ストレージサービスからの情報漏えいにサヨナラ
•Descargar como PPTX, PDF•
1 recomendación•215 vistas
ストレージサービス。 Amazon S3 や Google Cloud Cloud Storage は簡単に利用できるため、Web配信からLog管理、顧客情報管理、ファイルサーバー、データレイクの膨大なデータ収集など、多岐の用途に利用されています。 しかし、昨今の情報漏えい事故をみるとストレージサービスからの情報漏えいが大部分を占めています。 このセッションでは、ストレージサービスを安全に利用するためには、どのような点に注意したら良いのか、セキュリティエンジニアの視点から見てみたいと思います。
Recomendados
Más contenido relacionado
La actualidad más candente
La actualidad más candente (20)
Similar a ストレージサービスからの情報漏えいにサヨナラ
Similar a ストレージサービスからの情報漏えいにサヨナラ (20)
Último
Último (10)
ストレージサービスからの情報漏えいにサヨナラ
- 1. ストレージサービスからの情報漏えいにサヨナラ 2021/11/18 iret tech labo #14 アイレット株式会社 セキュリティエンジニア 中村昌登 1
- 2. 自己紹介 中村 昌登 なかむら まさと ▽ アイレット株式会社 クラウドインテグレーション事業部 セキュリティセクション 特命グループ セキュリティエンジニア ▽ 座右の銘 好きこそものの上手なれ ▽ 好きなサービス Iret AMS 次世代監視基盤 ( cloudpack ) AWS Backup / Config ( AWS ) reCAPTCHA ( Google Cloud ) 2
- 5. 何が問題か？ クラウドストレージ クラウドストレージは『誰でも』『簡単に』使う事ができます 社内ファイルサーバー Webサーバー 監査用ログストレージ 大規模 IoT ストレージ ユーザーファイル ストレージ データレイク 多くの用途に利用されています 5 etc.
- 6. クラウドストレージ 社内ファイルサーバー Webサーバー 監査用ログストレージ 大規模 IoT ストレージ ユーザーファイル ストレージ データレイク 多くの用途に利用 6 クラウドストレージは『誰でも』『簡単に』使う事ができます 何が問題か？ クラウドストレージは『非常に多くの用途』に利用されています。 そのため、利用者も、利用方法も、利用するデータも、多くの種類があります。 【どのような利用者が利用？】 インターネット公開 / お客様利用 / 自社利用 【どのような方法で利用？】 読み込み許可 / 書き込み許可 / (証跡として) 変更禁止 【どのようなデータに利用？】 他で原本管理されたデータ / 消えても良いデータ / 消えたら困るデータ 正しく利用できないと、インシデントに繋がります。 etc.
- 8. 対策1: 機能による分離と利用用途の明確化 データ保全 アクセスログ管理 アクセス権管理 データ管理 暗号化 クラウドストレージは、『用途ごとに用意』し、『何を保存したかを明確化』する。 8 Web公開用 HTML JS アクセスログ用 (非公開) LBログ Webログ ストレージは『用途ごとに分離』し、 『保存したものを明確化』する事を 推奨します。 この対策により、 ・アクセス権管理が容易になる ・検索やフォルダ分けが容易になる ・漏洩時の調査が容易になる 等のメリットが有ります。 クラウドストレージは、『Webサイトとして公開利用』する事や、 『ログ収集などの非公開利用』など、複数の用途に利用することが可能です。 分離
- 9. 対策2: バージョニングにより、オペレーションミスからデータを保護 データ保全 アクセスログ管理 アクセス権管理 データ管理 暗号化 バージョニングを有効にして、オペレーションミスによる削除や変更から復帰可能なように準備する。 9 クラウドストレージは、 『オペレーションミス』による削除や変更から保護されていません。 お客様データ用 データ 復帰不可 【注意】 主に、クラウドのバックアップは クラウド自身の障害に備えたものです。 → オペレーションミスは対象外 お客様データ用 データ 復帰可能 自身の要件に合わせて、 ・バージョニングによる保護 ・旧バージョンのMFA Delete を設定することを推奨します。
- 10. 対策3: オブジェクトロック利用によるすべての変更からの保護 データ保全 アクセスログ管理 アクセス権管理 データ管理 暗号化 監査ログなどを保管する場合、オブジェクトロックを利用して全ての変更からオブジェクト保護する。 10 監査ログ用 監査ログ ( WORM ) 内部不正の改ざん 攻撃者による改ざん 監査ログの保護が必要 監査データは変更/削除から完全に保護 オブジェクトロックを利用し、 誰であっても変更不可能な状態で保護します。 オブジェクトロックの利用により、 「Write Once Read Many」（WORM）モデル により、書き込みは1度しか許可されず、 改ざんリスクから監査ログを保護できます。 監査ログなどの情報は、オブジェクトの最初の1回のみ書き込みを許可して、 保存期間中 (7年間など) のすべて変更を拒否することを推奨します。
- 11. 対策4: 外部公開禁止ポリシーによる情報漏えいの抑止 データ保全 アクセスログ管理 アクセス権管理 データ管理 暗号化 非公開ストレージは、外部公開禁止のポリシーを設定し意図しない公開から保護する。 11 クラウドストレージは、『Bucket Policy』『ACL』『IAM』等、 複数の設定方法で権限管理がされています。 各種設定方法での、 『公開アクセス許可を一括で禁止』を推奨。 内部データ用 データ Bucket Policy Bucket ACL Object ACL アクセス管理方法は複数存在する いずれかの方法で許可されていればアクセス可能。 Block Public Access IAM
- 12. Policy 対策5: アクセス権を適切に管理して、意図しない設定に注意 データ保全 アクセスログ管理 アクセス権管理 データ管理 暗号化 オブジェクトストレージは、複数のアクセス権の設定方法が有るため、適切な管理をする。 12 『アクセス権をどんな方法で設定するか』管理が必要です。 『オブジェクト単位のアクセス権』に特に注意が必要です。 内部データ用 データ データ データ データ データ ACL Bucket Policy や IAM など どのような方法でアクセスを許可するか、 管理することを推奨します。 特にオブジェクトレベルACLの利用は、 変更などの管理漏れが懸念されるため、 特に注意が必要です。
- 15. 対策8: 通信、ストレージ、データ、適切な暗号化を選択 データ保全 アクセスログ管理 アクセス権管理 データ管理 暗号化 漏洩に備えた適切な暗号化を選択して、データ漏洩に備える。 15 データに適切な暗号化を実施する必要があります。 クラウドストレージの設定や、データ自体の暗号化を組み合わせます。 利用者 クラウド ストレージ アプリ Server Side Encryption (SSE) SSL SSL ファイル 暗号化 【経路暗号化】 SSL/TLS暗号等により 通信中のデータを保護 【ストレージ暗号化】 SSE 等により、 保存中のデータを保護 【データ暗号化】 ファイル暗号化により データそのもの暗号化
- 16. 管理策のまとめ 16 # ドメイン 管理策 1 データ管理 機能による分離と利用用途の明確化 2 データ保全 バージョニングにより、オペレーションミスからデータを保護 3 データ保全 オブジェクトロック利用によるすべての変更からの保護 4 アクセス権管理 外部公開禁止ポリシーによる情報漏えいの抑止 5 アクセス権管理 アクセス権を適切に管理して、意図しない設定に注意 6 アクセス権管理 終了時のサブドメインテイクオーバーから保護 7 アクセスログ管理 組織の規定にあわせた適切なログの取得 8 暗号化 通信、ストレージ、データ、適切な暗号化を選択 クラウドストレージだけでも、これだけの管理策を検討する必要があります。