[安全なAWSセキュリティ運用ナレッジ2022]セキュアアカウントの使い方 | DevelopersIO
AWS環境をセキュアにセットアップする方法と、その運用方法を詳細に紹介します。秘伝のタレである具体的な設定も書いてます。みんな真似していいよ！ こんにちは、臼田です。 みなさん、安全にAWS使えていますか？(挨拶 今日は全てのAWSユーザーが安全にAWSを活用し、セキュアに運用できるようにナレッジを大量にダンプしたいと思います。 弊社サービスに関連させて書く部分もありますが、基本的にどのようなAWS環境でも適用できると思います。 ちょっと長い背景 クラスメソッドでは長いこと様々なAWSを利用するお客様を支援しています。私は特にセキュリティ周りについて支援させていただくことが多く、最近はAWSのセキュリティサービスが充実していることから、これらの初期導入や運用設計、あるいはインシデント対応やその後の組織としてのセキュリティ体制づくりなどいろんな関わり方をしてきました。 どのようにセキュリティ
![[安全なAWSセキュリティ運用ナレッジ2022]セキュアアカウントの使い方 | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/75550513d830c21b153b85859fb4fdabd295d23d/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2022%2F08%2Fsecurity-identity_Compliance.png)
AWSアカウント作成時にやるべきこと - NRIネットコムBlog
Amazon Web Services (以下AWS)の利用開始時にやるべき設定作業を解説します。AWSの利用開始とは、AWSアカウントの開設を意味しますが、より安全に利用するため、AWSアカウント開設直後にやるべき設定がいくつかあります。この連載ではその設定内容を説明します。 AWS Organizationsを使用することで、複数のアカウントに自動的にこういった初期設定を行うことも可能ですが、この連載では新規で1アカウントを作成した場合を前提とします。複数アカウントの場合も、基本的な考え方は同じになります。 設定作業は全１９個あり、作業内容の難しさや必要性に応じて以下３つに分類しています。 少なくともMUSTの作業については実施するようにしましょう。 MUST ：アカウント開設後に必ず実施すべき作業 SHOULD ：設定内容の検討または利用方法を決定のうえ、可能な限り実施すべき作業 B
Apache Log4j2 Security Bulletin (CVE-2021-44228)
Initial Publication Date: 2021/12/10 7:20 PM PDT All updates to this issue have moved here. AWS is aware of the recently disclosed security issue relating to the open-source Apache “Log4j2" utility (CVE-2021-44228). We are actively monitoring this issue, and are working on addressing it for any AWS services which either use Log4j2 or provide it to customers as part of their service. We strongly en
The last S3 security document that we’ll ever need, and how to use it - TrustOnCloud
The last S3 security document that we’ll ever need, and how to use it Update: We have launched ControlCatalog, a friendly UI for our in-depth ThreatModels. Check it out: ControlCatalog We have released the ThreatModel for Amazon S3, free and open source. You can download it via GitHub. The Shared Responsibility Model is an easy-to-understand diagram by Cloud Providers. The reality is that: 1) The
【レポート】ISMAP に基づくクラウドコンプライアンスの向上 #AWS-48 #AWSSummit | DevelopersIO
こんにちは、臼田です。 みなさん、AWSのセキュリティ確保できてますか？(挨拶 今回は2021年5月11 - 12日で開催されているAWS Summit Online Japan 2021のセッションレポートです。 ISMAPという制度がどういうものか、我々はどんなふうに付き合っていけば良いのかがよく分かるセッションでした！ セッション概要 セッション名: ISMAP に基づくクラウドコンプライアンスの向上(AWS-48) スピーカー: アマゾン ウェブ サービス ジャパン株式会社 セキュリティ アシュアランス本部 本部長 松本 照吾 概要: 政府情報システムのためのセキュリティ評価制度（ISMAP）は日本ではじめての公的なクラウド事業者の評価制度となります。本制度に基づいてお客様や AWS のエコシステムを形成するパートナーの皆様はどのような対応が求められるのか、AWS がどのようにお客
より安全にご利用いただけるようになったClassiのご報告と今後の取り組みについて | Classi（クラッシー） - 子どもの無限の可能性を解き放ち、学びの形を進化させる
1.はじめに 2020年4月（昨年）、当社サービス「Classi」に不正アクセスがあった件に関し、過去一年間、弊社はこれを重く受け止め、お客様に安全にClassiをご利用いただく事を当社事業の最優先事項とし、各種対策を年間を通じ実施してまいりました。 今年度も、昨年度から継続して、サービスのセキュリティを重視した全社的な対策を実行していく所存でございますので、以下に発生直後の対応、及び今日までに実行いたしましたセキュリティ強化対策を含めて、今後の取り組みについてご報告いたします。 現在に至るまで同様の不正アクセスは起こっておらず、セキュリティ状況についても外部企業の第三者調査の結果、他社と比較して標準水準以上に強化できていると評価いただいております。また2021年3月のISO/IEC27001に基づく情報セキュリティマネジメントシステム(ISMS)の継続審査 においても、マネジメントシステ
責任共有モデルとは何か、を改めて考える | Amazon Web Services
Amazon Web Services ブログ 責任共有モデルとは何か、を改めて考える 本Blogは、クラウドにおける新しい常識”new normal”を考えるBlogの第二弾です。（第一弾「クラウドにおける安全なデータの廃棄」はこちら） 今回は、クラウドの基本的な考え方である”責任共有モデル”をとりあげます。こちらのBlogをご覧の皆様の中には”何故、いまだに責任共有モデルなのか”という疑問を持つ方もいらっしゃるかもしれません。しかし、未だに本モデルの考え方や実際のビジネスへの適用方法は十分に理解されていないようにも見受けられます。今回は責任共有モデルとは何か？を振り返るとともに、いくつかの理解のポイントをお伝えします。 セキュリティ責任共有モデルとは？ ”セキュリティとコンプライアンスはAWSとお客様の間で共有される責任です。この共有モデルは、AWSがホストオペレーティングシステムと仮
「Amazon EKSベストプラクティスガイド (セキュリティ編)」を読み解く (1)アイデンティティとアクセス管理 | DevelopersIO
みなさん、こんにちは！ AWS事業本部の青柳＠福岡オフィスです。 先月 (5/18) のことになりますが、AWSから「Amazon EKS Best Practices Guide for Security」という文書が公開されました。 この文書は文字通り「EKSを構築・運用する際のセキュリティ面におけるベストプラクティス」をまとめたガイダンスとなっています。 今回公開されたのはセキュリティに関するベストプラクティスですが、今後「パフォーマンス」「オペレーショナルエクセレンス (運用改善)」「コスト最適化」「信頼性」に関するものも公開される予定だそうです。 今回公開された「セキュリティ」に関するベストプラクティスガイドは、以下の10の章で構成されています。 アイデンティティとアクセス管理 (Identity and Access Management) ポッドセキュリティ (Pod Sec
AWS におけるマルチアカウント構成の動向 - 理系学生日記
AWS で環境を構築する際はマルチアカウントになることが多い、これは理解していたつもりでした。 stg 環境と prod 環境は AWS アカウントごと分ける。dev 環境も分ける。 しかし、世の中のベストプラクティスはもっと先を行っていました。 なぜアカウントを分けるのか isolation authz & authn auditing and reporting 世の中のマルチアカウント構成 各企業の事例 AWS が提供するベストプラクティス Gruntwork から見た AWS ベストプラクティス 各社のプラクティスから読み取れること なぜアカウントを分けるのか AWS アカウントを分ける理由は 3 つあります。 isolation authz & anthn auditing and reporting isolation そもそもとして、環境は分離しないと、というものです。 st
Summit Route - AWS Security Maturity Roadmap
It is hard to know where to start to get a company aligned with AWS security best practices. Whether you’re just starting off with AWS or trying to wrestle a large number of pre-existing accounts, I’ve put together an opionated, actionable, security maturity roadmap to give you progressive steps for working securely in AWS. Update 2020-05-23: There is now a new roadmap here. For the older 2019 roa
SSRF対策としてAmazonから発表されたIMDSv2の効果と限界
サマリ Capital OneからのSSRF攻撃による大規模な情報漏えい等をうけて、Amazonはインスタンスメタデータに対する保護策としてInstance Metadata Service (IMDSv2) を発表した。本稿では、IMDSv2が生まれた背景、使い方、効果、限界を説明した上で、SSRF対策におけるIMDSv2の位置づけについて説明する。 SSRFとは SSRFは、下図のように「外部から直接アクセスできないエンドポイント」に対して、公開サーバーなどを踏み台としてアクセスする攻撃方法です。SSRF(Server Side Request Forgery)の詳細については過去記事「SSRF(Server Side Request Forgery)徹底入門」を参照ください。 最終的な攻撃目標は多様ですが、近年問題になっているのが、クラウドサービスのインスタンス・メタデータを取得する
Add defense in depth against open firewalls, reverse proxies, and SSRF vulnerabilities with enhancements to the EC2 Instance Metadata Service | Amazon Web Services
AWS Security Blog Add defense in depth against open firewalls, reverse proxies, and SSRF vulnerabilities with enhancements to the EC2 Instance Metadata Service July 27, 2021: We’ve updated the link to the 2019 re:Invent session on this topic. Since it first launched over 10 years ago, the Amazon EC2 Instance Metadata Service (IMDS) has helped customers build secure and scalable applications. The I
flAWS
_____ _ ____ __ __ _____ | || | / || |__| |/ ___/ | __|| | | o || | | ( \_ | |_ | |___ | || | | |\__ | | _] | || _ || ` ' |/ \ | | | | || | | \ / \ | |__| |_____||__|__| \_/\_/ \___| Welcome to the flAWS challenge! Brought to you by Scott Piper Through a series of levels you'll learn about common mistakes and gotchas when using Amazon Web Services (AWS). There are no SQL injection, XSS, buffer ove
Yakumoのコンテナの脆弱性検知と対応フローの紹介 - Cybozu Inside Out | サイボウズエンジニアのブログ
こんにちは、Yakumoチームの@ueokandeです。 好きなAWSサービスはCloudFormationです。 Yakumoプロジェクトは、US市場にKintoneを展開することをゴールとしたプロジェクトで、 その一環としてUS向けのお客様をターゲットにAmazon Web Service (AWS) 上にKintoneを移行しています。 本日はYakumoチームで取り組んでいるコンテナイメージの脆弱性対応フローとその運用について紹介します。 Quay.ioやAmazon Elastic Container Registry (Amazon ECR) には、コンテナイメージに脆弱性があるかスキャンする機能があります。 しかしセキュリティスキャンだけでは、本番適用されているイメージの脆弱性を管理しにくく、運用が難しいということがわかりました。 そこでYakumoではQuay.ioとGit
【サイバーエージェント様ご登壇事例】【レポート】「これ危ない設定じゃないでしょうか」とヒアリングするための仕組み #AWSSummit | DevelopersIO
AWS Summit Tokyo 2018。Day2 で開催された『【サイバーエージェント様ご登壇事例】「これ危ない設定じゃないでしょうか」とヒアリングするための仕組み』についてレポートします。 スピーカー 柿島 大貴さん 株式会社サイバーエージェント 技術本部 ソリューショングループ エンジニア 東 和宏さん 株式会社サイバーエージェント 技術本部 ソリューショングループ エンジニア セッション概要 株式会社サイバーエージェントのメディア事業でクラウドの管理者として働く 2 人の日々の悩みや試行錯誤の様子を共有させていただきます。ベストプラクティスや驚くような技術とは言えないかもしれないですが、組織でのクラウド利用に おける開発スピードや柔軟性と安全のバランスを目指している １ つの事例として紹介をさせていただきます。 スライド （聴講後、スライドが公開されていました） [slidesh
Amazon GuardDutyによる疑わしいネットワーク通信の検知と初動対応の振り返り | DevelopersIO
Amazon GuardDutyは、AWS上の異常な振る舞いを検出するサービスです。 イベントソースには、AWS CloudTrail、Amazon VPC フローログ、DNS ログが使われます。 GuardDutyを使う中でたまった知見をシェアしたいと思います。 GuardDutyで検知できること 検知できる内容はユーザーガイドに記載されています。 ざっくりいうと、EC2インスタンスとIAMアカウント関連のイベントを検知します。 EC2に関するイベントは、EC2がターゲットなのか、アクターなのかによって分けられます。 外部のホストがEC2に対してポートスキャンを行うイベントの場合、EC2はターゲットになります。 外部ホストにポートスキャンを行う場合、EC2はアクターになります。 EC2がアクターの場合、EC2がマルウェアに感染している可能性を考える必要があります。 料金は1ヶ月間無料です
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
暗号化キー管理
So I reverse engineered two dating apps...
Security-JAWS IAMの設計を言語化する
DeNA の AWS アカウント管理とセキュリティ監査自動化
