クラウドネイティブにセキュリティを活用する！...

クラウドネイティブにセキュリティを活用する！ API を連携して実装する方法トレンドマイクロ株式会社

セキュリティエキスパート本部プリセールスSE部

シニアエンジニア岩瀬由季

2 Copyright © 2016 Trend Micro Incorporated. All rights reserved.

AWSにおけるセキュリティ責任共有モデル

AWS グローバルインフラストラクチャ

リージョンアベイラビリティゾーンエッジロケーション

サーバストレージデータベースネットワーク

お客様システム

AWSの責任範囲

お客様の責任範囲

お客様責任範囲のセキュリティ対策をお手伝い

ログコンテンツ

オペレーティングシステムミドルウェアアプリケーション

ネットワーク


攻撃例とユーザの責任範囲

ユーザ責任範囲

AWS “クラウド基盤の保護”

SQLインジェクション

ICMPフラッド攻撃

サーバルームへの侵入

ARPスプーフィング攻撃

SYNフラッド攻撃

SSL関連攻撃（Poodle等）

アプリケーション層

プレゼンテーション層

セッション層

トランスポート層

ネットワーク層

データリンク層

物理層


プレゼンテーション層

セッション層

トランスポート層


データリンク層

物理層


Trend Micro Deep Security

サーバに必要なセキュリティ機能をAll in Oneで提供する、多層防御に対応したホスト型のセキュリティソフトウェアです。

セキュリティ機能内容

ファイアウォール攻撃を受ける機会を軽減します。

侵入防御（IDS/IPS）脆弱性を突いた攻撃からサーバを保護します。

セキュリティログ監視重要なセキュリティイベントを早期に発見します。

変更監視ファイルの改ざん等を早期に発見します。

不正プログラム対策ウイルス等の不正プログラムを検出します。

多層防御

EC2


脆弱性を自動で検出！運用が簡単なIDS/IPS セキュリティパッチを適用することなく、サーバの脆弱性を保護するホスト型のIDS/IPSルールです。


オペレーションシステム層


特徴１：システムへの影響は最小限 OSやアプリケーションのコード変更なし → 迅速に脆弱性からの保護が可能

特徴２：多種類のOS/APPの脆弱性に対応

サーバに存在する脆弱性を自動的に検出し、対応する最新のルールを自動的に配信 → 脆弱性管理工数の大幅削減が可能

例：Windows/Linux/Apache/OpenSSL/Adobe/PHP 等


Deep Security 侵入防御（IDS/IPS）

攻撃ツール

EC2のインスタンス攻撃者

脆弱性

CVE-2016-3081 CVE-2016-4117

脆弱性

必要な仮想パッチを自動適用仮想パッチによる防御脆弱性攻撃コード


AWS環境にFITする3つの理由

All-in-One セキュリティ

ホスト型

Auto Scaling対応


５つの機能で多層防御

ログ監視

ウイルス対策

変更監視

IDS/IPS

Firewall

Deep Security Agent

情報

未遂

多層防御


GW/ホスト型どっちがベスト？- GW型

GW IDS/IPS

Web Server

APP Server

S3 Bucket

Availability Zone

Web Servers

GW IDS/IPS

• スケールアウトを考慮した設計が必要 • 単一障害ポイントとなりうる • 障害への対策のためには・・・

インスタンス増 → 高コスト


GW/ホスト型どっちがベスト？- ホスト型

APP Server

S3 Bucket

Availability Zone

Web Server

Web Servers

• インスタンス増減の考慮は不要 • 障害時の対応もインスタンス単位 • 必要な時に必要な分のセキュリティ

→クラウド向きの考え方

AWSのセキュリティは[ホスト型]！

2016/6/2 11 Copyright © 2015 Trend Micro Incorporated. All rights reserved.

Amazon Management Consoleと連携しインスタンス情報をリアルタイムで共有セキュリティ対策済み・未対策が一目瞭然 Cloud Connecterで接続

Auto Scaling対応(1)

AWS Management

Console インスタンス情報が Deep Securityマネージャに同期される

Deep Security管理マネージャ

2016/6/2 12 Copyright © 2015 Trend Micro Incorporated. All rights reserved.

柔軟なリソースにどう対応するのか？

• 動的に増えるインスタンスを自動で保護

• 運用管理者が都度を設定する不必要

• 一時的な増加に関してはライセンス無料※１

Deep Security

管理マネージャ自動で保護

※１・・・ライセンス有効期間（1年）の中で、累計37日間(888時間）を無償で使用することができる

Web

Auto Scaling

Auto Scaling対応(2)

Web Web


AWS環境にFITする3つの理由

All-in-One セキュリティ

ホスト型

Auto Scaling対応

Copyright © 2016 Trend Micro Incorporated. All rights reserved. 14

github.com/deep-security

注意：GitHubのツール類はオープンソースで無償にてご提供しているものです。トレンドマイクロのサポートセンターにはお問い合わせいただけません。ツールについて、うまく動作しないなどのお困りごとがあった場合には、直接GitHubにコメントをしてください。


DevOps

Development 開発

Operations 運用


DevOps+Security → DevSecOps

Development 開発

Operations 運用

Security


Deep SecurityのDevSecOpsツール群

/cloudformation /elastic-beanstalk /chef /ansible

/ip-lists /aws-config-rules /aws-waf /amazon-inspector /deep-security-py Amazon SNS でのイベント通知


AWS CloudFormationとの連携


/cloudformation

Public subnet Public subnet

Deep Security Agent

Deep Security Agent

Deep Security Manager


/cloudformation

Public subnet Public subnet

Deep Security Agent

Deep Security Agent

Deep Security Manager

スクリプト実行で簡単インストール


AWS WAFとの連携


/aws-waf

AWS WAFとは？

– Webアプリケーションに対するトラフィックをフィルタし、AWS上で動作するWebアプリケーションを守るサービス

カスタムルールによるフィルタ

SQLインジェクション、 XSSなどのよくある攻撃への対策

モニタリング


Deep SecurityとAWS WAF

AWS WAF

Deep Security カバー範囲

監視対象レイヤー対策場所

CloudFront Edge Location

EC2 EC2

AWS WAF

AWS WAF

Deep Security

AWS カバー範囲


/aws-waf

AWS WAFとは？

– Webアプリケーションに対するトラフィックをフィルタし、AWS上で動作するWebアプリケーションを守るサービス

カスタムルールによるフィルタ

SQLインジェクション、 XSSなどのよくある攻撃への対策

モニタリング


deep-security/aws-waf

AWS WAFにSQLインジェクション・XSSのルールを作成し、自動的な保護を提供

Amazon CloudFront

AWS WAF

client Deep Securityで

保護されたinstance

Deep Security as a Service

SQLインジェクション用ルール

Elastic Load

Balancing

②AWS WAF の SQL Injection／XSS用ルールの作成＆適用


DEMO


Amazon Inspectorとの連携


/amazon-inspector

Amazon Inspectorとは？

–アプリケーションのセキュリティ診断ツール

–ビルトインのルールパッケージを選択可能 • Common Vulnerabilities & Exposures

• Center for Internet Security – Secure Configration Benchmarks

• Security Best Practices

• Runtime Behavior Analysis

診断後の対策は？ Deep Securityにお任せ！


/amazon-inspector

Amazon Inspectorのアセスメント結果に応じて、仮想パッチを自動適用

Deep Securityで保護されたinstance

Amazon Inspector


アセスメント結果 CVE-2015-7499 CVE-2014-8176 CVE-2014-9140 CVE-2015-5312 CVE-2015-8242

②脆弱性に対応する仮想パッチ(IPSルール)を適用

③攻撃をブロック


まとめ


まとめ

責任共有モデル

クラウドのセキュリティ

多層防御

ホスト型

柔軟な構成・課金

導入

運用

自動化

DevSecOps


参考：Deep Securityのライセンス • 機能毎に買える柔軟なライセンス

課金単位ライセンス名称初年度次年度以降

インスタンス数全機能（Deep Security Agent Enterprise）

¥213,000 ¥106,500

IPS/IDS, FW （Deep Security Agent Virtual Patch）

¥125,000 ¥62,500

変更監視、ログ監視（Deep Security Agent System Security）

¥107,000 ¥53,500

ウイルス対策のみ（Deep Security Agent ウイルス対策）

¥98,000 ¥49,000

EC2 EC2 ・・・全機能使っても、月々¥12,000/ サーバ

IPS/IDSだけなら、月々¥7,000/サーバ ※3年間お使いいただいた場合で算出しています。


今すぐ！Deep Securityをお試しする方法

管理サーバ不要のSaaSサービス 30日間無料トライアル中！


まずは無料のハンズオンに参加！

Deep Security on AWS

無償ハンズオントレーニング

毎月実施

日程：2016年6月14日（火）

時間：14:00~17:30

定員：40名

http://www.go-tm.jp/dshol

7月以降の開催日程はこちらの Webサイトでご確認ください

Elastic Load Balancing

Web APP

Web APP

Deep Security Agent

Deep Security Agent 監視・管理


(DSaaS)

トレンドマイクロのデータセンター

DSaaS 検索




Copyright 2015 Trend Micro Inc. 36

ブースにぜひお立ち寄りください！

①トレンドマイクロのセッション会場はこちら

②会場を出て左手の展示会場へ

展示会場

③トレンドマイクロのブースは展示会場

入ってすぐ!!

ご清聴ありがとうございました

注意：GitHubのツール類はオープンソースで無償にてご提供しているものです。トレンドマイクロのサポートセンターにはお問い合わせいただけません。ツールについて、うまく動作しないなどのお困りごとがあった場合には、直接GitHubにコメントをしてください。


Appendix


/aws-config-rules

• AWS Config Rulesとは？

– 予め設定した“準拠すべきルール”に沿った構成変更が行われているかを評価するサービス

すべてのEBSボリュームが暗号化されているか？

EC2インスタンスが適切にタグ付けされているか？等

AWS Managed Rules Customer Managed Rules

AWSにより定義・提供されるベーシックなルール

自分でAWS Lambdaをベースにルール作成可能


/aws-config-rules

すべてのEC2インスタンスで不正プログラム対策を有効にしていること

すべてのEC2インスタンスにセキュリティ対策製品が導入されていること

すべてのEC2インスタンスで決められたセキュリティポリシー設定が反映されていること

EC2インスタンスに導入されたセキュリティ対策製品でアラートが発令されていないこと

トレンドマイクロがGitHubで提供するカスタムルール


/aws-config-rules

Config Rulesを利用して、DSを利用しセキュリティを担保するポリシーを強制

企業がAWSの利用を社内展開する際の、コンプライアンス順守を支援することが可能


Amazon SNSでのイベント通知

Deep Securityで検出したセキュリティイベントをSNS Topicとして通知

Amazon SNSと連携することで、 json形式でのイベントアウトプットが可能

クラウドネイティブにセキュリティを活用する！...

Documents