security strategy by the cloud in aws / aws におけるセキュリティ対策の考え方

アマゾンウェブサービス株式会社セキュリティソリューションアーキテクト

桐山 隼人

Amazon Web Servicesにおけるセキュリティ対策の考え方

クラウドにおけるセキュリティの考え方

最適なセキュリティの獲得

AWSが提供するクラウドセキュリティ

セッションの内容

クラウドにおけるセキュリティの考え方

最適なセキュリティの獲得

AWSが提供するクラウドセキュリティ

ここからの内容

AWS Summit Tokyo 2016

100+ セッション

50+ ゲストスピーカー

13,000+ 名の来場者

変化に積極的になる

自分たちのビジネス市場を破壊しなければ、必ず他社があなたのビジネス市場を破壊してしまう

Eric Tucker, IT Chief Technology Officer, GE Global Research

『クラウドを前提』とした設計・物事の考え方がされるようになって来ています

いわゆる『ニューノーマル』な考え方です

この考え方が加速されて来ています

長崎忠雄, アマゾンウェブサービスジャパン社長

「所有」から「利用」へ

電力

計算力

自家発電装置 電力会社から購入

オンプレミスサーバー クラウドサービスプロバイダから購入

ITキャパシティ(オンプレミスの場合)

急成長やM&A 予測できないピーク

キャパシティ不足：機会損失

余剰キャパシティ余剰キャパシティ

急成長やM&A 予測できないピーク

IT余剰と不足からの解放

ITキャパシティ(クラウドの場合)

IT余剰からの解放

サイジングからの解放

クラウドの価値

改善

Improvement より早く、簡単に、安くできる

革新

Innovation 今までできなかったことができる

クラウドの価値

改善

Improvement より早く、簡単に、安くできる

革新

Innovation 今までできなかったことができる

破壊

Disruption 良しとされてきた価値を無にする「ノーマル」から「ニューノーマル」へ

今行っているセキュリティ対策は有効なのか？

どこまでセキュリティへ投資したら良いのか？

セキュリティの「ノーマル」な悩み

コスト最適なのか？

セキュリティROIは求められるのか？

Return

Investment

セキュリティ対策により防げた損失

純粋なセキュリティ投資

損失額が想定できない

本スライドは投影のみ

Return

セキュリティはビジネスを支えるファブリック(基本の骨組み)であり、

ITという生地の中に必然的に織り込まれている存在

Mark McLaughlinPresident & CEO, Palo Alto Networks

セキュリティ投資だけ取り出せないInvestment

セキュリティの考え方の「ニューノーマル」とは？

適応型セキュリティ

システムの要塞化・隔離

攻撃の抑制

問題の阻止

問題の検出

リスクの検証と優先付け

問題の抑制調査/フォレンジック

設計/モデル変更

回復・修復

定常状態の把握

攻撃の予測

事前のリスク分析

継続的監視と分析

Gartner’s Adaptive Security Architecture

予測 防御

検知対応

クラウドが適応型セキュリティを加速

改善

Improvementセキュリティビッグデータ、分析インテリジェンスが簡単に手に入る

革新

Innovation 全ての社内リソースが可視化される

破壊

Disruption セキュリティにゴールが無くなった

予測 防御

検知 対応

継続的監視と分析

「ROI」から「変化適応」へ「ノーマル」 「ニューノーマル」

考え方 投資対効果(ROI)を追求 変化への適応を追求

イメージ

0 1 2 3 4変化するセキュリティリスク

最適なセキュリティレベル

クラウドにおけるセキュリティの考え方

• 適応型セキュリティという「ニューノーマル」

最適なセキュリティの獲得

AWSが提供するクラウドセキュリティ

ここまでのまとめ

クラウドにおけるセキュリティの考え方

• 適応型セキュリティという「ニューノーマル」

最適なセキュリティの獲得

AWSが提供するクラウドセキュリティ

ここからの内容

セキュリティリスクから考える

セキュリティレベルに応じて、選択すべきセキュリティ管理策が推奨される

NIST SP800-53連邦政府情報システムにおける推奨セキュリティ管理策

セキュリティリスクの把握と実現する

セキュリティレベルを踏まえた目標と計画

経済産業省サイバーセキュリティ経営ガイドライン

http://www.meti.go.jp/press/2015/12/20151228002/20151228002-2.pdf

http://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-53r4.pdf

セキュリティリスクの方程式

脅威 脆弱性 情報資産Threats Vulnerabilities Assets

標的型攻撃マルウェアサイバー攻撃

セキュリティホール設定ミス心理的要素

機密情報個人情報知的財産

リスクは常に変化する

脅威 脆弱性 情報資産Threats Vulnerabilities Assets

企業ニュース社会イベント

風評

資産投資組織拡大・変更人材獲得・配置

ビジネス成長業態拡大・変更アセット拡充

セキュリティレベルを適応させる

変化するセキュリティリスク

最適なセキュリティレベル

変化適応度に応じたセキュリティの種類分け

固定的なセキュリティ

企業毎の構成・設定によるセキュリティ

利用者毎・状況毎の

セキュリティ

施設

サーバー

ネットワーク

暗号化

脆弱性管理

ファイヤウォール

ユーザー認証

セキュリティ診断

インシデント・レスポンス

変化適応度

高

中

低

種類 具体例

設備

ストレージ

ハイパーバイザー

ログ管理

アンチマルウェア

IPS/IDS

アクセス制御

セキュリティ監査

フォレンジック

電力需要

0 6 12 18 24(時)

原子力発電

火力発電

(揚水式)水力発電

出典：「原子力・エネルギー」図面集2015 1-2-11の図を説明のために改変

[参考] 需要の変化に対応した電力の組み合わせ

電力需要

0 6 12 18 24(時)

原子力発電

火力発電

(揚水式)水力発電

出典：「原子力・エネルギー」図面集2015 1-2-11の図を説明のために改変

[参考] 変化適応とコスト最適なベストミックス変化適応度

高

中

低

コスト

高

中

低

セキュリティ・ベストミックスセキュリティレベル

固定的なセキュリティ

変化適応度

高

中

低

コスト

高

中

低

企業毎の構成・設定によるセキュリティ

利用者毎・状況毎のセキュリティ

クラウドにおけるセキュリティの考え方

• 適応型セキュリティという「ニューノーマル」

最適なセキュリティの獲得

• 変化適応度に基づくセキュリティ・ベストミックス

AWSが提供するクラウドセキュリティ

ここまでのまとめ

クラウドにおけるセキュリティの考え方

• 適応型セキュリティという「ニューノーマル」

最適なセキュリティの獲得

• 変化適応度に基づくセキュリティ・ベストミックス

AWSが提供するクラウドセキュリティ

ここからの内容

AWS責任共有モデル

固定的なセキュリティ

企業毎の構成・設定によるセキュリティ

利用者毎・状況毎の

セキュリティ

AWSがクラウド自体のセキュリティを統制

お客様がクラウドにおける顧客情報資産の

セキュリティを統制

AWS責任共有モデル

AWSがクラウド自体のセキュリティを統制

お客様がクラウドにおける顧客情報資産の

セキュリティを統制企業毎の

構成・設定によるセキュリティ

利用者毎・状況毎の

セキュリティ

固定的なセキュリティ

リージョン

US-WEST (N. California)EU-WEST (Ireland)

ASIA PAC (Tokyo)

ASIA PAC (Singapore)

US-WEST (Oregon)

SOUTH AMERICA (Sao Paulo)

US-EAST (Virginia)

GOV CLOUD

ASIA PAC (Sydney)

シンガポール

シドニー

東京

アイルランド

サンパウロ

北カリフォルニア

オレゴン

バージニア

Gov Cloud フランクフルト

EU-CENTRAL (Frankfurt)

北京

Note: 上記図はコンセプト図です。リージョンやアベイラビリィゾーンは増える可能性があります。詳細はhttp://aws.amazon.com/jp/about-aws/globalinfrastructure/ をご覧ください

ASIA PAC (Seoul)

ソウル

Beijing

AWS グローバルインフラストラクチャー

アベイラビリティゾーン

アベイラビリティ・ゾーンによる可用性US-WEST (N. California) EU-WEST (Ireland)

ASIA PAC (Tokyo)

ASIA PAC (Singapore)

US-WEST (Oregon)

SOUTH AMERICA (Sao Paulo)

US-EAST (Virginia)

GOV CLOUD

ASIA PAC (Sydney)

EU-CENTRAL (Frankfurt)

Note: 上記図はコンセプト図です。リージョンやアベイラビリィゾーンは増える可能性があります。詳細はhttp://aws.amazon.com/jp/about-aws/globalinfrastructure/ をご覧ください

ASIA PAC (Seoul)

Beijing

データセンターレベルの障害対策

EU (Ireland)

AvailabilityZone A

AvailabilityZone C

AvailabilityZone B

Asia Pacific (Tokyo)

AvailabilityZone A

AvailabilityZone B

US West (Oregon)

AvailabilityZone A

AvailabilityZone B

US West(Northern California)

AvailabilityZone A

AvailabilityZone B

Asia Pacific (Singapore)

AvailabilityZone A

AvailabilityZone B

Asia Pacific (Sidney)

AvailabilityZone A

AvailabilityZone B

South America (Sao Paulo)

AvailabilityZone A

AvailabilityZone B

US East (Northern Virginia)

AvailabilityZone D

AvailabilityZone C

AvailabilityZone B

AvailabilityZone A

EU (Frankfurt)

AvailabilityZone A

AvailabilityZone B

Note: 上記図はコンセプト図です。リージョンやアベイラビリィゾーンは増える可能性があります。詳細はhttp://aws.amazon.com/jp/about-aws/globalinfrastructure/ をご覧ください

AvailabilityZone B

Asia Pacific (Seoul)

AvailabilityZone A

AvailabilityZone B

Beijing

AvailabilityZone A

AvailabilityZone B

US Gov Cloud

AvailabilityZone A

AvailabilityZone B

複数DC設置におけるAWSのポリシー• 物理的に離れたデータセンター群• 洪水を考慮• 地盤が安定している場所• 無停止電源(UPS)、バックアップ電源、異なる電源供給元• 冗長化されたTier-1ネットワーク

• 場所の秘匿性

• 監視カメラや侵入検知システム

24時間常駐の専門の保安要員による

物理アクセスの厳密なコントロール

• 2要素認証を2回以上で管理者がアクセス

• 全てのアクセスは記録され、監査対象となる

データセンターの物理セキュリティ

AWSコンプライアンス http://aws.amazon.com/jp/compliance/リスクとコンプライアンスホワイトペーパー http://d0.awsstatic.com/whitepapers/International/jp/AWS_Risk_Compliance_Whitepaper_Aug_2015.pdf

• Distributed Denial of Service (DDoS)対策

• 中間者攻撃対策、IPなりすまし対策

• パケットの盗聴対策– プロミスキャスモードは不許可– ハイパーバイザ―レベルで防御

• 許可されていないポートスキャニング対策– AWSサービス利用規約違反に該当– 検出され、停止され、ブロックされる

ネットワークセキュリティ

AWSコンプライアンス http://aws.amazon.com/jp/compliance/リスクとコンプライアンスホワイトペーパー http://d0.awsstatic.com/whitepapers/International/jp/AWS_Risk_Compliance_Whitepaper_Aug_2015.pdf

• ハイパーバイザー（ホストOS）

– 承認を受けたAWS管理者の拠点ホストからの個別のログイン

– 多要素認証の利用

– 全てのアクセスをロギングし監査

– 作業完了後システムへの特権とアクセス権の削除

• ゲストOS（EC2インスタンス）

– お客様による完全なコントロール

– 顧客が生成したキーペアを使用

論理的なセキュリティ

AWSコンプライアンス http://aws.amazon.com/jp/compliance/リスクとコンプライアンスホワイトペーパー http://d0.awsstatic.com/whitepapers/International/jp/AWS_Risk_Compliance_Whitepaper_Aug_2015.pdf

• 従業員の雇用

• 適用法令が認める範囲での犯罪歴の確認

• アクセス権を付与前に機密保持契約書に署名

• 利用規定、Amazon業務行動倫理規定への同意

従業員・アカウントの管理

• アカウント管理

• 最小権限の適用。最小権限を越えるアクセスには適切な認証。

• 少なくとも四半期ごとのアカウントの確認

• 90日間アクティビティがないアカウントの自動的無効化

• 人事システムから削除されると、アクセス権も自動的に削除

AWSコンプライアンス http://aws.amazon.com/jp/compliance/リスクとコンプライアンスホワイトペーパー http://d0.awsstatic.com/whitepapers/International/jp/AWS_Risk_Compliance_Whitepaper_Aug_2015.pdf

• データの所有権と管理権はお客様に。

• データとサーバーを配置する物理的なリージョンはお客様が指定。

• 法令や規制当局による命令を遵守するために必要な場合を除き、お客様のコンテンツをリージョンから移動または開示することはない。

• そうすることが禁止されている場合、または違法行為の存在を明確に示すものがある場合を除き、お客様のコンテンツの開示に先立ってお客様に通知。

• AWSのほぼすべてのサービスについて、お客様が独自の暗号化メカニズムを使用することが可能

データセキュリティ

AWS データプライバシーのよくある質問 http://aws.amazon.com/jp/compliance/data-privacy-faq/リスクとコンプライアンスホワイトペーパー http://d0.awsstatic.com/whitepapers/International/jp/AWS_Risk_Compliance_Whitepaper_Aug_2015.pdf

ストレージの廃棄プロセス

• 顧客データが権限のない人々に流出しないようにするストレージ廃棄プロセスを保持

• DoD 5220.22-M（国立産業セキュリティプログラム作業マニュアル）

• NIST 800-88（メディア衛生のための ガイドライン）

AWSコンプライアンス http://aws.amazon.com/jp/compliance/リスクとコンプライアンスホワイトペーパー http://d0.awsstatic.com/whitepapers/International/jp/AWS_Risk_Compliance_Whitepaper_Aug_2015.pdf

AWSは主要な規制/標準/ベストプラクティスに準拠

AWSコンプライアンス http://aws.amazon.com/jp/compliance/

クラウドにおけるセキュリティの考え方

• 適応型セキュリティという「ニューノーマル」

最適なセキュリティの獲得

• 変化適応度に基づくセキュリティ・ベストミックス

AWSが提供するクラウドセキュリティ

• 高レベル・低コストの固定的なセキュリティ

ここまでのまとめ

クラウドにおけるセキュリティの考え方

• 適応型セキュリティという「ニューノーマル」

最適なセキュリティの獲得

• 変化適応度に基づくセキュリティ・ベストミックス

AWSが提供するクラウドセキュリティ

• 高レベル・低コストの固定的なセキュリティ

セッションのまとめ

この後のセッション

固定的なセキュリティ

企業毎の構成・設定によるセキュリティ

利用者毎・状況毎の

セキュリティ

セッション1AWSにおけるセキュリティ対策の考え方

桐山隼人

セッション2

AWS におけるグローバルでのセキュリティケーススタディ

Hart Rossman, Eugene Yu

セッション3

AWS のサービスを利用したセキュリティ対策の実装について

高田智己