AWS Black Belt Online Seminar 2017 AWS Shield
16 likes18,798 views
AWS Black Belt Online Seminar 2017 AWS Shield
AWS Black Belt Online Seminar 2017 AWS Shield
- 1. 【AWS Black Belt Online Seminar】 AWS Shield アマゾン ウェブ サービス ジャパン株式会社 ソリューションアーキテクト 安司 仁 2017.07.18
- 2. ⾃⼰紹介 安司 仁(あんじ ひとし) メディア・エンターテインメント ソリューション部 ソリューションアーキテクト • 主に新聞/出版/TV局などメディアのお客様を担当。 • 好きなAWSのサービス： AWS Simple Storage Service、Shield 2
- 3. 内容についての注意点 • 本資料では2017年7⽉18⽇時点のサービス内容および価格についてご説明しています。最新 の情報はAWS公式ウェブサイト(http://aws.amazon.com)にてご確認ください。 • 資料作成には⼗分注意しておりますが、資料内の価格とAWS公式ウェブサイト記載の価格に 相違があった場合、AWS公式ウェブサイトの価格を優先とさせていただきます。 • 価格は税抜表記となっています。⽇本居住者のお客様が東京リージョンを使⽤する場合、別途 消費税をご請求させていただきます。 • AWS does not offer binding price quotes. AWS pricing is publicly available and is subject to change in accordance with the AWS Customer Agreement available at http://aws.amazon.com/agreement/. Any pricing information included in this document is provided only as an estimate of usage charges for AWS services based on certain information that you have provided. Monthly charges will be based on your actual use of AWS services, and may vary from the estimates provided. 3
- 4. Agenda • DDoS対策 • AWS Shield • AWS Shieldオペレーション • まとめ 4
- 5. DDoS対策 5
- 6. セキュリティ脅威のタイプ Bad BotsDDoS Application Attacks Reflection Layer 4 floods Slowloris SSL abuse HTTP floods Amplification Content scrapers Scanners & probes Crawlers SQL injection Application exploits Social engineering Sensitive data exposureアプリケー ション層 ネットワーク/ トランスポー ト層 6
- 7. DDoSとは？ • Distributed Denial Of Service 7
- 8. DDoS攻撃の緩和における課題 • むずかしさはどこにある？ 複雑な前準備 事前の帯域確保 アプリケーションの⾒ 直し 8
- 10. お客様によるDDoS対策 • 次の５つの観点から対策を検討・実施 – 攻撃対象領域を削減する – スケールして攻撃を吸収できるようにする – 公開されたリソースを保護する – 通常時の動作について学習する – 攻撃に対する計画を作成する 10 http://media.amazonwebservices.com/jp/DDoS%20White%20Paper_Revised.pdf
- 13. AWSにおけるゴール • お客様ビジネスの 差別化要素にならない ことの肩代わり • 可⽤性の確保 ありきたりの攻撃は⾃動保護 AWS上のサービスは ⾼可⽤である
- 15. セキュリティ脅威のタイプ Bad BotsDDoS Application Attacks アプリケー ション層 ネットワーク/ トランスポート 層 AWS Shield Reflection Layer 4 floods Slowloris SSL abuse HTTP floods Amplification Content scrapers Scanners & probes Crawlers SQL injection Application exploits Social engineering Sensitive data exposure 15
- 16. AWS Shield Standard Protection Advanced Protection • 全てのAWSユーザに適⽤ • 無料 より⼤規模な、より洗練された 攻撃からの防御を提供する 有料のサービス 16
- 18. AWS Shield Standard Layer 3/4 protection ü⼀般的な攻撃（SYN/UDP フラッド、反射攻撃等）から防御 ü⾃動検知＆⾃動緩和 üAWSサービスにビルトイン済 Layer 7 protection üLayer 7のDDoS攻撃への緩和は AWS WAFで⾏う üセルフサービス ü使った分だけの⽀払い 18 https://aws.amazon.com/jp/shield/tiers/ http://docs.aws.amazon.com/ja_jp/waf/latest/developerguide/ddos-overview.html#types-of-ddos-attacks
- 19. • これまでのDDoS保護経験に基づき L3 / L4⾃動緩和システムを開発 • CloudFront、Route53エッジロケーション の前にインラインで配置され、すべての着 信パケットを検査 • DDoS攻撃の96％を⾃動軽減 • 追加設定や⼿数料なし • 利点 – スケーラビリティと低コスト – 常時保護 – ⾃動緩和 – AWSソリューション⽤に構築 Customerʼs Origin Infrastructure (ELB, EC2, S3, etc). CloudFront Route 53 CloudFront Route 53 DDoS Attack User ⾃動緩和システム Edge Location AWS Region L3/L4 ⾃動緩和システム 19
- 20. DDoS 攻撃排除例 • Route53の34のエッジロケーションを標的としたDNS フラッド攻撃 • ピークボリュームは今までのDDoSのトップ4%に⼊る規模 (source: Arbor Networks) • ⾃動的に検知を⾏い、可⽤性に影響を与えることなく緩和 • 毎年数百件のアタックを鎮静化 May 6, 2015 20
- 21. DDoS 攻撃排除例 • Route53の34のエッジロケーションを標的としたDNS フラッド攻撃 • ピークボリュームは今までのDDoSのトップ4%に⼊る規模 (source: Arbor Networks) • ⾃動的に検知を⾏い、可⽤性に影響を与えることなく緩和 • 毎年数百件のアタックを鎮静化 Amazon Route 53 Response Time 21 May 6, 2015
- 22. AWS Shield Advanced Managed DDoS Protection 22
- 23. AWS Shield Advanced 現在提供中のサービス 23 Application Load BalancerClassic Load Balancer Amazon CloudFront Amazon Route 53
- 24. AWS Shield Advanced 現在提供中のサービス 24 Application Load BalancerClassic Load Balancer Amazon CloudFront Amazon Route 53 AWS WAFとの連携 Globalに設定提供リージョン Virginia, Oregon, Ireland, Tokyo
- 25. AWS Shield Advanced Shield Standardによる保護に加え、以下の機能による包 括的なDDoS対策ソリューションを提供 • DDoS Response Team • L7 DDoS Protection • Cost Protection • Advanced Mitigation • Reporting http://docs.aws.amazon.com/ja_jp/waf/latest/developerguide/ddos-overview.html#types- of-ddos-attacks25
- 26. DDoS Response Team 24x7でDDoS Response Team(DRT)へアクセス可能 26 AWSとAmazon.comを保護する知識と経験 を持ったDDoSの専⾨家チーム サポートケース経由でのアクセス • 事前の構成相談対応 • クリティカルで緊急の優先順位のケースはす ぐに回答され、DRTに直接ルーティング • 複雑なケースは、DRTにエスカレーションするこ ともできます
- 27. 24x7でのDDoS Response Teamへのアクセス Before Attack コンサルテーションとベ ストプラクティス提供 During Attack 攻撃からの緩和 After Attack 事後分析 27
- 28. L7 DDoS Protection ：AWS WAFで保護します 別途AWS WAFの料⾦は不要です • CloudFront, Application Load Balancer • DRTによるセットアップ⽀援 • セルフサービスで構成 Cost Protection DDoS攻撃によるスケーリングコストは請求しません – CloudFront – Application Load Balancer – Classic Load Balancer – Route 53 L7 DDoS/Cost Protection 28
- 29. Advanced Mitigation Layer 7 application protection Layer 3/4 infrastructure protection 29
- 30. Layer 3/4 infrastructure protection 決定論的 フィルタリング スコアリングに基づく トラフィックの 優先順位付け ⾼度なルーティング ポリシー ⾼度な軽減技術の採⽤ 30
- 31. AWS WAF – Layer 7 application protection カスタムルールによる Webトラフィック フィルタ 悪意のあるリクエストの ブロック アクティブな監視と チューニング 31
- 32. Advanced Mitigation DRTによる⼿動セットアップで攻撃を緩和 ⾼度な軽減の例 • Switching IP address spaces (L3/L4/L7) • IP Unicast to Anycast(L3/L4/L7) • Custom WAF block rules (L7) • Prioritization using packet scoring (L3/L4) Filtering Scoring Routing WAF 32
- 33. Reporting Attack monitoring and detection § CloudWatchを経由してリアルタイム通知 § ニアリアルタイムメトリクスと攻撃のフォレンジクス のためのパケットキャプチャ § 時系列の攻撃レポート 33
- 34. AWS Shield Advance Self-service DDoSエキスパート による対応 積極的なDRTの関与 運⽤は3形態 34 http://docs.aws.amazon.com/ja_jp/waf/latest/developerguide/ddos- overview.html
- 35. AWS Shield Advance • AWS WAFが追加費⽤なしで含ま れます • L3/L4も含めた攻撃の通知、フォ レンジック/履歴レポートを活⽤ Self-service 35
- 36. 1. サポートケースからAWS DRTを依頼 2. DRTは攻撃に優先度を付ける 3. DRTはAWS WAFルールの作成を⽀援 AWS Shield Advance DRT:DDoS エキスパートによる対応 36
- 37. AWS Shield Advance 1. Always-OnモニタリングがDRTを呼び出す 2. DRTが積極的に分類（トリアージ） 3. DRTがAWS WAFルールを作成 （事前承認、設定が必要です） 積極的なDRT関与 37
- 38. AWS DDoS Shield: 価格 § 利⽤コミット不要 § 追加コストなし § 1年の利⽤コミット § ⽉額費⽤: $3,000 § ＋Data transfer fees Data Transfer Price ($ per GB) CloudFront ELB First 100 TB $0.025 $0.050 Next 400 TB $0.020 $0.040 Next 500 TB $0.015 $0.030 Next 4 PB $0.010 Contact Us Above 5 PB Contact Us Contact Us Standard Protection Advanced Protection https://aws.amazon.com/jp/shield/pricing/38
- 40. AWS Shield Advancedを利⽤するまでのステップ • IAMユーザの準備 – AdministratorAccessポリシーをもつグループ/ユーザを準備 • AWS Shield Advanced設定 – 1: AWS Shield Advanced を有効化 – 2: AWS リソースにAWS Shield Advanced 保護を追加する 以下、運⽤形態によって検討ください – 3:ルールとウェブ ACL を作成する権限を DDoS Response Team （DRT）に付与 – 4: AWS WAF セキュリティ⾃動化をデプロイ 40
- 41. AWS Shield Advancedを利⽤するまでのステップ • IAMユーザの準備 – AdministratorAccessポリシーをもつグループ/ユーザを準備 • AWS Shield Advanced設定 – 1: AWS Shield Advanced を有効化 – 2: AWS リソースにAWS Shield Advanced 保護を追加する 以下、運⽤形態によって検討ください – 3:ルールとウェブ ACL を作成する権限を DDoS Response Team （DRT）に付与 – 4: AWS WAF セキュリティ⾃動化をデプロイ 41
- 42. AWS Shield にアクセスする準備 • AWS Shieldを利⽤するためのユーザ設定 – 1: AWS アカウントをサインアップする ＃皆様すでにお持ちかと思います。 – 2: IAM ユーザーを作成する • Shield操作⽤のユーザを作成 • 必要なポリシーは「AdministratorAccess」 – 3: ツールをダウンロードする ※プログラムから利⽤する場合 http://docs.aws.amazon.com/ja_jp/waf/latest/developerguide/ setting-up-waf.html 42
- 44. Shield コンソール画⾯ • 「Protected resources」リンクからアクセス 44
- 45. AWS Shield Advancedを利⽤するまでのステップ • IAMユーザの準備 – AdministratorAccessポリシーをもつグループ/ユーザを準備 • AWS Shield Advanced設定 – 1: AWS Shield Advanced を有効化 – 2: AWS リソースにAWS Shield Advanced 保護を追加する 以下、運⽤形態によって確認ください – 3:ルールとウェブ ACL を作成する権限を DDoS Response Team （DRT）に付与 – 4: AWS WAF セキュリティ⾃動化をデプロイ 45
- 46. • 「Activate Shield Advanced」ボタンを押す AWS Shield Advanced を有効化 46 「I agree」とタイプ
- 47. AWS Shield Advancedを利⽤するまでのステップ • IAMユーザの準備 – AdministratorAccessポリシーをもつグループ/ユーザを準備 • AWS Shield Advanced設定 – 1: AWS Shield Advanced を有効化 – 2: AWS リソースにAWS Shield Advanced 保護を追加 以下、運⽤形態によって確認ください – 3:ルールとウェブ ACL を作成する権限を DDoS Response Team （DRT）に付与 – 4: AWS WAF セキュリティ⾃動化をデプロイ 47
- 48. AWS Shield Advancedの保護対象おさらい 48 Application Load BalancerClassic Load Balancer Amazon CloudFront Amazon Route 53 AWS WAFの防御対象 Globalに設定 https://aws.amazon.com/jp/waf/faq/
- 49. AWS Shield Advanced 保護を追加 • CloudFrontの場合：Globalで設定 49 • Resource Type:「CloudFront distribution」 • Region: Global で固定 • AWS resource: 保護対象「distribution」選択 • Protection name: 「distribution名」がセット されるが、任意に変更可能 • Network DDoS attack visibility: Enableに デフォルトでチェック※変更不可 • Web DDoS attack: AWS WAF適⽤対象のため、 Enableにチェックが⼊る。※変更可 すでに連携されているWAF ACLがあれば選択済 み。無ければ既存ACLから選択するか、新しい web ACLを作成 • Network DDoS attack mitigation: Enableにデ フォルトでチェック※変更不可
- 50. AWS Shield Advanced 保護を追加 • ELB Application Load Balancerの場合 50 • Resource Type:「ELB Application Load Balancer」を選択 • Region:保護対象のリージョンを選択 • AWS resource: 保護対象のALBを選択 • Protection name: 「ALB名」がセットされるが、 任意に変更可能 • Network DDoS attack visibility: Enableにデ フォルトでチェック※変更不可 • Web DDoS attack: AWS WAF適⽤対象のため、 Enableにチェックが⼊る。※変更可能 すでに連携されているWAF ACLがあれば選択済 み。無ければ既存ACLから選択するか、新しい web ACLを作成 • Network DDoS attack mitigation: Enableに デフォルトでチェック※変更不可
- 51. AWS Shield Advanced 保護を追加 • Route53の場合 51 • Resource Type:「Route53」を選択 • Region: Globalで固定 • AWS resource: 保護対象のZoneを選択 • Protection name: 「Zone名」がセットさ れるが、任意に変更可能 • Network DDoS attack visibility: Enableに デフォルトでチェック※変更不可 • Web DDoS attack: AWS WAF適⽤対象外 のため、Enableにチェックが⼊らない。 ※変更不可 • Network DDoS attack mitigation: Enable にデフォルトでチェック※変更不可
- 52. AWS Shield Advanced 保護を追加 • ELB Classic Load Balancerの場合 52 • Resource Type:「ELB Classic Load Balancer」を選択 • Region:保護対象のリージョンを選択 • AWS resource: 保護対象のCLBを選択 • Protection name: 「CLB名」がセットされ るが、任意に変更可能 • Network DDoS attack visibility: Enableに デフォルトでチェック※変更不可 • Web DDoS attack: AWS WAF適⽤対象外 のため、Enableにデフォルトでチェックが ⼊らない。※変更不可 • Network DDoS attack mitigation: Enable にデフォルトでチェック※変更不可
- 53. AWS Shield Advanced 保護を追加 • 現在の保護対象リソース、ステータスを⼀覧確認 53 • Summary of protected resourcesに設定 したそれぞれのリソースの総数が表⽰ • Incidents in the last 24 hoursに直近24時 間以内に発⽣した過去のIncidents/対応中 のIncidents数が表⽰ • Protected resourcesに保護対象リソース の⼀覧が表⽰、関連するweb ACLが表⽰ • Add protected resourceで保護対象の リソース追加が可能
- 54. AWS Shield Advanced 保護を追加 • 有効化時に新規作成したWAF ACLの確認 54
- 55. AWS Shield AdvancedのReport機能 • 以下の２つの⽅法でDDoSレポートを確認 – AWS Shieldコンソール「incidents」画⾯ – CloudWatch 55
- 56. Shield AdvancedのReport機能 : Incidents画⾯ • 現在対応中/過去対応したものを⼀覧表⽰ 56 • AWS resource affected 影響を受けたリソース • Attack vectors 攻撃種別 • Status 対応中のものはCurrent Incidentに表⽰ • Incident start time いつIncidentが始まったか • Incident duration 対応に要した時間
- 58. Shield AdvancedのReport機能：CloudWatch • CloudWatchでの確認 – メトリックス>AWS/DDoSProtection>AttackVector, ResourceArn – Global(CloudFront/Route53)リソース>バージニア北部での確認 – その他メトリックス同様にアラート設定が可能 58 http://docs.aws.amazon.com/waf/latest/developerguide/set-ddos-alarms.html
- 61. Shield AdvancedのReport機能：CloudWatch • メトリックスとしては２つ（>0で攻撃検知） – DDoSAttackBitsPerSecond、DDoSAttackRequestsPerSecond • 現在、以下15の攻撃種別ごとに確認可能 61 ACKFlood ChargenReflection DNSReflection GenericUDPReflection MSSQLReflection NetBIOSReflection NTPReflection PortMapper RequestFlood RIPReflection SNMPReflection SSDPReflection SYNFlood UDPFragment UDPTraffic
- 62. Shield AdvancedのReport機能：CloudWatch • CloudWatchからのアラーム発砲 62 アラーム設定→お客様のSecurity Operation Centerへ即時通知 →対処 or →サポートを通じてDRTチームとコンタクト
- 63. AWS Shield Advancedを利⽤するまでのステップ • IAMユーザの準備 – AdministratorAccessポリシーをもつグループ/ユーザを準備 • AWS Shield Advanced設定 – 1: AWS Shield Advanced を有効化 – 2: AWS リソースにAWS Shield Advanced 保護を追加 以下、運⽤形態によって確認ください – 3:ルールとウェブ ACL を作成する権限を DDoS Response Team （DRT）に付与 – 4: AWS WAF セキュリティ⾃動化をデプロイ 63 http://docs.aws.amazon.com/ja_jp/waf/latest/developerguide/authorize-DRT.html
- 64. AWS Shield Advance 1. Always-OnモニタリングがDRTを呼び出す 2. DRTが積極的に分類（トリアージ） 3. DRTがAWS WAFルールを作成 （事前承認、設定が必要です） 積極的なDRT関与 64
- 65. ルールとウェブ ACL を作成する権限をDRTに付与 • マニュアルリンクから遷移するだけで設定可 65 1. クリック 2. 設定 3. デプロイ http://docs.aws.amazon.com/ja_jp/waf/latest/developerguide/authorize-DRT.html ※DRT⽤のロールとインラインポリシーが作成されます
- 66. AWS Shield Advancedを利⽤するまでのステップ • IAMユーザの準備 – AdministratorAccessポリシーをもつグループ/ユーザを準備 • AWS Shield Advanced設定 – 1: AWS Shield Advanced を有効化 – 2: AWS リソースにAWS Shield Advanced 保護を追加 以下、運⽤形態によって確認ください – 3:ルールとウェブ ACL を作成する権限を DDoS Response Team （DRT）に付与 – 4: AWS WAF セキュリティ⾃動化をデプロイ 66
- 67. セキュリティ脅威のタイプ Bad BotsDDoS Application Attacks アプリケー ション層 ネットワーク/ トランスポート 層 AWS Shield 67 Reflection Layer 4 floods Slowloris SSL abuse HTTP floods Amplification Content scrapers Scanners & probes Crawlers SQL injection Application exploits Social engineering Sensitive data exposure
- 68. AWS WAF セキュリティ⾃動化をデプロイ • ⼀連の AWS WAF ルールを含む事前設定されたテンプレート を⽤意 (CloudFront/ALB対象、カスタマイズ可) 68 http://docs.aws.amazon.com/ja_jp/waf/latest/developerguide/deploy-waf-automations.html https://aws.amazon.com/jp/answers/security/aws-waf-security-automations/ ハニーポット(A): 悪意のあるボット⽤のハニースポット（カ スタム Lambda 関数＋API Gateway エンドポイント ）を作 成。疑わしいリクエストを検査、その送信元 IP アドレスを AWS WAF ブロックリストに追加 SQL インジェクション (B) とクロスサイトスクリプト (C) 保 護: ⼀般的な SQL インジェクションやクロスサイトスクリプ トパターンから保護する AWS WAF ルールを⾃動的に設定 ログ解析 (D):CloudFront のアクセスログを⾃動的に解析、疑 わしい動作を特定し、該当する送信元 IP アドレスを AWS WAF ブロックリストに追加するLambda 関数を作成 ⼿動 IP リスト (E): AWS WAF ルールを作成。 ブロック または許可する IP アドレスを⼿動で追加可能 IP リスト解析 (F): サードパーティの IP 評価リストを 1 時間 ごとに⾃動的にチェック、悪意のある IP アドレスを AWS WAF ブロックリストに追加するLambda 関数を作成。
- 69. AWS WAF セキュリティ⾃動化をデプロイ 69 1. クリック 2. 設定 3. デプロイ https://aws.amazon.com/answers/security/aws-waf-security-automations/ Cloudfront⽤、ALB⽤のテンプレートが⽤意済み
- 71. ⼀般的なDDoS攻撃から保護。 AWS上でDDoSに強いアーキテ クチャを構築するためのツール とベストプラクティスを提供 AWS DDoS Shield: 使い分け ⼤規模で洗練された攻撃に対す るさらなる防御、攻撃に対する 可視性、複雑なケースでの DDoSエキスパートへの24時間 365⽇のアクセスを提供 Standard Protection Advanced Protection
- 72. よくある質問 72
- 73. よくある質問 Q. AWS Shield Standardの保護にAWS WAFの有効化は必須ですか？ A. いいえ。L7保護が必要な際にご検討ください。 Q. AWS Shield Advancedを有効化したら即時反映されますか？ A. いつでも有効化可能でほぼリアルタイムに反映されます。12か⽉のコミットメントが必要なので、12か⽉間有効です。攻 撃を受ける前に有効化することを推奨します Q. AWS Shield Advancedで保護するサービスを選択する必要がありますか？ A. 保護対象サービスを選択する必要があります。100リソース(ELB/ALB, CloudFrontディストリビューション, Route 53ホ ストゾーン)まで可能です。超える場合は上限緩和申請も可能です。 Q. AWS Shield Advancedではなぜ12か⽉のコミットメントが必要なのですか A. ⼀定の期間トラフィックを監視することで、トラフィックパターンを学習し誤検知を防ぐことができます。また、効果的な キャパシティ管理やルーティングを可能にするためです。 Q. AWS Shield Advanced利⽤にはどのレベルのサポートが必要ですか？ A. BusinessかEnterpriseサポートが必要です。 73 https://aws.amazon.com/jp/shield/faqs/
- 74. 参考情報 AWS Shield https://aws.amazon.com/jp/shield/ AWS Best Practice for DDoS Resiliency (June 2016) https://d0.awsstatic.com/whitepapers/Security/DD oS_White_Paper.pdf Cloud Security Resources https://aws.amazon.com/security/security- resources/ 74
- 75. 75