[B! ec2] msakamoto-sfのブックマーク

Amazon EC2 におけるセキュリティ(脆弱性)事例 - blog of morioka12

1. 始めにこんにちは、morioka12 です。本稿では、Amazon EC2 上で動く Web アプリケーションの脆弱性によって脆弱性攻撃が可能だった実際の事例について紹介します。 1. 始めに 2. Amazon EC2 におけるセキュリティリスク Amazon EBS 被害があった公開事例 3. Amazon EC2 で起こりうる脆弱性攻撃 SSRF が可能な脆弱性 SSRF における回避方法 4. Amazon EC2 の脆弱な報告事例画像読み込み機能に潜む SSRF を悪用した EC2 のクレデンシャルの不正入手が可能 SAML アプリケーションに潜む SSRF を悪用した EC2 のクレデンシャルの不正入手が可能 Webhook 機能に潜む SSRF を悪用した EC2 のクレデンシャルの不正入手が可能 Webhook 機能に潜む SSRF を悪用した EC2 のクレデ

msakamoto-sf 2023/08/31

リンク

Amazon EC2 を Arm に切り替えたら幸せなことしかありませんでした | CyberAgent Developers Blog

技術本部サービスリライアビリティグループ（SRG）の長谷川 @rarirureluis です👳 #SRG（Service Reliability Group）は、主に弊社メディアサービスのインフラ周りを横断的にサポートしており、既存サービスの改善や新規立ち上げ、OSS貢献などを行っているグループです。はじめに Apple M1 で Arm という単語をよく耳にし、そしてその性能に驚いた方も多いと思います。Apple M1 が搭載された Mac のベンチマークはこちらそして Amazon EC2（以下：EC2）にも Arm が搭載されたインスタンスがあります。 https://aws.amazon.com/jp/ec2/graviton/ 今回はとあるサービスの全開発環境の EC2 インスタンスを m5.large から t4g.medium へ移行したら幸せになれたので、この記事を

msakamoto-sf 2020/11/27

リンク

EC2 Image BuilderによるOSイメージビルドパイプラインの自動化 | Amazon Web Services

Amazon Web Services ブログ EC2 Image BuilderによるOSイメージビルドパイプラインの自動化社会人になったばかりの頃、開発チーム向けのOSイメージビルドの仕事がアサインされたのを今でも思い出します。時間はかかるし、エラーはよく出るし、再作成とスナップショット再取得をなんども実行する必要がありました。さらに、ご想像のとおり、そのあとには大量の手動テストが控えていたのです。OSを最新に保つことの重要性は現在も変わりません。場合によっては自動化スクリプトを開発してくれるチームがあるかもしれませんが、いずれにせよVMのスナップショットを手動で取得するという作業は、多くのリソースを消費し、都度エラー対処が要求される、時間のかかる作業であることに変わりはありません。今日ここで、EC2 Image Builderを発表できることを大変うれしく思います。これは、自動化

msakamoto-sf 2019/12/03

リンク

EC2上のAWS CLIで使われている169.254について - 妄想まとめ

お久しぶりです。ひろたんです。前々から気になっていたAWS EC2の169.254.169.254について少し遊んでみたのでまとめます。 EC2では、インスタンス内から http://169.254.169.254/ にアクセスすると、そのインスタンスに関する情報が取得できるようになっています。 docs.aws.amazon.com あまり意識したことはないかもしれませんが、インスタンスにIAMロールを結び付けた状態でAWS CLIを使うと内部的にこの169のURLが叩かれる仕組みになっています。これはインスタンス内で--debugオプションを使ってAWS CLIを実行するとわかると思います。 [ec2-user@ip-172-31-30-197 ~]$ aws s3 ls --debug ～～～ 2018-09-03 11:11:33,898 - MainThread - boto

msakamoto-sf 2018/09/03

リンク

Forkwell のインフラをコード化するためにやったこと - Grooves開発ブログ

ここ最近は既存のインフラを片っ端からコード化していた @sinsoku です。インフラの魔物をコードに封印している感じがある。汝のあるべき姿に戻れ！— 神速 (@sinsoku_listy) 2018年1月10日やっとコード化が一段落したので、インフラ周りでやってきたことを技術ブログにまとめました。作業をする前の状況 Forkwell のインフラ環境は2016年夏頃に﹁第1回インフラがコード化されていないのはヤバい！﹂議論が起き、タスクの優先度が上がりました。このときは @ta1kt0me が頑張ってくれて、既存 EC2 インスタンスを Ansibleで作れるようにしてくれました。しかし、弊社では AWS の ALB、EC2、RDS、ElastiCache、...など、いくつものサービスを使っています。この AWS リソースはコード化されておらず、手作業で作っていました。

msakamoto-sf 2018/01/22

リンク

AWS運用担当者のためのセキュリティ入門 | DevelopersIO

はじめに AWSの運用構築をまかされたインフラエンジニアのかたに向けて、セキュリティで考えるべき視点と代表的なソリューションをご紹介します。 AWSでのセキュリティを考える前に、私達自身のセキュリティを考えてみましょう。 "外出前に鍵をかける"、"ひとけのない道はなるべく通らない"など最低限やっておくべき対策があります。たくさんのお金をかけてボディガードを雇っても、鍵をあけて外出しては意味がありません。 AWSのセキュリティ対策も同様です。追加のコストを払ってセキュリティソリューションを導入する前に、最低限やっておくべき対策があります。特に代表的なものをご紹介します。出所が不明なAMIは使わない EC2の作成元となるAMI︵マシーンイメージ︶は誰でも公開できます。中には悪意のあるソフトウェアが含まれるAMIも含まれます。 AWSや信頼できるベンダーが提供するAMIを使いましょう。

msakamoto-sf 2017/12/23

リンク

AWSの侵入テスト申請フォームが変更された件 - とある診断員の備忘録

過去このブログでも取り上げてますが、AWSにおいて脆弱性診断を実施する際に、侵入テスト申請というものが必要となります。ペネトレーションテスト︵侵入テスト︶- AWS セキュリティ｜AWS この侵入テスト申請について、実は2017年9月頃にアップデートがあり、申請フォームの内容が従来と変更されておりますので、こちらに変更点などをちょっとまとめておきます。今後、侵入テストを申請される方の少しでもご参考になれば幸いです。また、アカウントが無い方は申請フォームの中身を見ることができないので、キャプチャした現時点︵2017年10月20日︶の申請フォームの画像データもアップしておきます。従来との変更点は？従来との大きな変更点として、今まではEC2やRDSしか診断の対象とすることができなかったのですが、以下のマネージドサービスを正式に診断の対象とすることができるようになりました！ EC2 RD

msakamoto-sf 2017/10/20

リンク

OWASPが公開している”セキュアではない”Webアプリ「OWASP Juice Shop」を試してみる | DevelopersIO

森永です。セキュリティ製品の検証などで脆弱性のあるWebアプリが欲しいということがあります。自分で作るのもいいのですが、手軽に使える"セキュアではない"Webアプリがないかを探してみました。Webアプリのセキュリティに関するコミュニティであるOWASP(Open Web Application Security Project)が﹁OWASP Juice Shop﹂という脆弱性のあるWebアプリを公開していたので試してみます。 OWASP Juice Shopとは OWASP(Open Web Application Security Project)が公開しているWebアプリです。OWASPはインパクトのある脆弱性をOWASP Top10として発表しており、その脆弱性をふんだんに盛り込んだものとなっています。これを使ってセキュリティの検証をしたり、ハードニングのトレーニングをすること

msakamoto-sf 2017/08/25

リンク

AWSの負荷テストについて｜ Developers.IO

はじめに AWSでは負荷テストを実施する際に事前申請は不要でしたが、意図した負荷であってもトラフィック量によってはDoS/DDosとして検知されネットワークが遮断されることがありました。そこでネットワーク遮断の回避の方法や負荷テストの可否について、 AWSへ確認しましたところ現在は負荷テストを行う際は実施前に承認を受ける必要があることがわかりました。英文　(AWSより) All AWS users are required to receive approval before any load testing. Please send detailed plans of the testing including expected peak bandwidth to the simulated events em ail address listed on the AWS Penetr

msakamoto-sf 2017/08/03

リンク

AWSネットワークの論理的な側面～ AWSのバックボーンネットワークに関するDeepな話（2）

こんにちは。アマゾンウェブサービス︵AWS︶サポートの有賀と申します。好きなサービスはAmazon Virtual Private Cloud︵VPC︶です。これからAWSサポートの各メンバーがそれぞれ﹁今一番AWSユーザーに伝えたいこと﹂を連載の形でお届けしていきます。筆者の担当する本稿では、AWSの﹁ネットワーク﹂について見ていきたいと思います。今回は、ネットワークの﹁論理設計﹂について解説します。本稿でお伝えするのは下記の第2回の内容です。全3回に渡って解説していきます。 AWSのネットワークの物理的な側面 ⇒ 第1回 AWSのネットワークの論理的な側面 ⇒ 第2回 AWSのネットワークにおけるベストプラクティス ⇒ 第3回 AWSのネットワークにおいて過去に発生した問題の事例 ⇒ 第3回必ずしもAWSの使い方といった内容ではないので、今日すぐに使える知識にはならないかもしれませ

msakamoto-sf 2016/11/30

リンク

AWSでOSSECを導入する

前回の調査に引き続き、クラウドにおける侵入検知の一つの方式として、AWSにOSSECを導入してみました。 IDSとは IDSはInstrusion Detection Systemの略称であり、日本語では﹁侵入検知システム﹂と呼ばれます。 IDSは大きくネットワーク型(Network IDS/NIDS)とホスト型IDS(Host IDS/HIDS)に分類されます。両者とも、検知した際にアラートを表示・記録・通知を行うことで管理者が迅速な対応を行えることを目的としています。ネットワーク型はネットワークパケットを監視してルールベースのパターンマッチングを行い、不正アクセスや悪意ある通信と思われるパケットを検知します。また検知と同時に通信の遮断も行えるものがあり、一般的にIDPやIPS(Intrusion Detection and Protection System)と呼ばれます。現在Fir

msakamoto-sf 2016/09/20

リンク

ホスト型IDSのOSSECをEC2に導入する | DevelopersIO

はじめに IDSとは IDSはInstrusion Detection Systemの略称であり、日本語では﹁侵入検知システム﹂と呼ばれます。 IDSは大きくネットワーク型(Network IDS/NIDS)とホスト型IDS(Host IDS/HIDS)に分類されます。両者とも、検知した際にアラートを表示・記録・通知を行うことで管理者が迅速な対応を行えることを目的としています。ネットワーク型はネットワークパケットを監視してルールベースのパターンマッチングや異常通信検出を行い、不正アクセスや悪意ある通信と思われるパケットを検知します。また検知と同時に通信の遮断も行えるものがあり、一般的にIDPやIPS(Intrusion Detection and Protection System)と呼ばれます。現在Firewallなどのネットワーク機器に組み込まれたIDPはProtectionの機能を

msakamoto-sf 2016/09/20

リンク

AutoScalingも怖くない、Zabbix自動登録 - サーバーワークスエンジニアブログ

4月から劇団サーバーワークスに加わりました。伊藤です。社内ではくりゅーと呼ばれております。 AWS環境では、わずか数クリックでサーバーができたり、AutoScalingで自動的にサーバーが増えたり、オンプレミスの監視運用のスピードでは全く追いつけません。そこで、今回はAuto Scalingなどで監視対象のインスタンスが自動で増えたり減ったりしても、Zabbixで常に対象インスタンスを自動登録し、監視対象にする方法をご紹介します。自動構成ツールなどには依存しないので、どんな方法で︵マネージメントコンソール、SDK、CLI、API、Elastic Beanstalk等々︶構築、運用していても適用できます。監視対象インスタンスのAgent側設定 zabbix_agentd.confにおいて、以下の点を設定します。 Server=127.0.0.1 #Zabbix-serverのIPも

msakamoto-sf 2016/07/21

リンク

密着 24時！ MySQL 5.1 から Aurora への移行100日間〜 Backlog 編 | 株式会社ヌーラボ(Nulab inc.)

Photo via Visual hunt Backlog の一部のスペースにて Amazon Aurora へと移行しました。ここでは、その経緯と実際に実施した作業を簡単にご紹介させていただきます。移行の経緯昨年末データベース障害が発生しユーザー様には多大なご迷惑をお掛けしてしまいました。 Backlog には Terraform をどう使っているかを紹介したブログにあるように複数の運用環境があります。その各々の環境の構築時期によって EC2 上で自前運用していた MySQL もあれば、RDS for MySQL もある、といった統一されていない状況でした。また EC2 上ではまだ MySQL 5.1 も稼働していました。移行を検討するにあたり、優先したのは障害時の復旧が素早く出来ることと、少しでも運用の管理コストを下げることでした。Backlog のサーバは 100 台以上で

msakamoto-sf 2016/05/21

リンク

[AWS Certificate Manager]東京でも無料でSSL証明書が使用可能になりました！ | DevelopersIO

※‥CloudFrontは米国東部 (バージニア北部)で設定を行うため、CloudFrontの全エッジロケーションでACMを使用できます。早速試します ACMを設定する設定の手順の詳細は、[ACM] SSL証明書発行時のドメイン認証メールをSESで受け取ってみたを参照して下さい。このエントリの﹁ACM設定﹂までを実施します。東京リージョンでAmazon Linux 2016.03のEC2を起動して、以下のコマンドを実行します。︵Webサーバのインストール、index.htmlの作成、Webサーバの開始︶ $ sudo yum install -y httpd $ sudo echo "AWS Certificate Manager" | sudo tee /var/www/html/index.html $ sudo service httpd start 次に、東京リージョンのEL

msakamoto-sf 2016/05/18

リンク

AWS EC2でのHTTP/2 or SPDY導入方法 - Hatena Developer Blog

東京でウェブオペレーションエンジニアをしている id:dekokun です。ここ数年、HTTP/2 or SPDYが話題ですよね。nginxが1.9.5からSPDY対応を切ってHTTP/2の設定ができるようになったり、はてなでも以下ブログにも記載されているように、SPDY or HTTP/2も積極的に導入していっています。 developer.hatenastaff.com 先日、AWSの環境にてSPDYを導入したのですが、導入していくまでにはやはり若干の苦労がありました。そこで、SPDY or HTTP/2をどのように導入していったか及びそこで起きた問題点の解決策等をまとめようと思います。なお、この記事では"HTTP/2 or SPDY"と書いていますが、SPDYはHTTP/2にその座を譲ろうとしている立場となっています。具体的には、今年の5月にChromeがSPDYのサポートを切る

msakamoto-sf 2016/03/31

リンク

AWS EC2 Amazon Linuxインスタンス起動後、最初にやることまとめ（SysVinit編） - Qiita

AWS EC2 Amazon Linuxインスタンス起動後、最初にやることまとめ（SysVinit編）AWSEC2Amazon Linux

msakamoto-sf 2015/10/20

リンク

AWSで特定のVPC下での操作の許可するIAM Policy - Qiita

主に誤操作防止用に。注意 RDSのはIAM Policy Simulatorでは通るにも関わらず、何故かManaged Policyにすると動かないという謎の挙動。Inline Policyだと動く。バグ？︵2015/7/3現在︶ EC2 起動はvpc-abcd1234でVPCIDを指定して限定可能停止等はec2:Vpcのresource level permissionが使えないので Vpc: myvpc等のタグで限定︵ec2:CreateTagsはそもそも制限不可能なのであまり厳密ではないが︶ { "Version": "2012-10-17", "Statement": [ { "Sid": "UnsupportedResourceLevelPermissions", "Effect": "Allow", "Action": [ "ec2:Describe*", "ec2:*T

msakamoto-sf 2015/09/08

リンク

AWS Black Belt Techシリーズリザーブドインスタンス & スポットインスタンス

The document discusses redundancy connections between on-premises environments and AWS. It introduces AWS Network Solutions Architect Kikuchi Nobuaki and the agenda which includes why redundancy is needed, options for redundancy, achieving higher availability, operating securely, and conclusions. Redundancy is important to ensure reliable connectivity between on-premises networks and AWS VPCs. The

msakamoto-sf 2015/09/03

aws
ec2

リンク

AWS News Blog

AWS Week in Review – AWS Documentation Updates, Amazon EventBridge is Faster, and More – May 22, 2023 Here are your AWS updates from the previous 7 days. Last week I was in Turin, Italy for CloudConf, a conference I’ve had the pleasure to participate in for the last 10 years. AWS Hero Anahit Pogosova was also there sharing a few serverless tips in front of a full house. Here’s a picture I […] Amaz

msakamoto-sf 2015/05/20

aws
ec2

リンク

はてなブックマーク

タグ

関連タグで絞り込む (53)

ec2に関するmsakamoto-sfのブックマーク (42)

お知らせ

今週のはてなブックマーク数ランキング（2024年7月第2週）

はてなブックマーク透明性レポート（2024年 2月-2024年4月）

今週のはてなブックマーク数ランキング（2024年7月第1週）

公式Twitter

キーボードショートカット一覧

はてなブックマーク

公式Twitter

はてなのサービス