AWS re:Invent フィードバック - 攻撃傾向と企業が取るべき セキュリティ施策...
-
Upload
kazumasa-ohashi -
Category
Technology
-
view
1.163 -
download
1
Transcript of AWS re:Invent フィードバック - 攻撃傾向と企業が取るべき セキュリティ施策...
1 © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved.
攻撃傾向と企業が取るべき セキュリティ施策
in Las Vegas
三井物産セキュアディレクション株式会社
2 © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. 2
ホテルのルームキーです
3 © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. 3
Alert Logicはre:Invent 2016の プラチナスポンサーです。
4 © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. 4
会社名 :Alert Logic, Inc. (2002年設立) 拠点 :アメリカ・イギリス 従業員 :613名 監視実績 :約4,000社
Alert Logic 会社概要
アメリカ イギリス 【本社】 ヒューストン カーディフ 【SOC】 ヒューストン カーディフ 【オフィス】 シアトル ギルフォード
5 © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. 5
re:Inventブースに行ってみました
100以上の企業が出展しており、各企業説明とともにアメニティを配布しています。
6 © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. 6
Alert Logicの場合
常時10名程のAlert Logicメンバーがお客様への説明をしていました。 我々もJapanブースツアーを企画し、ブースメンバーとして説明を行いました。
7 © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. 7
Alert Logicでは、THREATWARS T-シャツを配りました。
様々なアメニティがあります
8 © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. 8
Pub Crawl at TAO
TAO Night ClubにてPub Crawlが行われました。 Pub Crawlではお酒を飲みながらユーザー同士の交流が行われました。
10 © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. 10
AWS Shield発表
AWS Shieldが発表されたことで、全てのユーザーがDDoS対策をデフォルトで 利用できるようになりました。 Breakout Sessionでは、セキュリティ効率化のためのAutomation実装など、AWS の機能を利用したセキュリティ運用の事例が散見されました。
11 © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. 11
機能は増えてきたものの、そもそも セキュリティって何をすればよいのか
12 © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. 12
13 © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. 13
昨今の攻撃傾向と攻撃内容から 適切なセキュリティ対策を考えます。
14 © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. 14
Verizon発行のData Breach Investigations Reportにおいても、Webアプリケー ションに対する攻撃が昨年に比べ急増していることが記述されています。
海外のセキュリティ脅威の状況
2015 2016
15 © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. 15
日本のセキュリティ脅威の状況
独立行政法人情報処理推進機構 情報セキュリティ10大脅威 2016 総合順位より https://www.ipa.go.jp/security/vuln/10threats2016.html
本表は独立行政法人情報処理推進機構(IPA)が 情報セキュリティ分野の研究者、企業の実務担当者などにより構成される「10大脅威選考会」の審議・投票により選ばれた 社会的影響が大きかったセキュリティ上の脅威をまとめたレポートから、2015年において社会的影響が大きかったセキュリティ上の脅威について順位付けした1位から10位までの表を抜粋したものです。 ■マルウェア感染 1位から3位には、PCがマルウェアに感染し、 ・攻撃者により情報を搾取される ・攻撃により金銭を搾取される といったものが挙げられています。 ■公開サーバへの攻撃 4位から6位には公開ウェブサイトに対する攻撃により ・ウェブサイトやウェブサイトからアクセス可能な システムに存在する個人情報等を搾取される ・サイトを改ざんされ、ウェブサイトを閲覧したユーザが マルウェアに感染させられる といったものが挙げられています。
16 © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. 16
代表的な攻撃として下記のようなものが考えられます。
• SQLインジェクション
• バッファオーバーフロー
• クロスサイトスクリプティング
• ブルートフォース
• OSコマンドインジェクション
etc…
ユーザーに迫る攻撃例
17 © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. 17
• アプリケーション開発時の考慮
• コーディング時にセキュリティを考慮した開発を行う。
• 定期的なアプリケーション脆弱性診断
• 脆弱性診断を実施/対処を実施することでセキュアなシステムを維持。
• アクセスの分離、2要素認証
• ネットワーク通信:ELB、ACL、セキュリティグループ
• ユーザー:IAMロールによるアカウント制限、rootユーザーへのMFA
• ログの収集
• 不審なアクティビティの検知。
• インシデント調査。
事前対策
18 © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. 18
ログの収集
• 攻撃を受ける前に、通常のログの出力パターンを把握する。
• ログは不変であること。
- 自身の環境外に保存し、攻撃者による削除/改変ができないこと。
• 以下の状態とすること
- Easily accessible
- Searchable
- Cloud aware
- Continuously monitored
AWS CloudTrail
AWS Config
System & App logs
Network Telemetry
ログを収集することで、通常と異なるアクティビティの検知、あるいは実際に インシデントが発生した後の調査に利用することが可能です。
19 © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. 19
ログのパターン例
AWS CloudTrail
20 © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. 20
本講演では触れていませんが、前述したような事前の対策のみならず、インシデン トが発生した時にいち早く検知できるよう対策を講じることで、セキュリティ運用を 最適化することができます。
セキュリティ運用に必要なフェーズ
Compartmentalization
(firewalls (layer-3, layer-7), filtering, separate credentials)
Sensors and Instrumentation (network traffic, user/behavioral… see it, escalate it)
Evidentiary chain-of-custody
logs, daily review
Extra Cloud
Countermeasures Extra Layer
Layer 3
Layer 2
Layer 1
Security Group IAM
IDS WAF Vulnerability Scan
CloudTrail SIEM
21 © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. 21
Alert Logicによるセキュリティ運用負荷低減
22 © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. 22
AWSセキュリティ監視サービス
お客様環境にセンサーを設置し、イベント情報の収集、脅威インテリジェンスを利 用したビッグデータ解析、セキュリティアナリストのさらなる詳細解析、攻撃内容と 対処方法の通知までの一連のセキュリティ運用を24/365でご提供致します。
23 © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. 23
導入メリット
セキュリティテクノロジーと監視サービスを最低利用期間3か月の月額課金から 利用可能。セキュリティ運用に課題を抱えていたお客様に、AWSの利用形態にマ ッチしたセキュリティソリューションをご提供致します。
テクノロジー
• Intrusion Detection System (IDS) • 脆弱性スキャン
• ログ収集
• ログストレージ
• Web Application Firewall (WAF) • ビッグデータ解析
サービス
• IDS チューニング & メンテナンス
• IDS コンテンツアップデート
• ネットワークの継続的モニタリング
• 日時のログレビュー(オプション)
• WAF コンテンツアップデート
• WAF チューニング & メンテナンス
コスト削減
• ハードウェア保持 & メンテナンスコスト
• ITセキュリティ人員の雇用コスト
• ITセキュリティメンテナンスコスト
• SOC運用コスト
セキュリティ人員の確保
• 高度な技術を持ったセキュリティ人員によるサービスを提供
• セキュリティ人員の採用、トレーニング等が不要
• セキュリティ機能に併せた継続的教育が不要
お客様のメリット 提供機能・サービス
24 © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. 24
【会社名】 三井物産セキュアディレクション株式会社(略称:MBSD)
【代表者】 神吉 敏雄(代表取締役社長)
【設立】 2001年3月23日(2014年より三井物産 重要戦略 子会社)
【資本金】 4億円
【株主】 三井物産株式会社(100%出資)
【従業員数】207名(2016年4月現在)
【取得認証】 JIS Q 27001:2014(ISO/IEC 27001:2013)(IS568941)
会社概要
主な事業内容:
コンサルティングサービス ITコンサル、リスクアセスメント、CSIRT構築支援、
セキュリティ教育、内部統制、認証取得支援など
プロフェッショナルサービス ペネトレーションテスト、脆弱性診断、ソースコード,
組み込み診断、スマホ診断、情報漏えい調査等
マネージドサービス セキュリティ監視(SOC)、統合ログ監視等
新規ソリューション ・MBSD Secure Web Gateway
・MBSD Alert Logic
内閣官房情報セキュリティセンター様案件 中央14省庁(財務省、金融庁、総務省、防衛省等)のペネトレーションテスト(侵入診断) など多数
JPCERT CC と IPA が共同で運営する JVN(Japan Vulnerability Notes)への2016年4月~2016年11月現在の脆弱性報告の公表において、報告件数で1位、報告者数は最多の12名
三井物産セキュアディレクション(MBSD) 17 8
トレードワークス 4 1スプラウト 0 -サイバーディフェンス研究所 2 2NTTコミュニケーションズ 2 1リクルートテクノロジーズ 2 -ディー・エヌ・エー 0 -LINE 0 -KDDI 0 -セキュアスカイ・テクノロジーズ 1 1
脆弱性発見・報告
MBSDはサイバーセキュリティに特化した専門会社です
2015年度実績
25 © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. © 2016 Mitsui Bussan Secure Directions, Inc. All Rights Reserved. 25
三井物産セキュアディレクション株式会社
Alert Logic 営業チーム
TEL:03-5579-2171
MAIL:[email protected]
お問い合わせ先
Alert Logic社 re:Invent専用ページ https://www.alertlogic.com/events/reinvent/