「今までなかった！？クラウドオブジェクトストレージのためのセキュリティを紹介」というタイトルで登壇しました

hiroyuki kaji

2021.07.14

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちはコカコーラ大好き、カジです。

資料

AWSの中核にあるストレージサービス

データをAmazon S3に保存しておけば、データ消失のリスクはほぼゼロに
Amazon S3では、保存されたファイルをリージョン内で3箇所以上のデータセンターに自動的に複製して保持
可用性については99.99%の設計 (データを消失する可能性はほぼゼロですが、年間で計算すると1時間程度Amazon S3のサービスが停止する可能性がある、ということです。)

S3に保存したファイルはインターネット経由でアクセス可能
「静的ウェブサイトのホスティング」の機能を使うと、S3自体をWebサーバとして機能させることも可能
- Webサイトの静的コンテンツ(htmlファイル、画像ファイル、 javascriptファイルなど)をS3に保存
- S3から直接クライアントに配信可能で、WebサイトをホストするWebサーバの負荷を軽減することが可能

S3内ではファイル操作が発生せずファイルが操作・動作しないため直接の影響はないのですが、ダウンロード先で更なる拡散防止のためにお問い合わせ頂き、以下のような構成で面倒だった。

EC2（アプリケーションサーバなど）でファイル受信した際にDeep Securityなどセキュリティ対策製品でチェックし、その後にAWS SDK/CLIなどでS3へアップロードし保管
Deep Securityなどセキュリティ対策製品インストールされたEC2からS3のファイルをチェック

S3へオブジェクトをウィルススキャンするには...
- アップロード前にウィルススキャン、アップロード後に別途ダウンロードしてウィルススキャン
データ管理は利用者側の責任のため、ウイルスチェックが必要な場合はユーザー側での対応が必要
- S3バケット内ではファイル動作・操作しないためウィルスファイルの影響は無い

ファイルの受け渡しを行うためダウンロード先でのさらなる拡散を防止したいと希望が多い。要件に合わせた冗⻑性も検討必要でした。

ユーザーがスキャンするファイルをS3 バケットにアップロード
BucketListenerLambdaは、検出したs3Object CreateイベントからPreSigned URLをSQSに送付
Scanner Lambdaは、SQS ScannerQueue からPreSigned URLメッセージを取得
PreSigned URLの場所で S3内のファイルをスキャンします。ファイルの識別情報をクラウド内のTrend Micro Global Smart Protection Serverに送信します。 Trend Micro Global Smart Protection Serverは、Trend Micro Smart Protection Network (図には示されていない) を利用して、ファイル識別情報 (ファイルではない)の残りのスキャンを実行します。スキャン結果は ScannerLambda に返されます。
ScannerLambda はスキャン結果をストレージスタックのSNS ScanResultTopicに送ります。またスキャン結果をFile Storage Securityコンソールに送信します。(コンソールは図には示されていません)。
SNS ScanResultTopic がタグを設定するLambdaや別のアクションを行うLambdaに通知します。
PostScanActionTagLambdaの機能は、AWSのタグを使用してファイルにスキャン結果を追加

詳細は以下の資料参照