今年取り組んでみたいこと - アクセスキー撲滅運動の旗振りかなぁ

Transcript

1. 今年取り組んでみたいこと アクセスキー撲滅運動の旗振りかなぁ 【関西開催 】AWS Community Builders Meetup 2026 (May 11, 2026) Speaker : @kazzpapa3(ICHINO Kazuaki) / JAWS-UG 神戸
2. Biography { "Bio": { "Name": "ICHINO Kazuaki a.k.a. kazzpapa3", "Organization": "A certain AWS partner company", "Role": "Technical Support Engineer", "Favorite AWS Services": [ "AWS CLI", "AWS CloudTrail", "Kiro CLI" ], "Less Favorite AWS Service (as a Support Engineer)": [ "AWS Billing (請求ロジックが難解すぎる)" ], "Personal Interest": "初音ミク", "Socials": { "Twitter/X": "@kazzpapa3", "LinkedIn": "https://www.linkedin.com/in/kazzpapa3/" } } }
3. 昨年からアクセスキーの流出に悩まされています @kazzpapa3 / #AWSCommunityBuilders 3 / 12
4. 何人かのみなさまには話したことがありますが 昨年くらいから私の身の回りでアクセスキーの流出による不正利用が相 次いでいます 正確には私の周りというか会社で提供しているリセールアカウント そのため JAWS DAYS 2026 での登壇など、ネタには事欠かないのです が、さすがにちょっと疲れてきました リセラー歴が長く古くからのお客様が多い上に、流出したキーが 3,000 日以上ローテーションされていないこともザラだったりします 根本的な対策はしていきますが、それは業務での話、今日は個人として どうするか @kazzpapa3 / #AWSCommunityBuilders 4 / 12
5. ここのところの数例から もっとも最悪のパターン（AdministratorAccess 相当、あるいはこれ になれる権限）がある場合、アクセスキーの不正利用着手後 10 分程度 で、大体の犯行（仕込み）が終わっている事例が見られた IAM リソースの削除・改変、バックドアユーザーの作成 全リージョンのオプトイン AutoScaling Group の設定 ECS クラスターの乱立 SageMaker AI Notebook Instance の乱立 10 分程の仕込みで、結果 4,000 + のリソース作成をされていた例 も
6. 現状は攻撃者が優位すぎる 攻撃者もちゃんと IaC を駆使して目的に到達するまでを自動化している 対して防御側は状況や削除対象の把握など、完全に後手に回る 事が多 く、不正作成されたリソースの削除までにかなりの時間を要する All Deny の SCP を作ってアタッチするなども検討したが、立ち上が ってしまったリソースの OS レイヤー以上の行動は止まらないし、リ ソースの存在自体が課金を生む 先ほどのようなケースで、不正なリソース削除対応をした場面があった が、ECS クラスターの一覧を作成するだけでも 2 時間以上かかった例 もある @kazzpapa3 / #AWSCommunityBuilders 6 / 12
7. 生成 AI の力を借りることはできるが 調査着手時から Kiro CLI を利用することで全容の把握や、バイブコー ディングでの削除スクリプトの作成などもでき、確かに省力化している ただし認知してからの削除では時間がかかるし、その間にも AWS 利用 料は積み上がっていく 不正に起動されている EC2 インスタンスで 停止保護 と 削除保護 の 両方がかけられていた例も 双方の保護を解除してから削除するスクリプトをリアルタイムで作っ て実行するも、スポットインスタンスにはそれらのパラメータがない のでスクリプトがエラーを吐く、など、つっかえるポイントが多々 @kazzpapa3 / #AWSCommunityBuilders 7 / 12
8. やはりアクセスキーが存在していること自体が悪 @kazzpapa3 / #AWSCommunityBuilders 8 / 12
9. アクセスキー撲滅運動をやっていきます AWS さんが出している良質なコンテンツ Microcredentials という実践型の学習と習熟度の確認コン テンツの一つに AWS Incident Response Demonstrated があります このところ私が封じ込めなどを対応する中で目の当たりに している事例が満載で、楽しくて辛い良いコンテンツ です AWS さんがどうかしたのか（褒めてる）急に無料になった のでぜひ @kazzpapa3 / #AWSCommunityBuilders 9 / 12
10. 個人的にやってみたこと GW 中にひまつぶしでアクセスキー流出を模した CTF（Capture The Flag）のゲームコンテンツを 作ってみました 流出したアクセスキーの特定から封じ込め、フォレ ンジック調査を模した対応をしていくコンテンツで す 社内で試してみましたがまあまあ良さそう JAWS-UG 神戸かどこかで CTF 大会をやれたらい いな、と思っています @kazzpapa3 / #AWSCommunityBuilders 10 / 12
11. ちょっと告知 JAWS-UG 神戸やるよー 今日のイベントの運営もされてい るヤマダさんと一緒にゆるくやっ ています さらに kiwi さん（池田さん）も運 営メンバーに！ よければ遊びに来てください 2026-05-18 19 時からですー @kazzpapa3 / #AWSCommunityBuilders 11 / 12
12. Have pride in your work. Thank you.