AWSやGoogle Cloudの設定ミスによる情報漏洩、防げてますか？ クラウドの膨大な設定リスクを一覧表示、詳しく説明してくれる新サービス「Shisho Cloud」［PR］
AWSやGoogle Cloudの設定ミスによる情報漏洩、防げてますか？ クラウドの膨大な設定リスクを一覧表示、詳しく説明してくれる新サービス「Shisho Cloud」［PR］ AWSに代表されるパブリッククラウドは、コンピュート、ストレージ、ネットワーク、セキュリティなどシステム構築に必要な全ての要素を網羅しているために、例えばユーザーのアクセス権、オブジェクトストレージの公開設定、ネットワークやVPNの構成、APIの公開範囲など、膨大な設定項目があります。 もしもこれらの設定が間違っていた場合、たとえアプリケーションのコードから脆弱性を排除できたとしても、設定ミスから脆弱性が入り込んでしまう可能性があります。 事実、クラウドの設定ミスによって機密情報が第三者に公開されてしまうようなインシデントは、さまざまな企業や組織で毎月のように起きているのです。 一方で、クラウドを活用すればするほ
AWSユーザーが“やりがち”なセキュリティ上のミスとは？ 同社のCISOが語る
クラウドの設定においてミスや誤りを犯すのは簡単だ。Amazon Web Services（AWS）のCISO（最高情報セキュリティ責任者）室でディレクターを務めるマーク・ライランド氏に聞けば、それがよく分かるだろう。 ライランド氏は「Black Hat USA 2023」のインタビューで「AWSの顧客がアプリケーションやワークロードのための原則を作成し、APIを呼び出す必要がある場合、それがEC2ロールかIAM（Identity and Access Management）ユーザーであるかどうかにかかわらず、その原則に割り当てられるアクセスレベルと権限を制限する必要がある」と語った。 AWSユーザーがやりがちなセキュリティミスとは？ ライランド氏は次のようにも述べている。 「多くの場合、組織はアイデンティティーとアイデンティティーシステムに対して、最小特権の原則を適用していない。それこそ、
【塩漬けダメ絶対】AWSのAurora＆RDSがDBエンジンの延長サポートを有償提供！ - Qiita
日本時間 2023/9/1(金)の深夜、AWSより以下のアップデートが発表されました！ 土曜の朝からXで早速話題になっています。 ニュースリリース ブログ ※全体的にまだ日本語ドキュメントに反映されていない情報が多いので、リンク先にRDS Extended Supportに関する言及が見られない場合は言語設定をEnglishに切り替えて再確認することをお勧めします。 3行でまとめると？ AWSはAuroraおよびRDSのDBエンジンの所定サポート終了後、最大3年の延長サポートを有償提供する 対象のDBエンジンはMySQL 5.7 & PostgreSQL 11および、それ以降の主要バージョン 2023年12月から延長サポートへのオプトインが可能。実際の課金開始はバージョン依存。最速でも2024年3月1日以降となる クラウドにおける「DBバージョンアップ」の扱い AWSクラウドが提供するマネ
社内システムのIP制限更新作業が大変になってきたのでAWS ClientVPNを導入した話
こんにちは、アルダグラムのSREエンジニアの okenak です 今回は AWS ClientVPN を導入したことで、社内の運用業務の効率化とセキュリティの強化を達成した事例を紹介したいと思います。 背景 2019年の段階では社員数が12名程度だったこともあり、社内システムのアクセス制御にAWSのセキュリティグループを利用してオフィスIPやリモート接続先IPを解放することで対応を行っておりました。 2023年には社員数が80名になっており、インバウンドルールが40を超えセキュリティグループが穴だらけという状態になっており、社員数増加に伴うIP制限更新作業による管理コストの増大とセキュリティ上のリスクが問題になってきたため、AWS ClientVPNを導入することに踏み切りました。 AWS ClientVPNについて VPNに関して他社のサービスとも比較しましたが以下の点が推しポイントでし
AWSに最適化された「Amazon Linux 2023」正式リリース。カーネルライブパッチなど新機能、今後は5年間無償サポート、2年ごとにメジャーバージョンアップ
AWSは、同社の各種サービスや開発ツールに最適化されたLinuxディストリビューション「Amazon Linux 2023」の正式リリースを発表しました（発表ブログ）。 5年間の無償サポートと2年ごとのメジャーバージョンアップ 同時に、Amazon Linuxのライフサイクルが次のようにシンプルになることも発表されました。 リリースから5年間の無償サポート 2年ごとのメジャーバージョンアップ 5年間の無償サポート期間ではセキュリティパッチなどが提供されます。また、2年ごとのメジャーバージョンアップには、カーネルやツールチェーン、OpenSSLやその他のライブラリやユーティリティに対する大きな変更が含まれる場合があると説明されています。 これまでのAmazon Linuxは「Amazon Linux 2」とバージョン番号で呼称されていましたが、今回のバージョンから「Amazon Linux
AWSにおけるアプリケーションのログ記録のベストプラクティス - Qiita
はじめに アプリケーションログは、アプリケーションの動作状況をログファイルに記録するプロセスです。アプリケーションよって、この動作状況は1つ以上のファイルに記録することが多いです。このログファイルは、セキュリティとパフォーマンスの分析の実行、アプリの問題のトラブルシューティングなどに役立ちます。この記事では、ログ、ログの種類およびAWSのCloudwatLogsサービスについて説明したいと思います。 各個人によって好きなAWSサービスがそれぞれだと思います。これが正解という訳ではありませんが、参考にしてただければと思います。 対象者 AWSでログの記録に興味がある方。 AWSでワークロードを運用している担当者。 ログレベル ログレベルについて皆さんご存じだと思いますが、主に３種類のログがあります。 レベル 説明
Amazon RDS で100年有効な新しいCAが利用可能になりました | DevelopersIO
Amazon RDS で、セキュアなDB通信を行う際 に利用する認証局 (CA) として、 有効期限が40年弱(rds-ca-rsa2048-g1)、100年弱(rds-ca-rsa4096-g1, rds-ca-ecc384-g1) のCAが、2023年1月13日のアップデートで利用可能になりました。 Amazon RDS now supports new SSL/TLS certificates and certificate controls 今回、利用可能となった新しいCAを試す機会がありましたので、紹介させていただきます。 設定 DBエンジンバージョンは「MySQL 8.0.28」を利用しました。 認証機関として rds-ca-2019 (デフォルト) 以外の選択が可能になりました。 rds-ca-2019 (デフォルト) rds-ca-ecc384-g1 rds-ca-rsa4
よく使いそうなS3関連のセキュリティ機能をまとめてみる | DevelopersIO
よく使いそうな S3関連のセキュリティ機能を主観でまとめてみます。 「汎用的」、「便利」、「コスパが良い」といった基準で選びました。 6つのセキュリティ機能を説明していきます。 ブロックパブリックアクセス ACL無効化 デフォルト暗号化 S3 Storage Lens GuardDutyの「S3保護」 Security Hubの「セキュリティ基準」 ブロックパブリックアクセス(以降 BPA) 「意図しないS3バケットの公開」を未然に防ぐ ための機能です。 アカウントレベル、もしくはバケットレベルで設定できます。 設定パラメータは 4つあります。 BlockPublicAcls … パブリックACLを付けた投稿(Put Object)ができなくなります IgnorePublicAcls … すべてのパブリックACLを無視します BlockPublicPolicy … パブリックなバケットポリ
AWS Control TowerとAWS Organizationsを活用した組織におけるセキュリティ設定
3/1に実施したNRIネットコムウェビナーの資料です。 https://www.youtube.com/watch?v=3yqNmB77ll4
サーバーレスのセキュリティリスク - AWS Lambdaにおける脆弱性攻撃と対策 - Flatt Security Blog
はじめに こんにちは、株式会社Flatt Security セキュリティエンジニアの森岡(@scgajge12)です。 本稿では、AWS Lambda で起こりうる脆弱性攻撃やリスク、セキュリティ対策を解説し、サーバーレスにおけるセキュリティリスクについて紹介します。 はじめに AWS Lambda について サーバーレスにおけるセキュリティリスク AWS Lambda で起こりうる脆弱性攻撃 Lambda での脆弱性攻撃によるリスク 脆弱性攻撃による更なるリスク OS Command Injection XML External Entity (XXE) Insecure Deserialization Server Side Request Forgery (SSRF) Remote Code Execution (RCE) AWS Lambda におけるセキュリティ対策 セキュリティ
AWS認定アドバンストネットワーキング専門知識の対策本を書きました - プログラマでありたい
予定より大幅に遅れたものの、AWS認定アドバンストネットワーキング専門知識の対策本である『要点整理から攻略する『AWS認定 高度なネットワーキング-専門知識』を出版できることになりました。2022年2月28日発売開始です。 要点整理から攻略する『AWS認定 高度なネットワーキング-専門知識』 (Compass Booksシリーズ) 作者:NRIネットコム株式会社,佐々木 拓郎,小西 秀和,安藤 裕紀,木美 雄太,早川 愛,宮川 亮,矢野 純平マイナビ出版Amazon 試験対策本の内容 本書は主にソリューションカットで、試験範囲の解説をしています。ソリューションカットとは何ぞやと思うでしょうが、次の目次をみてください。 第1章 AWS試験概要と学習方法 第2章 AWS ネットワークの設計と実装 第3章 大規模なハイブリッド IT ネットワークアーキテクチャの設計と実装 第4章 アプリケーショ
AWSアカウント作成時にやるべきこと - NRIネットコムBlog
Amazon Web Services (以下AWS)の利用開始時にやるべき設定作業を解説します。AWSの利用開始とは、AWSアカウントの開設を意味しますが、より安全に利用するため、AWSアカウント開設直後にやるべき設定がいくつかあります。この連載ではその設定内容を説明します。 AWS Organizationsを使用することで、複数のアカウントに自動的にこういった初期設定を行うことも可能ですが、この連載では新規で1アカウントを作成した場合を前提とします。複数アカウントの場合も、基本的な考え方は同じになります。 設定作業は全１９個あり、作業内容の難しさや必要性に応じて以下３つに分類しています。 少なくともMUSTの作業については実施するようにしましょう。 MUST ：アカウント開設後に必ず実施すべき作業 SHOULD ：設定内容の検討または利用方法を決定のうえ、可能な限り実施すべき作業 B
[AWS Black Belt Online Seminar] コンテナセキュリティ入門 | Amazon Web Services
Amazon Web Services ブログ [AWS Black Belt Online Seminar] コンテナセキュリティ入門 AWS Black Belt オンラインセミナー「コンテナセキュリティ入門 」を公開します。 コンテナアプリケーションを運用する上でのセキュリティについて、特定のAWSサービスには依存しない一般的な考え方を紹介するセミナーとなっています。コンテナのライフサイクルに沿って、セキュリティのポイントを複数回に分けて解説します。 視聴および資料閲覧は以下から可能です。 Part 1, コンテナイメージ作成: YouTube / SlideShare Part 2, サプライチェーン、オーケストレーター: YouTube / SlideShare Part 3, ホスト、ランタイムセキュリティ: YouTube / SlideShare このセッションでは、コンテ
![[AWS Black Belt Online Seminar] コンテナセキュリティ入門 | Amazon Web Services](https://cdn-ak-scissors.b.st-hatena.com/image/square/00b48615edff7ceeeebafb45940f67649fed21d1/height=288;version=1;width=512/https%3A%2F%2Fd2908q01vomqb2.cloudfront.net%2Fb3f0c7f6bb763af1be91d9e74eabfeb199dc1f1f%2F2021%2F12%2F02%2F202110_AWS_Black_Belt_AWS_CON231_intro_container_security.jpg)
AWS アカウントの初期設定 - それ積んどく？
概要 初期設定で有効化するサービス 更新履歴 ID管理 / 権限管理 (有料)CloudTrailの有効化 ルートアカウントのMFA設定 パスワードポリシーの設定 IAM User / IAM Groupの作成 IAM グループの作成 IAM ユーザの作成 MFA の有効化 （有料）GuardDutyの有効化 全リージョンで有効化する場合 (有料)AWS Config の有効化 （有料）Security Hubの有効化 請求 IAM Userによる請求情報へのアクセス許可 支払通貨の変更 Budget の設定 Cost Explorerの有効化 Cost Usage Report の出力 コスト配分タグの設定 その他 代替連絡先の設定 Trusted Advisorの通知設定 Personal Health Dashboard によるイベント監視 有効なリージョンの確認 【追加】準拠法／管
[AWS利用者必読] アクセスキー漏洩による不正利用について | DevelopersIO
AWSアクセスキーセキュリティ意識向上委員会って何？ 昨今、AWSのアクセスキーを漏洩させてしまうことが原因でアカウントへの侵入を受け、 多額の利用費発生・情報漏洩疑いなど重大なセキュリティ事案が発生するケースが実際に多々起きています。 そこで、アクセスキー運用に関する安全向上の取組みをブログでご紹介する企画をはじめました。 アクセスキーを利用する場合は利用する上でのリスクを正しく理解し、 セキュリティ対策を事前に適用した上で適切にご利用ください。 【はじめに】 昨今､アクセスキーの漏洩を契機とした不正利用の発生が多発しております｡AWS 利用のお客様へのビジネスリスクが非常に大きく､弊社としても憂慮する状況です｡ そのため､以下をお読み頂き AWS 利用のお客様は環境の見直しをお願い致します｡ 【この記事で伝えたいこと】 多額の費用発生リスクをなくすために､可能な限りアクセスキーの利用を
![[AWS利用者必読] アクセスキー漏洩による不正利用について | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/3a9299c22c271be79f273b6db38d8ba6bc81bd1c/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2021%2F05%2F8823428add162ea6925215296ff8c67f.png)
AWS 診断を事例としたクラウドセキュリティ。サーバーレス環境の不備や見落としがちな Cognito の穴による危険性 - Flatt Security Blog
こんにちは。本ブログに初めて記事を書く、株式会社 Flatt Security セキュリティエンジニアの Azara(@a_zara_n)です。普段は Web やプラットフォームの診断やクラウド周りの調査、Twitter ではご飯の画像を流す仕事をしています。よろしくお願いします。 クラウドサービスが発展し続ける今日この頃、多くの企業がパブリッククラウドやプライベートクラウドなどを駆使し顧客へサービス提供しているのを目にします。そのような中で、サービスが利用するクラウドにおいて設定不備や意図しない入力、構成の不備により顧客情報や IAM をはじめとする認証情報が脅かされるケースが多々あります。 本記事では、そのような脅威の一例をもとにクラウドサービスをより堅牢で安全に利用する一助になればと、攻撃手法や対策などについて解説をしていきます。 また、私の所属する 株式会社 Flatt Secur
AWS×IaC本 『クラウド破産を回避するInfrastructure as Code実践ガイド』 を出します #技術書典 - 憂鬱な世界にネコパンチ！
AWSアカウントセキュリティをIaCで実装する『クラウド破産を回避するInfrastructure as Code実践ガイド』という本を出します。 BOOTHと技術書典9から購入できます。 booth.pm techbookfest.org どんな本？ 本書のテーマはAWSアカウントセキュリティとInfrastructure as Codeです。 実装技術にはTerraform・Serverless Framework・Go言語を採用し、サンプルコードは150以上用意しています。 特に次のような人にオススメです。 クラウド破産の記事を見るたびにドキドキする AWSアカウントを安心して運用できるよう、セキュリティを向上させたい セキュリティでもInfrastructure as Codeを実践したい AWSアカウントセキュリティの実装スキルを効率よく習得したい TerraformやServe
AWSが2.3TbpsものDDoS攻撃を受けていたことが判明
by EpicTop10.com AmazonのクラウドサービスをDDoS攻撃から保護するAWS Shieldが発表したレポートにより、AWSが史上最大級のDDoS攻撃を受けていたことが分かりました。 AWS Shield Threat Landscape Report – Q1 2020 (PDFファイル)https://aws-shield-tlr.s3.amazonaws.com/2020-Q1_AWS_Shield_TLR.pdf 以下は、2020年第1四半期にAWS上で観測されたイベント数を週単位で表したグラフです。赤枠で囲われた部分を見ると、2020年2月17日の週は他の時期に比べて特にイベント量が多いことが分かります。 こうしたイベントにはさまざまな種類がありますが、AWSによると大規模なイベントのほとんどはDDoS攻撃が原因だとのこと。こうした攻撃は激化しつつあり、2018
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「初級から上級までセキュアなAWS環境の作り方」というタイトルでAWS Summit Tokyoのクラスメソッドブースでミニセッションしました #AWSSummit | DevelopersIO
AWS Lambdaにおけるセキュリティリスクと対策
