de:code 2018 で登壇したセッションの資料です。 ------------- クラウドのセキュリティに不安を感じますか？それならば、まずはあなたにとって「セキュリティ」とは具体的に何を指しているのか整理するところから始めてみてはいかがでしょうか。本セッションでは、Azure の利用に関するセキュリティの種別を整理し、それぞれのセキュリティ課題に対する対処ポイントを解説します。また、Azure の標準セキュリティ機能を用いた対処方法に加え、サード パーティのセキュリティ製品の利用検討のポイントをご紹介します。また、実例として、金融機関にも利用いただいている日本ユニシスの Open API Platform「Resonatex」のセキュリティ デザインについてご紹介します。

1. 「Azure のセキュリティと言っても範囲が広すぎるので、
どこから手を付けたら良いのか分からない！」
という方のためのセッション
CI17

2. 自己紹介

3. 本セッションについて

4. 機密性
その情報を知る必要があるユーザー
のみがデータにアクセスできること
アクセス権の管理
データの暗号化
完全性
情報が適切に処理され、
データが不正に変更されないこと
トランザクションの制御
デジタル署名
可用性
システムが安定的に稼働し、
データがいつでも参照できること
災害対策（Disaster Recovery）
バックアップ
セキュリティの三要素

5. TrustedProductiveIntelligentHybrid

6. お問い合わせの多いご質問の傾向
オンプレミスとクラウドの違いとは何か？
実装方法
サービスの質問 使い方の質問 サード パーティ製品

7. お問い合わせの多いご質問の傾向
オンプレミスとクラウドの違いとは何か？
実装方法
サービスの質問 使い方の質問 サード パーティ製品

8. セキュリティのカテゴリーの関係性
インシデント
レスポンス

9. オンプレミスと Azure の大きな違い
アプリ担当
ミドルウェア担当
OS 担当
仮想化基盤担当
ネットワーク担当
アプリ担当
ミドルウェア担当
OS 担当
仮想化基盤担当
ネットワーク担当

10. マイクロソフトと作業と責任を分担する

11. https://servicetrust.microsoft.com/
Azure の中の人の対応状況を確認する

12. Azure の中の人の対応状況を確認する
https://blogs.msdn.microsoft.com/appserviceteam/2018/01/18/demystifying-the-
magic-behind-app-service-os-updates/

13. サービスと作業
ネットワークの制御 可能 可能 インターネットのみ
TLS/暗号スイート OS の設定でフルカ
スタマイズが可能
限定的に可能 TLS のみ可能
セキュリティ
アップデートの作業
ユーザー マイクロソフト マイクロソフト
運用コスト 大 中 小
マイクロソフトに任せるか？自分で実装するか？

14. サービスと作業
ネットワークの制御 可能 可能 インターネットのみ
TLS/暗号スイート OS の設定でフルカ
スタマイズが可能
限定的に可能 TLS のみ可能
セキュリティ
アップデートの作業
ユーザー マイクロソフト マイクロソフト
運用コスト 大 中 小
マイクロソフトに任せるか？自分で実装するか？

15. • システムに関わる人・アプリと役割の定義
• 役割に応じた適切な権限の設定
• ID とアクセス権の集中管理
• 強固な認証方式の提供
ID とアクセス管理
データの管理
ネットワーク
機密性・完全性への対応

16. ID とアクセス管理
• 機密データの検出とラベリング
• データを安全に制御
• 暗号化
• 不正なプログラムからの防御
データの管理
ネットワーク
機密性・完全性への対応

17. ID とアクセス管理
データの管理
• イントラネットとインターネットの境界
• アクセスを許可するポートの制御
• 通信を許可するアプリケーションの識別
• 通信の暗号化
ネットワーク
機密性・完全性への対応
Azure
Virtual Network
Azure
Express Route
Network
Security Group
Azure
Application Gateway

18. • ID 基盤の冗長化
ID とアクセス管理
• 複製、バックアップ機能の利用
データの管理
• 複数リージョンとの接続
• リージョンを超えたロード バランシング
ネットワーク
可用性への対応
Azure Backup
Azure AD
Azure
Traffic Manager
Azure
VNET Peering
Azure
VPN Gateway

19. セキュリティの三要素が満たされた状態を保つ
ID とアクセス管理
データの管理
ネットワーク
• 構成情報、変更の監視
構成の標準化
• 構成変更・アクセス ログ
行動の記録と監査
• 関係者への報告
• インシデント対応
インシデント レスポンス

20. CIS Microsoft Azure Foundations Security Benchmark
https://azure.microsoft.com/en-us/resources/cis-microsoft-azure-foundations-security-benchmark/

21. サード パーティ製品の利用
192.168.0.0/24 からの
Web アクセスのみ許可
192.168.0.0/24 内の PC
インターネット
HTTP/HTTPS OK
RDP NG
全ての通信 NG

22. Demo

23. デモ環境で検出された主な脅威

24. オープン API プラットフォーム
“Resonatex” を例にした
クラウド セキュリティの考え方
CI17

25. Resonatex とは
金融機関をはじめとした様々な企業体のオープン API を
セキュアに公開。
API 利用企業と API 提供企業をつなぎ、API エコノミーの
実現を支援するオープン API プラットフォーム サービス。
http://www.unisys.co.jp/news/nr_170926_resonatex.html

26. Resonatex とは
地公体金融機関 A 異業種
Fintech 異業種 IoT・Big Data
API 利用
サービス
エンド ユーザー（消費者・企業）
自社アプリ
API 公開
プラット
フォーム
API 提供
サービス
共通アカウント”AduME”
認可エンジン
所有権管理
（オーナーシップ マネジメント）
「ResonatexTM」
金融機関 B

27. • Microsoft Azure プラットフォーム上にセキュアな VNET を構成
• その中に IaaS（Virtual Machines）で機能構築 ＋
いくつかの PaaS（API 管理：Azure API Management、
OAuth 2.0 認可：Authlete 等）を利用
• API を公開する企業群とは閉域ネットワーク（ExpressRoute）で接続
Resonatex のシステム構成

28. • スピード・コスト・セキュリティ、そのためのクラウド
• インターネット上の脅威、より優れた技術、凄まじいスピードで進化
• 変化の激しい分野においては、オープン イノベーションの考え方で
よりよいものを組み合わせ、進化させつつ対応していくことが最適解
自前主義はナンセンス
• そもそも API はオープン イノベーションのための実装技術
そのためのプラットフォームで全自前主義で頑張っても無意味
なぜ Resonatex はクラウドなのか？

29. • ネットワーク セキュリティの観点から見ると、Resonatex はいわば
企業システムとインターネットの境界面・セキュリティ防護層
• セキュリティ実装の詳細は、残念ながら公開できませんが。。
金融機関に求められるレベルのセキュリティ要件をベースに、
Azure で提供されるもの、その他のもの、色々と組み合わせて実現
Resonatex のセキュリティ

30. ① オンプレでのベスト プラクティスはそのままでは通用しない
• 例えば。。
IPS はオンプレではインライン接続で設置するのが定石だが。。
クラウド上でのセキュリティ確保の留意点
Internet 内部 NetworkIPS/IDSFirewall

31. ① オンプレでのベスト プラクティスはそのままでは通用しない
• クラウドの場合、物理的な「インライン」設置は不可
➢インライン接続的な動作を実現するため、外部からの通信を
一旦 IPS にルーティングした上で内部 NW に流す構成とした
クラウド上でのセキュリティ確保の留意点
Internet 内部 NetworkIPS/IDSFirewall

32. ② PaaS には注意
• 運用・保守を気にすることなく機能利用できる PaaS は非常に便利
• 一方、種々の制限/落とし穴もある たとえば。。
クラウド上でのセキュリティ確保の留意点

33. ② PaaS には注意（つづき）
• セキュアな VNET を構成しても、PaaS の DB サービスである
Azure SQL Database はその VNET の中に置けなかった（※次ページ注）
Azure SQL Database としても種々のセキュリティ対策は可能だが
それだけでは要件に合わない場合は IaaS で実装要
クラウド上でのセキュリティ確保の留意点
セキュアな内部 Network
…

34. ③ でもクラウドはどんどん進化します
• どんどん新しいサービスができ、既存サービスも改善されていく
（改悪/廃止もままある。。）
• 前ページ記載の 「SQL Database を自 VNET 内に置けない問題」 も
今年になってある程度解決
➢クラウドにおけるベスト プラクティスはどんどん変わっていくため
常に動向に注意し、上手く対応していくことが重要
クラウド上でのセキュリティ確保の留意点

35. まとめ：実践していただきたい事

36. © 2018 パロアルトネットワークス株式会社 All rights reserved.
本コンテンツの著作権、および本コンテンツ中に出てくる商標権、団体名、ロゴ、製品、サービスなどはそれぞれ、各権利保有者に帰属します。
本情報の内容 (添付文書、リンク先などを含む) は、de:code 2018 開催日 (2018年5月22~23日) 時点のものであり、予告なく変更される場合があります