AWS Control TowerとAWS Organizationsを活用した組織におけるセキュリティ設定

3/1に実施したNRIネットコムウェビナーの資料です。
https://www.youtube.com/watch?v=3yqNmB77ll4

Transcript

1. AWS Control TowerとAWS Organizationsを 活用した組織におけるセキュリティ設定 2022年3月1日 NRIネットコム株式会社 Webネット事業本部 ITSデザイン事業部 上野 史瑛
2. 1 Copyright（C） NRI Netcom, Ltd. All rights reserved. ＳＯＭＰＯグループ様における活動とアーキテクチャ概要 01 アーキテクチャ Deep Dive 02 ガイドラインの作成について 03 まとめ、今後に向けて 04 本日お話すること
3. 2 Copyright（C） NRI Netcom, Ltd. All rights reserved. 自己紹介 名前： 上野 史瑛（うえの ふみあき） 所属： NRIネットコム株式会社 経歴： ・多くのAWSプロジェクトに参画 ・AWSセキュリティガードレール導入 ・CCoE（内製化）支援 ・AWS最適化、Well-Architectedレビュー ・2020/2021 APN Ambassadors ・2020/2021 APN AWS Top Engineers ・2020/2021 APN ALL AWS Certifications Engineer @fu3ak1
4. 3 Copyright（C） NRI Netcom, Ltd. All rights reserved. ＳＯＭＰＯグループ様における活動とアーキテクチャ概要
5. 4 Copyright（C） NRI Netcom, Ltd. All rights reserved. ビジネスを高速かつ柔軟に進めるため、クラウドの活用が必須となってきている ビジネスを始めたい！ 刷新したい！ クラウド？ オンプレミス？ ビジネスを進めるにあたり、 クラウドの活用が必須に なってきてる #nncwebinar
6. 5 Copyright（C） NRI Netcom, Ltd. All rights reserved. クラウド、特にAWSはサービス数や機能が多く、不安を持つ方もまだ多い ビジネスを始めたい！ 刷新したい！ クラウド難しい・・ 特にセキュリティが不安・・ クラウド？ オンプレミス？ ビジネスを進めるにあたり、 クラウドの活用が必須に なってきてる #nncwebinar
7. 6 Copyright（C） NRI Netcom, Ltd. All rights reserved. セキュリティ面における不安をできるだけ減らしていきたい ビジネスを始めたい！ 刷新したい！ クラウド難しい・・ 特にセキュリティが不安・・ クラウド？ オンプレミス？ ビジネスを進めるにあたり、 クラウドの活用が必須に なってきてる （CCoEとして） これを減らしたい！ #nncwebinar
8. 7 Copyright（C） NRI Netcom, Ltd. All rights reserved. AWSにはセキュリティレベルを向上するサービスが多くある AWS CloudTrail AWS Config Amazon GuardDuty AWS Security Hub 監査証跡 設定履歴 不正検知 集約・検知 （CSPM） ⇒セキュリティサービスを組織内で自動設定できれば、 組織のセキュリティ向上となる 共通セキュリティ機能を作成 #nncwebinar
9. 8 Copyright（C） NRI Netcom, Ltd. All rights reserved. ＳＯＭＰＯグループ様の特徴① Control Tower導入前から本番稼働しているAWSアカウントが多数あった マネジメント（管理者） アカウント Organizations 各社アカウント 元々利用していたのは 請求管理のみ 各社アカウント 各社アカウント 一般利用者 一般利用者 一般利用者 本番サービスを提供している AWSアカウントが多数 全アカウント数は200以上 #nncwebinar
10. 9 Copyright（C） NRI Netcom, Ltd. All rights reserved. ＳＯＭＰＯグループ様の特徴② AWSアカウント作成後の管理・運用は各社の管理者が実施する マネジメント（管理者） アカウント Organizations 各社アカウント 各社アカウント 各社アカウント 各社 管理者 各社 管理者 各社 管理者 請求 管理者 AWSアカウント、システムの 管理は各社で実施する #nncwebinar
11. 10 Copyright（C） NRI Netcom, Ltd. All rights reserved. 共通セキュリティ機能で使用するサービス AWS Control Tower AWS CloudTrail AWS Config SCP Amazon GuardDuty AWS Security Hub AWS IAM Access Analyzer Amazon SNS （通知用） AWS Organizations AWSアカウントで設定するセキュリティサービスを中心に、利用するサービスを選定 #nncwebinar
12. 11 Copyright（C） NRI Netcom, Ltd. All rights reserved. 共通セキュリティ機能で使用するサービス ⇒これらのサービスが、AWSアカウント発行時に自動設定される AWSアカウント内の操作履歴が自動で保存され、 不正な操作が拒否または検知されるようになる AWS Control Tower AWS CloudTrail AWS Config SCP Amazon GuardDuty AWS Security Hub AWS IAM Access Analyzer Amazon SNS （通知用） AWS Organizations AWSアカウントで設定するセキュリティサービスを中心に、利用するサービスを選定 #nncwebinar
13. 12 Copyright（C） NRI Netcom, Ltd. All rights reserved. アーキテクチャ Deep Dive
14. 13 Copyright（C） NRI Netcom, Ltd. All rights reserved. 構成詳細（AWSアカウント、機能実現方法を含む） サービスや設定内容に応じて実行方法を使い分け、共通セキュリティ機能を実装している ◼AWS CloudTrail、AWS Config→ AWS Control Towerにより自動設定 ◼Amazon GuardDuty、AWS Security Hub、IAM Access Analyzer、SNSトピック →CloudFormation StackSetsまたは Step Functions経由のLambda実行により自動設定 Service Control Policy（SCP） 各社アカウント 各社アカウント CloudTrail GuardDuty Security Hub Config Access Analyzer マネジメント （管理者）アカウント Control Tower SNS CloudFormation StackSets 自動設定 自動設定 監査アカウント GuardDuty Security Hub Config Access Analyzer SNS ログアーカイブアカウント S3 ・CloudTrail証跡ログ ・Configログ 全アカウント分 全アカウント分 HD管理者 管理、設定 確認 各社 管理者 Lambda Step Functions #nncwebinar
15. 14 Copyright（C） NRI Netcom, Ltd. All rights reserved. アーキテクチャ Deep Dive① 組織単位 (OU)
16. 15 Copyright（C） NRI Netcom, Ltd. All rights reserved. 組織単位 (OU) の考え方 Control Tower利用にあたっては、どの単位でルール（予防・検知ガードレール）を 適用したいかがポイント OU どの単位でOUを 作成すべきか Control Towerのガードレールを設定する単位 （独自の）SCPを設定する単位 ⇒適用したい単位＝OU SCPはOU単位で設定できる Control Towerのガードレール はOU単位で設定 #nncwebinar
17. 16 Copyright（C） NRI Netcom, Ltd. All rights reserved. 組織単位 (OU) の構成例① 扱う情報レベルによって、設定するガードレールをOUごとに分ける 機密情報OU 一般OU ・SSH公開を検知 ・S3バケット公開を検知 ・SSH公開を検知 ・S3バケット公開を検知 ・S3暗号化設定変更拒否 ・EBS非暗号化検知 #nncwebinar
18. 17 Copyright（C） NRI Netcom, Ltd. All rights reserved. 組織単位 (OU) の構成例② 2021年11月に、Control TowerがネストされたOUもサポート 機密情報OU 共通OU ・ルートユーザーのアクション拒否 ・S3暗号化設定変更拒否 ・EBS非暗号化検知 親OUで設定したガードレールは、 子OUに引き継がれる。 ※ただし予防のみで検知は対象外 #nncwebinar
19. 18 Copyright（C） NRI Netcom, Ltd. All rights reserved. SOMPOグループ様における組織単位 (OU) の構成 ◼各社ごとにProd、Devの2つずつOUを用意 ◼ネスト（階層）は無しですべてフラット （導入時にControl Towerが未サポートだったため） ◼グループ会社固有の要件に対応できるよう、会社ごとにOUを設定 [会社A]-Prod OU [会社A]-Dev OU [会社A]-Prod OU [会社A]-Dev OU #nncwebinar
20. 19 Copyright（C） NRI Netcom, Ltd. All rights reserved. SOMPOグループ様における組織単位 (OU) の構成 ◼各社ごとにProd、Devの2つずつOUを用意 ◼ネスト（階層）は無しですべてフラット（導入時に未サポートだったため） ◼グループ会社固有の要件に対応できるよう、会社ごとにOUを設定 ◼Control Towerで作成される共通のOU（Security）を使用 ◼これらをマネジメントアカウントで管理 [会社A]-Prod OU [会社A]-Dev OU [会社A]-Prod OU [会社A]-Dev OU Security OU ログアーカイブ S3 Cloud Trail Logs Config Logs 監査 Config CloudTrail その他 セキュリティ サービス マネジメント Control Tower Organizations #nncwebinar
21. 20 Copyright（C） NRI Netcom, Ltd. All rights reserved. アーキテクチャ Deep Dive② SCP
22. 21 Copyright（C） NRI Netcom, Ltd. All rights reserved. SOMPOグループ様におけるSCPの基本方針 ◼SCPは強力であり、拒否した設定は一律操作不可能となるため 利用者へ影響が出ないよう以下方針で設定 ⚫Control Towerや共通セキュリティ機能の設定内容を変更させない ⚫ルートユーザーのアクセスキーを使用させない ⚫使用していない、使用予定のないリージョンは使用させない #nncwebinar
23. 22 Copyright（C） NRI Netcom, Ltd. All rights reserved. Control Towerで設定されるSCP Control Towerを使用して以下2種類のSCPをまず設定 各社アカウント Config 「aws-controltower-」 で始まる証跡の変更 以下のIAMロールの変更 「aws-controltower-」で始まる 「AWSControlTower」を含む 「stacksets-exec-」を含む ルートユーザーの アクセスキーの作成 ルートユーザーの アクセスキー SNS Configの設定変更 CloudWatch Logs Lambda CloudTrail IAMロール Control Towerで作成される Configルールの変更 「aws-controltower」 を含むロググループの変更 「aws-controltower-」 で始まるイベントの変更 「aws-controltower-」 で始まる関数の変更 「aws-controltower-」 で始まるトピックの変更 トピック「aws-controltower-SecurityNotifications」 のサブスクリプションの変更 EventBridge Control Towerで自動設定されるSCP（必須の予防ガードレール、自動設定されるSCP） Control Towerから追加設定できるSCP（推奨、選択的予防ガードレール） #nncwebinar
24. 23 Copyright（C） NRI Netcom, Ltd. All rights reserved. Control Towerで設定されるSCP＋ＳＯＭＰＯグループ様独自のSCP Control Towerを使用して以下2種類のSCPをまず設定 各社アカウント Config 「aws-controltower-」 で始まる証跡の変更 以下のIAMロールの変更 「aws-controltower-」で始まる 「AWSControlTower」を含む 「stacksets-exec-」を含む ルートユーザーの アクセスキーの作成 ルートユーザーの アクセスキー SNS Configの設定変更 CloudWatch Logs Lambda CloudTrail IAMロール Control Towerで作成される Configルールの変更 「aws-controltower」 を含むロググループの変更 「aws-controltower-」 で始まるイベントの変更 「aws-controltower-」 で始まる関数の変更 「aws-controltower-」 で始まるトピックの変更 トピック「aws-controltower-SecurityNotifications」 のサブスクリプションの変更 EventBridge Control Towerで自動設定されるSCP（必須の予防ガードレール、自動設定されるSCP） Control Towerから追加設定できるSCP（推奨、選択的予防ガードレール） 「（独自Prefix）-」 で始まるイベントの変更 「 （独自Prefix） -」 で始まる関数の変更 GuardDuty Security Hub GurardDuty、SecurityHub の無効化拒否 「 （独自Prefix） -」 で始まるトピックの変更 「 （独自Prefix） -」で始まる Region 一部リージョンの 利用 ＳＯＭＰＯグループ様独自で設定したSCP #nncwebinar
25. 24 Copyright（C） NRI Netcom, Ltd. All rights reserved. 使用可能としたリージョン # コード リージョン名 1 us-east-1 米国東部（バージニア北部） 2 us-east-2 米国東部 (オハイオ) 3 us-west-2 米国西部 (オレゴン) 4 ap-northeast-1 アジアパシフィック (東京) 5 ap-northeast-2 アジアパシフィック (ソウル) 6 ap-northeast-3 アジアパシフィック (大阪) 7 ap-southeast-1 アジアパシフィック (シンガポール) 8 ap-southeast-2 アジアパシフィック (シドニー) 9 eu-central-1 欧州 (フランクフルト) 10 eu-west-1 欧州 (アイルランド) 11 eu-west-2 欧州 (ロンドン) 12 eu-north-1 欧州 (ストックホルム) ◼Control Towerがサポートしており、利用実績のあるリージョンを利用対象 ◼大阪リージョンはControl Towerサポート外だが、DR対応としてすでに活用が進んでいるため利用許可 #nncwebinar
26. 25 Copyright（C） NRI Netcom, Ltd. All rights reserved. アーキテクチャ Deep Dive③ 既存環境へのControl Tower導入について
27. 26 Copyright（C） NRI Netcom, Ltd. All rights reserved. Control Tower導入前の状態 1つのOrganizations配下に、OUなしで多数のアカウントが存在 マネジメント（管理者） Organizations B社既存アカウント A社既存アカウント OUなし ROOT直下にフラット #nncwebinar
28. 27 Copyright（C） NRI Netcom, Ltd. All rights reserved. Control Tower導入直後の状態 Security OUと新規アカウント２つ、空のSandbox OUが1つできる 既存アカウントには影響しない（SCPやConfigルールは適用されない） マネジメント（管理者） Organizations B社既存アカウント A社既存アカウント 監査アカウント Config SNS ログアーカイブアカウント S3 ・CloudTrail証跡ログ ・Configログ Security OU Sandbox OU 既存は影響なし Control Tower #nncwebinar
29. 28 Copyright（C） NRI Netcom, Ltd. All rights reserved. Control Tower導入後、既存アカウントの適用 Control Tower経由でOUを作成し、アカウントを登録することで ガードレール（SCP、Configルール）が適用される アカウントは1つずつ登録できるので、段階的な移行が可能 既存環境でもControl Towerの導入は可能 マネジメント（管理者） Organizations C社既存アカウント B社既存アカウント 監査アカウント Config SNS ログアーカイブアカウント S3 ・CloudTrail証跡ログ ・Configログ Security OU Sandbox OU Control Tower A社 Prod OU A社既存アカウント 段階的に移行できる #nncwebinar
30. 29 Copyright（C） NRI Netcom, Ltd. All rights reserved. 参考：Control Towerで見えるアカウントの状態 Root所属で「未登録」のアカウント は共通セキュリティ機能 未適用 #nncwebinar
31. 30 Copyright（C） NRI Netcom, Ltd. All rights reserved. アーキテクチャ Deep Dive④ アカウント作成（移行）時の自動設定
32. 31 Copyright（C） NRI Netcom, Ltd. All rights reserved. CloudFormation StackSetsによる自動展開 OUにあらかじめCloudFormation StackSetsをデプロイしておくことで、 アカウント追加時にCloudFormationスタックが自動作成される。 ※大阪リージョン用の設定も実施 Control Tower 新規アカウント アカウント 作成 OU所属を検知 自動実行 スタック展開 OU マネジメント（管理者） CloudFormation StackSets Stack IAM Access Analyzerや 通知用SNSトピックなどを設定 #nncwebinar
33. 32 Copyright（C） NRI Netcom, Ltd. All rights reserved. EventBridgeとStepFunctionsによるアカウント設定自動実行 Control TowerのAccount Factoryでアカウント作成後、 「CreateManagedAccount」というイベントが発行されるので、 それをEventBridgeに渡してStep Functionsのステートマシンを自動実行 ※大阪リージョン用の設定も実施 Control Tower 新規アカウント アカウント 作成 作成完了後 イベント発行 GuardDutyの集約、 Security Hubの基準無効など CloudFormationでできない処理を実行 設定 EventBridge Step Functions ステートマシン起動 #nncwebinar
34. 33 Copyright（C） NRI Netcom, Ltd. All rights reserved. アカウント管理者はアカウント作成をやれば良いだけ アカウント管理者は、Account Factoryからアカウント作成のみ実施すれば、 あとはCloudFormation StackSetsとStep Functionsが良い感じに設定してくれる Step Functionsから送信される完了メールを待つのみ 各社アカウント CloudTrail GuardDuty Security Hub Config Access Analyzer マネジメント （管理者） Control Tower SNS CloudFormation StackSets 自動設定 自動設定 HD管理者 アカウント 作成 Lambda Step Functions 手動作業はアカウント作成だけ #nncwebinar
35. 34 Copyright（C） NRI Netcom, Ltd. All rights reserved. アーキテクチャ Deep Dive⑤ イベント通知のカスタマイズ
36. 35 Copyright（C） NRI Netcom, Ltd. All rights reserved. Control Tower初期状態の通知設定 Configルールの準拠/非準拠の通知が、各リージョンのSNSトピックに通知される 各リージョンに サブスクリプションができる 非準拠だけでなく準拠も 通知される #nncwebinar
37. 36 Copyright（C） NRI Netcom, Ltd. All rights reserved. Control Tower通知内容を変更 サブスクリプションは全リージョン共通の1つとし、Configルールは非準拠のみ通知 サブスクリプションは1つ Configルールは非準拠のみ 検知できるよう絞り込み HD 管理者 #nncwebinar
38. 37 Copyright（C） NRI Netcom, Ltd. All rights reserved. SecurityHub経由で、GuardDutyの検知内容も通知 HD 管理者 #nncwebinar
39. 38 Copyright（C） NRI Netcom, Ltd. All rights reserved. 各社（各アカウント）へも通知機能を実装 各社 管理者 #nncwebinar
40. 39 Copyright（C） NRI Netcom, Ltd. All rights reserved. ガイドラインの作成について
41. 40 Copyright（C） NRI Netcom, Ltd. All rights reserved. 各アカウントにセキュリティ機能が設定された Service Control Policy（SCP） 各社アカウント 各社アカウント CloudTrail GuardDuty Security Hub Config Access Analyzer マネジメント （管理者）アカウント Control Tower SNS CloudFormation StackSets 自動設定 自動設定 監査アカウント GuardDuty Security Hub Config Access Analyzer SNS ログアーカイブアカウント S3 ・CloudTrail証跡ログ ・Configログ 全アカウント分 全アカウント分 HD管理者 管理、設定 確認 各社 管理者 Lambda Step Functions #nncwebinar めでたく各アカウントに共通セキュリティ機能が自動設定されるようになった
42. 41 Copyright（C） NRI Netcom, Ltd. All rights reserved. 各アカウントにセキュリティ機能が設定された Service Control Policy（SCP） 各社アカウント 各社アカウント CloudTrail GuardDuty Security Hub Config Access Analyzer マネジメント （管理者）アカウント Control Tower SNS CloudFormation StackSets 自動設定 自動設定 監査アカウント GuardDuty Security Hub Config Access Analyzer SNS ログアーカイブアカウント S3 ・CloudTrail証跡ログ ・Configログ 全アカウント分 全アカウント分 HD管理者 管理、設定 確認 各社 管理者 Lambda Step Functions #nncwebinar めでたく各アカウントに共通セキュリティ機能が自動設定されるようになった めでたしめでたし
43. 42 Copyright（C） NRI Netcom, Ltd. All rights reserved. 各アカウントにセキュリティ機能が設定された めでたく各アカウントに共通セキュリティ機能が自動設定されるようになった めでたしめでたし ではない！ Service Control Policy（SCP） 各社アカウント 各社アカウント CloudTrail GuardDuty Security Hub Config Access Analyzer マネジメント （管理者）アカウント Control Tower SNS CloudFormation StackSets 自動設定 自動設定 監査アカウント GuardDuty Security Hub Config Access Analyzer SNS ログアーカイブアカウント S3 ・CloudTrail証跡ログ ・Configログ 全アカウント分 全アカウント分 HD管理者 管理、設定 確認 各社 管理者 Lambda Step Functions #nncwebinar
44. 43 Copyright（C） NRI Netcom, Ltd. All rights reserved. 共通セキュリティ機能で守れる範囲は一部のみ AWSの セキュリティ 機能を使って 対策する範囲 AWSが対策を 実施している範囲 AWS以外の サービスを 利用する範囲 AWSが責任を持つ範囲 AWSの機能でセキュリティを保てる範囲 CloudTrail Config Trusted Advisor Security Hub GuardDuty 一部を共通セキュリティ機能で対策 Personal Health Dashboard IAM Access Analyzer • AWSが提供していないセキュリティ機能 • 運用負荷を軽減するための機能 • 開発スピードを加速させるための機能 など 法規制体制 物理冗長性 施設 ハイパーバイザ ネットワーク ストレージ サーバ セキュリティ診断 アクセス制御 ファイアウォール ユーザー認証 フォレンジック データ暗号化 AWS以外のサービスを利用する範囲 セキュリティ診断 フォレンジック アンチマルウェア IPS/IDS, WAF インシデント・レスポンス この範囲の一部だけ #nncwebinar
45. 44 Copyright（C） NRI Netcom, Ltd. All rights reserved. 共通セキュリティ機能で実現できないこと # 実現できないこと 実施手段例 1 アプリの脆弱性の検知 セキュアコーディング,SAST,DAST,アプリ脆弱性診断 2 アプリの脆弱性の緩和 WAF (AWSであればAWS WAFやWafCharmなど) 3 OSレイヤー／コンテナ／サーバレス特有のセキュリ ティ Contrast , Vuls , Amazon Inspector ,Dome9 等 プラットフォーム/コンテナ脆弱性診断 4 ネットワークのセキュリティ (共通セキュリティ機能で実現できる部分もあり) VPC Flow logs、IDSの導入 ネットワーク脆弱性診断 5 保持しているデータの機密情報検知 Amazon Macie (日本語未対応) 6 ウィルススキャン・マルウェア検知 TrendMicro Cloud One,F-Secure 7 検知した設定上の不備の自動是正 AWS Config Conformance Packs ,Dome9 等 8 AWS SSOによるシングルサインオン環境提供 各社毎踏み台アカウントとIdPを構築 9 IAMのユーザー、権限設定 〔最小特権の原則〕 (IAM Access Analyzerで実現できる部分もあり) ガイドラインを参考に各社要件に従い設定 ※共通セキュリティ機能の運用も、利用者（各社管理者）が実施する必要がある #nncwebinar
46. 45 Copyright（C） NRI Netcom, Ltd. All rights reserved. 実現できない部分を知識で補うため、ガイドラインの作成、説明を実施 共通セキュリティ機能の使い方、実装方針を書いたガイドラインを作成し、各社へ説明、配布 各社 管理者 CCoEメンバー 各社 管理者 各社 管理者 ガイド ライン #nncwebinar
47. 46 Copyright（C） NRI Netcom, Ltd. All rights reserved. ガイドラインの内容例：セキュリティ機能の説明 Security Hubの確認方法と、ルールの対応方法を説明 ※ＳＯＭＰＯグループ様では「AWS の基本的なセキュリティのベストプラクティス標準」基準を有効にした #nncwebinar
48. 47 Copyright（C） NRI Netcom, Ltd. All rights reserved. ガイドラインを作成、配布してみて・・ ◼AWSのセキュリティサービスへの理解を深めてもらえた ◼自分たちで運用していく必要性も理解していただいた 改善ポイントも・・ ◼200ページ超えの大作となり、すべて読むのはツライボリューム （実装方針が多いので、そこは辞書的に使ってもらえると嬉しい） ◼AWS側でアップデートが多いと追従がツライ・・ 基本方針だけ記載し、あとは利用者側で学習できる組織になるのが理想と考えているが、 現状まだ難しい部分も多い #nncwebinar
49. 48 Copyright（C） NRI Netcom, Ltd. All rights reserved. まとめ、今後に向けて
50. 49 Copyright（C） NRI Netcom, Ltd. All rights reserved. まとめ、今後に向けて まとめ ◼組織全体でAWSアカウントのセキュリティ基礎設定ができた（一部予定） ◼情報集約も行い、各社のセキュリティ状況を可視化できた ◼ガイドラインにより、セキュリティサービスの概要と必要性を各社に理解していただいた 今後に向けて ◼まだ状況が見えてきた程度なので、実際のセキュリティレベル向上を進めたい ◼課題となるのはシステム構築や計画が多い、CCoEとして何ができるか検討したい ◼Control Towerの機能アップデートにも期待 ⚫ 大阪リージョン未対応 ⚫ ログの保存期間（現状1年間） ⚫ アカウント作成に時間がかかる（直列実行が必要） #nncwebinar
51. 50 Copyright（C） NRI Netcom, Ltd. All rights reserved. ありがとうございました