Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
WafCharm使ってみた
Search
Tsukasa_Ishimaru
August 28, 2024
Technology
0
270
WafCharm使ってみた
Tsukasa_Ishimaru
August 28, 2024
Tweet
Share
More Decks by Tsukasa_Ishimaru
See All by Tsukasa_Ishimaru
Aurora_BlueGreenDeploymentsやってみた
tsukasa_ishimaru
1
220
IaCジェネレーターとBedrockで詳細設計書を生成してみた
tsukasa_ishimaru
5
2.2k
AWS アカウントへのログインを一時的に許可する簡易承認ワークフローを作ってみた
tsukasa_ishimaru
0
190
AWS Application Composer使ってみた
tsukasa_ishimaru
0
280
AWSコスト削減~EC2・RDS自動起動・停止~
tsukasa_ishimaru
0
330
Other Decks in Technology
See All in Technology
Wasmのエコシステムを使った ツール作成方法
askua
0
210
Findy Team+ QAチーム これからのチャレンジ!
findy_eventslides
0
430
20251010_HCCJP_AdaptiveCloudUpdates
sdosamut
0
140
Codexとも仲良く。CodeRabbit CLIの紹介
moongift
PRO
1
240
新規事業におけるGORM+SQLx併用アーキテクチャ
hacomono
PRO
0
320
能登半島災害現場エンジニアクロストーク 【JAWS FESTA 2025 in 金沢】
ditccsugii
0
890
データ戦略部門 紹介資料
sansan33
PRO
1
3.8k
Bill One 開発エンジニア 紹介資料
sansan33
PRO
4
14k
それでも私が品質保証プロセスを作り続ける理由 #テストラジオ / Why I still continue to create QA process
pineapplecandy
0
130
「改善」ってこれでいいんだっけ?
ukigmo_hiro
0
330
dbtとBigQuery MLで実現する リクルートの営業支援基盤のモデル開発と保守運用
recruitengineers
PRO
3
100
ガバメントクラウド(AWS)へのデータ移行戦略の立て方【虎の巻】 / 20251011 Mitsutosi Matsuo
shift_evolve
PRO
2
200
Featured
See All Featured
A Tale of Four Properties
chriscoyier
161
23k
Making Projects Easy
brettharned
120
6.4k
Measuring & Analyzing Core Web Vitals
bluesmoon
9
620
Let's Do A Bunch of Simple Stuff to Make Websites Faster
chriscoyier
508
140k
The MySQL Ecosystem @ GitHub 2015
samlambert
251
13k
How GitHub (no longer) Works
holman
315
140k
Distributed Sagas: A Protocol for Coordinating Microservices
caitiem20
333
22k
Unsuck your backbone
ammeep
671
58k
Building a Scalable Design System with Sketch
lauravandoore
463
33k
StorybookのUI Testing Handbookを読んだ
zakiyama
31
6.2k
How To Stay Up To Date on Web Technology
chriscoyier
791
250k
Java REST API Framework Comparison - PWX 2021
mraible
34
8.9k
Transcript
WafCharm使ってみた 2024年8月28日 株式会社セゾンテクノロジー クラウドLT大会 vol.10 石丸 司 1
目次 1.自己紹介 2.課題設定 3.解決方法 4.設定してみた 5.使ってみた 6.良いところ 7.悪いところ 8.おわりに 2
1. 自己紹介 ▪氏名:石丸司(いしまるつかさ) ▪所属:セゾンテクノロジー ▪経歴 2017/4/1 : 新卒入社 2017/7/1~2022/3/31 :
基幹システムのアプリ開発・維持保守 2022/4/1~ : AWSインフラの構築・維持保守 ▪最近の活動 Japan AWS Top Engineers選出を目指し、 資格取得、Qiita投稿・LT登壇などを実施中 @tsukasa_aws 3 @Tsukasa_Ishimaru
2. 課題設定 ・インターネットに公開されたWEBシステム基盤を構築していて、 AWS WAFは導入したけど、運用を設計しきれていない ・AWS WAFは導入しているけれど、セキュリティ専任チームもいなくて、 定期的な最新ルールの差し替え等の作業は、 正直放置している 4
ここのお話
3. 解決方法 使用するサービス(AWS外部) ブロックルールの自動更新 ブラックリストへの自動登録 サポートによるトラブル発生時での、 原因特定やルール調整 5 https://www.wafcharm.com/jp/
3. 解決方法(続き) WafCharm導入後の構成イメージ 6 ①ログ出力 ②ログ連携 ③ルール更新
4. 設定してみた ①マーケットプレイスでWafCharmをサブスクライブ ②リンクからWafCharmのアカウント登録 ③Credential登録(WafCharm用IAMロール作成・登録) ④WAF Config登録(WafCharmをAWS WAFにアタッチ) 7 設定の流れ
4. 設定してみた(続き) ①マーケットプレイスでWafCharmをサブスクライブ 8 利用時間による従量課金 + アクセス数に応じた課金
4. 設定してみた(続き) ②リンクからWafCharmのアカウント登録 9
4. 設定してみた(続き) ②リンクからWafCharmのアカウント登録(続き) 10
4. 設定してみた(続き) ③Credential登録(WafCharm用IAMロール作成・登録) 11 json形式の信頼ポリシーが生成される
4. 設定してみた(続き) ③Credential登録(WafCharm用IAMロール作成・登録) 12 ・AmazonS3ReadOnlyAccess ・AWSWAFFullAccess ・CloudWatchReadOnlyAccess WafCharm管理画面で生成した 信頼ポリシーをコピペ
4. 設定してみた(続き) ③Credential登録(WafCharm用IAMロール作成・登録) 13
4. 設定してみた(続き) ④WAF Config登録(WafCharmをAWS WAFにアタッチ) 14
4. 設定してみた(続き) ④WAF Config登録(WafCharmをAWS WAFにアタッチ) 15
4. 設定してみた(続き) ④WAF Config登録(WafCharmをAWS WAFにアタッチ) 16
4. 設定してみた(続き) ④WAF Config登録(WafCharmをAWS WAFにアタッチ) 17
4. 設定してみた(続き) ④WAF Config登録(WafCharmをAWS WAFにアタッチ) 18
4. 設定してみた(続き) ④WAF Config登録(WafCharmをAWS WAFにアタッチ) 19
5. 使ってみた ①どれほど攻撃がきているのか確認 20
5. 使ってみた(続き) ②WAFログ確認 21
5. 使ってみた(続き) ②WAFログ確認 22
4. 使ってみた(続き) ③ブラックリストへの手動登録 23
4. 使ってみた(続き) ③ブラックリストへの手動登録 24
5. 使ってみた(続き) ③ブラックリストへの手動登録 25 登録前 登録後
5. 使ってみた(続き) ④月次レポート確認(レガシーver.) 26
6. 良いところ ・導入が簡単 30分程で完了 ・ルールの自動更新 AWS WAF:定期的に手動で更新が必要(適用するルールの選定も必要) ⇒誤検知等のトラブルが起きない限り、ほったらかしでOK ・WafCharm管理画面でWAFログの参照ができる AWS
WAF:Athenaのクエリを事前に用意してログの検索・参照を行う ⇒管理画面でログの検索・参照ができる ・月次レポート お客様へのレポート提出が必要な場合、そのまま提出可能 27
7. 悪いところ 28 ・環境(AWSアカウント)毎にWafCharmの利用料を分割できない マーケットプレイス経由で購買した場合、WafCharmの利用料は、 サブスクリプションしたAWSアカウントに全額請求される。 →環境毎に分割するには、環境毎にWafCharmのアカウントが必要 ・設定時にエラーが発生した場合、エラーメッセージが何も表示されない CloudTrailの証跡を参照してユーザー名:wafcharmで絞り込んで確認する必要あり →・WAFログ格納先のS3バケットポリシーで権限制限
・WAFログ格納先のS3バケットをカスタムKMSで暗号化&権限制限 →S3バケットとKMSのリソースベースポリシーに、 WafCharm用IAMロールへの許可設定が必要だった
8. おわりに • WafCharmを導入して、WAFの運用作業から解放されましょう 29
ご清聴ありがとうございました 30