はじめに アクセスキー発行するのって非推奨なの？ 普段、CLI操作はCloudShellや、Cloud9上で行うようにしているのですが（環境構築 したくない。）、デスクトップ上で操作したい時があります。 そこで、一番簡単な方法であるアクセスキーを発行しようとすると、こんな代替案を提案されます。 この警告にモヤモヤしていたので、今回は「IAM Identity Center」を使ってみた。っていう記事です。 実は、アクセスキーは丸見えだったり。 最近、職場の本番リリース中に気づいたのですが、AWS CLIに保存したアクセスキーや、シークレットアクセスキーは丸見えだったりします。 (↓は既に削除しているキーたちです。) アクセスキーの何がいけないのか？ おおむね以下の理由から、非推奨の模様。 永続的な認証情報だから。 キーが流出すると、攻撃者がリソースにアクセスし放題。 キーの管理が面倒。 複

広告事業本部でリードデータエンジニアを行なっている大窄 直樹 (おおさこ)です. 前回は, AWSでのログ設計/実装に焦点を当てたブログを書きました. 今回は, AWSでのセキュリティ運用/実装に関する内容をお届けしようと思います! セキュリティ運用は難しいですよね. 日々新たな脆弱性が次々と発見されており, 脆弱性自体に気づくのも一苦労です. それに加えて, 対応してもお金を生み出すわけではないため, 過剰な対応をするわけにもいかず, 悩ましいところです（笑） 概要 このブログでは, セキュリティの考え方, 及びAWSでDevSecOpsを行う一手法を紹介します. 利用するサービスは以下のとおりです. Security Hub Amazon Inspector Snyk これらのサービスを使うことで, 開発, セキュリティ, 運用を密接に結びつけ, 効率的なセキュリティ運用を試みます.

こんにちは。コーポレート本部 サイバーセキュリティ推進部の耿です。 2024/6に Amazon Inspector が GitHub Actions でのコンテナイメージスキャンをサポートしたとのアナウンスがありました。コンテナイメージの脆弱性スキャンに既にTrivyを利用している方も多いと思いますが、別の選択肢として Inspector によるスキャンを試してみました。 また、実はコンテナイメージのスキャンだけではなく、言語パッケージのバージョンファイルやDockerfileを静的解析することも可能のため、それもやってみました。 仕組み アクションを紐解く リポジトリ内のファイルをスキャンする場合 試してみた サマリページの結果 CSV形式の検出結果 JSON形式の検出結果 Markdown形式の検出結果 脆弱性が検出されなかった場合 コンテナイメージをスキャンする場合 サマリページの

Security-JAWS 第34回のレポートです。いいサービスがいっぱい出ているので活用しましょう！ こんにちは、臼田です。 Security JAWS 第34回が開催されましたのでレポート致します。 Security-JAWS【第34回】 勉強会 2024年8月19日(月) - connpass ちなみに今回から、Connpassを利用しています。今後はConnpass中心となりますので、ぜひSecurity-JAWSのページからメンバー登録いただけると助かります。 動画 レポート Session1: マルチクラウド環境で3年間CSPMをやってきた Japan Digital Design株式会社 Technology & Development Div. 唐沢勇輔さん 自己紹介 2019年にJDDに入社してSecurity Teamを立ち上げた 2021年にエンジニアリング部門のHe

導入 本記事では以下を記載します。 「VPCとAWSサービス間の接続」や「VPCと外部との接続(PrivateLink使用可能)」において、 VPCエンドポイントを使用するべきか、もしくはNAT Gatewayを使用するべきかを セキュリティ面と費用面から比較してみます。 セキュリティ面 VPCエンドポイント VPCエンドポイントを使用すると、VPCとAWSサービス間の通信をインターネットを経由せずに直接接続することができます。 最近はVPCエンドポイントを用いて接続できるSaaSも増えてきています。 外形監視のNew Relicも一部リージョンでPrivateLinkによるサービスが開始されました(※東京リージョンは対象外)。 https://docs.newrelic.com/jp/docs/data-apis/custom-data/aws-privatelink/ PrivateL

こんにちは！イーゴリです。 AWS にとって、クラウドのセキュリティは最優先事項です。(AWS公式ページ) AWS環境のセキュリティ対策としてAWSサービスを解説するよりも、まずはAWS環境の最適な設計について考える必要があります。AWS Well-Architected Frameworkを考慮しながらの設計を推奨します。AWS Well-Architected Frameworkを全部詳しく読むことをおすすめしますが、この記事では個人的に一番重要だと思う点について記載します。 とてもざっくり説明しますと、AWS Well-Architected Frameworkとは、クラウドシステムの最適な設計方法を提供するAWSのガイドラインで、6つの柱があります。この記事では基本的に「セキュリティ」の柱を技術的観点から見てみたいと思います。 AWS Well-Architected Framew

最小限で基礎的なセキュリティガイダンスである「AWS Startup Security Baseline (AWS SSB)」を紹介します いわさです。 SaaS on AWS では大きく 4 つのフェーズ（設計・構築・ローンチ・最適化）で役立てる事ができるコンテンツが提供されています。 設計フェーズでは技術面からコンプライアンスに準拠したりセキュリティベースラインを考える必要があります。 これらについてベストプラクティスが提案されている動画コンテンツがあります。 その中で初期段階で実施出来ることとして次のステップが紹介されていました。 セキュリティ周りは Well-Architected Framework や Security Hub の適用から始めることも多いと思いますが、様々な制約からすぐの導入が難しい場合もあります。 そんな方に本日は上記の中の AWS Startup Secur

「AWSセキュリティを「日本語で」学習していくための良いコンテンツをまとめてみた」というタイトルでAWS Summit Japan 2024のCommunity Stageで登壇しました #AWSSummit AWS Summit JapanのCommunity Stageで登壇した「AWSセキュリティを「日本語で」学習していくための良いコンテンツをまとめてみた」の解説です。 こんにちは、臼田です。 みなさん、AWSセキュリティの勉強してますか？(挨拶 今回はAWS Summit JapanのCommunity Stageで登壇した内容の解説です。 資料 解説 AWSとセキュリティの勉強をしていく時、嬉しいことにAWS関連の情報はたくさんあります。しかし、どの情報から勉強していくか迷いますよね？そこで、AWS Security Heroである私がオススメする「日本語で」学習するための良いA

はじめに 咋年 12 月に 「AWS 継続的セキュリティ実践ガイド　ログの収集／分析による監視体制の構築」 という書籍を翔泳社より刊行しました。 もうすぐ半年が経ちますが、改めて執筆当時の想いや刊行後の反響などを文章にまとめてみました。すでに多くの方々に手に取っていただき、読んでいただいていますが、まだこれからという方には読むきっかけになってくれると嬉しいです。 本書を書くに至った動機 まず、そもそもログが大好きだからというのは大前提です（笑） そのあたりの想いは、本書の「おわりに」に 1 ページ使ってエモい文章を綴っています。本書をご購入いただき、その 1 ページだけでも読んでいただければ、私としては大満足です。ログへの愛はこのぐらいにしまして、執筆というそれなりに覚悟のいる決断に至った経緯についてご説明します。 本書の前書きにあたる「はじめに」にも書きましたが、著者が関わっていた現場で

大阪オフィスの川原です。 クラスメソッドのシン・大阪オフィスでの初イベント DevelopersIO OSAKA Day One -re:union- にて 『疲弊しないAWSセキュリティ統制の考え方』 というメインセッションを話しました。 ご参加いただいたみなさま、ありがとうございます！ 発表で使った資料を本ブログで公開します。 当日の発表では時間の都合上話せなかった部分もいくつかありますので、 気になった方はぜひ見てください。 参考になれば幸いです。 スライド 参考資料 責任共有モデル | AWS NIST Releases Version 2.0 of Landmark Cybersecurity Framework | NIST NIST Cybersecurity Framework (CSF) 2.0 Reference Tool | NIST Cyber Defense Ma

「Security-JAWS【第32回】」での登壇資料です。 イベントURL：https://s-jaws.doorkeeper.jp/events/167836

こんにちは、臼田です。 みなさん、AWSのセキュリティちゃんとできてますか？(挨拶 今回は池袋で久しぶりのオンサイトイベントとして開催されたJAWS DAYS 2024で登壇したセッションの解説です。 いやーやっぱり対面でのイベントはサイコーですね！参加できた方はお疲れ様でした。参加できなかった方は、このブログで雰囲気だけでも掴んでいってください。次は絶対に参加しましょう！ 動画 資料 セッション概要 タイトル: AWSセンセーション 私とみんなが作ったAWSセキュリティ 主人公は何故か前髪で目が隠れているどこにでもいる普通のソリューションアーキテクト。 ある日、ひょんなことからAWSのセキュリティ対策がきっちりできていないと脱出できない部屋に謎のドット絵美少女コノハと一緒に閉じ込められてしまう。 「こんなAWSセキュリティのセの字もわからないようなAWSアカウント所持者と一緒だなんて、ど

みなさん、こんにちわ！初投稿のドリアです。 2011年にAWSの東京リージョン、2016年にGCPの東京リージョンが開設されてから クラウド環境を利用する機会も増えたのではないでしょうか。 柔軟なインフラリソースの活用に加えて様々なマネージドソリューションが発表される中で クラウドのセキュリティはどうしているの？と気になる方もいると思いますので 本日はクラウドのセキュリティ製品を触ってみたことについて書いてみようと思います。 クラウドのセキュリティといってもどういったものがあるの？ クラウドセキュリティといっても各クラウドが提供している製品や 3rdベンダーが提供している製品、防御範囲も多種多様にあるかと思います。 今回はクラウドプラットフォームが提供している GCPのSCC(Security Command Center)についてポストしようと思います。 ※AWSの類似製品はGuard

developersio-2023-aws-api-publication-checklist

TL;DR セキュリティー対策には予防的統制と発見的統制の 2 つの観点が欠かせない AWS が提供するセキュリティーサービスが予防的・発見的統制にどう寄与するかを解説 セキュリティー対策は、リスクの特定と可視化、リスク分析と優先度付け、施策費用の算出、経営層への報告とサポートの獲得で進めるべし セキュリティーは、単に技術やツールを導入するだけではなく、組織全体の意識や文化、そして継続的な改善が求められる はじめに レバテック開発部レバテックプラットフォーム開発チームに所属している内藤です。 普段は、バックエンドの設計や実装、さらにインフラの構築まで幅広く担当しています。 最近、私は弊社開発部を代表して（色々な方面から怒られそう笑）、AWS セキュリティインシデント擬似体験 GameDay に参加する機会に恵まれました。このイベントでは、セキュリティインシデントへの対応方法や予防策など、実

1. 始めに こんにちは、morioka12 です。 本稿では、AWS 環境における攻撃者のオフェンシブな視点で Cloud Security の入門として紹介します。 1. 始めに 免責事項 想定読者 2. クラウドにおける脅威 クラウドの重大セキュリティ脅威 11の悪質な脅威 クラウドサービス利用に関連するリスク Top 10 AWS セキュリティ構成ミス Top 10 3. AWS 環境における攻撃者の観点 3.1 AWS 環境の外部からの観点 3.2 AWS 環境の内部からの観点 4. MITRE ATT&CK Framework for Cloud (IaaS) 4.1 初期アクセス (Initial Access) 4.2 実行 (Execution) 4.3 永続化 (Persistence) 4.4 権限昇格 (Privilege Escalation) 4.5 防御回避

Amazon Web Services ブログ 組織内での AWS CDK 利用拡大のためのベストプラクティス 企業はクラウド移行の加速を常に追求しています。Infrastrcture as Code (IaC) は、クラウドリソースを効率的に自動化および管理するうえで不可欠です。AWS Cloud Development Kit(AWS CDK) を使用すると、お気に入りのプログラミング言語でクラウドインフラストラクチャをコードとして定義し、AWS CloudFormation を使用してデプロイできます。この記事では、組織内での CDK の採用を加速するための戦略とベストプラクティスについて説明します。この記事での議論は、組織がパイロットプロジェクトを成功裏に完了した後に始まります。この記事を読むことで、パイロットプロジェクトから得た教訓をプラットフォームエンジニアリングを通じて組織全

AWS目黒で実施された「AWS re:Invent 2023 re:cap LT 大会」で発表した資料

いわさです。 先月の AWS re:Invent 2023 で myApplications という機能が発表されています。 今回こちらを使ってアプリケーションごとの Security Hub 検出結果を確認する機会がありました。 myApplications の情報がまだあまり無かったので紹介したいと思います。 はじめに 単一の AWS アカウントを同じ組織内の複数のプロダクトチームで利用している状況を整理する機会がありました。 是正する場合、本来であればプロダクトごとなどで AWS アカウントを分割するべきだと思います。 しかし、対象アカウントはミッションクリティカルなワークロードが複数稼働中で Amazon Cognito ユーザープールなどの移行を行う場合に何かしらの影響が発生し得る状態でした。 このように様々な背景からアカウント分離が難しいケースがあると思いますが、その中でもプロ