皆さんMerry Christmas！コーポレート本部 サイバーセキュリティ推進部 セキュアシステムデザイングループの福山です。 本記事は、電通総研 Advent Calendar 2024の24日目の記事となります。 今回は、私の好きなAWSサービスの一つであるAmazon Detectiveについてお届けしたいと思います。 はじめに Amazon Detectiveとは Detectiveを有効化してみよう！ 管理アカウントでの作業 メンバーアカウントでの作業 GuardDutyアラートの生成 Detective管理アカウントによる調査方法 検出結果グループ（finding groups） 調査機能（Detective Investigation） IAMユーザーを調査 ロールを調査 検索機能（search） アカウントIDで検索 インスタンスIDで検索 インスタンスに紐づくロールで検

KAKEHASHI の Musubi Insight チームでエンジニアをしている横田です。 KAKEHASHI では薬剤師さん向けに Musubi という業務システムや、BI ツールの Musubi Insight という Web アプリケーションなどを提供しています。 それらは toB のサービスなので 一般的な Web サービスとの ID フェデレーションなどを利用することが難しく、Amazon Cognito によって共通の認証情報でのログインを実現しているのですが、サービスごとに毎回認証情報を入力する必要があるという課題がありました。 一度認証情報を入力すれば複数のサービスでログインしたことになるシングルサインオン（Single Sign-On）の仕組みを試験導入したので、得られた知見について紹介したいと思います。 シングルサインオンとは シングルサインオンとは、一度ログインする

はじめに Data Strategyチーム（以下、DSチーム）でDWHやBIツールの運用をしている@shota.imazekiと不正検知やAWS基盤運用をしている@tawamuraです。 Aurora MySQL v2（MySQL5.7互換）が2024/10/31に標準サポート終了となるため、DSチームでは2024年6月にAurora MySQL v3（MySQL8.0互換）へのアップグレードを実施しました。 その際に得られた課題や知見について紹介していきます。主にAWS DMSやAmazon RDS ブルー/グリーンデプロイを用いたアップグレード方法の話になります。 DSチームのインフラ構成 DSチームはBASEの機械学習基盤を構築・運用しており、APIなどを介してプロダクト側へ機械学習モデルの推論結果などを返しています。学習・推論のために使うプロダクト側のデータはDMSを用いて、DS環

概要 ソーシャル経済メディア「NewsPicks」SREチームの中川です。 皆さんはバッチ処理基盤はどうされていますでしょうか。 NewsPicks では少し前まではそれらをEC2、cronの組み合わせで動作させていました。 何年も前からこの仕組みだったのですがSREとしてはEC2の面倒見るのも手間ですし、それ以上にcronを変更する際のオペレーションミスが目立ったのが懸念点でした。 その為、まずはAWSマネージド化するための基盤を整備し、その後バッチアプリを載せ替えていくようにしました。 対応前の基盤構成 同じSREチームの安藤さんが CloudNative Days Tokyo 2023 で登壇されたときの資料をお借りします。 ご覧の通り、大体のサービスはマネージド化していましたがバッチ基盤だけは旧来のままEC2インスタンスを利用していました。 10年モノのサービスのインフラを漸進的

始めに 弊社では、数行と画像１枚の静的ページを表示させるためだけ に、1台サーバーを構築し保守運用してました。 それだけのために、1台のサーバーを保守運用するの馬鹿らしくね？？？？？？ ＼＼＼うん！馬鹿らしい／／／ ということで、AWS上に移行すること となりました にしました。 今回は、S3とCloudFrontを利用して静的ページを表示させる設定をご紹介させていただきます。 初歩的な内容となりますので、これから静的ページを作りたいんだけど！といった方向けの内容となります。 始めに 要件 構成について AWSの利用サービス 構成図 実際の設定手順 S3設定 1. バケット作成 2. indexファイルのアップロード CloudFront設定 1. ディストリビューションを作成 2.ポリシー設定 3.接続確認 Route53 設定 1. カスタム SSL 証明書発行 2. CNAME登録

この記事はNuco Advent Calendar 2022の11日目の記事です。 インフラに関わるエンジニアにとって必須の知識であるIaCについて書こうと思います。 IaCは、Infrastructure as Codeの略であり、「インフラのコード化」と言われたりします。 ここ最近はクラウドを使った開発では、IaCが当たり前になっていると感じています。 この記事で得られること IaCの基本知識（IaCとは？ なぜ使うのか？ どんなツールがあるか？） CloudForamtionの全体像・使い方・サンプルコード・実務での応用例 Terraformの全体像・使い方・サンプルコード・実務での応用例 IaC導入に関するtips 1. Infrastructure as Code (IaC)とは？ 1-1. 定義 WikipediaによるとIaCは下記のように定義されています。 Infrastr

本記事は 初夏のAWSアワードエンジニア祭り 2日目の記事です。 🍦 1日目 ▶▶ 本記事 ▶▶ 3日目 💻 2019年より務めていたAWS Ambassadorsを、退任することになりました。Ambassadorであったお陰で、貴重な体験をさせて頂くとともに、沢山の人と交流できたことは本当に感謝しかないです。ありがとうございます。そして、組織内に後任が誕生し、引退できる状態になったのも喜ばしいかぎりです。ただ、Top Engineersとしては継続で選んでいただいているので、その名に恥じぬようにしっかりと実績を残していきたいです。ということで、NRIネットコムの初夏のAWSアワードエンジニア祭りの2日目です。 某書籍の執筆で、AWS Global Accelerator（Global Accelerator）について解説していました。紙面の都合上、1ページくらいにまとめる必要があった

こんにちは。NewsPicksのWeb Reader Experience Unitで学生インターンをしている西（@yukinissie）です。 昨年の 9 月までSREチームに所属しており、その頃にNewsPicksの全ての常駐バッチサーバーをAWS CDKを用いてAWS FargateとAWS Fragate Spotを併用するようにさせましましたのでコストの変化や工夫した点についてご紹介します。 AWS Fargate Spotとは？ 実際どれくらいのコストを削減できたか 0. ECSコンテナ化 1. 使用量はほぼ横ばい 2. Fargate Spotの適用 3. コストが約47％削減！！！ AWS CDKでAWS Fargate Spot機能を適用する際に工夫したこと 課題 解決策 FargateとFargate Spotの併用 キャパシティープロバイダー戦略を自動で決定するIaC

こんにちは。システムセキュリティ推進グループの花塚です。本記事は、AWSにおける脅威検知のために取り組んだ内容について紹介します。 AWS上で脅威検知といえば、GuardDutyなどのサービスを使って実装するのが一般的だと思いますが、仕組みは構築できても以下のような悩みを持たれることはありませんでしょうか。 仕組みは完成したけど、結局アラートが対応されずに放置されている 限られた人的リソースの中で大量のアラートを捌ききれない 仕組みは構築できても、上記のような運用面に関する難しさを感じる事は少なくないと思います。そこで、この記事では、構築した仕組みとその仕組みを生かすまでの運用方法の変遷について詳しくご紹介します。 大規模なクラウド環境に対して、セキュリティをスケールさせたい方にとって少しでも参考になれば幸いです。 目次 背景 構築した仕組み 運用とその変遷 最後に 背景 話を進める前に、

Amazon Time Sync is now available over the internet as a public NTP service The Amazon Time Sync Service is now available over the Internet. Built on Amazon's network infrastructure, the Amazon Time Sync Service utilizes a global fleet of redundant satellite-connected and atomic reference clocks in AWS regions to deliver current time readings of the Coordinated Universal Time (UTC) global standard

You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert

前置き 情けないことだが、自身の過失により、GitHubで長年Privateリポジトリで運用していたリポジトリを、とある事情でpublicに変更したのだが、その中にAWSのS3のアクセスキーとシークレットキーがファイルに直接ハードコーディングされているのにすっかり気づかず、自身のAWSのアクセスキーとシークレットキーが流出してしまうという失態を起こしてしまった。 その不正利用により届いた請求金額は約300万円。請求を見た時は頭が真っ白になり冷や汗ものだったが、過去に同様のミスとその状況と対応をまとめてくださっていた方々のおかげで、なんとか深呼吸して対応することができたので、自分も少しでも今後起きうる同様の状況の方に対する助けになればと、一部始終を共有しておくことにしようと思う。 初心者がAWSでミスって不正利用されて$6,000請求、泣きそうになったお話。 AWS で不正アクセスされて凄い

Amazon Web Services ブログ Amazon EC2インスタンスにホストベースの侵入検知システムアラートの監視方法 AWSリソースを安全に保護するためのアプローチとして、予防のための仕組み、検知のため仕組みといったそれぞれのレイヤーでのアプローチを検討頂くことを推奨しています。たとえば、Amazon EC2インスタンスにホストベースのコントロールを組み込むことで、アクセスを制限し、システムの動作やアクセスパターンに伴う適切なレベルの可視性を準備できます。これらのコントロールには、ホスト上のネットワークトラフィック、ログファイル、およびファイルアクセスを監視・分析するホストベースの侵入検知システム（HIDS）を含むことが一般的です。 HIDSは、通常、警告、自動修復ソリューションと統合され、攻撃、許可されていない活動、疑わしい活動、環境内の一般的なエラーを検出し対処します。

Dockerとはどのようなもので、なぜ開発の現場で利用されることが多いのかを簡単に解説し、AWS上でDockerを利用する4つの方法について説明します。 4つの方法とは、EC2上にDockerを展開、AWS CLIを使うやり方、AWS for Dockeを使ったクラスター作成方法、AWS Docker Registryによるコンテナ管理となります。 数年前から注目されている**「Docker」**ですが、ローカル環境だけではなくサーバーないしクラウド環境にて環境構築を行うときにもよく利用されています。Dockerは仮想環境を高速に構築できるからです。また、DockerはAWSでも利用することができます。 今回はAWS上にDockerをデプロイするときに利用できる、AWSが提供しているサービスの種類とそれぞれの利用方法を説明します。 AWSでDockerを利用する ここではまず、Docker

Cloud Native Lounge #1「サービスを支えるクラウドネイティブな基盤」 https://forkwell.connpass.com/event/215187/

日本MySQLユーザ会(MyNA会) 2021年07月 -下位レイヤ勉強会- での発表資料です。