NTTドコモサービスイノベーション部AdventCalendar4日目の記事です。

はじめに

こんにちは。@dcm_chidaです。

ドコモではAWS、GCP、Azure、d-skylabなどクラウドを積極的に導入しています。

そこで問題となるのがセキュリティ。

利用規模が大きいとユーザやアカウントの数が多くて管理が大変です。
保有する情報資産も桁違いに多いので、毎日毎日リスクへの対応を迫られています。

今回はAWSのセキュリティに関する記事です。

AWSインシデントあるある

GitHubでAWS_SECRET_ACCESS_KEYと検索してみましょう。ダミーであげている可能性もありますが、ご覧の通り。

黒塗りの部分は本来見えちゃいけない情報です。
アクセスキーが漏洩すると

高額なGPUインスタンスが何台も立ち上がり…😨

仮想通貨マイニングに利用された挙句…😰

何十、何百万円と請求が来ます😱

ご注意を。

インバウンドルールが0.0.0.0/0になっていて悪いやつにサーバ乗っ取られるやつですね。
サーバが乗っ取られると、DDoSの踏み台にされたり、南米やアジアのよくわからん国にデータを転送されたりします。

AWSではデフォルト設定でインスタンスを立てるとSSHがフルオープンのSGが作成されます。¹　

サーバのキーペアをしっかり管理していればギリギリOKですが、IPアドレスをきちんと絞った方が安全です。使い回しているうちに新人が適当にサーバを立ててこのSGをアタッチしてしまうかもしれません。

また、SSHだけ制限していても踏み台にされる可能性はあるので油断は禁物です。²

S3は「操作は単純」ですが、「設定は複雑」なのでよく情報漏洩が起こります。
AWSも対策としてTrustedAdvisorの機能追加やUI改善をしていますが、人的ミスはどう頑張っても０には出来ません。

2018年でもいまだに情報漏洩が起きています。

ポリシー準拠性の確認やセキュリティのリスクを早期発見する『自動アセスメントツール』です。

スキャンモンスター | docomo Developer support | NTTドコモ

ざっくり言うと「正しい設定かどうかを全自動でチェックしてくれるツール」です。

5つの観点から設定内容のスキャンを行います。