AWSでセキュリティをここまで高められる〜JAWS-UG千葉スタートアップあるある〜 #jawsug #chibadan
•
8 j'aime•3,962 vues
2014.4.5 JAWS-UG千葉での発表資料
Recommandé
Contenu connexe
Tendances
Tendances (20)
En vedette
Similaire à AWSでセキュリティをここまで高められる〜JAWS-UG千葉スタートアップあるある〜 #jawsug #chibadan
Similaire à AWSでセキュリティをここまで高められる〜JAWS-UG千葉スタートアップあるある〜 #jawsug #chibadan (20)
Plus de 真吾 吉田
Plus de 真吾 吉田 (20)
Dernier
Dernier (10)
AWSでセキュリティをここまで高められる〜JAWS-UG千葉スタートアップあるある〜 #jawsug #chibadan
- 2. 自己紹介 吉田 真吾（よしだ しんご） エバンジェリスト、ソリューションアーキテクト AWSサムライ2014（Japan AWS UserGroup） AWS Certified Solutions Architect ‒ Associate AWS Certified SysOps Administrator - Associate バックグラウンド 通信キャリア：基地局制御、GISサービス 開発 SIer：証券システム基盤 開発 • DBA、スペシャリストとしてDBチューニングや新規システム構築を推進
- 5. ♥️
- 7. 2003年創業
- 10. cloudpack の価値 AWS専門部隊 コンサルティング、アセスメント、導入設計 ホスピタリティ 24時間365日有人監視、保守対応 実績 350社を超えるアカウントを運用する運用品質 セキュリティ PCI DSS Level 1 Service Provider 認定 スピード 最短30分でのデリバリー実績 Virtual Private Cloud（10.0.0.0/20） Availability Zone A IGW Availability Zone B VPC Subnet NATELBELBELB VPC Subnet EC2 EC2 EC2 EC2 EC2 VPC Subnet VPC Subnet NAT DB VPC Subnet EC2 EC2 EC2 EC2 EC2 VPC Subnet VPC Subnet NAT VPC Subnet ELBELBELBNAT
- 13. 0 to 350<
- 14. Our Customers
- 15. ! • 2013年6月
- 16. 50>
- 23. PCI DSS要件 要件1: カード会員データを保護するために、ファイアウォールをインストール して構成を維持する 要件2: システムパスワードおよび他のセキュリティパラメータにベンダ提供の デフォルト値を使用しない 要件3: 保存されるカード会員データを保護する 要件4: オープンな公共ネットワーク経由でカード会員データを伝送する場合、 暗号化する 要件5: アンチウィルスソフトウェアまたはプログラムを使用し、定期的に更新 する 要件6: 安全性の高いシステムとアプリケーションを開発し、保守する 要件7: カード会員データへのアクセスを、業務上必要な範囲内に制限する 要件8: コンピュータにアクセスできる各ユーザに一意の ID を割り当てる 要件9: カード会員データへの物理アクセスを制限する 要件10: ネットワークリソースおよびカード会員データへのすべてのアクセス を追跡および監視する 要件11: セキュリティシステムおよびプロセスを定期的にテストする 要件12: すべての担当者の情報セキュリティポリシーを整備する
- 25. PCI DSS要件 要件1: カード会員データを保護するために、ファイアウォールをインストール して構成を維持する 要件2: システムパスワードおよび他のセキュリティパラメータにベンダ提供の デフォルト値を使用しない 要件3: 保存されるカード会員データを保護する 要件4: オープンな公共ネットワーク経由でカード会員データを伝送する場合、 暗号化する 要件5: アンチウィルスソフトウェアまたはプログラムを使用し、定期的に更新 する 要件6: 安全性の高いシステムとアプリケーションを開発し、保守する 要件7: カード会員データへのアクセスを、業務上必要な範囲内に制限する 要件8: コンピュータにアクセスできる各ユーザに一意の ID を割り当てる 要件9: カード会員データへの物理アクセスを制限する 要件10: ネットワークリソースおよびカード会員データへのすべてのアクセス を追跡および監視する 要件11: セキュリティシステムおよびプロセスを定期的にテストする 要件12: すべての担当者の情報セキュリティポリシーを整備する 要件1: カード会員データを 保護するために、ファイア ウォールをインストールし て構成を維持する
- 27. セキュリティソフトウェア導入 Trend Micro Deep Security IPS/IDS/改ざん検知/Firewall/WAF/ログ監視 ServerProtect ウィルス対策（リアルタイムスキャン）
- 28. PCI DSS要件 要件1: カード会員データを保護するために、ファイアウォールをインストール して構成を維持する 要件2: システムパスワードおよび他のセキュリティパラメータにベンダ提供の デフォルト値を使用しない 要件3: 保存されるカード会員データを保護する 要件4: オープンな公共ネットワーク経由でカード会員データを伝送する場合、 暗号化する 要件5: アンチウィルスソフトウェアまたはプログラムを使用し、定期的に更新 する 要件6: 安全性の高いシステムとアプリケーションを開発し、保守する 要件7: カード会員データへのアクセスを、業務上必要な範囲内に制限する 要件8: コンピュータにアクセスできる各ユーザに一意の ID を割り当てる 要件9: カード会員データへの物理アクセスを制限する 要件10: ネットワークリソースおよびカード会員データへのすべてのアクセス を追跡および監視する 要件11: セキュリティシステムおよびプロセスを定期的にテストする 要件12: すべての担当者の情報セキュリティポリシーを整備する 要件5: アンチウィルスソフト ウェアまたはプログラムを使 用し、定期的に更新する
- 29. セキュリティ＋ ! • •
- 30. PCI DSS要件 要件1: カード会員データを保護するために、ファイアウォールをインストール して構成を維持する 要件2: システムパスワードおよび他のセキュリティパラメータにベンダ提供の デフォルト値を使用しない 要件3: 保存されるカード会員データを保護する 要件4: オープンな公共ネットワーク経由でカード会員データを伝送する場合、 暗号化する 要件5: アンチウィルスソフトウェアまたはプログラムを使用し、定期的に更新 する 要件6: 安全性の高いシステムとアプリケーションを開発し、保守する 要件7: カード会員データへのアクセスを、業務上必要な範囲内に制限する 要件8: コンピュータにアクセスできる各ユーザに一意の ID を割り当てる 要件9: カード会員データへの物理アクセスを制限する 要件10: ネットワークリソースおよびカード会員データへのすべてのアクセス を追跡および監視する 要件11: セキュリティシステムおよびプロセスを定期的にテストする 要件12: すべての担当者の情報セキュリティポリシーを整備する
- 32. PCI DSS要件 要件1: カード会員データを保護するために、ファイアウォールをインストール して構成を維持する 要件2: システムパスワードおよび他のセキュリティパラメータにベンダ提供の デフォルト値を使用しない 要件3: 保存されるカード会員データを保護する 要件4: オープンな公共ネットワーク経由でカード会員データを伝送する場合、 暗号化する 要件5: アンチウィルスソフトウェアまたはプログラムを使用し、定期的に更新 する 要件6: 安全性の高いシステムとアプリケーションを開発し、保守する 要件7: カード会員データへのアクセスを、業務上必要な範囲内に制限する 要件8: コンピュータにアクセスできる各ユーザに一意の ID を割り当てる 要件9: カード会員データへの物理アクセスを制限する 要件10: ネットワークリソースおよびカード会員データへのすべてのアクセス を追跡および監視する 要件11: セキュリティシステムおよびプロセスを定期的にテストする 要件12: すべての担当者の情報セキュリティポリシーを整備する 要件10: ネットワークリソース およびカード会員データへの すべてのアクセスを追跡および 監視する
- 33. アクセス記録・ログ集約管理 ログ管理 EC2インスタンス内に1週間分残す fluentd経由でログサーバーへまとめ、S3へアーカイブ [参考] FluentdでWeb Storage Archiveパターン http://blog.cloudpack.jp/2013/01/aws-news-cdp-web- storage-archive-fluentd.html
- 36. PCI DSS要件 要件1: カード会員データを保護するために、ファイアウォールをインストール して構成を維持する 要件2: システムパスワードおよび他のセキュリティパラメータにベンダ提供の デフォルト値を使用しない 要件3: 保存されるカード会員データを保護する 要件4: オープンな公共ネットワーク経由でカード会員データを伝送する場合、 暗号化する 要件5: アンチウィルスソフトウェアまたはプログラムを使用し、定期的に更新 する 要件6: 安全性の高いシステムとアプリケーションを開発し、保守する 要件7: カード会員データへのアクセスを、業務上必要な範囲内に制限する 要件8: コンピュータにアクセスできる各ユーザに一意の ID を割り当てる 要件9: カード会員データへの物理アクセスを制限する 要件10: ネットワークリソースおよびカード会員データへのすべてのアクセス を追跡および監視する 要件11: セキュリティシステムおよびプロセスを定期的にテストする 要件12: すべての担当者の情報セキュリティポリシーを整備する 要件6: 安全性の高いシステム とアプリケーションを開発し、 保守する
- 37. 脆弱性対策 ミドルウェア最新化 Apacheはパッケージでは不可だったため、最新版ソースをコ ンパイル • IPA（独立行政法人 情報処理推進機構）の定めるCVSS 4.0以上（レベルIII危険＋レベルII警告） はすべて対策必須のため Deep Security仮想パッチ ソフトウェアのセキュリティパッチ提供前に脆弱性を保護 パッチ適用後は自動的に外れる
- 38. ワンストップでサービス提供 PCI DSS準拠支援 QSA インフラ構築 PCI DSS準拠対策 エンドユーザー PCI DSSレベル1 サービスプロバイダ PCI DSS準拠 インフラ構築サービス
- 41. 値下げされたRIの話
- 44. RI 1年 ここで元が取れる
- 45. RI 1年 ここで元が取れる
- 46. ！？
- 48. RI 3年 ここで元が取れる
- 52. 東京/Linux/m3.medium RI 3年 軽度： $0.072 ( $190 ) 中度： $0.034 ( $304 ) 重度： $0.025 ( $375 ) オンデマンド： $0.101 1 ∼ 6ヶ月：$0.101/h 7 ∼12ヶ月（10%OFF）：0.101 * 0.9 = $0.09/h 13∼18ヶ月（30%OFF）：0.101 * 0.9 * 0.7 = $0.063/h 19∼24ヶ月（10%OFF）：0.101 * 0.9 * 0.7 * 0.9 = $0.057/h 25∼30ヶ月（30%OFF）：0.101 * 0.9 * 0.7 * 0.9 * 0.7 = $0.04/h 31∼36ヶ月（10%OFF）：0.101 * 0.9 * 0.7 * 0.9 * 0.7 * 0.9 = $0.036/h まあまあ大丈夫そう