2018/12/20 AWS Loft Tokyoで開催したセキュリティセミナーのオープニング及びAWS Control Towerセッション資料です。 https://awsreinvent2018recapsecurityse.splashthat.com/

1. © 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.
AWS re:Invent 2018 Security re:Cap
桐山 隼人 Hayato Kiriyama
シニアセキュリティソリューションアーキテクト
Senior Security Solutions Architect
December 20, 2018

2. AWS RoboMaker
ROS
Amazon Managed
Blockchain
Hyperledger Fabric,
Ethereum
Amazon DeepRacer
1/18
AWS Ground Station

3. At Amazon, we
hire Builders and
let them build.

4. 何故Builderが必要なのか？
速いサイクルで回すこと
 イノベーションを実現できる
 自由をえることができる
 PDCAサイクルを迅速に
回すことができる

5. AWS Security Keynote

6. AWS Security Pace of Innovation in 2018
AWS re:Invent 2018: Leadership Session: AWS Security (SEC305-L)
https://www.youtube.com/watch?v=MdlFuFhetug

7. AWS Security Pace of Innovation in 2018

11. AWS re:Invent 2018: Leadership Session: AWS Security (SEC305-L)
https://www.youtube.com/watch?v=MdlFuFhetug

12. ISO Certified AWS Services

13. Builder
- Self Service Platform -

14. Builder
Gatekeeper Guardrail
V.S.

17. Directive
Control
Responsive
Control
Detective
Control
Preventative
Control

18. Directive
Control
Responsive
Control
Detective
Control
Preventative
Control

20. AWS Control Tower
AWS Security Hub

21. AWS Control Tower
マルチアカウントに対応したセキュアな環境を簡単に設定および管理

24. https://aws.amazon.com/jp/answers/aws-landing-zone/

25. •
AWS Organizations
• AWS SSO
(AD )
• AWS Config, AWS CloudTrail,
Amazon CloudWatch

26. •
•
•
•
•

27. •
•
•

28. •
•
•

30. Threats Vulnerabilities Assets

33. Appendix

34. AWS KMS AWS CloudHSM
AWS KMS Custom Key Store
• セキュリティやコンプライアンスについて厳しい要
件を持つユーザー向けに、AWS KMSで取り扱うキー
を占有ストアに格納するオプションを提供
• KMSが扱うキーをCloudHSMクラスタのHSMインスタ
ンスに格納することでKMSとは独立して管理可能
• これにより高いセキュリティバリデーションや高い
管理性、キー状態の可視化を実現できる
• 追加料金は不要だが、最低2つのHSMインスタンス
が必要
https://aws.amazon.com/jp/blogs/security/are-kms-custom-key-stores-right-for-you/

35. インタラクティブなログ分析を実現する
Amazon CloudWatch Logs Insightsを発表
• AWSが生成する各種ログや、様々なサーバアプリ
ケーションのログの分析や可視化を実現するフルマ
ネージドサービス
• CloudWatch Logsで収集したログに対して、クエリ言
語を利用してソースや時間でのフィルタリング・ビ
ジュアライズを実行できる
• クエリの結果をDashboardに追加することも
• 東京を含む各リージョンで利用可能。クエリにより
スキャンされたログデータ量に応じた課金があり、
$0.0076/GB(東京)となる
https://aws.amazon.com/jp/blogs/aws/new-amazon-cloudwatch-logs-insights-fast-interactive-log-analytics/

36. ACL制御
1. 新規Public ACLの付与とPublic
オブジェクトのアップロード
をブロック
2. Public ACLによって付与され
たアクセス権を削除
バケットポリシー制御
3. Publicバケットポリシー付与
をブロック
4. Publicポリシーをもつクロスア
カウントアクセスもブロック
Amazon S3 Block Public Access
S3
ACL

37. S3 Write Once, Read Many(WORM)
Amazon S3 Object Lock
• S3 WORM 2
•
• IAM
• Object Lock
• Bucket with objects

38. Thank you!
© 2018, Amazon Web Services, Inc. or its affiliates. All rights reserved.