Upgrade to PRO for Only $50/Year—Limited-Time Offer! 🔥
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
ENECHANGEが実現した管理者の工数負担を削減しながらもAWSセキュリティを強化した方法とは
Search
iwamot
May 28, 2024
Technology
0
170
ENECHANGEが実現した管理者の工数負担を削減しながらもAWSセキュリティを強化した方法とは
2024-05-28
Cloud Security Day 2024
https://www.wafcharm.com/jp/seminar/2024/cloudsecurityday2024/
iwamot
May 28, 2024
Tweet
Share
More Decks by iwamot
See All by iwamot
AWS⼊社という選択肢、⾒えていますか
iwamot
2
1.2k
40代後半で開発エンジニアからクラウドインフラエンジニアにキャリアチェンジし、生き残れる自信がようやく持てた話
iwamot
9
8.8k
DockerのマルチプラットフォームイメージをGitHub Actionsでビルドして公開する際に、参考にしたドキュメントと便利だったツール
iwamot
4
290
RAGもファインチューニングも使わない 素朴なAIチャットボットを職場に導入した結果
iwamot
1
150
Amazon CloudWatchでSLOを監視してみた CODT 2024 クロージングイベント版
iwamot
0
100
Cost-Effective SLO Error Budget Monitoring with Athena and CloudWatch
iwamot
0
900
Amazon CloudWatchでSLOを監視してみた
iwamot
0
83
AWS Protonの概要
iwamot
0
160
Web APIのAWS Lambda移行で工夫したこと
iwamot
4
3.4k
Other Decks in Technology
See All in Technology
共創するアーキテクチャ ~チーム全体で築く持続可能な開発エコシステム~ / Co-Creating Architecture - A Sustainable Development Ecosystem Built by the Entire Team
bitkey
PRO
1
3.4k
SRE×AIOpsを始めよう!GuardDutyによるお手軽脅威検出
amixedcolor
1
300
LLMを「速く」「安く」 動かすには / CloudNative Days Winter 2024
pfn
PRO
4
1k
プルリクが全てじゃない!実は喜ばれるOSS貢献の方法8選
tkikuc
12
1.4k
Postman Flowsで作るAPI連携LINE Bot
miura55
0
210
セキュリティ運用って包括的にできていますか?SaaSを使って次のステップへ / Comprehensive Cyber Security Operations for Cloud Services Using SaaS
sakaitakeshi
0
260
Next.jsとNuxtが混在? iframeでなんとかする!
ypresto
3
2.3k
LINEヤフーにおける超大規模プラットフォーム実現への挑戦と学び / Challenges and Lessons in Building an Ultra-Large-Scale Platform at LY Corporation
hhiroshell
1
740
ヤプリのデータカタログ整備 1年間の歩み / Progress of Building a Data Catalog at Yappli
yamamotoyuta
3
480
バクラクのデータ基盤をBigQueryからSnowflakeへ移管した理由 / The reason for migrating Bakuraku data infrastructure from BigQuery to Snowflake
civitaspo
0
110
クラウドインフラ構築における.NETとその他IaCの比較
ymd65536
1
160
GDGoC開発体験談 - Gemini生成AI活用ハッカソン / GASとFirebaseで挑むパン屋のフードロス解決 -
hotekagi
1
190
Featured
See All Featured
VelocityConf: Rendering Performance Case Studies
addyosmani
326
24k
Scaling GitHub
holman
458
140k
Docker and Python
trallard
40
3.1k
Six Lessons from altMBA
skipperchong
27
3.5k
Designing for humans not robots
tammielis
250
25k
Making Projects Easy
brettharned
115
5.9k
Distributed Sagas: A Protocol for Coordinating Microservices
caitiem20
330
21k
Speed Design
sergeychernyshev
25
630
Fight the Zombie Pattern Library - RWD Summit 2016
marcelosomers
232
17k
Sharpening the Axe: The Primacy of Toolmaking
bcantrill
38
1.8k
Measuring & Analyzing Core Web Vitals
bluesmoon
4
140
The Language of Interfaces
destraynor
154
24k
Transcript
ENECHANGEが実現した 管理者の工数負担を削減しながらも AWSセキュリティを強化した方法とは 2024-05-28 Cloud Security Day 2024 https://www.wafcharm.com/jp/seminar/2024/cloudsecurityday2024/ ENECHANGE株式会社
VPoT兼CTO室マネージャー 岩本 隆史
岩本 隆史 / Takashi Iwamoto 現職:ENECHANGE (2021-07~) 全社的な技術施策の提案~実行 前職:AWS Japan
クラウドサポートアソシエイト AWS Community Builder (2024~) カテゴリ:Cloud Operations
None
セキュリティ強化の背景
シングルアカウントで200件弱の環境
CTO室の数名でインフラを担当
アプリの脆弱性診断は外部委託
入社時点ではGuardDutyのみ使用 Amazon GuardDuty AWS Trusted Advisor AWS Security Hub AWS
WAF
セキュリティ強化がタスクのひとつに インフラ構築・運用 SRE(信頼性維持・トイル削減) コスト最適化 セキュリティ強化 開発者体験向上 全社的な技術レベル向上 ブランディング(外部発信)
具体的な取り組み
1. IAMユーザーの棚卸
アクセスキー不使用がベストプラクティス ベストプラクティスは、アクセスキーのような長期的認証情報を作成するのでは なく、IAM ロールなどの一時的なセキュリティ認証情報を使用することです。 https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/id_credentials_access- keys.html
使われていないユーザーを削除
EC2のIAMユーザー利用を廃止
CircleCIをOpenID Connectに移行
ChatOpsを導入 https://speakerdeck.com/iwamot/aws-chatbot-to-start-ec2-instance
2. Trusted Advisorの活用
None
有効だったが未活用
ELBセキュリティポリシーを更新
廃止されたランタイムのLambda関数を移行
IAMパスワードポリシーを設定
3. Security Hubの有効化
None
AWS 基礎セキュリティのベストプラクティスで確認
2ヶ月弱で「重要」と「高」をゼロに
Slackへの通知を開始
通知が来たら対応
tip: AWS Configの利用は倹約的に
tip: AWS Configの利用は倹約的に https://docs.aws.amazon.com/securityhub/latest/userguide/controls-config- resources.html
4. AWS WAF + WafCharmの導入
None
None
None
一部で「攻撃遮断くん」を利用 電力・ガス会社に提供しているエネルギーデータ事業の一部プロダクトは、もと もとサイバーセキュリティクラウド社のクラウド型WAF『攻撃遮断くん』を導入 して運用していました。 https://www.wafcharm.com/jp/casestudy/enechange/
AWS WAFの活用を検討 機能に不満はなかったのですが、WAFも含めて運用する環境をAWSに一本化する ことで、管理の利便性を向上させると同時にコストダウンも実現できるのはない かと考えていました。
自動化サービスの利用が前提 当社には運用できるノウハウや運用に割ける体制もないため、簡単に運用するた めの自動化サービスを利用する前提で検討を進めました。
WafCharmの導入を決定 ――― WafCharmの導入理由をお聞かせください。 『攻撃遮断くん』を利用してきて、サイバーセキュリティクラウド社による最新 脅威への対応力や運用ノウハウを信頼していたため、同社のWafCharmなら間違 いないだろうという安心感があったからです。導入前にトライアルで機能を確か めたのですが、まったく何の問題もありませんでした。
7件のプロダクトに適用 さまざまなプロダクトをAWSで運用しており、現在は合計7つにクラウドWAF自 動運用サービス『WafCharm』を導入しています。
その後10件に拡大
さらなる強化に向けて
Well-Architectedレビューの実施 https://docs.aws.amazon.com/ja_jp/wellarchitected/latest/security-pillar/welcome.html
マルチアカウント戦略への移行 https://docs.aws.amazon.com/ja_jp/wellarchitected/latest/security- pillar/sec_securely_operate_multi_accounts.html
まとめ
強化方法=ベストプラクティスの適用+自動化 1. IAMユーザーの棚卸 2. Trusted Advisorの活用 3. Security Hubの有効化 4.
AWS WAF + WafCharmの導入 5. Well-Architectedレビューの実施 6. マルチアカウント戦略への移行 7. ...