STAY KOBE

[SolutionArchitect Pro] ホワイトペーパー：AWS セキュリティ

Atsushi Marumo

AWS セキュリティホワイトペーパー

AWS セキュリティホワイトペーパーは、認定の観点から最も重要なホワイトペーパーの1つです。

セキュリティ責任共有モデル

セキュリティ責任共有モデルでは、AWS はクラウドをサポートする基盤となるインフラストラクチャをセキュリティで保護する責任があり、クラウドに配置したりクラウドに接続したりすることに対して責任を負うものとします。

AWS のセキュリティ責任

顧客のセキュリティ責任

AWS グローバルインフラストラクチャセキュリティ

AWS コンプライアンスプログラム

AWS がお客様に提供する IT インフラストラクチャは、セキュリティのベストプラクティスとさまざまな IT セキュリティ標準に合わせて設計および管理されています。

そして、以下を含むいくつかの業界固有の基準を満たしています。

物理的および環境の安全保障

ストレージの廃止

ネットワークセキュリティ

アマゾン企業の分離

ネットワークの監視と保護

AWS は、さまざまな自動監視システムを利用して、高いレベルのサービスパフォーマンスと可用性を提供します。これらのツールは、サーバーとネットワークの使用状況、ポートスキャンの動作、アプリケーションの使用状況、および不正な侵入の試行を監視します。ツールには、異常なアクティビティのカスタムパフォーマンスメトリックのしきい値を設定する機能があります。

AWS ネットワークは、従来のネットワークセキュリティの問題に対する保護を提供します。

  1. DDoS – AWS 独自の DDoS 対策の軽減技術を使用します。さらに、AWS のネットワークは複数のプロバイダにまたがるマルチホームであり、インターネットアクセスの多様性を実現します。
  2. 中間者攻撃 – AWS API は、サーバー認証を提供する SSL で保護されたエンドポイントを介して利用可能
  3. IP スプーフィング – AWS 制御のホストベースのファイアウォールインフラストラクチャは、インスタンスが独自のもの以外のソース IP または MAC アドレスを使用してトラフィックを送信することを許可しません。
  4. ポートスキャン – Amazon EC2 のお客様による未承認のポートスキャンは、AWS で許容される使用ポリシーに違反しています。AWS によって不正なポートスキャンが検出されると、停止してブロックされます。侵入/脆弱性テストは、ご自身のインスタンスでのみ実行でき、事前の承認が必須であり、AWS で許容される使用ポリシーに違反してはなりません。
  5. 他のテナントによるパケットスニッフィング – プロミスキャスモードで動作している仮想インスタンスが、別の仮想インスタンス用のトラフィックを受信または「スニッフィング」することはできません。 インターフェイスをプロミスキャスモードにすることはできますが、ハイパバイザは自分宛のものではないトラフィックを配信しません。 同じ物理ホスト上にある同じ顧客が所有する2つの仮想インスタンスでも、お互いのトラフィックを聞くことはできません。

安全な設計原則

AWS の開発プロセスは次のとおりです。

AWS アカウントのセキュリティ機能

AWS アカウントのセキュリティ機能には、アクセス制御のための資格情報、暗号化されたデータ転送のための HTTPS エンドポイント、個別の IAM ユーザーアカウントの作成、セキュリティ監視のためのユーザーアクティビティログ、および信頼できるアドバイザのセキュリティチェックが含まれます。

AWS クレデンシャル

個々のユーザーアカウント

Root アカウントを使用せずに、ユーザーごとに IAM ユーザーを作成し、独自の資格情報セットを提供し、ジョブ機能を実行するために必要な最小限の権限を付与します。

セキュアな HTTPS アクセスポイント

すべての AWS サービスによって提供される HTTPS を使用して、公開鍵暗号を使用して盗聴、改ざん、および偽造を防止するデータ転送用

セキュリティログ

Amazon CloudTrail を使用して、アカウント内の AWS リソースに対するすべてのリクエストのログを提供し、使用するすべての AWS リソースに対するすべての API 呼び出しに関する情報をキャプチャします (サインインイベントを含む)。

トラステッド・アドバイザのセキュリティチェック

AWS環境の検査に役立つトラステッド・アドバイザー・サービスを使用して、コストの最適化、システム・パフォーマンスの向上、またはセキュリティ・ギャップの解消の機会が存在する場合の推奨事項を提供する

AWS認定試験の練習問題

  1. 共有セキュリティモデルでは、AWS は次のセキュリティのベストプラクティスを担当します (該当するものをすべて確認してください)。
    1. ペネトレーションテスト
    2. オペレーティングシステムアカウントのセキュリティ管理 (ユーザーの責任)
    3. 脅威モデリング
    4. ユーザーグループのアクセス管理 (ユーザーの責任)
    5. スタティックコード分析 (AWS 開発サイクルの責任)
  2. 次のコンポーネントから成る AWS で Web アプリケーションを実行しています。エラスティックロードバランサー (ELB) Linux/PHP/Apache を実行する EC2 インスタンスの自動スケーリンググループ、およびリレーショナルデータベースサービス (RDS) MySQL。AWS の責任にどのセキュリティ対策が該当しますか?
    1. 最小特権アクセスの原則を適用して、EC2 インスタンスを一方的なアクセスから保護する (ユーザーの責任)
    2. IP スプーフィングまたはパケットスニッフィングから保護する
    3. EC2 インスタンスと ELB の間のすべての通信が暗号化されていることを保証する (ユーザーの責任)
    4. ELB に最新のセキュリティパッチをインストールします。RDS および EC2 インスタンス (ユーザーの責任)
  3. AWS では、どのセキュリティ面がお客様の責任ですか。4つの回答を選択
    1. コンピューティングリソースへの物理アクセスの制御 (AWS の責任)
    2. EC2 インスタンスのオペレーティングシステムでのパッチ管理
    3. EBS (エラスティックブロックストレージ) ボリュームの暗号化
    4. IAM 資格情報のライフサイクル管理
    5. ストレージ・デバイスの停止 (AWS の責任)
    6. セキュリティグループと ACL (アクセス制御リスト) の設定
  4. AWS で許容される使用ポリシーに従って、EC2 インスタンスの侵入テスト:
    1. AWS によって実行され、お客様のリクエストに応じて AWS によって実行されることがあります。
    2. AWS によって実行される場合があり、AWS によって定期的に行われます。
    3. すべての状況下で明示的に禁止されています。
    4. AWS の事前承認を得て、お客様が独自のインスタンスで実行することができます。
    5. EC2のインスタンスから実行された場合にのみ、独自のインスタンスで顧客によって実行されることがあります。
  5. AWS がデータセキュリティのために実行する操作プロセスはどれですか。
    1. AES-256 任意の共有ストレージデバイスに保存されたデータの暗号化 (ユーザーの責任)
    2. 業界標準のプラクティスを使用したストレージ・デバイスの廃止
    3. EBS ボリュームと EBS スナップショットのバックグラウンドウイルススキャン (ユーザーインスタンスで AWS によってウイルススキャンが実行されない)
    4. 複数の AWS リージョン間でのデータのレプリケーション (AWS は、ユーザーが実行しない限り、リージョン間でデータをレプリケートしません)
    5. EBS ボリュームがアンマウントされたときの EBS データのセキュアなワイプ (アンマウント時に EBS ボリュームでデータが消去されず、他の EC2 インスタンスでマウント可能)

リファレンス

Jayendra’s Blog

この記事は自己学習用に「AWS Security – Whitepaper – Certification（Jayendra’s Blogより）」を日本語に訳した記事です。