20181108 Participation record SANS SEC545: Cloud Security Architecture and Operations
•
5 gostaram•3,429 visualizações
Participation record SANS SEC545: Cloud Security Architecture and Operations (Security-JAWS#11)
Recomendados
Mais conteúdo relacionado
Mais procurados
Mais procurados (20)
Semelhante a 20181108 Participation record SANS SEC545: Cloud Security Architecture and Operations
Semelhante a 20181108 Participation record SANS SEC545: Cloud Security Architecture and Operations (20)
Mais de Typhon 666
Mais de Typhon 666 (20)
Último
Último (11)
20181108 Participation record SANS SEC545: Cloud Security Architecture and Operations
- 1. Participation record SANS SEC545: Cloud Security Architecture and Operations Security-JAWS #11 2018/11/08 @Typhon666_death
- 3. 自己紹介 • @Typhon666_death • 仕事：某セキュリティ専門会社にて、 セキュリティエンジニア/コンサルタント/アナリスト/営業してました • 業務：以前は多種企業向けMSSや金融機関向けASP、今は自社AIサービスの運用保守 • 活動コミュニティ： • OWASP Japan Promotion Teamメンバー • AISECjp 運営メンバー • Security-JAWS 運営メンバー • X-Tech JAWS 運営メンバー • FinJAWS 運営メンバー • レトロゲーム勉強会 運営メンバー • 全脳アーキテクチャ若手の会 運営メンバー https://www.slideshare.net/Typhon666_death
- 5. SANS Institute: セキュリティトレーニングやGIAC試験の提供、出版活動など行われている世界トップレベルの セキュリティ研究・教育機関 Internet Storm Centerからのセキュリティに関する情報発信 https://www.sans.org/ SANS Japan: SANSの日本法人(事務局はNRIセキュアテクノロジーズ内) https://sans-japan.jp/index.html
- 6. SEC545の紹介
- 10. 当日の様子
- 11. 当日の様子 Dave Shackleford (SANS Senior Instructor & Consultant for Voodoo Security) SEC545に関しては当日は満席 日本人は半数以下 その他は外国籍の方々 同時通訳あり
- 12. Intro and Basics Cloud Security Alliance Guidance Cloud Policy and Planning SaaS Security Intro to PaaS and IaaS Security Controls SEC545.1: Cloud Security Foundations
- 13. Cloud Security: In-House versus Cloud A Virtualization Security Primer Cloud Network Security Instance and Image Security Data Security for the Cloud Application Security for the Cloud Provider Security: Cloud Risk Assessment SEC545.2: Core Security Controls for Cloud Computing
- 14. Cloud Security Architecture Overview Cloud Architecture and Security Principles Infrastructure and core component security Access controls and compartmentalization Confidentiality and data protection Availability SEC545.3: Cloud Security Architecture and Design
- 15. Threats to Cloud Computing Vulnerability Manager in the Cloud Cloud Pen Testing Intrusion Detection in the Cloud Cloud IR and Event Manager Cloud Forensics SEC545.4: Cloud security - Offense and Defense
- 16. Scripting and Automation in the Cloud DevSecOps Principles Creating Secure Cloud Workflows Building Automated Event Management + Defensive Strategies Tools, Tactics, and Use Cases Class Wrap-Up SEC545.5: Cloud Security Automation and Orchestration
- 17. Exploring AWS Cloud Contract Review AWS+Docker SecaaS Hypervisor Security VPCs and Network Controls AWS Config Secrets for Containers S3 IAM EC2 and IAM Roles EC2 Systems Manager Bastion Host Quick Start Day1-Day5: Handson Cloud Threat Modeling AWS Inspector Kali … as-a-Service? Cloud CTF Logs,logs,logs! AWS CLI Automation Ansible Basics Ansible Roles and Security AWS CloudFormation AWS CloudWatch Automating with AWS Lambda ・利用するクラウド環境は すべてAWS ・一部、手元でHypervisor SecurityとContractの確認を 行うものがあった。
- 22. クラウド全般のセキュリティについて、これから従事あるいは検討し ていく人 AWS CloudPlactioner や AWS SAA取得者 でセキュリティに興味ある人 USなどのこれまでのクラウドに関する 先行事例や3rdPartyのクラウドセキュリティツールに興味ある人 SEC545をおすすめしたい人
- 26. SEC 401:Security Essentials Bootcamp Style FOR 610:Reverse-Engineering Malware: Malware Analysis Tools and Techniques FOR 508:Advanced Digital Forensics, Incident Response, and Threat Hunting SEC555:SIEM with Tactical Analytics SEC504:Hacker Tools, Techniques, Exploits and Incident Handling SEC511:Continuous Monitoring and Security Operations SEC599:Defeating Advanced Adversaries - Purple Team Tactics & Kill Chain Defenses ICS 515: ICS Active Defense and Incident Response その他のSANS Tokyo Autumnコース
- 28. AWS re:Invent 行く人達は知ってい る 「Justify Your Trip」というサイト： https://reinvent.awsevents.com/info/j ustification-letter/ 上司にメールでre:Inventに行かせて くれっていうテンプレートが公開さ れている。 研修予算を確保しよう！
- 34. クラウドWebネットにおけるIRの例 snapshot CloudWatch Logs AWS CloudTrail IAM AWS WAF SES security group RDS DB instance Route 53 VPC Flow Logs /DNS Logs CloudWatch Event Lambda Amazon GuardDuty 隔離 log bucket instance EBS instance instance EBSEBS Auto Scaling Malicious Instance & EBS log bucket Lambda 保全 該当Security Groupから該当インスタ ンスを削除し、新規インスタンス追加 Outbound Denyの Security Groupにより感 染インスタンスを隔離 GuardDutyのFindings により感染インスタンス が特定 VPC内は普遍的な Web+DBの構成 AWS WAFを利用 ログはS3 Bucketへ GuardDutyの Findingsで感染特定 接続元IPの自動遮断 Lambda 接続元IPの遮断 WAFシグネチャの更新等 フォレンジック
- 35. クラウドWebネットにおけるIRの例 snapshot CloudWatch Logs AWS CloudTrail IAM AWS WAF SES security group RDS DB instance Route 53 VPC Flow Logs /DNS Logs CloudWatch Event Lambda Amazon GuardDuty 隔離 log bucket instance EBS instance instance EBSEBS Auto Scaling Malicious Instance & EBS log bucket Lambda 保全 該当Security Groupから該当インスタ ンスを削除し、新規インスタンス追加 Outbound Denyの Security Groupにより感 染インスタンスを隔離 GuardDutyのFindings により感染インスタンス が特定 CloudWatchEvent を元にLambdaで 感染インスタンス の隔離と新規イン スタンス追加 隔離インスタンス の保全 マルウェアフォレ ンジック 接続元IPの遮断 WAFシグネチャの更新等 Lambda フォレンジック この部分に 適用できそう
- 36. オペレーター端末側に以下の環境 Python3.4以上の環境 AWS CLIをインストール AMI用のLiMEメモリモジュールの作成(メモリダンプに必要) $ sudo yum install -y kernel-devel-$(uname -r) $ git clone https://github.com/504ensicsLabs/LiME.git $ cd LiME/src $ make $ cp *.ko ~ ・2018/11/04時点で最新のAmazonLinux2のAMI amzn2-ami-hvm-2.0.20181024-x86_64-gp2 (ami- 013be31976ca2c322) ・Kernel： 4.14.72-73.55.amzn2.x86_64 準備
- 39. $ aws_ir --case-number 001 --bucket-name secjaws11-ir --examiner-cidr-range 54.205.83.117/32 instance-compromise --target 18.204.197.239 --user ec2- user --ssh-key ~/.ssh/secjaws11.pem --plugins gather_host,isolate_host,snapshotdisks_host,examineracl_host 総じて投げてみたコマンドはこんな感じ。 AWS-IR
- 42. $ margaritashotgun --server 18.204.197.239 --module lime-4.14.72- 73.55.amzn2.x86_64.ko --username ec2-user --key ~/.ssh/secjaws11.pem -- filename mymemcap.lime Margarita Shotgun 総じて投げてみたコマンドはこんな感じ。