾏行行するブ
AWS WAFをバイパスしてSQLインジェクション攻撃をしてみる - Soon Lazy
最近はAWS WAFを触っています。こういう防御ツールは、やはり攻撃をどれぐらい防いでくれるか気になります。AWS WAFの場合、SQLインジェクション系の脆弱性を探ってくれるsqlmapをかけたところ、攻撃をブロックしてくれたという記事があります。 記事を読んだり自分でちょっと試したりして、ちゃんとSQLインジェクション攻撃を防いでくれるんだーと思っていました。が、つい先日WAFをバイパスしてSQLインジェクション攻撃をするテクニックがあることを知りました。例えばOWASPのこのページには、そういうテクニックがいくつか紹介されています。 こうなると気になるのは、AWS WAFに対してWAFバイパスのテクニックを使うとどうなるかです。というわけで、実際に試してみました。 単純にSQLインジェクションしてみる まずは、AWS WAFがないときにSQLインジェクションができること、また、AWS
AWS Solutions Architect ブログ
簡単に上記の被害を説明すると、下記の通りです。 一次的被害 Web サービスや Web サービスの 広告等の収入：機会損失による逸失売上です。攻撃をうけなければ本来得ることが出来た売上がその被害額にあたります。 システム復旧に要するコスト：攻撃後、攻撃を受けたサービスを復旧させるためのコストです。例えば、この中には復旧に当たった社員の人件費などが上げられます。 二次的被害 システム復旧以外の対応コスト：サービス停止後に行うべき対応策にかかるコストです。例えば、攻撃を受けた事自体を周知したり、謝罪したりすることにかかるコストがあげられます。 取引先への補償等：システムの提供先やエンドユーザーになんらかの補償をする場合にかかるコストです。 風評被害：サービス停止の事実が明らかになったことによる企業ブランドイメージの悪化などの二次的な被害です。これにより、さらなる売上減、顧客減、さらには株価の低
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
"AWSをより安全に使うためのID管理"の資料を公開しました｡ - サーバーワークスエンジニアブログ
AWS Inspector で脆弱性診断。Jenkins で自動実行し、結果を Slack に通知する。 - Qiita
AWS 向け SaaS 型セキュリティサービス Alert Logic 概要と提供価格（MBSD） | ScanNetSecurity
