こんにちは、ひろかずです。

5/22にトレンドマイクロさんで開催されたSecurity-JAWS#5に行ってきましたので、一筆書きます。

月曜に関わらず、盛況な集まりでした。

#お品書き
Session1:トレンドマイクロ株式会社姜貴日さん「Deep SecurityとAWS WAF、SNS、Lambdaを使ってうまいこと自動防御する」
Session2:三井物産セキュアディレクション株式会社大橋和正さん「インシデント別対策から見るセキュリティ運用体制〜Alert Logicのことも少し〜」
Session3:エフセキュア株式会社河野真一郎さん「脆弱性について疑似クラッキング（デモ）をやってみる～脆弱性対策はとても大切。でも多くの人はそれに気づかないんだ〜」
Session4:洲崎さん「AWS使って社内CTFを開催してみた」

#Session1:「Deep SecurityとAWS WAF、SNS、Lambdaを使ってうまいこと自動防御する」
トレンドマイクロ株式会社姜(かん) 貴日さん
##DeepSecurityとは
サーバ向け総合セキュリティ対策製品
IPS/IDS, セキュリティログ監視, アンチマルウェア, 変更監視
単一の機能ではなく、多層防御の考え方でセキュリティを確保する製品。
AWSコンソールとDeepSecurityManagerが連携して、インスタンスの増減を自動で反映する機能もある。
##自動防御の仕組み
今回の構成は、AWS上にALB(AWS WAF)-EC2(ECS)を配置した構成。
SNSとLambdaを用意
SecurityGroupは、隔離用のもの(Outbound,Inboudなし)を用意しておく
###シナリオ1（自動ブロック）

Deep Security Agentの侵入防御（IPS/IDS）で検知する。
Deep Security ManagerからイベントがSNS送信される。
SNSは、Lambdaに通知する。
Lambdaは、送信元IPをAWS WAFのIP Condition(Blocked)に登録する。

###シナリオ2（自動隔離）

DeepSecurityAgentのアンチマルウェアで検知
イベントがSNS送信
SNSはLambdaに通知
Lambdaは、検知したインスタンスIDのSGを隔離用のものに差し替え、Auto Scaling Groupから切り離す。
Auto Scaling Groupの設定により、差し替え用インスタンスが起動される

##まとめ
より、リアルに近い環境でのPoCを実施したい。
共同PoC大募集中！声かけてください！
##QA
IPは、トレンドマイクロのデータベースと突き合わせるのですか？

今は検知ベースです。

テンプレートは公開されていますか？

まだです（公開予定）

IPはころころ変わると思いますが、リフレッシュとか考えてますか？

そういうフィードバック大歓迎です！

DSaaSは、どこまでの規模感に対応できますか？

DSaaSは、中規模向け。大規模ならDSMがいい。(中規模って、どれくらい？100大規模？）
国内で1000超えはない。100大規模は実績ある。

DSaaSのバージョンアップってどうなんだろう？

Manager側は自動でバージョンアップされます。

#Session2:「インシデント別対策から見るセキュリティ運用体制〜Alert Logicのことも少し〜」
三井物産セキュアディレクション株式会社大橋和正さん
もともとオンプレメインのセキュリティエンジニア出身。
三井物産セキュアディレクションは、セキュリティ診断、SOC、セキュリティコンサルティングをやっている。
Alert Logicの拡販はじめました。
##セキュリティ脅威の動向
IPA発表の10大脅威では、標的型攻撃、ランサムウェアが多く、公開サーバではインジェクション系が多い。
VerizonでもWebサーバに対する攻撃がダントツ
###ランサムによる被害
WannaCryの詳細は三井物産セキュアディレクションのサイトで公開中！
###Apache Struts2脆弱性をついた情報流出の事例
Twitterで気づく等、対応の遅れがあった
##セキュリティインシデントとは？
コンピュータセキュリティに関係する人為的事象で、意図的および偶発的なもの
意図的脅威

パスワードリスト攻撃
サービス拒否攻撃
情報の持ち出し（内部犯行）
サイト改ざん（ハクティビズム、マルウェア配布）

偶発的脅威

設定ミス
プログラムのバグ
メール誤送信（情報漏えい）
PC紛失（情報漏えい）

##なぜ事前準備が必要？
100%攻撃を防ぐことはできない

攻撃技術の進歩(いたちごっこ)
人間が使う以上、100%はない（オペミスはない）

天災には備えるのに、セキュリティインシデントへの備えはしないの？

対応の遅れが、ユーザーからの信頼失墜に結びつく。

どのようなインシデントがあって、どのような対応をするのか準備しておく。
##AWSにおけるセキュリティインシデントについて
###クラウドvsオンプレ
アジリティと自動化
高可用性
###おなじみAWS責任共有モデル
コンピューティング、ネットワーク、ストレージ等、クラウド基盤はAWSの責任範囲
OSレイヤ以上は、利用者側の責任ではあるが、SIerやベンダーと協力して対応して行く必要がある。
インシデントの種類をマッピングして、対応すべきセキュリティインシデントを明確にすることが大事。
##Alert Logicについて
セキュリティの専門家がSOCで監視している。
リクエストとレスポンスのペイロードがコンソールで見れる。

#Session3:「脆弱性について疑似クラッキング（デモ）をやってみる～脆弱性対策はとても大切。でも多くの人はそれに気づかないんだ〜」
エフセキュア株式会社河野真一郎さん

セキュリティ営業3年目（2月からエフセキュア所属）
本社はフィンランド
衣装はガルパンモチーフ
##まずは質問
脆弱性をついたクラッキングデモを実際に見たことある方ー！（会場は半々）
##今回のシナリオ
標的型メールの添付ファイル（履歴書）を送りつけて、開いてしまった。
###前提条件
アンチウィルス、メールサーバ前段のFirewallでは阻害されない

標的型攻撃なので事前調査している想定

AWS接続が簡単なのは、デモのため。
###デモ
開いた時点で、Windows7の一般権限は取れている。
攻撃ツールを使用してコマンドプロンプトを操作できる。
1分に一回だけ使える脆弱性をついてAdministoratorに昇格。
PowerShellでDomain Adminを取るまで約6分
###OSのパッチ適用してる？
Linuxでも脆弱性管理をしていなければ、ハッカーにかかれば危ない。
OSのパッチ適用だけでは不十分（脆弱性は全体の約12%）
ミドルウェア、アプリケーションの脆弱性が85%をを占める。
##宣伝
エフセキュアでは、Rapid Detection Serviceというサービスがある。
デモのような脆弱性がないかを見て欲しいひとはコンタクトして！

#Session4:「AWS使って社内CTFを開催してみたよ」
洲崎さん
謎の勉強会ssmjpの運営やってます。
##某社で社内CTFを開催しました
会社のHP
30人規模から70人規模に参加者が増えた
セキュリティエンジニアに楽しんで貰える
集合研修方式
Jeopardy形式
CTF終了後には問題と解説を配布（希望者には環境も）
##ガジェット
状況を表示するLED看板
ラズパイでスコアサーバのWebAPIに定期的に投げる
スコアサーバは自作
運用管理ダッシュボードを用意
競技PCはWorkspacesを使いたいなー（NGだった）
##得られた知見
AWSでイベントやるには申請が必要。
日本語NG。英語で申請。
EC2のみ。WorkspacesはNG。
申請時にはかなり細かく聞かれる。終わるときにはイベント設計が終わってるレベル。
申請から承認まで7日と言われたが、割とすぐに承認がおりた。
##Docker(ECS)を使いたかった
時間の関係でEC2に
使えたらECRでデプロイが超ラクになる
##監視サーバ
Zabbix Docker Monitoringを使ってみた。
TCPとWebサービスについて
##実際にかかった金額
準備期間を含めて$2555だった。
Workspacesの検証がなければもっと安くあがっただろう
##QA
参加者の平均年齢は？

若手が多かったが、ベテランまで

運営は何人？

5人。問題は2人で作った。大変だった。他の人も巻き込んでいきたい。

参加者スキルのピンきり具合

満足度は70%(研修としては悪め)
事前にフルイにかけたけど、ミスマッチした方は残念だった。
トップは、CTF運営経験者だった

正答率は？

71.38%。8割の問題が解かれた。
2割の問題が解かれなかった。（作った人は凹んでた。作ったのに解かれないのは悲しい。）

#最後に
質疑応答も活発でした！
次回も楽しみですね！

今日はここまでです。
お疲れ様でした。