クラウドに限らずプロダクトやサービスのセキュリティ機能を適切に使うことは企業の情報セキュリティ上とても重要なことです。今回の放送では不適切な管理の結果、残念ながら起きてしまった GCP 上でのインシデント例を元に、それを防ぐにはどうすればいいか、起きてしまったときにどうすればいいかを説明します。

1. Cloud Onr
Cloud OnAir
Cloud OnAir
安心して GCP を使うための処方箋
~ 実際のインシデントをもとに ~
2019 年 11 月 14 日 放送

2. Agenda
Cloud OnAir
1
3
2
実際に目にするインシデントとありえる原因
組織として守るための GCP 基礎知識
具体的にどうすればよいのか

3. Cloud OnAir
Cloud OnAir
実際に目にするインシデントと
想定される原因

4. Cloud OnAir
実際に目にするインシデント
ある日、不審な課金に気づく

5. Cloud OnAir
実際に目にするインシデント
ある日、不審な課金に気づく
Compute
Engine
GPU
Compute
Engine
GPU
Compute
Engine
GPU
Compute
Engine
GPU
見知らぬ GPU 付きの
インスタンスがたくさんできている
GCP プロジェクトへ 「何かしらの理由で」不正アクセスされている

6. Cloud OnAir
このインシデントが起きてしまう背景
誰かが 作った
Compute
Engine
GPU
Compute
Engine
GPU
Compute
Engine
GPU
Compute
Engine
GPU
見知らぬ GPU 付きの
インスタンス

7. Cloud OnAir
● ID の不正利用
○ Google アカウントがフィッシング被害にあった
○ サービス アカウントのキーを誤って公開してしまった
● 不正利用されたID にインスタンス作成をする権限があった
○ インスタンスを作成する権限
○ 権限を与えることができる権限
● 検知をする仕組みがなかった
○ ログを定期的に確認していなかった
想定される原因
※ これがすべてではありません

8. Cloud OnAir
Cloud OnAir
組織として守るための GCP 基礎知識

9. Cloud OnAir
Google アカウント の分類
Google アカウント
個人管理 (非推奨) 企業管理 (推奨)
G Suite
Cloud Identity
Premium
Cloud Identity
gmail.com 企業ドメイン 企業ドメイン

10. Cloud OnAir
● アカウント ライフサイクルの管理が可能
○ Active Directory との連携が可能 (Google Cloud Directory Sync )
● 2 要素認証を全員必須にすることが可能
● SAML 対応
○ Google を IdP として他アプリケーションの認証が可能
○ 他 IdP の認証を利用することも可能
● セットアップにドメイン認証が必要
○ DNS への TXT レコードの追加が必要
企業管理の Google アカウント

11. Cloud OnAir
Google Cloud Directory Sync (GCDS)
LDAP /
LDAP + SSL
HTTP/HTTPS
Active Directory
LDAP Directory
ユーザー
エイリアス
プロファイル
グループ
OU
GCDS
一方向の同期
差分同期
定期実行可能
マッピング
例外処理等

12. Cloud OnAir
様々なレベルの多要素認証 (MFA)
SMS / 音声 バックアップコード 認証メッセージ
（TOTP）
モバイルへの
プッシュ
FIDO セキュリティキー
保証
多くの種類の MFA が存在しますが、全て異なるレベルの保証や利便性を提供しています
フィッシング耐性

13. 画像を配置後
左側の図形とフッターロゴを
被せて下さい
https://goo.gl/uHwh8Y
Cloud OnAir
Titan Security Key
Cloud OnAir
強化されたアカウント保護
フィッシング耐性の 2 要素認証により、
ユーザー ID とサインインの URL を検証
信頼されているハードウェア
Google が作成したキーの完全性を
検証するためのファームウェアによる
セキュリティ要素を含む
オープンエコシステム
広く使われているブラウザーや
成長しつつある FIDO を
サポートするサービスの
エコシステムと協業

14. Cloud OnAir
GCP の組織とは
● GCP の階層管理における
最上位の概念
● G Suite / Cloud Identity の
プライマリドメインと 1:1 の関係
● IAM 権限や組織ポリシーの
階層管理が可能
example.com
A 部 B 部
チーム Eチーム DチームC
Project HProject GProduct F
VM バケット
データセッ
ト
組織
フォルダ
プロジェクト
リソース

15. Cloud OnAir
GCP のフォルダとは
A 部 B 部
チーム Eチーム DチームC
Project HProject GProduct F
VM バケット
データセッ
ト
フォルダ
プロジェクト
リソース
● 組織配下で複数のプロジェクトを
まとめる
● 10 階層まで
● フォルダ直下には 300 フォルダ
まで
● 組織図通りに作るのではなく
委譲できる権限や管理対象の
分かれ目で作成することが推奨

16. Cloud OnAir
GCP のプロジェクトとは
● GCP における
マルチテナントのキー
● すべてのリソースが
プロジェクトに紐づく
● プロジェクトごとに全く別の
環境が提供される
● 組織なしのプロジェクトは
オーナーが消えると消える
example.com
A 部 B 部
チーム Eチーム DチームC
Project HProject GProduct F
VM バケット
データセッ
ト
組織
フォルダ
プロジェクト
リソース

17. Cloud OnAir
● 組織ポリシーを使うことで、
GCP 組織の階層構造に沿って
継承させられるポリシーを
定義し、各プロジェクトや
リソースにその制約をかける
ことができる
組織ポリシー

18. Cloud OnAir
GCP におけるログ
● Stackdriver Logging に集約
● ユーザー側のログもエージェント
やライブラリで送付可能
● 高速なフィルタリング
● BigQuery GCS Pub/Sub への
エクスポート
● ログの出現回数などを
メトリックにすることも可能
Stackdriver
Logging
GCP ログ
Activity
Data Access
ユーザーログ
OS
アプリ

19. Cloud OnAir
Cloud OnAir
具体的にどうすればよいのか

20. Cloud OnAir
● プロジェクトのわけ方
○ 環境を分けたい
■ アプリケーション / マイクロ サービスごと
■ 環境種別ごと (本番/ステージング/開発/検証)
○ 同一 ユーザーに対する権限を分けたい
■ 環境種別ごと (本番/ステージング/開発/検証)
プロジェクトを細かめにわける
多くのロールはプロジェクト単位で付与することになるため、
なるべく細かく分けておけばダメージを最小化できる

21. Cloud OnAir
IAM Recommender を活用する
割り当てられているが、使われていない権限を見つけて、
「最小権限の原則」の容易な実装を支援

22. Cloud OnAir
● <サービス名>.<リソース名>.setIamPolicy
○ 「権限設定できる」権限
○ 特に resourcemanager.projects.setIamPolicy
■ 組織管理者/オーナー/編集者に含まれる
● iam.serviceAccounts.actAs
○ サービスアカウントとして操作できる権限
○ オーナー/編集者/サービスアカウントアクターに含まれる
特に注意が必要な権限

23. Cloud OnAir
監査用プロジェクトにログを集約
クラウドユーザープロジェクト
プロジェクトのログ
Stackdriver Logging
クラウドユーザープロジェクト
プロジェクトのログ
Stackdriver Logging
クラウドユーザープロジェクト
プロジェクトのログ
Stackdriver Logging
クラウド組織全体のセキュリティ管理者プロジェクト
プロジェクトのログスト
リーム
Cloud Pub/Sub
サードパーティー監査
ツール、
セキュリティ ツール
ログ保管領域
Cloud Storage
ログ分析領域
BigQuery
セキュリティ部門がある場合は
中央集権的にログを収集、監査できるようにする

24. Cloud OnAir
監査ログに対して組織レベルでできること
● 組織内の全てのプロジェクトの
監査ログへの一括エクスポート機能
● 特定のフォルダ配下のみへの設定も可能
集約エクスポート デフォルトの監査構成でオンにしておく
GCP 組織

25. Cloud OnAir
ログが多くなりすぎるときは除外を活用する
ログエントリー
Logging API
Yes
Logging
ログエントリ
は捨てられる
Yes
No
除外
エクス
ポート
Cloud
Storage
BigQuery
Cloud
Pub/Sub

26. Cloud OnAir
● GCP のリソース/アセットの推移をトラッキング
○ 「先週どんな構成だったか？」がわかる
● GCP 上の他のセキュリティ機能やパートナーソリューションと
連携して、現状のセキュリティの状況を俯瞰
● プロジェクトやリージョンに限らず組織レベルで
全リージョンの情報収集
Cloud Security Command Center とは

27. Cloud OnAir
Cloud Security Command Center

28. Cloud OnAir
Stackdriver Logging のログを
スキャンし、以下のような不審な
活動を検知
● SSH ブルートフォース
● コインマイング
● IAM 権限の不審な付与
● マルウェア感染
● フィッシング
CSCC Event Threat Detection

29. Cloud OnAir
● 組織全体の GCP リソースの設定をスキャンし、
セキュリティ観点でリスクがある設定を発見
● スキャンしてくれる設定の代表例
○ 2 要素認証が有効になっていない
○ Firewall が開いている
○ Audit Log が無効になっている
CSCC Security Health Analytics