Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
WafCharm導入で激変!プロダクトの未来を守るためのTips
Search
coconala_engineer
December 19, 2024
Technology
0
41
WafCharm導入で激変!プロダクトの未来を守るためのTips
12/19(木)開催のWafCharm Nightの登壇資料。
https://www.cscloud.co.jp/news/event/202411187679/
coconala_engineer
December 19, 2024
Tweet
Share
More Decks by coconala_engineer
See All by coconala_engineer
SREの視点で考えるSIEM活用術 〜AWS環境でのセキュリティ強化〜
coconala_engineer
1
290
(みんなやっているはずなのに情報が少ない)DNSレコード管理の改善
coconala_engineer
0
100
クラウド時代のDDoS対策:可用性を守るためのベストプラクティス
coconala_engineer
0
80
「エンジニアマネージャー」の役割を担っている / 担ってみたい方へのキャリアパスガイド
coconala_engineer
1
260
上場前後で描く、「モダンな情報システム部門」への進化とその取り組み
coconala_engineer
0
63
Qiita Organizationに取り組む前後の技術広報活動と今後の展望
coconala_engineer
0
60
ココナラのセキュリティ組織の体制・役割・今後目指す世界
coconala_engineer
0
270
SIEMによるセキュリティログの可視化と分析を通じた信頼性向上プロセスと実践
coconala_engineer
1
4.5k
多様なロール経験が導いたエンジニアキャリアのナビゲーション
coconala_engineer
1
320
Other Decks in Technology
See All in Technology
ここはMCPの夜明けまえ
nwiizo
28
10k
更新系と状態
uhyo
7
1.7k
SREからゼロイチプロダクト開発へ ー越境する打席の立ち方と期待への応え方ー / Product Engineering Night #8
itkq
2
930
30代からでも遅くない! 内製開発の世界に飛び込み、最前線で戦うLLMアプリ開発エンジニアになろう
minorun365
PRO
11
3.5k
AWSのマルチアカウント管理 ベストプラクティス最新版 2025 / Multi-Account management on AWS best practice 2025
ohmura
4
310
3月のAWSアップデートを5分間でざっくりと!
kubomasataka
0
120
Mastraに入門してみた ~AWS CDKを添えて~
tsukuboshi
0
270
ガバクラのAWS長期継続割引 ~次の4/1に慌てないために~
hamijay_cloud
1
270
SnowflakeとDatabricks両方でRAGを構築してみた
kameitomohiro
1
430
Linuxのパッケージ管理とアップデート基礎知識
go_nishimoto
0
380
日経電子版 for Android の技術的課題と取り組み(令和最新版)/android-20250423
nikkei_engineer_recruiting
0
420
Goの組織でバックエンドTypeScriptを採用してどうだったか / How was adopting backend TypeScript in a Golang company
kaminashi
6
6.3k
Featured
See All Featured
Scaling GitHub
holman
459
140k
How to train your dragon (web standard)
notwaldorf
90
6k
Producing Creativity
orderedlist
PRO
344
40k
CSS Pre-Processors: Stylus, Less & Sass
bermonpainter
356
30k
RailsConf 2023
tenderlove
30
1.1k
Building a Scalable Design System with Sketch
lauravandoore
462
33k
Responsive Adventures: Dirty Tricks From The Dark Corners of Front-End
smashingmag
251
21k
Optimizing for Happiness
mojombo
377
70k
Intergalactic Javascript Robots from Outer Space
tanoku
270
27k
Documentation Writing (for coders)
carmenintech
69
4.7k
Making the Leap to Tech Lead
cromwellryan
133
9.2k
The Myth of the Modular Monolith - Day 2 Keynote - Rails World 2024
eileencodes
23
2.6k
Transcript
Copyright coconala Inc. All Rights Reserved. WafCharm導入で激変! プロダクトの未来を守るための Tips 株式会社ココナラ
川崎 雄太 2024/12/19 WafCharm Night
Copyright coconala Inc. All Rights Reserved. 自己紹介 2 川崎 雄太 Yuta
Kawasaki @yuta_k0911 株式会社ココナラ Head of Information 🆕 株式会社ココナラテック 執行役員 情報基盤統括本部長 SRE / 情シス / セキュリティ領域のEM SRE NEXT 2025のコアスタッフ
Copyright coconala Inc. All Rights Reserved. 3 ココナラの事業内容
Copyright coconala Inc. All Rights Reserved. 4 Agenda ココナラのセキュリティ課題と駆け込み対応 WafCharmとの出会いと取り組んだこと
振り返りと今後の取り組み 2 1 3
Copyright coconala Inc. All Rights Reserved. ココナラのセキュリティ課題と駆け込み対応 Chapter 01 5
Copyright coconala Inc. All Rights Reserved. 上場前にどんな状況だったか? 6 課題の把握が弱く、どの順番で何をすればよいか?が不明確 セキュリティに関して、後手後手の状
況だった。 • そもそも「何が課題か?」を正 しく認識できていない。 • リアクティブ的に発生する課題に 対しての対応はしているが、もぐ らたたきでしかない。 • セキュリティの全体感を捉えて、 体系立てた課題対応を推進 する役割がない。
Copyright coconala Inc. All Rights Reserved. 上場前はどういう体制でセキュリティと向き合っていたか? 7 セキュリティエンジニアは不在、兼務で何とか対応 CSIRTを立ち上げたのは上場から半
年経過したあと。 それまではセキュリティ専門組織 はなく、セキュリティエンジニアも 不在で、インフラ・SREエンジニアが 手の空いたときに対応。 プロダクトのグロースを優先するの で、もぐらたたきで手一杯。
Copyright coconala Inc. All Rights Reserved. 情報セキュリティ対策に関するセキュリティコンサルのアセスメント 8 何ができていて、何ができていないか?の現在地を把握 セキュリティだけでなく、内部統制・
監査の観点を含めて、現時点で どうなのか? をアセスメントしても らった。(後述しますが、自社でも アセスメントは定期的に行っていま す) アセスメント結果を元にまずは何 から取り組むべきか? を明確化 して、対策を推進した。
Copyright coconala Inc. All Rights Reserved. 情報セキュリティ対策に関する自社内のアセスメント( 2021年時点) 9 脅威の対策度合いを細分化し、対策度合いを数値化
対策度合いを数値で表 し、数値が小さい=優 先度高と定義。 例えば、この時点では 「DDoS攻撃」や「脆 弱性攻撃」の対策が 弱みとなっており、対 策優先度を明確化。
Copyright coconala Inc. All Rights Reserved. セキュリティ対策推進に向けた経営層の説得 10 対策費用とインシデント発生時の影響を定量で比較 セキュリティ強化を進めていくた
めには、経営層の理解が不可 欠。 「インシデント発生時の対応 費」 > 「セキュリティ対策 費」という構図を経営層に理解 してもらい、体制構築やソリュー ション導入の予算を獲得した。
Copyright coconala Inc. All Rights Reserved. セキュリティエンジニア採用と体制構築 11 セキュリティ専任者採用と組織化で役割分担を明確化 システムプラットフォーム
グループ 情報システム グループ インフラ・ SREチーム (6名) CSIRTチーム (2名) CITチーム (4名) - AWSアカウント分離 - IAMロール整備 - 攻撃対策ソリューショ ン導入 - アクセス権限精緻化 - 新デバイス / OS検証 ・導入 - アクセス権限精緻化
Copyright coconala Inc. All Rights Reserved. WafCharmとの出会いと取り組んだこと Chapter 02 12
Copyright coconala Inc. All Rights Reserved. もともとココナラにジョインしたタイミングで WafCharmの契約はしていたが、なぜか 運用が止まっていた 🤔
かなり昔に誤検知と思われる 振る舞いがあって、止めていた模様… ※今は安心して使えます!! 13
Copyright coconala Inc. All Rights Reserved. WAF運用をするための工数は取れず、セ キュリティエンジニアもいなかったので、 WafCharmの利活用による セキュリティ強化
を目指した。 14
Copyright coconala Inc. All Rights Reserved. セキュリティ運用の一部を WafCharmに移管する 15 運用工数削減と効率的・効果的なセキュリティ運用の実現
WafCharm導入効果は以下の 通り。 ・月30時間程度の運用工 数削減(WAFルール運用、ブ ラックリスト更新を代行しても らった) ・月20万件以上の攻撃を WafCharmとマネージド ルールにて遮断
Copyright coconala Inc. All Rights Reserved. WafCharm・マネージドルール・ルールをうまく使い分ける 16 「餅は餅屋」として、適材適所の対応をする WafCharmにルールの運用を
してもらい、そこにマネージド ルールを併用 することで、防 御力をあげる。 SIEMで検知した異常は ルールを自前で更新 し、運 用する。 この3段構えで攻撃対策を実 現している。
Copyright coconala Inc. All Rights Reserved. 振り返りと今後の取り組み Chapter 03 17
Copyright coconala Inc. All Rights Reserved. 情報セキュリティ対策に関する自社内のアセスメント( 2024年8月末時点) 18 2021年と比較して、弱みだったところを改善した
「DDoS攻撃」や「脆弱 性攻撃」の対策が弱み として認識していたが、 WafCharmの導入 などを進めること で、改善を行うこと ができた! 🎉 さらなる改善をこれか らも進めていく。
Copyright coconala Inc. All Rights Reserved. 定期的に点検とアセスメントを実施する 19 放置すると陳腐化するので、放置しないことが大切 攻撃や脅威は日々進化している。
一度、セキュリティ対策をして終わりでは なく、継続したリファクタリングを行う必要 がある。 ・ソリューションは「導入する」よりも 「導入後の運用」が大事 ・「リアクティブ」な対応だけでなく、 「プロアクティブ」な仕掛けが重要
Copyright coconala Inc. All Rights Reserved. レポート機能の出力結果から傾向分析を行う 20 攻撃の内容、傾向を把握することが 1歩目
毎月どのような攻撃が、どの 国、どのIPアドレスから来てい たか?を可視化してくれる。 Excelでのダウンロードも可能 なので、内容を深堀りし、デー タドリブンに次のアプロー チを決めて推進することが できる。
Fin