AWS環境にTenableしたらわらわら問題がでた話

プロフィール名前：檜山準（ひやまじゅん）所属：I◯◯◯ お仕事：クラウドエンジニア（設計、構築、運用保守） https://twitter.com/hiyanger https://qiita.com/hiyanger https://zenn.dev/hiyanger 最近よく使う技術：AWS、IaC、CI/CD　
出身：栃木県よかったらフォローしてね！

もくじ Tenableとは既存システムにTenableかけたらどうなったか診断結果の対策

Tenableってなんですか？

Tenableとは脆弱性診断ツールです。AWSに流せばわらわら脆弱性を洗い出してくれます。外部から診断する方法か、内部で専用の EC2をたててそこから診断する方法があります。

診断してみたww

診断結果診断の対象は2019年ごろに構築したAWS上の分析基盤システムです。分析基盤なのでかなりセキュアなシステムです。 IAM ・不要なアクセスキーが残っている・ポリシーのユーザー/ロール直当て・アクセスアナライザー無効 Conﬁg CloudTrail ・使われていたが、
　初期導入ツールで　設定されたものだけだった・そもそも動いてなかった KMS マスターキーがローテされてない CloudWatch ・APIコールの通知・IAMポリシーの変更通知・ネットワーク系のモニタ通知

診断結果診断の対象は2019年ごろに構築したAWS上の分析基盤システムです。分析基盤なのでかなりセキュアなシステムです。 IAM ・不要なアクセスキーが残っている・ポリシーのユーザー/ロール直当て・アクセスアナライザー無効 Conﬁg CloudTrail ・使われていたが、
　初期導入ツールで　設定されたものだけだった・そもそも動いてなかった KMS マスターキーがローテされてない CloudWatch ・APIコールの通知・IAMポリシーの変更通知・ネットワーク系のモニタ通知刷新！

対処します

監査ログ用別AWSアカウント cron cron cron config S3アクセスログ TrailとConfigのバックアップを強固にあ Trail
・CloudWatchへの出力・S3へ出力しアクセスログも取得、　さらに監査用ログとして別アカウントS3へコピー Config ・S3へ出力・監査用ログとして別アカウントS3へコピー・ConfigのSNS通知はうるさくなりすぎるので　やらない方向に倒した ※別アカウントへのコピーはちょっとアナログだけど、　EC2からS3コマンドをcronで流している。　ここはLambdaとEventBridgeでもできるはず。たぶん。

IAM Access Analyzer 有効化ポチッとして名前いいれるだけです。超簡単。お金かかりません。やらない損です。やりましょう。何ができるのかポリシーにおける外部からのアクセスができるようになりえるものを検知してくれます。

Thanks!! 古いシステムだとやっぱり考慮もれとかでいろいろやれてないことが多いです。 Tenableは脆弱性診断という意味ではもちろん、システムを見直すきっかけとして良いので、構築してから時間たってるシステムはぜひ見直ししましょう。本資料 https://speakerdeck.com/hiyanger/cloud-security-da y-2023-awshuan-jing-nitenablesitara-warawarawen-ti -gadetahua
https://twitter.com/hiyanger https://qiita.com/hiyanger https://zenn.dev/hiyanger

AWS環境にTenableしたらわらわら問題がでた話

AWS環境にTenableしたらわらわら問題がでた話

hiyanger

More Decks by hiyanger

Other Decks in Technology

Featured

Transcript