SCS学習記録

キーストアは暗号化キーを保存する場所
デフォルトキーストアにHSMを使用している
HSMの管理をさらに強化する場合はカスタムキーストアを使う
カスタムキーストアで KMS キーを使用する場合、暗号化のオペレーションは、ユーザーのキーマネージャーが、ユーザーの暗号化キーを使用して実行するため、暗号化キーの可用性と耐久性、および HSM のオペレーションに対するユーザーの責任が増える
カスタムキーストアには下記の二種類がある
- AWS Cloud HSM キーストア
- 外部キーストア

akis 2023/10/27

VPNのルートテーブルの設定

Site-to-Site VPNで接続されたVPCのオンプレミスのデータセンター間で通信をしている
各サブネット→データセンター間の通信をする場合、データセンターのCIDRブロックが仮想プライベートゲートウェイを経由するようにルートテーブルを設定する

akis 2023/10/27に更新

AWS Audit Manager

規制とコンプライアンスを管理するためのツール

akis 2023/10/27

AWS コスト異常検出

AWS コスト異常検出は、高度な Machine Learning テクノロジーを活用して、異常な支出と根本原因を特定します。

akis 2023/10/27

AWS Lambda でのコード署名の設定

Lambdaにデプロイされたコードの整合性を署名によって確認できる
AWS Signer を使ってデジタル署名されたコードパッケージを作成
コードパッケージをデプロイすると、Lambdaによってコードパッケージの検証が入る
署名プロファイル
- コードパッケージに署名できるユーザーを制御する

akis 2023/10/27

SecretsManagerで認証情報がローテーションされた後、LambdaでDynamoDBの認証情報の更新をする。

akis 2023/10/28

Amazon Inspector

EC2インスタンスにインストールしたAmazon Inspector エージェントが取得する情報からセキュリティ評価をする
評価内容は大きく分けて下記の二つ
- EC2のネットワークアクセス
- アプリケーションのセキュリティ
評価テンプレートに沿って自動でセキュリティチェック
- ルールパッケージ: セキュリティチェックのコレクション
- 評価実行期間
- 通知の送信先
セキュリティチェック内容はAWSが作成したものから選択し、自分で独自の内容は定義できない
ホスト評価ルールの例
- CVE
- CIS
- OS構成のベンチマーク
- セキュリティベストプラクティス
評価ターゲット: Inspectorの評価対象
- 対象リージョンすべてのインスタンスを含められる
- 個別にインスタンスを指定したい場合はタグを使う

akis 2023/10/28に更新

CloudTrailを用いたLambda API コールの記録

CloudTrailでLambda関数の呼び出しをデータイベントとして記録できる

akis 2023/10/28

アプリが参照するKMSキーの変更
キーの手動ローテーション時に、アプリケーションが参照するKMSキーを変更する場合は、エイリアスのターゲットKMSキーを変更するのが楽。

akis 2023/10/29

各AWSセキュリティサービスで検知する内容

Inspector→EC2の脆弱性検知
GuardDuty→AWSアカウント内のセキュリティ検知
Macie→S3上の個人情報検知

akis 2023/10/29

DirectConnectとVPNを組み合わせる

akis 2023/10/29

別アカウントへのKMSキーの許可

KMSキーを別アカウントに許可することは可能
キーポリシーのPrincipalに書く

akis 2023/10/29

AWS管理キーのキーポリシーは設定できない

akis 2023/10/29

access-keys-rotatedルールの設定期間

アクセスキーの生成後の経過期間を90日間検知可能
これ以上の期間はEventBridgeとLambdaを用いる

akis 2023/10/29

削除されたCMKの復旧は出来ない

akis 2023/10/30

SecurityHubデプロイのポイント

全リージョンと全AWSアカウントを対象にする。

akis 2023/10/30

Cloudformation Guard

CloudFormation テンプレート（以下、CFn テンプレート）が、ポリシーガイドラインに準拠しているか確認できるコマンドラインツール

akis 2023/10/30

SecurityHub ワークフローステータス

検出結果の調査状況を追跡するステータス

ステータスの値

新規(NEW)
通知済み(NOTIFIED)
抑制済み(SUPPRESSED)
解決済み(RESOLVED)

akis 2023/10/30

BatchUpdateFindingsAPI

SecurityHubの検出結果のフィールドを更新するAPI

akis 2023/10/30

SecurityHubでは、個別のセキュリティチェックを無効化することが可能

akis 2023/10/30に更新

GuardDutyに信頼できるIPリストを伝える方法

信頼できるIPリストを記載した構成ファイルをプレーンテキストで作成する
構成ファイルをS3にアップロードする

akis 2023/10/30

SCP でサポートされていない要素

Principal
NotPrincipal
NotResource

akis 2023/10/30

KMSカスタムキーストアでサポートされていない機能

非対称 KMS キー
非対称データキーペア
HMAC KMS キー
インポートされたキーマテリアルを持つ KMS キー
自動キーローテーション
マルチリージョンキー

akis 2023/10/30

S3にCloudfrontディストリビューションからのみアクセスできるようにする方法

OAI + パブリックアクセスブロック

akis 2023/10/31

Inspectorの検出結果タイプ

Package 脆弱性
コード脆弱性
ネットワーク到達性

akis 2023/10/31

AWS Systems Manager インベントリ

コンピューティング環境のメタデータを収集しS3に保存
組み込みツールでメタデータにクエリを投げ、更新が必要なノードを診断

akis 2023/10/31

AWS Systems Manager Compliance

AWS Systems Manager の機能であるコンプライアンスを使ってマネージドノードのフリートをスキャンし、パッチコンプライアンスと設定の不整合を調べるために使用できます。

akis 2023/10/31

DNSクエリログ

次の DNS クエリをログ記録できます。
指定した Amazon Virtual Private Cloud VPC で発生するクエリ、およびこれらの DNS クエリに対する応>答。
インバウンドの Resolver エンドポイントを使用する、オンプレミスのリソースからのクエリ。
再帰的な DNS 解決にアウトバウンドリゾルバーのエンドポイントを使用するクエリ。
Route 53 Resolver DNS Firewall のルールを使用して、ドメインリストをブロック、許可、またはモニタリングするクエリ。

akis 2023/10/31に更新

Contributor Insights

ログデータを分析し、コントリビューターデータを表示する時系列を作成できます。

システムのパフォーマンスに影響を与えている人や物を判断できます。たとえば、不良ホストを検出したり、最も重いネットワークユーザーを特定したり、エラーを最も多く生成する URL を検索したりできます。

akis 2023/11/01

OAIと暗号化について

OAIと同時に使えるSSEはSSE-S3しかない
OACを使えばSSE-KMSも設定できる

akis 2023/11/01

CloudTrailが無効になっていた場合の調査

GuardDutyからCloudTrailLoggingDisabledイベントの詳細をDetectiveで調査できる
- イベントに関連するユーザー名
- CloudTrailが無効になっている間に発生したアクションを特定できる

akis 2023/11/01

ECR イメージスキャンニング

コンテナイメージ内のソフトウェアの脆弱性をチェックできる
- 拡張スキャン
  - Inspectorと統合して、自動継続的にスキャンを実行
  - OSとプログラミング言語パッケージの両方の脆弱性をチェック
- ベーシックスキャン
  - オープンソースのClairプロジェクトのCVEデータベースを使用
  - プッシュ時に自動スキャン
  - 手動スキャンも可

akis 2023/11/01

IMDSv2から取得したロールを矯正するIAMポリシー

{
    "Version": "2012-10-17",
    "Statement": [
               {
            "Sid": "RequireAllEc2RolesToUseV2",
            "Effect": "Deny",
            "Action": "*",
            "Resource": "*",
            "Condition": {
                "NumericLessThan": {
                    "ec2:RoleDelivery": "2.0"
                }
            }
        }
    ]
}

akis 2023/11/01

IAMユーザーのアクセスキー漏洩時の対応手順

これらの資格情報がアクセスできるリソースを特定し、許可されたアクセスを確認する。
資格情報を無効化し、アカウントへのアクセスを防ぐ。
暴露された資格情報を使用して発行された一時的なセキュリティ資格情報を無効化する。一時的な資格情報の有効期限が切れるのを待たず、すぐに無効化する。
適切なアクセスを回復する。IAM ユーザーを作成するか、長期間有効な AWS 資格情報の代わりに IAM ロールやフェデレーションを使用することを検討。
S3 バケットのログや AWS CloudTrail ログを調べて、発生した可能性のあるアクションを特定する。。

akis 2023/11/02

EventBridgeでログインイベントを検知

akis 2023/11/02

CloudTrailのログをKDSに直接送信することはできない。

akis 2023/11/02

KMSのグラント
一時的なキーへのアクセスなど、柔軟な権限管理が可能

akis 6ヶ月前

VPCフローログでIPアドレスを取得

カスタム形式で下記の項目を含める
- pkt-srcaddr
- pkt-dstaddr