Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
AWS re:Inforce recap 2019
Search
Masayoshi Mizutani
July 30, 2019
Technology
1
4.3k
AWS re:Inforce recap 2019
AWS re:Inforce 2019 re:Cap イベントで話したスライドです
https://awsreinforce2019recap.splashthat.com/
Masayoshi Mizutani
July 30, 2019
Tweet
Share
More Decks by Masayoshi Mizutani
See All by Masayoshi Mizutani
Deep Security Conference 2025:生成AI時代のセキュリティ監視 /dsc2025-genai-secmon
mizutani
9
5k
MCPの基礎とUbieにおける活用事例 /ubie-mcp
mizutani
3
2.3k
クラウドセキュリティのベストプラクティスと実装例 /cloudsec-bestpractice-example
mizutani
9
3.1k
汎用ポリシー言語Rego + OPAと認可・検証事例の紹介 / Introduction Rego & OPA for authorization and validation
mizutani
2
860
Ubieにおけるセキュリティ課題管理の自動化 / ubie-sec-issue-automation
mizutani
0
940
Trivy + Regoを用いたパッケージ脆弱性管理 /trivy-rego
mizutani
7
4.6k
リモートワークを支える 社内セキュリティ基盤の構築と運用 /secueiry-for-wfh
mizutani
0
760
SOARによるセキュリティ監視業務の効率化とSecOps /soar-and-secops
mizutani
1
1.2k
Amazon Athena を使った セキュリティログ検索基盤の構築 /seclog-athena
mizutani
5
3k
Other Decks in Technology
See All in Technology
広島発!スタートアップ開発の裏側
tsankyo
0
240
モダンな現場と従来型の組織——そこに生じる "不整合" を解消してこそチームがパフォーマンスを発揮できる / Team-oriented Organization Design 20250825
mtx2s
5
520
我々は雰囲気で仕事をしている / How can we do vibe coding as well
naospon
2
220
KiroでGameDay開催してみよう(準備編)
yuuuuuuu168
1
130
制約理論(ToC)入門
recruitengineers
PRO
2
260
自治体職員がガバクラの AWS 閉域ネットワークを理解するのにやって良かった個人検証環境
takeda_h
2
380
ZOZOTOWNフロントエンドにおけるディレクトリの分割戦略
zozotech
PRO
16
5.2k
Webアクセシビリティ入門
recruitengineers
PRO
1
230
事業価値と Engineering
recruitengineers
PRO
1
190
マイクロモビリティシェアサービスを支える プラットフォームアーキテクチャ
grimoh
1
200
Yahoo!ニュースにおけるソフトウェア開発
lycorptech_jp
PRO
0
340
株式会社ARAV 採用案内
maqui
0
340
Featured
See All Featured
Exploring the Power of Turbo Streams & Action Cable | RailsConf2023
kevinliebholz
34
6k
[Rails World 2023 - Day 1 Closing Keynote] - The Magic of Rails
eileencodes
36
2.5k
Mobile First: as difficult as doing things right
swwweet
223
9.9k
How GitHub (no longer) Works
holman
315
140k
Distributed Sagas: A Protocol for Coordinating Microservices
caitiem20
333
22k
Understanding Cognitive Biases in Performance Measurement
bluesmoon
29
1.8k
Learning to Love Humans: Emotional Interface Design
aarron
273
40k
Cheating the UX When There Is Nothing More to Optimize - PixelPioneers
stephaniewalter
283
13k
Fashionably flexible responsive web design (full day workshop)
malarkey
407
66k
The Language of Interfaces
destraynor
160
25k
How to train your dragon (web standard)
notwaldorf
96
6.2k
Agile that works and the tools we love
rasmusluckow
329
21k
Transcript
AWS re:Inforce recap クックパッド株式会社 技術部セキュリティグループ 水谷 正慶 2019.7.30 (Tue)
自己紹介 •水谷 正慶 (@m_mizutani) •クックパッド株式会社 ‣ 技術部セキュリティグループ グループ長 ‣ セキュリティ監視基盤の設計・構築・運用を主に担当
•AWS歴 ‣ 現職に転職した1年半程前から
None
None
AWS re:Inforce 2019 @Boston
None
Security as Code
None
セキュリティ設定の自動修復 ‣ 設定の変更をCloudWatch Eventsで検出 ‣ ルールに沿っていない設定変更を検出した場合、自動 的に修復する ‣ 例:S3バケットの暗号化
None
IAM ポリシー作成の自動化 •IAMのポリシーは雑にFullAccessなどにしがち ‣ ちゃんと制限されたポリシーを作成するのは大変 •解決策 ‣ 開発環境などでFullAccessで動かす ‣ CloudTrailでどのAPIがどこから呼ばれたのかを集計する
‣ APIから必要な権限を導出して自動でポリシーを作成する
https://www.youtube.com/watch?v=w2FH12ZUgdY
https://www.youtube.com/watch?v=w2FH12ZUgdY 機械学習を使ったWAFルール更新 •様々なデータソースから集めたログをS3に蓄積 •定期的にSageMakerのジョブを実行して訓練 •生成されたモデルを使ってWAFのblock対象を更新する
Security as Codeの実現 by AWSサービス •自分たちの組織・ビジネスに必要な機能をマネージ ド・サービスの組み合わせで実現 ‣ 組み合わせ次第と発想次第で様々な機能を実現 ‣
セキュリティにまつわる仕事を自動化 ‣ 開発やサービス提供の省力化・サポートを実現
クックパッドでの事例
セキュリティログの変換と転送 •Lambdaでログのフォーマットを変換+Graylogへ転送
セキュリティログの変換と転送 •Lambdaでログのフォーマットを変換+Graylogへ転送 •1日あたり約3億件のログを処理 •料金は1日あたり約 $1.6 •SNS 〜 Lambdaで転送するまで •内訳:Lambda $1
+ Kinesis Data Stream $0.6 •Kinesis Data Streamを挟むことで障害時のリトライが容易に •Lambdaの同時起動数限界までスケールアウト可能(通常は10 ぐらい)
AWS Security Hub のインテグレーション •Security Hub の Findings を S3
にエクスポート IUUQTHJUIVCDPNNNJ[VUBOJBXTTFDVSJUZIVCFYQPSUFS
AWS Security Hub のインテグレーション IUUQTHJUIVCDPNNNJ[VUBOJBXTTFDVSJUZIVCFYQPSUFS •Lambdaで取得する際に少し長めの期間を指定して Findingsを取得 •S3を挟むことでバックアップ 兼 冪等に処理可能
•AWSで(今後サポートしてほしい)まだできていない 機能も実現できる
セキュリティアラートの自動分析 •アラート発生時に分析・対応を サポートしてくれるフレーム ワーク ‣ 出現したIPアドレス、ドメイン 名、ユーザの調査 ‣ 調査した結果をもとにリスクを 自動判定
‣ 判定結果を元に通知や対応
セキュリティアラートの自動分析 •アラート発生時に分析・対応を サポートしてくれるフレーム ワーク ‣ 出現したIPアドレス、ドメイン 名、ユーザの調査 ‣ 調査した結果をもとにリスクを 自動判定
‣ 判定結果を元に通知や対応 •実行部分がすべてLambdaでスケールアウト可能 •Pluggableな機能拡張 •1日1000件アラートが発生した場合、コストは約 $0.3/日 •詳しくは後日弊社技術ブログで公開予定 •https://techlife.cookpad.com/
None