コーヒーが好きな emi です。
JAWS-UG朝会 #47 で「GuardDuty RDS Protection について」というタイトルで 20 分登壇してきました。
コーヒーが好きな私ですが、本筋からそれた余談も大好きです。余談が好評だったようで嬉しいです。
登壇資料
発表のダイジェスト
最初に GuardDuty についておさらいしました。GuardDuty は AWS 環境内の不審なアクティビティを検出するサービス、つまりふるまい検知です。
検出に特化したサービスなので、検出後の隔離や修正は利用者自身で実施いただく必要があります。
AWS のセキュリティサービスはたくさんありますが、似たサービスとして Amazon Inspector との比較を紹介しました。
GuardDuty RDS Protection は RDS への不審なログインを検知するサービスであり、クエリ発行そのものを検知する機能ではないことに注意してください。
RDS Protection で検出できる検出（finding）タイプはたくさんありますが、ざっくり分けると 3 種類です。
発表をお聞きいただいた方にも感じていただけたかと思いますが、RDS Protection で検出できる検出（finding）タイプの多くは「パブリック IP からの不審なアクセス」ですので、セキュリテイグループで適切な制限ができている、RDS がプライベートサブネットに配置されている場合はほぼ検出されないと言えるでしょう。
もし検出されてしまった後の対応をパターン分けしたところはお気に入りです。
監査ログをあらかじめ取得していただくことで何かあったときの影響範囲特定に役立つのですが、監査ログの取得はデータベース性能への影響があるそうです。
Aurora の監査ログ取得はパフォーマンスに与える影響を最小限に抑える工夫がされているそうなので、参考として AWS ブログを貼っておきます。
心配な場合は、監査ログを有効化する前に性能テストを実施されるとよいでしょう。
余談・補足
余談や補足が大好きなのですが、今回も息抜きパートとして盛り込みました。
GuardDuty という言葉の意味について調べました。
Guard は守り、監視、警護、守護などの意味があります。「ガードレール」や「ガーディアン」のガードです。
Duty は義務、任務、責務などの意味があります。「call of duty」というゲームがありますが、あれは「任務遂行」という意味ですね。
GuardDuty は「警備任務」「監視業務」という意味になります。ちょっとかっこいいですね。
また、検出タイプで登場する「Tor」についても補足しました。
Tor（The Onion Router）は匿名通信を可能にするソフトウェアです。
トラフィックを複数の中間ノードを経由してルーティングすることで、通信元を特定することを困難にします。
何層にも暗号化することで自身の前後のノードの情報しか得られない状態になっており、この何層にも暗号化する様子が玉ねぎのようであることから、The Onion Router と名付けられたそうです。
最近私が好きでよく言っている「セキュリティは攻撃 First！」という言葉も最後に紹介しました。
AWS Summit で聞いたパロアルトネットワークス CTO アジェイ・ミスラ氏の言葉ですが、セキュリティ対策はどんな攻撃があるのか知ることから始まる、という意味です。
今後みなさんが Tor を使うことが一生ないとしても、こういう攻撃があるということを知っていただくことが重要と思います。
余談ですが（余談大好き）、 GuardDuty は脅威インテリジェンスフィードや機械学習で検出するという特性上、意図的に検出するのは困難です。
検証でテスト検出させるまでが大変だったのですが、その奮闘記はまた別の場所でお話できればと思います。
おわりに
毎月実施いただいている朝会運営様には感謝しかありません。
夜のイベントには参加しにくいことも多いので、朝開催というのは大変嬉しいです。
テーマが AWS に関するものであればなんでもいい、というのも嬉しいポイントです。
皆さんも JAWS-UG 朝会に参加・登壇してみてはいかがでしょうか。
参考
- Amazon GuardDuty とは
- GuardDuty RDS Protection
- GuardDuty RDS Protection の検出結果タイプ
- 侵害されたデータベースの修復
- The Tor Project
- 入門Tor: Torのしくみと企業へのリスク
- Tor 出口ノードの IP アドレス一覧
- Amazon GuardDuty RDS Protection の具体的な検出タイプを調査しました|DevelopersIO
- Amazon GuardDuty RDS Protection で Tor IP 検出タイプと Malicious IP 検出タイプを検知しました～その他の検出タイプはサンプルを出力しました|DevelopersIO
25
