AWS初心者向けWebinar AWS上でのDDoS対策
59 likes51,021 views
2016/2/9 AWS初心者向けWebinar AWS上でのDDoS対策
![[AWS初心者向けWebinar] 利用者が実施するAWS上でのセキュリティ対策](https://cdn.slidesharecdn.com/ss_thumbnails/20151217-aws-security-151218023451-thumbnail.jpg?width=560&fit=bounds)
More Related Content
What's hot (20)
Viewers also liked (20)
![[AWSマイスターシリーズ] Amazon Elastic Compute Cloud (EC2)](https://cdn.slidesharecdn.com/ss_thumbnails/20130313aws-meister-regenerate-ec2public-130317204207-phpapp01-thumbnail.jpg?width=560&fit=bounds)
Similar to AWS初心者向けWebinar AWS上でのDDoS対策 (20)
![AWS初心者向けWebinar AWS上にWebサーバーシステムを作ってみましょう ～まずは仮想サーバーから[演習つき]～](https://cdn.slidesharecdn.com/ss_thumbnails/20150825awsselfpacedlabec2-150825085730-lva1-app6892-thumbnail.jpg?width=560&fit=bounds)
![[20220126] JAWS-UG 2022初頭までに葬ったAWSアンチパターン大紹介](https://cdn.slidesharecdn.com/ss_thumbnails/20220126-anti-220126190603-thumbnail.jpg?width=560&fit=bounds)
More from Amazon Web Services Japan (20)
AWS初心者向けWebinar AWS上でのDDoS対策
- 1. 2016 / 02 / 09 アマゾン ウェブ サービス ジャパン 株式会社 プロフェッショナルサービス コンサルタント 松本 照吾 【 AWS 初心者向け Webinar 】 AWS上でのDDoS対策
- 2. 2 ご質問を受け付け致します！ 質問を投げることができます！ • Adobe Connect のチャット機能を使って、質問を書き込ん でください。（書き込んだ質問は、主催者にしか見えませ ん） • 最後の Q&A の時間で可能な限り回答させていただきます。 ①画面右下のチャッ トボックスに質問を 書き込んでください ②吹き出しマークで 送信してください
- 3. 3 AWS 初心者向け Webinar のご紹介 • AWS についてこれから学ぶ方むけの ソリューションカットの Webinar です • 過去の Webinar 資料 – AWS クラウドサービス活用資料集ページにて公開 http://aws.amazon.com/jp/aws-jp-introduction/ • イベントの告知 – 国内のイベント・セミナースケジュールページにて告知 http://aws.amazon.com/jp/about-aws/events/ （オンラインセミナー枠）
- 4. 4 自己紹介 名前：松本 照吾 所属：アマゾン ウェブ サービス ジャパン株式会社 プロフェッショナルサービス本部 セキュリティ コンサルタント 経歴：セキュリティコンサルタント （情報セキュリティ監査、ISMS、BCMS等） 好きなAWSサービス：リスクとコンプライアンスホワイトペーパー
- 7. 7 DoS攻撃とは？ • DoS=Denial of Service attack • 攻撃者がやりたいこと＝サービスをさせないこと
- 8. 8 DDoS攻撃とは？ • DDoS＝Distributed Denial of Service attack • 複数から攻撃すれば、より効果的な攻撃に
- 9. 9 ターゲットはどこか？ 分類 ターゲット 狙い 代表的な攻 撃例 割合 主な対処 Application layer DDoS attacks アプリケー ション層 アプリケー ションリソー スを消費 HTTP GET Flood 15% WAFによるアプリ ケーションレイヤ 保護、スケール State- exhaustion D DoS attacks トランス ポート層 FW、IPS、 ロードバラン サーなどのシ ステムリソー スを消費 SYN Flood 20% 有効なトラフィッ クのみの受付 （CloudFront、 ELB） Volumetric DDoS attacks ネットワー ク層 ネットワーク で処理が不可 能な大量のパ ケットを送信 UDP増幅攻 撃 65% 有効なトラフィッ クのみの受付 （CloudFront、 ELB）、スケール
- 12. 12 AWSのセキュリティの考え方＝責任共有モデル AWS Foundation Services Compute Storage Database Networking AWS Global Infrastructure Regions Availability Zones Edge Locations Client-side Data Encryption Server-side Data Encryption Network Traffic Protection Platform, Applications, Identity & Access Management Operating System, Network, & Firewall Configuration Customer Applications & Content Customers
- 13. 13 AWSにおけるDDoS対策とは？ “Amazon API エンドポイントは、Amazon を世界最大のイン ターネットショッピング業者にしたエンジニアリングの専門知 識を参考にして、大規模で、インターネット規模の、ワールド クラスのインフラストラクチャにホストされています。専属的 な DDoS 緩和技術が使用されています。“ （「セキュリティプロセスの概要」ホワイトペーパーより）
- 14. 14 お客様によるDDoS対策 • 次の５つの観点から対策を検討・実施 – 攻撃対象領域を削減する – スケールして攻撃を吸収できるようにする – 公開されたリソースを保護する – 通常時の動作について学習する – 攻撃に対する計画を作成する
- 17. 17 東京リージョン Amazon Virtual Private Cloud (VPC) • 特徴 (http://aws.amazon.com/jp/vpc/) – AWS上にプライベートネットワークを構築 – AWSと既存環境のハイブリッド構成を実現 – きめ細かいネットワーク設定が可能 仮想プライベートクラウドサービス VPC ( 172.16.0.0/16) 既存システム プライベート サブネット パブリック サブネット インターネット VPN or 専用線 ネットワークを 要件に応じて設定 インターネット ゲートウェイ
- 18. 18 Amazon VPC を使用した脅威からの保護 ウェブ アプリケー ション サーバー パブリックサブネット ssh 踏み台 NAT ELBユーザー 管理者 インターネット Amazon EC2 セキュリティグループ セキュリティグループ Gateway セキュリティグループ フロントエンドプライベート サブネット TCP: 8080 Amazon EC2 TCP: 80/443 バックエンドプライベート サブネット セキュリティグループ TCP: 1433; 3306 MySQL db TCP: アウトバウン ド TCP: 22
- 19. 19 SSH踏み台ホストのセキュリティグループ(例) • インターネットや特定のイ ンターネットアドレスのレ ンジよりTCPポート 22に 接続を許可 • このポートに対するDDoS 攻撃があった場合は、SSH サービスのみが影響 • 不正アクセスの可能性を最 小化するために、ネット ワークのPublic IPのレンジ のみSSH要塞ホストのセ キュリティグループとコ ミュニケーションすること を許可
- 21. 21 NAT Gateway（例） • ソフトウェアの更新等のた めにインスタンスのイン ターネット接続を許可する ため、Network Address Translation (NAT)インスタ ンスを作成 • NATインスタンスにより、 インターネットからのイン バウンドの接続を拒否しつ つ、プライベートサブネッ トからインターネットへと トラフィックを安全に通す
- 22. 22 ウェブアプリケーションサーバセキュリティグループ （例） • ELBからくるウェブアプリ ケーションのリクエストの み受け付け • 攻撃対象領域を最小化する 取組として、これらのイン スタンスにはVPCのサブ ネットのアドレスレンジか らのプライベートIPアドレ スしかアサインされない • ELB セキュリティグループ からのTCPポート80及び 443とSSH踏み台ホスト セ キュリティグループからの TCPポート22だけを許可
- 23. 23 MySQLサーバセキュリティグループ（例） • MySQLデータベースサー バーはウェブアプリケー ションをホストするEC2イ ンスタンスからのみアクセ ス可能に • ウェブアプリケーション サーバー セキュリティグ ループのEC2インスタンス からのみTCPポート3306 の接続を許可
- 24. 24 ネットワークACL（例） • Network ACLは伝統的なファイアウォールの ように番号順に処理されるステートレスの allow及びdenyルールを作れるようにすること で追加の防御レイヤーを提供 • EC2のインスタンスレベルでトラフィックを許 可するセキュリティグループとは反対に、サブ ネットレベルでトラフィックを許可したり拒否 したりするために便利 • 望ましくない、もしくは悪用の可能性のあるイ ンターネットのIPアドレスかレンジを識別した 場合、denyルールによりそれらをアプリケー ションに到達する前にブロック
- 27. 27 スケールによる攻撃の吸収のメリット • 攻撃は、より広い領域に分散され、影響する範囲に ついては最小化される。 • 攻撃者は、攻撃をスケールアップするためにさらに 多くにリソースを消費する必要がある。 • スケーリングによって、DDoS 攻撃を分析し、対策 を実行するまでの時間を稼ぐことができる。 • スケーリングによって、その他の障害シナリオでの 冗長性のセキュリティレイヤーが追加される。
- 28. 28 DDoS対策におけるスケーリングの活用 (1)アプリケーションに対して適切なイン スタンスタイプを選択する (2) Elastic Load Balancing や Auto Scaling といったサービスを自動的にス ケールするよう設定する (3) Amazon CloudFront や Amazon Route 53 など、AWS グローバルサー ビスに組み込まれた固有のスケールを使 用する Route 53
- 29. 29 Amazon Elastic Compute Cloud（EC2) スケールしてアプリケーション や予期しないスパイクをサポー トできるインスタンスタイプを 選択 拡張ネットワーキング C3、C4、R3、D2、および I2 インスタンスでは、拡張ネット ワーキング機能を有効に コスト＜ネットワーク接続
- 30. 30 Elastic Load Balancing (ELB) 〜 AWSクラウド上のロードバランシングサービス 〜 ELBで実現できるシステム スケーラブル : 複数のEC2インスタンスに負荷分散 高い可用性 : 複数のアベイラビリティゾーンにある複数のEC2インスタンス の中から正常なEC2インスタンスにのみ振り分け ELB自体の特徴 スケーラブル : ELB自体も負荷に応じてキャパシティを自動増減 安価な従量課金 : 従量課金で利用可能 運用管理が楽 : マネージドサービスなので管理が不要 豊富な連携機能 : Auto Scaling, Route 53, Cloud Formation… などと連携
- 31. 31 Elastic Load Balancing (ELB)利用のメリット • 特定のインスタンスのみが過負荷になるリスク を最小限に抑える。 • インターネットへの公開はELBのみに。 • セキュリティグループやネットワークACLとの 組み合わせによる追加のレイヤーを提供 • 有効な TCP リクエストのみをサポート（UDP や SYN フラッドなどの DDoS 攻撃は、インス タンスに到達しない）
- 32. 32 Auto Scaling • 特徴 (http://aws.amazon.com/jp/autoscaling/) – Amazon EC2インスタンス群を自動的に スケール – 耐障害性の向上（インスタンスの異常を 検知して、新しいインスタンスを起動） – EC2インスタンスの起動料金の最適化 • 価格体系 (http://aws.amazon.com/jp/autoscaling/pricing/) – Auto Scaling自体の利用は無料 – Auto Scalingによって起動されるEC2インス タンスの起動料金 • Spotインスタンスとしても起動可能 EC2インスタンスを負荷またはスケジュールに応じて自動増減 Auto Scaling group Desired Capacity 必要に応じて 追加される Capacity 起動設定 • インスタンスタイプ • AMI • Spot入札価格 など
- 33. 33 Auto Scalingを活用するうえでの注意点(1/2) • サーバーの起動と設定に要する時間 – アプリケーションの起動に 5 分以上かかる場合は、複数のインスタンスに おいてアプリケーションを事前に実行状態にしておくか、スケーリングの しきい値を低くすることを推奨 • アプリケーションのパフォーマンスと最も関連性が高い メトリックスの特定 – DDoS 攻撃を示すメトリックスの例 （CPUUtilization、NetworkIn、StatusCheckFailed など） • Auto Scaling グループの一部として使用する可能性があ る既存リソース（EC2 インスタンスや AMI など） – Auto Scaling グループに対して攻撃を受けている状態でもアプリケーショ ンを実行しつづけるためには、同じタイプのインスタンスまたはより高い キャパシティーが必要
- 34. 34 Auto Scalingを活用するうえでの注意点(2/2) • Auto Scaling グループに含める AZ の数 – 最低でも 2 つの AZ を推奨 • スケールアップおよびスケールダウンを行う速度 – DDoS 攻撃は波のように押し寄せることに注意。最初の攻撃の後で スケールダウンしたが、結局再度スケールアップしなければならな くなる状況は避けたい。 • Auto Scaling グループでの EC2 インスタンスの最 大数 – インスタンスが追加されると、コストも増える可能性がある。 Auto Scaling ポリシーを作成するときは、インスタンスの最大数を 設定可能（最大数に達したときのアラームを設定可能）
- 35. 35 Amazon CloudFront • 高性能な分散配信 (世界54拠点のエッジサーバ) ※2016年1月時点 • 高いパフォーマンス (業界トップクラスのパフォーマンス測定結果) • キャパシティアクセスからの開放 (予測不可能なスパイクアクセスへの対応) • 完全従量課金 (初期費用がなく安価かつスポットも利用可能) • 設定が容易で即時利用が可能 (GUIからの設定で15分程度でサービス利用開始可能)
- 38. 38 • AWSの提供する権威DNSサービス – DNSはドメイン名をIPアドレスに変換するインターネット上の「電話帳」 – “Route 53” はDNSサーバがポート53番で動作することに由来 • AWS上で高可用性、低レイテンシなアーキテクチャを実現す るツール – ポリシーベースの柔軟なトラフィックルーティング、フェイルオーバー、トラ フィックフローなどの機能により、様々な条件に基づくルーティングが可能 • 高い可用性を提供 – DNSはインターネットの根幹のサービス – Route 53 は 100%のAvailabilityのSLAを提供 • マネージドサービスとして提供 – DNSサーバーの設計・構築・維持管理が不要 – 冗長性・性能・セキュリティ等は全てAWSにて管理される Route 53 Amazon Route 53 とは
- 39. 39 Route53によるスケーリングとDDoS対策 • シャッフルシャーディング – 数多くのエンドポイントに DNS リクエストを分散させ、アプリケーションの複 数のパスとルートを提供します。 • Anycastルーティング – 複数の PoP から同じ IP アドレスをアドバタイズすることで冗長性を高めます。 DDoS 攻撃が 1 つのエンドポイントを攻略した場合、シャッフルシャーディン グによって障害が分離され、インフラストラクチャに追加のルートが提供され ます。 • ヘルスチェックとDNSフェイルオーバー – DNSクエリで正常なリソースのみを使用
- 41. 41 リソース保護の概要 転送 攻撃者 AWS リージョン AWS エッジ AWS エッジ AWS エッジ AWS エッジ クライアント クライアント アプリケーションへの エントリポイントを減らせない Amazon CloudFront、Amazon Route 53、およびウェブア プリケーションファイアウォール（WAF)によるエントリポイ ントへのアクセス制限、保護が必要
- 42. 42 CloudFrontによるDDoS緩和技術 • 全てのディストリビュー ションは共有IPスペース でユニークなコンビネー ションを保持 • 特定のIPスペースがア タックされた場合にどの ディストリビューション がアタックされたか特定 • 特定されると、DDoSト ラフィックを他の正常な トラフィックから切り離 し、配信基盤と顧客を保 護 CloudFront edge location CloudFront edge location DDoS attack DDoS attack users users distribution distribution distribution distribution Distribution Signatures
- 43. 43 CloudFrontによるDDoS緩和技術 • 独自のDDoS緩和システム でサービスベースの防御 • 全てのパケットは検査され、 学習アルゴリズムでスコア リングされる • 他ユーザートラフィックは、 インラインシステムが可用 性、スループット、レイテ ンシに影響を与えずに迅速 に対応 Customer’s Origin Infrastructure (ELB, EC2, S3, etc). CloudFront Route 53 CloudFront Route 53 DDoS Attack Users DDoS Mitigation System DDoS Mitigation System Edge Location AWS Region DDoS への対処
- 44. 44 最近のDDoS 攻撃排除例 • Route53の34のエッジロケーションを標的としたDNS フラッド攻撃 • ピークボリュームは今までのDDoSのトップ4%に入る規模 (source: Arbor Networks) • 自動的に検知を行い、可用性に影響を与えることなく緩和 • 毎年数百件のアタックを鎮静化 May 6, 2015
- 45. 45 最近のDDoS 攻撃排除例 • Route53の34のエッジロケーションを標的としたDNS フラッド攻撃 • ピークボリュームは今までのDDoSのトップ4%に入る規模 (source: Arbor Networks) • 自動的に検知を行い、可用性に影響を与えることなく緩和 • 毎年数百件のアタックを鎮静化 May 6, 2015 Amazon Route 53 Response Time
- 46. 46 CroudFrontのセキュリティ機能 • セキュア配信 – HTTPS対応 (強制リダイレクト / HTTPSのみ許可） – SSL証明書 (デフォルト / 独自証明書 / SNI / Certification Manager) – オリジン暗号化通信 – GEOリストリクション (Whitelist / Blacklist) – オリジンカスタムヘッダー – 署名付きURL/Cookie (有効期間指定) – AWS WAF連携
- 47. 47 GEOリストリクション • 地域指定によるアクセス制御 – 接続されるクライアントの地域情報を元に、エッジでアクセス判定 – BlacklistもしくはWhitelistで指定可能 – Distribution全体に対して適用される – 制限されたアクセスには403を応答 CloudFront Edge 接続クライアントの 地域情報をもとに判定 クライアント GEO Restriction有効 オリジンサーバ 403
- 48. 48 署名付きURL/Cookie • オリジンサーバの保護 – オリジンがAmazon S3の場合、Origin Access Identity(OAI)を利用 • S3のBucketへのアクセスをCloudFrontからのみに制限 – カスタムオリジンの場合、下記の2種類が選択可能 • オリジンカスタムヘッダーを利用し、CloudFrontで指定された任意のヘッダーをオリジン側で チェック • オリジン側のアドレスを公開しないとともに、CloudFrontが利用するIPアドレスのみの許可させる – CloudFrontが利用するIPアドレスは下記URLから取得可能 https://ip-ranges.amazonaws.com/ip-ranges.json – JSONフォーマット » Serviceキーの“CLOUDFRONT”でフィルタすることで抽出可能 CloudFront Edge カスタムオリジンサーバ S3 クライアント OAI IP制限/ ヘッダ−制限 クライアント ダイレクト アクセス ヘッダー付与
- 49. 49 CloudFrontとAWS WAFの連携 • AWS WAFで定義したWeb ACLをCloudFront Distributionに適用 可能 – CloudFrontをサービスの前段に配置することでサイトの保護を実現 – AWS WAFでの制御 • IPアドレス制限 / SQLインジェクション / ヘッダー, クエリ等のStringマッチ – AWS WAFの内容が即時反映 – ブロック時は403(Forbidden)を応答 CloudFront Edge クライアント 不正なアクセスを ブロック オリジンサーバ 403
- 50. 50 Route53によるリソース保護 ーALIASリソースレコードセット • ALIASレコードとは – Route 53固有の仮想リソースレコード – DNSクエリに対して、以下のAWSサービスのエンドポイントのIPアドレス を直接返す(通常はCNAMEを利用) • 静的ウェブサイトとして設定されたS3バケット • CloudFront ディストリビューション • ELB • ホストゾーン内のリソースレコードセット (複雑なポリシーの作成で使用) • ALIASレコードを使うメリット – DNSクエリに対するレスポンスが高速 – Zone Apexが利用可能 – ALIASレコードに対するクエリが無料(S3, CloudFront, ELB) エイリアスリソースレコードセットと非エイリアスリソースレコードセットの選択 - Amazon Route 53 http://docs.aws.amazon.com/ja_jp/Route53/latest/DeveloperGuide/resource-record-sets-choosing-alias-non-alias.html
- 51. 51 Route53によるリソース保護ープライベートDNS • プライベートホストゾーンとは – VPCに閉じたプライベートネットワーク内のDNSドメインのレコードを管理するコンテナ • VPC内のDNSドメインに対して、どのようにトラフィックをルーティングするかを定義 – インターネットにリソースを公開せずに、名前解決が可能 – 1つのプライベートホストゾーンで、複数のVPCをサポート • 複数のVPCネットワークで、同じホストゾーンを利用可能 • 複数リージョンのVPCでも、同じホストゾーンを利用可能。ただしVPCが相互にアクセスできることが必要。 – パブリックホストゾーンと合わせて、スプリットビューが設定可能 • 制約・注意点 – Route 53 ヘルスチェックは利用できない – ALIASレコードは、ホストゾーン内のRoute 53リソースレコードセットのみサポート – プライベートホストゾーンを使用するには、以下のVPC 設定を trueに設定する必要がある • enableDnsHostnames • enableDnsSupport
- 52. 52 ウェブアプリケーションファイアウォール（WAF）とは？ • Web Application Firewall (WAF) は、HTTPトラフィックを フィルタなどの制御をするためのアプライアンスや、サーバプ ラグインなどのルールセットのこと。 • WAFは以下４つで提供されることが多い • Pure Play: スタンドアローンのアプライアンスやソフトウェア • CDN: Content Delivery Networkへのバンドル • Load Balancer: ロードバランサへのバンドル • Universal Threat Manager (UTM): 統合セキュリティ管理 （UTM）の一部として提供
- 53. 53 ウェブアプリケーションファイアウォール（WAF)の活用 • WAFは、Webサイトやアプリケーションが、攻撃されてダウン したりデータが流出したりすることがないように手助けをする • WAFの一般的なユースケース • SQL Injection (SQLi) 、Cross Site Scripting (XSS)対策 • Webクローラ、スクレイピング等のBOT対策 • DDoS緩和 (HTTP/HTTPS floods) • ガートナーのレポートによると、導入理由の25-30%はPCI- DSS対応のため • Magic_Quadrant_for_Web_Application_Firewalls.pdfによる
- 54. 54 WAFによるDDoSへのリソース保護 • HTTPレート制限 – 特定の期間にわたりエンドユーザーごとにサポートされる HTTP リクエストのしきい値を確立 – エンドユーザーがそのしきい値を超えると、WAF は新しいリクエ ストをブロックまたはバッファリングし、他のエンドユーザーがア プリケーションにアクセスできるように • HTTPリクエストの検査 – 通常のパターンに準拠しないものを識別 – Ex.文字制限を超えているログインを防止、全件検索を防止 – 応答がコンピュータでないことを確認するテスト（Completely Automated Public Turning test to tell Computers and Humans Apart (CAPTCHA) テスト）や IP 評価リストの実装
- 56. AWS WAF • Amazon CloudFrontとの併用 • クラウドベースの防御 • セルフサービス、簡単なデプロイ、 使った分だけのお支払い • オートスケール • DevOpsと相性がいい • “Do it yourself” AWS WAFとMarketplaceの併用について Marketplace WAFs • EC2インスタンス上で動作 • マネージドサービス、BYOL、1時間単 位など様々 • スケールさせるには別途設定、変更点、 特別作業等必要
- 57. 57 WAFサンドイッチ
- 58. 58 ターゲットはどこか？ 分類 ターゲット 狙い 代表的な攻 撃例 割合 主な対処 Application layer DDoS attacks アプリケー ション層 アプリケー ションリソー スを消費 HTTP GET Flood 15% WAFによるアプリ ケーションレイヤ 保護 State- exhaustion D DoS attacks トランス ポート層 FW、IPS、 ロードバラン サーなどのシ ステムリソー スを消費 SYN Flood 20% 有効なトラフィッ クのみの受付 （CloudFront、 ELB） Volumetric DDoS attacks ネットワー ク層 ネットワーク で処理が不可 能な大量のパ ケットを送信 UDP増幅攻 撃 65% 有効なトラフィッ クのみの受付 （CloudFront、 ELB）
- 61. 61 Amazon CloudWatchとは • AWSの各種リソースを監視するサービス – AWSリソースの死活、性能、ログ監視 (監視) – 取得メトリックスのグラフ化 (可視化) – 各メトリックスをベースとしたアラーム(通知)、アクションの設定が可能
- 62. 62 DDoS攻撃の推奨アラートメトリクス(1/2) サービス メトリクス 説明 Auto Scaling GroupMaxSize Auto Scaling グループの最大サイズ。 AWS の請求 EstimatedCharges AWS 使用量に対する予想請求額。 Amazon CloudFront Requests すべての HTTP/S リクエストに対するリクエスト数 Amazon CloudFront TotalErrorRate HTTP ステータスコードが 4xx または 5xx であるすべ てのリクエストの割合。 Amazon EC2 CPUUtilization 割り当てられた EC2 コンピュートユニットのうち、現 在使用されているものの比率。 Amazon EC2 NetworkIn すべてのネットワークインターフェースでの、このイン スタンスによって受信されたバイトの数。 Amazon EC2 StatusCheckFailed StatusCheckFailed_Instance と StatusCheckFailed_System の組み合わせで、どちら かのステータスチェックが失敗したら報告します。
- 63. 63 DDoS攻撃の推奨アラートメトリクス(2/2) サービス メトリクス 説明 ELB UnHealthyHostCount 各アベイラビリティーゾーンの異常なインスタン ス数。 ELB RequestCount 受信され、登録されたインスタンスにルーティン グされた、完了したリクエスト数。 ELB Latency リクエストがロードバランサーから送信され、応 答を受信するまでの経過時間（秒）。 ELB HTTPCode_ELB_4xx HTTPCode_ELB_5xx ロードバランサーで生成される HTTP 4XX または 5XX エラーコードの数。 ELB BackendConnectionErrors 成功しなかった接続の数。 ELB SpilloverCount キューがいっぱいなため、拒否されたリクエスト の数。 Amazon Route 53 HealthCheckStatus ヘルスチェックのエンドポイントのステータス。
- 64. 64 CloudWatch Metrics CloudWatch Logs Amazon Linux Ubuntu Windows Red Hat Enterprise Linux CloudWatch Logs CloudWatch Alarm SNS Log Agent Log Agent Log Agent Log Agent • サーバ、アプリケーションリソースの監視
- 65. 65 CloudWatch Logsを使ったログ監視 • デフォルトのメトリクスに加え、CloudWatch Logsを使っ てOS、アプリケーション等のテキストログをモニタリング • エージェント経由でログメッセージをCloudWatchエンドポ イントに転送 • 例えば・・・ • アプリケーションログの特定の文字列「NullReferenceException」をモニタリング • ログデータの特定の場所での任意の文字列（例: Apache アクセスログの「404」ス テータスコード）の発生数をカウント
- 67. 67 対応計画をたてよう 攻撃されているときに対応戦略を立てても、効果は期待で きません。 • アーキテクチャを検証し、インフラストラク チャにとって有効な手法を選択する。 • 弾力性を高めるためのコストを評価し、防御の 目標を理解する。 • 攻撃が発生したときの連絡先を明確にする
- 68. 68 攻撃と課金（コスト）の問題 • AWSのリソースによる吸収＝コストはかかる • コストに対する許容度は組織により異なる • コストと業務継続のバランス • 異常を判定し、あらかじめ対応を考える
- 69. 69 DDoSだけが“攻撃”とは限らない • DDoSに紛れて他の攻撃が行われている可能性も。 • アクセスコントロールとアラート、ログにより、 “何が起きているか”を判定 • サービスを“止める”決断も必要かも
- 72. 72 まとめ • 責任共有モデルに基づき、AWSとお客様それぞれが対策を 実施する必要があります。 • AWSの様々なサービスの組み合わせにより、DDoS対策を 実現することが可能です。 • 攻撃を分散、許容する対策と、リソースを攻撃から保護し、 正当なトラフィックを許容する対策を組み合わせましょう。 • 対策の費用対効果を考えた実装をしましょう。
- 73. 73 参考資料 • DDoSに対するAWSのベストプラクティス – http://media.amazonwebservices.com/jp/DDoS%20White%20 Paper_Revised.pdf • セキュリティプロセスの概要 – https://d0.awsstatic.com/International/ja_JP/Whitepapers/AW S%20Security%20Whitepaper.pdf • 「Amazon CloudFront から Edge Services へ 〜CDN を再定義する AWS の新たな取り組み〜」（AWS Summit Tokyo2015) – http://media.amazonwebservices.com/jp/summit2015/docs/T E-09-Tokyo-Summit-2015.pdf
- 74. 74 Q&A
- 75. 75 詳しくは、http://aws.amazon.com/training をご覧ください メリット • AWS について実習や実践練習を通じ て学習できる • AWS を熟知したエキスパートから直 接 AWS の機能について学び、疑問の 答えを得られる • 自信をもって IT ソリューションに関 する決定を下せるようになる 提供方法 e ラーニングや動画 セルフペースラボ クラスルーム トレーニング AWSトレーニングでは様々な学習方法をご提供しています
- 78. ご清聴ありがとうございました！