[B! AWS][security] mixvox-jのブックマーク

AWSのセキュリティ管理をPolicy as Codeで加速する ― 最高のCSPM体験を目指して / Unleashing Policy as Code on AWS CSPM

Security-JAWS︻第30回︼で使用した資料です。 https://s-jaws.doorkeeper.jp/events/155024 概要: ﹁開発者体験の維持・向上﹂と﹁AWS セキュリティ/コンプライアンスの強化﹂の両軸をどう進めていくか、という問いは、成長する多くの技術組織を悩ませています。本セッションでは、AWSリソースの利用様態の監視・設定のセキュリティレビューといったCloud Security Posture Management (CSPM) のプロセスにPolicy as Codeを適用し、高い開発者体験でAWSに関するセキュリティ施策を推進する方法を紹介します。

mixvox-j 2023/09/05

リンク

[新サービス] 外部 SaaS の監査ログなどを AWS で統合管理出来る AWS AppFabric を使ってみた | DevelopersIO

いわさです。今朝、新サービス AWS AppFabric に関するアナウンスがありました。 No Code とか SaaS というキーワードがあって、AppFlow 的なやつか？と最初思ったのですが全然違いました。外部サービスの監査ログを AWS へ統合させるサービスのようです。サービス概要 AWS AppFabric は外部 SaaS の監査ログなどを AWS に集約させるためのマネージドサービスです。いくつかサポートされている SaaS サービスがあって、それらのそれぞれのセキュリティログを Amazon S3 あるいは Kinesi Data Firehose へ取り込みを行うことが出来ます。 What is AWS AppFabric? - AWS AppFabric より取り込みフォーマットを指定出来て、OCSF に正規化するか、JSON または Apache Parq

mixvox-j 2023/06/28

aws
security

リンク

【登壇資料】組織的なクラウド統制のはじめの一歩〜AWSのクラウド統制サービスの紹介〜 | DevelopersIO

こんにちは。たかやまです。 4/5(水) 組織的なクラウド統制を成功させるための勘所で登壇したセッション﹁組織的なクラウド統制のはじめの一歩〜AWSのクラウド統制サービスの紹介〜﹂の登壇資料です。こちらは前半の続きになっているので、前半のセッションをご覧になっていない方はこちらのブログをご覧ください。登壇資料セッション概要各章で以下のサービスを紹介しています。アカウント管理 Organizations ユーザ管理 AWS IAM Identity Center Jumpアカウントによるユーザ管理既存IDプロバイダーとのIAM SAML連携ログ管理 AWS CloudTrailAWS Config ログ集約のアカウント構成例フォレンジック環境の紹介セキュリティ管理 Amazon GuardDuty AWS Security Hub Amazon Detective Con

mixvox-j 2023/04/25

リンク

AzureのMicrosoft Defender for CloudでAWSのセキュリティチェックをやってみる | DevelopersIO

Azure の Microsoft Defender for Cloud にはCSPM (Cloud Security Posture Management) 機能があり、AWS アカウントに対してもリソースのセキュリティチェックができるため、試してみました。 Microsoft Defender for Cloud の AWS 接続機能 Microsoft Defender for Cloud では、AWS アカウントに接続して次の機能を利用することができます。今回はCSPM を試します。CSPM (Cloud Security Posture Management) AWS リソースのセキュリティ評価︵セキュリティチェック︶ Microsoft Defender for Servers サポートされている Windows と Linux の EC2 インスタンスで脅威検出および高

mixvox-j 2023/01/05

リンク

「AWS環境のセキュリティどうやってチェックしてる？」というタイトルで「セキュリティエンジニア勉強会～社内のセキュリティ環境ってどうしてる！？知見・課題を共有～」に登壇しました #テックストリート | DevelopersIO

こんにちは、臼田です。みなさん、AWS環境のセキュリティチェックしてますか？(挨拶今回はセキュリティエンジニア勉強会～社内のセキュリティ環境ってどうしてる！？知見・課題を共有～というイベントで登壇したのでその内容を紹介します。資料解説私はいつもAWSに関するイベントで登壇させていただくことがほとんどですが、今回はAWSのイベントではなく社内セキュリティに携わるエンジニアやセキュリティエンジニアがターゲットということで、いつもとちょっと毛色の違う登壇でした。なので技術レベル感は少し広めに取り、詳細な解説は省略するように構成しました。いずれか気になるポイントがあればいいなー、という感じです。今回のセッションテーマは﹁クラウドセキュリティの恩恵を最大限受けポジティブに取り組もう﹂です。クラウドのセキュリティ対策は便利で楽しいです。なのでうまく楽しく取り組むコツを掴んでもらいたい

mixvox-j 2022/08/19

aws
security

リンク

製造 OT 向けのセキュリティのベストプラクティス | Amazon Web Services

Amazon Web Services ブログ製造OT向けのセキュリティのベストプラクティス本投稿は、Shailaja Suresh、Russell de Pina による記事 Best Practices for ManufacturingOTSecurity を翻訳したものです。はじめに製造工場では、企業のビジネスデータの生成、管理、処理のための ITシステムと、工場や産業機器のオペレーションのためのOT︵Operational Techno logy︶システムがあります。製造業のデジタルトランスフォーメーション︵インダストリー4.0︶の一環として、データから洞察を得て業務効率を高めることを目的にOTシステムを安全に ITシステムやネットワークに接続するため、OTセキュリティのベストプラクティスを適用する必要があります。﹁製造OT向けのセキュリティのベスト

mixvox-j 2022/08/12

security
aws

リンク

【2022年版ベストプラクティス】AWS IAMまとめ - Qiita

はじめに AWSのアクセス制御サービスであるIAMについて、2022年7月時点での機能および使用法を、初学者でも理解しやすいことを心掛けてまとめました。 IAMをよく分からないまま適当に設定するとセキュリティ的にまずいので、これを機に設定を見直して頂き、セキュリティレベル向上に貢献できれば幸いです。特に、後述するIAM設定手順は、AWSに登録して最初に実施すべき設定に相当するため、セキュリティに興味がなくとも一度は実施することをお勧めします。また公式のベストプラクティスは丁寧にまとめたつもりなので、初学者以外でもAWSのセキュリティ確保に興味がある方は、ぜひご一読頂けると嬉しいです。 IAMとは﹁Identity and Access Management﹂の略です。公式ドキュメントによると、IAMは﹁誰﹂が﹁どのAWSのサービスやリソース﹂に﹁どのような条件﹂でアクセスできるかを

mixvox-j 2022/07/27

aws
security

リンク

AWSアカウントを作成したら最初にやるべきこと -セキュリティ編- - Qiita

JAWS-UG 初心者支部 #22 ハンズオン用の資料です。目的 AWSアカウントを不正利用されないために、アカウントを作成したらまずやるべきセキュリティ周りの設定を行います。前提 AWSアカウントを作成済みであること AWSアカウントにログインしていることリージョンは東京リージョンを利用しますハンズオン手順アカウント周りの設定ルートアクセスキーの削除 ※ルートアカウントのアクセスキーは、デフォルトでは作成されておりません。アクセスキーを作成済みの方を対象とします。ルートアカウントは全てのサービスへのアクセスが出来てしまうため、ルートアカウントは使用せず、IAMユーザーを使用しましょう。 CLI等のプログラムアクセスも不要なため、アクセスキーを削除します。 https://console.aws.amazon.com/iam/home#/security_credential

mixvox-j 2020/01/30

aws
security

リンク

クラウドにおける安全なデータの廃棄 | Amazon Web Services

Amazon Web Services ブログクラウドにおける安全なデータの廃棄クラウドにおける統制をお客様が考慮する場合、基本的な考え方は大きく異なるものではありません。ただし、クラウドならではの統制を考慮すべきケースがあることも事実です。その際には、従来のオンプレミスのやり方を無理にクラウドに当てはめようとしてもうまくは行きません。大事なことはその統制が何を目的としていたのかに立ち返り、その上で、New normal(新しい常識)にあった考え方や実装をすすめる必要性を理解し、実践することです。この投稿では、メディアやデータの廃棄を例として、セキュリティのNew normalを考えていきます。メディア廃棄における環境の変化データのライフサイクルに応じた情報資産の管理は多くのお客様の関心事項です。オンプレミスの統制との変更という観点では、メディア廃棄時の統制は従来のオンプレミス環

mixvox-j 2019/12/19

aws
security

リンク

「AWSでのセキュリティ対策全部盛り[初級から中級まで]」をDevelopers.IO 2019 TOKYOで発表しました #cmdevio | DevelopersIO

こんにちは、臼田です。みなさん、セキュリティは好きですか？今回は弊社主催のイベント﹁Developers.IO 2019 TOKYO﹂にて﹁AWSでのセキュリティ対策全部盛り[初級から中級まで]﹂というタイトルで登壇しましたので、その資料を公開します。資料補足とか発表内容への思い一番言いたいのは、セキュリティはみんなでやるものだから視野を広く持ってもらいたいし、周りを巻き込んで欲しいということです。一つの目の前の事象に対して対策を頑張るだけでは意味がなくて、仕組みとして解決したり、組織として解決したり(特に運用)とする必要があります。まあセキュリティに限った話ではないですが。なので、網羅的にいろんなセキュリティをまとめつつ、これまで気にしてなかった事を気にしていただき、少しでも皆さんの組織が前に進んでもらえたらなーと思ってまとめました。 AWSのメッセージについて最近

mixvox-j 2019/11/01

aws
security

リンク

DeNA の AWS アカウント管理とセキュリティ監査自動化

AWSの利用で以下の課題はありませんか？・多数のAWSアカウントがあり管理が難しい・セキュリティ標準がなく設定者により差異がでる・セキュリティ監査工数が膨大になるこれらの対策として・多数のAWSアカウント管理を効率化した方法・AWS利用のセキュリティ標準策定や監査の自動化などをご紹介した資料になります。Read less

mixvox-j 2019/08/07

aws
security

リンク

AWS クラウドにおける NIST サイバーセキュリティフレームワークへの準拠 – 日本語のホワイトペーパーを公開しました | Amazon Web Services

Amazon Web Services ブログ AWS クラウドにおける NIST サイバーセキュリティフレームワークへの準拠 – 日本語のホワイトペーパーを公開しました米国国立標準技術研究所 (NIST) のサイバーセキュリティフレームワーク (CSF) のバージョン 1.1 （英語版）が 2018 年に公開されていましたが、今回、この CSF への準拠を目指す組織のために、ガイダンスとなる資料が更新され、日本語のホワイトペーパーも公開されたことをご紹介致します。更新された NIST サイバーセキュリティフレームワーク (CSF): AWS クラウドにおける NIST CSF への準拠は、AWS のサービスやリソースを活用して CSF に準拠する組織の支援を目的としています。またこれは官民を問わず、中小企業から大企業まで、世界各地のあらゆる組織に役立つように作成されています。この資

mixvox-j 2019/06/05

リンク

セキュリティ意識向上のために事例と対応や防止方法について書いてみた | DevelopersIO

こんばんは、菅野です。4月になり、多くの企業では新年度がはじまりました。人事異動や入社などにより環境が変わるこのタイミングは、セキュリティについて考えてもらうのに丁度いいタイミングだと思い今回このブログを書いています。はじめにクラスメソッドでは多くのお客様環境と関わっているため、年に数回セキュリティのトラブル解決の協力をすることがあります。今回はなぜ発生したのか、どんな状況になるのか、どうしたら防げるのかといった実例をご紹介いたしますのでご一読ください。一番多いパターンは？クラスメソッドでお手伝いするセキュリティトラブルの大半は﹁アクセスキー漏洩﹂です。さらにそのほとんどはアクセスキー・シークレットアクセスキーを含んだプログラムソースを公開リポジトリに置いた、というものでした。悪い人達はパブリック公開されるファイルを自動でチェックし、常に狙っているのです。事例‥公開リポ

mixvox-j 2019/04/03

aws
Security

リンク

【2019年アップデート】侵入テストについて | DevelopersIO

AWSの侵入テストについてのアップデート記事です。今回は、大きな変更がありましたのでご紹介します。 8つのサービスで事前承認が不要になりました PAWS Customer Support Policy for Penetration Testing Effective immediately, AWS customers are welcome to carry out security assessments or penetration tests against their AWS infrastructure without prior approval for 8 services. AWSは以下の8つのサービスについて侵入テストまたは脆弱性テストの事前承認の必要がなくなりました。 Amazon EC2 instances, NAT Gateways, and Elastic

mixvox-j 2019/03/14

aws
security

リンク

AWSのログ管理ベストプラクティス

AWS Black Belt Online Seminarの最新コンテンツ: https://aws.amazon.com/jp/aws-jp-introduction/#new 過去に開催されたオンラインセミナーのコンテンツ一覧: https://aws.amazon.com/jp/aws-jp-introduction/aws-jp-webinar-service-cut/

mixvox-j 2019/02/28

aws
security

リンク

PenTesterが知っている危ないAWS環境の共通点

JAWS DAYS 2019に登壇した時の資料です。セッション中の攻撃デモの動画は以下となります。 https://youtu.be/AyzrYEM601wRead less

mixvox-j 2019/02/25

リンク

【開催レポ】Security Engineering Casual Talks #1 - クックパッド開発者ブログ

こんにちは。インフラストラクチャー部セキュリティグループの水谷︵@m_mizutani︶です。2018年10月31日にクックパッドにて Security Engineering Casual Talks #1 を開催しました。 sect.connpass.com セキュリティに関する様々なトピックが議論されている昨今ですが、﹁実際のところサービス開発や運用にどうセキュリティを組み込んでいるのか﹂という話はまだなかなか表にでてこない、と感じる方もいらっしゃるのではないでしょうか。各種製品・サービスによってセキュリティを高めるための手段は増えてきましたが、それを自社のサービスやプロダクト、社内のセキュリティ運用にどう役立てているか、あるいはどのような工夫をして運用されているのかの知見は組織に閉じてしまっていることがまだまだ多いかと思います。この会は﹁開発や運用に実際携わっているエンジニア﹂が

mixvox-j 2018/11/08

知らなかった。羨ましい、参加したい。

リンク

AWSを使うときに確認すべき52のセキュリティチェック項目と15分でできる簡単なチェックの方法｜DevelopersIO

はじめに自分が使っているAWS環境のセキュリティに問題がないかと心配になることはないでしょうか？私はよくあります。そこでCIS Amazon Web Service Foundations Benchmark というAWSのセキュリティのガイドラインに沿って使っているAWSアカウントのセキュリティの状況をチェックしてみました。チェック項目は全部で52あります。内容を一通り確認したところ知らなかったAWSのセキュリティの機能やノウハウを知ることができ、見ただけでもとても勉強になりました。簡単にチェックする方法も併せて紹介しますのでぜひ使っているAWS環境でチェックしてみてください。 1 IAM 1.1 rootアカウントを利用しない rootアカウントは強力な権限を持つため、rootアカウントを利用せずIAMユーザーを利用してください。通常運用でrootアカウントが利用されていないか確認し