type
status
date
slug
summary
tags
category
icon
password
书籍
理論
セキュリティにおけるAWS IAM資格情報の管理
- IAMユーザー資格情報のセキュリティ
- シークレットアクセスキーやアクセスキーIDは、セキュリティ上重要な情報であり、ソースコードにハードコーディングすることは危険です。これが漏洩すると、悪用されるリスクが高まります。
- AWS CodeCommitとトリガー
- CodeCommitは、AWSのGitリポジトリサービスで、コードの管理に使用されます。セキュリティポリシーに基づいて、コードのコミットやプッシュ時にLambda関数をトリガーして、コミット内容をスキャンし、脆弱性（例えば、資格情報の漏洩）を検出することが可能です。
- Lambda関数の活用
- Lambda関数は、サーバーレスでコードを実行できるAWSのサービスです。CodeCommitでコードが更新されるとLambda関数が自動的に実行され、コードの内容をリアルタイムでチェックして、問題があれば即座に対応します。
- セキュリティの自動化
- 自動化されたセキュリティチェックとアラートシステムを実装することで、手動での対応を最小限に抑え、迅速に脅威を検出し、対策を講じることができます。これにより、セキュリティ運用の負担が軽減され、リスクが減少します。
実践
略
一問道場
質問 #242
トピック 1
監査中に、セキュリティチームは開発チームがIAMユーザーのシークレットアクセスキーをコード内に埋め込み、そのコードをAWS CodeCommitリポジトリにコミットしていることを発見しました。セキュリティチームは、このセキュリティ脆弱性を自動的に発見し修正したいと考えています。
どのソリューションが、資格情報を適切に自動で保護することを保証しますか？
A. AWS Systems Manager Run Commandを使用してスクリプトを毎晩実行し、開発インスタンス内で資格情報を検索します。発見した場合は、AWS Secrets Managerを使用して資格情報を回転させます。
B. 定期的にAWS Lambda関数を使用してCodeCommitからアプリケーションコードをダウンロードし、スキャンします。資格情報が見つかった場合は、新しい資格情報を生成し、AWS KMSに保存します。
C. Amazon Macieを設定してCodeCommitリポジトリ内の資格情報をスキャンします。資格情報が見つかった場合は、AWS Lambda関数をトリガーして資格情報を無効化し、ユーザーに通知します。
D. CodeCommitトリガーを設定してAWS Lambda関数を呼び出し、新しいコードの提出を資格情報スキャンします。資格情報が見つかった場合は、AWS IAMでそれを無効化し、ユーザーに通知します。
解説
この問題は、AWS CodeCommitリポジトリにコミットされたIAMユーザーのシークレットアクセスキーを自動的に検出し、修正するソリューションを求めています。以下に選択肢ごとの説明を示します。
A. AWS Systems Manager Run Command
- インスタンス内の資格情報を検索し、Secrets Managerで資格情報を回転する方法です。
- 問題点: これはインスタンス内のコードを対象としており、CodeCommitリポジトリ内のコードを監視していません。
- 不適切。
B. 定期的にLambdaを実行してCodeCommitをスキャン
- 定期的にLambda関数を使用してCodeCommitリポジトリのコードをスキャンするアプローチです。
- 問題点: Lambdaのスキャンがリアルタイムではなく、資格情報がすぐに悪用されるリスクを防げません。また、KMSは資格情報を管理するための直接的なサービスではありません。
- 不適切。
C. Amazon Macieを使用してCodeCommitをスキャン
- Macieはデータの検出や機密情報の特定には有用ですが、現在のところCodeCommitリポジトリ内のスキャンを直接サポートしていません。また、Lambdaをトリガーする仕組みが明確でない点も課題です。
- 不適切。
D. CodeCommitトリガーとLambdaを使用
- CodeCommitトリガーを設定することで、新しいコードのコミットが発生した際にリアルタイムでAWS Lambdaを呼び出します。Lambdaは資格情報をスキャンし、IAMで資格情報を無効化してユーザーに通知します。
- このアプローチは、リアルタイム性が高く、リポジトリのスキャンを自動化する最適な方法です。
- 適切。
正解: D
理由
- CodeCommitトリガーとLambdaを使用することで、新しいコードの提出を自動的に監視し、即座に対応できます。
- IAM資格情報を無効化し、ユーザーに通知することでセキュリティリスクを最小限に抑えます。
- 作者:みなみ
- 链接:https://www.minami.ac.cn//%E8%B3%87%E6%A0%BC%E5%8B%89%E5%BC%B7/173d7ae8-88e2-80a7-9059-fd344524ff72
- 声明:本文采用 CC BY-NC-SA 4.0 许可协议，转载请注明出处。
相关文章
