Cloud Native Security

© Copyright 2017 Pivotal Software, Inc. All rights Reserved. Version 1.0
Version 1.0
September 2017
CredHub
Secure Credential Management in Cloud Foundry

ymantec 2016 Internet hreat eport
● 毎週、新たなゼロデイ脆弱性が発見されている
● 5億件も個人情報が盗まれた、また喪失した
● ウェブサイト 4分 3に脆弱性が見つかった
● 従業員を狙うスピアフィッシング攻撃が55パーセント増えた
● ランサムウェアが35パーセント増えた

ymantec 2016 Internet hreat eport
● 毎週、新たなゼロデイ脆弱性が発見されている
● 5億件も個人情報が盗まれた、また喪失した
● ウェブサイト 4分 3に脆弱性が見つかった
● 従業員を狙うスピアフィッシング攻撃が55パーセント増えた
● ランサムウェアが35パーセント増えた
技術進歩攻撃多様化脅威数増大

大打撃を与えるタイプ脅威
● マルウェア
○ これ、ウイルス、トロイ木馬、ワーム、スパイウェア、そ他悪意あるプログラムすべてに当
てまる用語です。
● 持続的標的型攻撃 (APT)
○ APTと、ネットワークへアクセスに成功した攻撃者が、長期にわたって検出されずに留まるタイ
プ侵害です。脅威が検出されずに留まれそれだけ、データリスクが高まります。
● 認証情報漏洩
○ 認証情報、情報またそ他リソースへアクセスを制御します。重要なシステムに対する従
業員認証情報を組織がいかに厳しく閉じ込めようとしても、相変わらず外に漏れてしまうようで
す。

従来エンタープライズセキュリティ考え方
システム変更リスク＝

従来エンタープライズセキュリティ考え方
システム変更リスク＝
セキュリティパッチ放置
マルウェア対策遅れ
認証情報更新遅れ

Cloud Native Security 3Rs
● Repair (修理)
○ ダウンタイムなしで VM 再構築
● Repave (再補修)
○ Stemcell(OS)やBuildpacks(アプリケーションスタック) 無停止で修正
● Rotate (循環)
○ 認証情報継続的かつ迅速な循環

Rotate
Secure Credential Management in Cloud Foundry

CredHub 機能
● Securing data for storage
● Authentication
● Authorization
● Access and change logging
● Data typing
● Credential generation
● Credential metadata
● Credential versioning

CredHub アーキテクチャ
CredHub
● REST APIサーバ
● 暗号化プロバイダー
○ AES256-GCM
○ LunaHSM
Authentication Provider
● UAA
● 相互TLS
Storage Provider
● MySQL
● PostgreSQL
PCFで BOSH Director上に構成

BOSH VM
CredHub
Elastic Runtime
MySQLfor PCF
Redis for PCF
Deployments
generate
rotate
etc..

jobs:
- name: streaming-mysql-backup-client
release: mysql-backup
consumes: {}
provides: {}
properties:
cf-mysql-backup:
symmetric_key: QlD5saBisFRCxzaP91Jxth-XPxUrxP3A
backup-all-masters: false
endpoint_credentials:
username: "((mysql-backup-server-db-credentials.username))"
password: "((mysql-backup-server-db-credentials.password))"

Rotate まとめ
● 利用技術
○ CredHub
○ OSSで開発が進む CF 用プロジェクト
○ CF内認証情報を一元管理する
○ BOSHマニフェスト内クレデンシャルを一部credhub で管理開始
○ PCF1.12から導入
○ 今後サービスクレデンシャルにも対応
● 利点
○ 認証情報循環を通した、情報漏えい対策が可能
○ 散財する認証情報を一元化
○ BOSHマニフェスト内へ認証情報記載を阻止(Gitにあげやすい)

Pivotal Cloud Foundryセキュリティへ取り組み
● 暗号化とセキュリティプロトコル
○ TLS, SSH, IPSec
● アンチウィルス
● 脆弱性対応
○ OSやミドルウェア脆弱性対応やアップグレードが容易
○ OSやミドルウェアセキュリティ対応を Pivotalが実施
● 認証
○ LDAP, AD, oAuthなど対応
● ログ
○ PCFから監査ログ、OS ログなどをすべて取得
○ 既存ログシステムを利用することでログ改ざん検知なども可能
● 脆弱性スキャニング
○ 出荷前にNessusを利用しチェック
○ 脆弱性対応 Pivotalが実施
○ アドオン機能を利用して定期的なスキャニングも可能
● 侵入検知と改ざん検知
○ ファイル改ざん検知アドオン機能を提供

Pivotal Cloud Foundry Security BOSH Add-ons
● アドオン機能によりセキュリティ機能を提供
● PCF常に展開するVMを管理するBOSHを介してア
ドオン形式でソフトウェアをインストール可能
● 一括適用や更新が可能であるため個別導入や
設定が不要となる
● ラインナップ
● File Integrity Monitoring Add-on
○ ファイル改ざん検知
● ClamAV Add-on
○ アンチウイルス
● IPSec Add-on
○ 通信暗号化
BOSH
Director
VM
FIM
ClamAV
IPSec
VM
FIM
ClamAV
IPSec
VM
FIM
ClamAV
IPSec

Cloud Native Security

Recommandé

Recommandé

Contenu connexe

Tendances

Tendances (17)

Similaire à Cloud Native Security

Similaire à Cloud Native Security (11)

Dernier

Dernier (12)

Cloud Native Security