Agenda

3本立て。

AWSのセキュリティ方針
AWS側のセキュリティ
AWS利用者側のセキュリティ

責任共有モデル

AWSと利用者、お互いでセキュリティを担保しましょうよ、という話。
インフラの部分はAWSが担保するので、その上で動くものについては利用者でちゃんとやりましょうねということ。利用者の方で担保する「責任」は、具体的には以下。

OS
F/W
N/W設定
アカウント管理
セキュリティグループ
アプリケーション

AWS側で提供するセキュリティ

項目としては以下の5項目。

物理セキュリティ
N/Wセキュリティ
VMセキュリティ
管理者層による管理者権限アクセス
認定＆認証評価

抜粋します。
詳しくはAWS Security Center参照。ホワイトペーパーも公開されてます。

N/Wセキュリティ

対策してる攻撃として以下の5点を挙げています。

DDoS
Man in the Middle
IPスプーフィング
許可されていないポートスキャン
パケット・スニッフィング

DDoSとIPスプーフィングは1セットっぽい。DDoSは特定のサービスへの集中砲火、IPスプーフィングは攻撃者の身元詐称、こう理解しています。

N/Wトラフィックフローセキュリティ

トラフィックを制御する手段は3つ。

セキュリティグループ
N/W ACL
Subnet, Routing Table, Gateway (VPC)

1台のホストを見るのであればOS F/W、複数台のホストを対象に適用するのがセキュリティグループ、ネットワーク全体に適用するのがACL。
要件によってサブネットを切ったりするけど、ACLはそういう1つの「要件」を満たす部分かなーと思っています。で、その中の(論理的な)構成要素に対してセキュリティグループを適用し、個別の面倒をOSのF/Wで見る。こんなところでしょうか。

VMセキュリティ

仮想化はまだよくわからんので飛ばします。でも理解しておきたいトピックなので項目だけ作っておく。

利用者側のセキュリティ

SlideShareより画像を引用します。

AWS独自のセキュリティ対策が以下。

Amazon VPCの利用
- セキュリティグループ
- N/W ACL
- ENI
- VPN/専用線接続
MFAデバイスの利用
IAMの利用

注意すべきは"VPC!=VPN"であること。VPNとか使わなくても、VPCを使っておいた方が利点が多いらしい。

IAM (Identity and Access Management)

多分この記事の最重要事項。チュートリアルの段階でも出てくるし。

IAMは AWSの操作 に対する権限を設定できる。ユーザ個別でも、グループ(複数ユーザ)に対してもOK。例えば「EC2の停止ができないユーザ」を作ることができる。結構きめ細かいなーという印象。

IAM Roleなるモノもあるらしいけど、ここでは触れません。

まとめ

共有責任モデルを理解し、必要なところだけに注力する
既存のセキュリティポリシーを適用
AWS独自の部分は、提供機能をしっかり利用

ACLもIAMも既存の機構に近いものなので、学習コストもそんなに敷居が高くなさそうですね。それぞれの適用シーンをもうちょっと押さえていきたいです。