devsecops時代のcloud security awsとトレンドマイクロでどう … ·...

姜貴日（かんきいり）トレンドマイクロ株式会社

セキュリティエキスパート本部パートナービジネスSE 部

シニアセールスエンジニア

桐山隼人アマゾンウェブサービスジャパン株式会

技術統括本部レディネスソリューション本部

シニアセキュリティソリューションアーキテクト

DevSecOps時代のCloud Security！

AWSとトレンドマイクロでどう実現するのか？

Agenda

１．DevSecOpsとは？

２．AWSで実現するDevSecOps

３．トレンドマイクロで補完するDevSecOps

４．AWS FinTechリファレンスアーキテクチャ日本語版

トレンドマイクロ拡張版のご紹介

５．まとめ

自己紹介 – 姜貴日（かんきいり）

トレンドマイクロ株式会社パートナービジネスSE本部

シニアセールスエンジニア

主にクラウドと「Deep Security」をベースとした

提案・導入支援・啓蒙活動などを行う

TrendMicroDirection 2017 AWS Summit Tokyo 2017 Security re:Cap 2017 VMware vExpert 2015 - 2018

自己紹介 – 桐山隼人

外資系IT会社の開発研究所にて開発エンジニア、セキュリティベンダーにて技術営業の後、現職。

CISSP, CISA, ITIL, PMP, MBA, セキュリティ関連特許多数。顧客支援に加えて、クラウドセキュリティに関するセミナー登壇・記事寄稿など行う @hkiriyam1

RSA Conference 2017 APJ「Cloud Security Strategy」Session Speaker

AWS Startup Security Talks「セキュリティ意識が低いCEOはあり得ない」(ITpro)

AWS Summit Tokyo 2017「AWSで実現するセキュリティ・オートメーション」(マイナビニュース)

「IoTビジネスとセキュリティを3段階と4要素で理解する」寄稿

１．DevSecOpsとは？

DevOps モデル

開発者顧客

releasetestbuild

plan monitor

デリバリーパイプライン

フィードバックループ

Security

DevOpsとは、顧客との相互やりとりを素早く効率的に行うソフトウェア開発運用の在り方

DevOps モデルの導入に必要なもの

組織文化Culture

手法Practices

ツールTools

3つの要素が全て揃うことでDevOpsの導入が現実に

DevOps の組織文化 (Culture)

DevOps組織は全体のライフサイクルに責任を持つ

サイロ化されていた開発と運用のチーム間障壁の除去

開発者の生産性と運用者の信頼性を共に最適化

頻繁なコミュニケーションで顧客に提供するサービス品質を向上

DevOps の手法 (Practices)

継続的インテグレーション継続的デリバリーマイクロサービス

コードとしてのインフラストラクチャ

モニタリングとロギングコミュニケーションと

共同作業

素早く効率的に顧客にサービスを届けるための6つの手法

DevOps のツール (Tools) 1

継続的インテグレーション/継続的デリバリー(CI/CD) マイクロサービス

DevOpsの手法を適切に実行するためのツール群

AWS CodePipelineソフトウェアリリースのワークフロー

AWS CodeBuildコードのビルドとテスト

AWS CodeDeployデプロイ自動化

AWS CodeStar

統合CI/CDプロジェクト

AWS CodeCommitバージョン管理

Amazon Elastic Container ServiceDockerプラットフォーム運用

AWS Lambdaサーバーレスコンピューティング

DevOps のツール (Tools) 2

コードとしてのインフラストラクチャモニタリングとロギング

DevOpsの手法を適切に実行するためのツール群

AWS CloudFormationテンプレートによるプロビジョニング

AWS Systems Manager

設定管理

AWS Configコードとしてのポリシー

Amazon CloudWatchクラウドのモニタリング

AWS CloudTrailAPI使用状況の追跡

AWS X-Ray分散アプリケーションの分析とデバッグ

DevSecOps の実現に向けて

DEV OPS

ビジネス目標達成のライフサイクルにセキュリティを組み込む

どの段階にどのようなセキュリティをどう適用すべきか？

DevSecOps ライフサイクルのセキュリティ脅威モデリング

コードレビュー

静的コード解析

クレデンシャル漏えい防止

ビルドサーバー保護

成果物検証

コンプライアンス検証

脆弱性診断構成管理

セキュリティポリシー検証

不正侵入検知

監査ログ取得

インシデントレスポンス

監査検証

リソース保護

DEV OPS

２．AWSで実現するDevSecOps

DevSecOps を実現する AWS サービス

AWS CodeCommit

AWS CodeBuild

AWS CodeDeploy

AWS CodePipeline

AWSConfig

AWSCloudFormation

AWSCloudTrail

Amazon Macie

AWSLambda

Amazon CloudWatch

Amazon GuardDuty

AWS CodeStar

AWSSystems Manager

Amazon ECS

DEV OPS

Amazon Inspector

1. CI/CD パイプライン

CodePipeline開発運用チーム S3

Push/Pull

https://aws.amazon.com/jp/blogs/devops/implementing-devsecops-using-aws-codepipeline/

パイプライン管理とセキュリティチェック DEV OPS

CodePipeline

ソース段階

静的コード解析Lambda 関数

開発運用チーム S3

Push/Pull

CodePipeline

ソース段階テスト段階

スタック妥当性検証

Lambda 関数

スタックの作成

スタックの削除

Push/Pull

CodePipeline

ソース段階テスト段階本番段階

スタック妥当性検証

Lambda 関数

スタックの作成

スタックの削除

変更セットの作成

変更セットの実行

Push/Pull

2. デプロイ時の自動構成

セキュリティ評価とソフトウェア更新

https://aws.amazon.com/jp/blogs/security/how-to-remediate-amazon-inspector-security-findings-automatically/

AWS CodeDeploy

デプロイ

開発運用チーム

DEV OPS

AWS CodeDeploy

Amazon Inspector

Amazon CloudWatch Event

デプロイ

通知トリガー

脆弱性診断

一部に脆弱性発見

DEV OPS

AWS CodeDeploy

Amazon Inspector

AmazonSNS Topic

AWS Systems ManagerRun Command

デプロイ

通知トリガー通知トリガー

脆弱性診断アップデート実行

一部に脆弱性発見

>aws ssm send-command--instance-ids “xxxxxxxx”-–parameters

‘{“commands”:[“yum update”]}’

DEV OPS

AWS CodeDeploy

Amazon Inspector

AmazonSNS Topic

AWS Systems ManagerRun Command

デプロイ

通知トリガー通知トリガー

脆弱性診断アップデート実行

パッチ適用完了

>aws ssm send-command--instance-ids “xxxxxxxx”-–parameters

‘{“commands”:[“yum update”]}’

AWS Systems ManagerInventory

データ定期収集

DEV OPS

3. ワークロード監視と評価

脅威検知とセキュリティ設計

AmazonGuardDuty

GuardDutyによるFindings

運用時の脅威監視

1. 悪意のあるスキャン例) 総当たり攻撃・ポートスキャン

2. インスタンスへの脅威例) C&Cサーバーとの通信

3. アカウントへの脅威例) 不正なAPI呼び出し

DEV OPS

AmazonGuardDuty

開発時のセキュリティ設計への反映

評価と計画運用時の脅威監視

DEV OPS

AmazonGuardDuty

開発時のセキュリティ設計への反映

AWS WAF

AWSCloudFormation

評価と計画運用時の脅威監視

1. ネットワーク保護

2. インフラ再構成

3. クレデンシャル管理

DEV OPS

３．トレンドマイクロで補完するDevSecOps

AWS×セキュリティ｢責任共有モデル｣

クラウドのセキュリティに対する責任

SECURITY ‘OF’THE CLOUD

お客様

クラウド内のセキュリティに

対する責任SECURITY ‘IN’THE CLOUD

お客様のデータ

プラットフォーム、アプリケーション、IDとアクセス管理

オペレーティングシステム、ネットワークとファイアウォール構成

クライアント側データ暗号化

とデータ整合性認証

サーバー側暗号化(ファイルシステムやデータ)

ネットワークトラフィック保護

(暗号化、整合性、アイデンティティ)

ハードウェア/AWSグローバルインフラストラクチャー

ソフトウェア

リージョンアベイラビリティ

ゾーンエッジロケーション

コンピュートストレージデータベースネットワーキング

https://aws.amazon.com/jp/compliance/shared-responsibility-model/

AWSの機能･サービスで完結する？

ファイアウォールユーザー認証

セキュリティ診断アクセス制御

データ暗号化

施設

サーバネットワーク

法規制対応物理冗長性

ストレージ

ハイパーバイザー

IAM Amazon Inspector

AWS KMS AWS WAF AWSConfig

AWS Direct Connect

Amazon VPC

security group

Amazon CloudFront

セキュリティ診断

インシデント・レスポンス

アンチマルウェア IPS/IDS,WAF

フォレンジック

snapshot

AWS Trusted Advisor

AWS Shield

<AWSが責任を持つ範囲>

<AWSの機能でセキュリティを保てる範囲>

AWSが対策を実施している範囲

AWSのセキュリティ機能を使って対策する範囲

AWS以外のサービスを

利用する範囲

＜AWS以外のサービスを利用する範囲＞

Trend Micro Deep Securityとは

Deep Security Manager

Deep SecurityAgent

物理環境仮想環境

Deep SecurityVirtual appliance

クラウド環境

Deep SecurityAgent

サーバを多層防御する総合サーバセキュリティ対策製品

パブリッククラウド

ハイブリッド環境

物理サーバ

コンテナ

仮想サーバ

製品コンセプト: 進化する環境を保護する101010

Serverless

DevOps環境でのSecurityツールの考え方

全体

• DevOpsチェーンへのSecurityツールの親和性– セキュリティがDevOpsの促進を妨げてはいけない。

• コードの信頼性

• コンプライアンスの検討

• アプリケーションの信頼性

• モニタリング、ログ分析

• アクションの自動化

DevOps環境でのDeep Security

ユースケース１

CI/CD Pipelineへの実装

data center AWSAWS

既存の CI/CD Pipelineを邪魔しないSecurity実装

Commit Trigger

Deploy Application

CodeBuild

Code Build Test DeployPlan Configure Monitor

CodeCommit

CodePipeline

Developer

data center AWSAWS

Developer

Commit Trigger

Deploy Application

CodeBuild

Security Product

CodeCommit

CodePipeline

data center AWSAWS

Developer

Commit Trigger

Deploy Application

Maintenance Mode ONMaintenance Mode OFF

CodeCommit

CodePipeline

全体

• DevOpsチェーンへのSecurityツールの親和性– セキュリティがDevOpsの促進を妨げてはいけない。

• コードの信頼性

• コンプライアンスの検討

• アプリケーションの信頼性

• モニタリング、ログ分析

• アクションの自動化

Ops DEV OPS

DevOps環境でのDeep Security

ユースケース2

Container環境へのセキュリティ対策

Pipeline View of Building Container Services

CodeCommit

CodeBuild

Amazon ECR containers

Amazon ECS

Dockerfile

1. Commit 2. Start CI 3. Build / Test 4. Push Image

5. Run Deploy

6. Deploy

Container

CodePipeline

Vulnerability Image on Docker Hub

https://blog.acolyer.org/2017/04/03/a-study-of-security-vulnerabilities-on-docker-hub

Example of Supply Chain Attacks

https://www.theregister.co.uk/2017/09/15/pretend_python_packages_prey_on_poor_typing/https://arstechnica.com/information-technology/2017/09/backdoor-malware-planted-in-legitimate-software-updates-to-ccleaner/

pip install reqeusts (requests)pip install urlib3 (urllib3)pip install crypt (crypto)

Pipeline View

CodeCommit

CodeBuild

Amazon

containers

Amazon ECS6. Run Deploy

7. Deploy

Container

6. No! Reject Deploy5. Check Image

Deep Security Smart Check

Pipeline View of Building Container Services

Smart Checkついての詳細は「aws@trendmicro.co.jp」へご連絡ください

CodePipeline

４．AWS FinTechリファレンスアーキテクチャ日本語版

トレンドマイクロ拡張版のご紹介

AWS FinTechリファレンスアーキテクチャ概要

FISC関連基準PCI DSS

ISO 27001

要求事項を整理、検討

要求事項を機能で実装

AWS FinTech リファレンス・テンプレート日本版

AWS FinTech リファレンス・ガイド日本版

新サービスの追加や新しいガイドライン発行などに合わせて、継続して更新、対応予定

AWS FinTechリファレンスアーキテクチャ構成

FinTechリファレンスアーキテクチャ

FinTechリファレンスガイド FinTechリファレンステンプレート

検討事項と対応内容のマッピング表

構成図AWS CloudFormation

テンプレート

AWS Tag

FRA_WebServer

AWS Tag

FRA_AppServerAWS Lambda

AmazonCloudWatch

AWSCloudFormation

② 定期実行されるAWSLambda Function が「FRA_***」のAWS Tagが付与されているインスタンスを検査

③もしDeep Security がインストールされていない場合はAWSLambdaにてインストールを実施（Auto Scalingにも対応）

④Deep Security にて常に保護されている状態を提供

（プロセスが故意に落とされた場合にも対応）

Run Command

①AWS CloudFormationにてDeep Security拡張版テンプレートを展開

ガイドの項番22、24に該当

これらのテンプレートはフリーツール扱いとなります。ご提供については「aws@trendmicro.co.jp」へご連絡ください

Deep Securityで守られている状態を常に提供

②感染したインスタンスを自動隔離、自動復旧

自動化ソリューション①Amazon SNS, AWS Lambda, Auto Scaling

① Deep Securityが「ウイルス対策」で感染を検知し、Managerにイベントがあがる

② 検出したイベントをManagerからSNSへ通知

③ SNSからLambdaを実行

④ Lambdaが感染したインスタンスを隔離

⑤ インスタンスが隔離される

⑥ インスタンスが減ったことでAuto Scalingが発動

ガイドの項番30、31に該当

自動化ソリューション②AWS WAF, Amazon SNS, AWS Lambda

3.RunLambda

Lambda

① Deep Securityが「IPS/IDS」で攻撃を検知

② 検出したイベントをManagerへ通知

③ ManagerからSNSへ通知

④ SNSからLambdaを実行

⑤ LambdaがSNS通知に含まれる送信元情報「x-forwarded-for」のIPをAWS WAFのIPブロックリストへ反映する

⑥ 以降の攻撃はAWS WAFにてブロック一定時間が経過すると、ブロックリストのIPアドレスは自動削除される

①AWS WAFを使った攻撃元の自動遮断

ガイドの項番11、12、54に該当

DevSecOps に欠かせない自動化

1. 価値実現の早さ

2. 品質改善・コスト低減

3. 測定・可視化・分析AWSとトレンドマイクロが考えるセキュリティオートメーションの真価http://ascii.jp/elem/000/001/548/1548391/

何のための自動化か？なぜ自動化が重要なのか？

NRIはなぜセキュリティオートメーションを自ら試すのか？http://weekly.ascii.jp/elem/000/000/414/414977/

まとめ

DevSecOps実現にAWSを選ぶ理由

DevOps環境にDeep Securityを選ぶ理由

1. AWSとの親和性が強い製品（クラウドの利点を損なわない）

2. DevOpsの考えを考慮した製品設計

3. 市場の変化と共に進化していく製品

Drive Your DevSecOps with Deep Security & AWS!!

1. まずは、組織文化＋手法＋ツールの3要素が重要

2. ツールが揃っているのでDevOpsライフサイクルを即実行可能

3. セキュリティサービスを組み合わせる事でDevSecOpsも容易に実現

Thank you!!

devsecops時代のcloud security awsとトレンドマイクロでどう … ·...

Documents

サーバ・クライアントシステム & x window...

devsecops - crikeycon 2017

トレンドマイクロ株式会社 - trend...

implementando devsecops en una aplicaciÓn del …

devsecops как гармоничный путь...

『クラウド時代のサーバネットワーク』...

white paper サーバ管理者必見！...

prove for php - yohgaki's blog · prove for...

twisted ロングポーリングチャットサーバ

トレンドマイクロ認証業務運用規程 ·...

wrc-1750gst2 -...

devsecops: implementación de seguridad en devops a través

dell emc poweredge r640 ラックサーバ...dell emc...

cisco ios dhcp...

devsecops on aws - policy in code · 2017. 10. 11. ·...

今さら聞けないip アドレスとドメイン名...

오픈소스로 만나보는 devsecops · 삼성...

trend micro serverprotect™...trend micro...

働くサーバ～ www サーバ編～

サーバ・クライアントシステムと x window...