【de:code 2020】 GitHub と Azure Security Center による、アプリケーションのための Azure セキュリティ
0 likes•226 views
OSS やパブリッククラウドの利用によって、アプリケーションの開発やデプロイが加速しています。ですが、その一方で OSS やパブリッククラウドのセキュリティは、従来のセキュリティ製品ではカバーされず、対応が遅れていました。マイクロソフトは、開発プラットフォーム、パブリッククラウド、そしてセキュリティソリューションにおいて業界をリードするというユニークなポジションを生かし、それぞれの分野を網羅したセキュリティに積極的に取り組んでいます。本セッションでは、OSS を利用したアプリケーションの開発から、パブリッククラウドへのデプロイ・運用までの各フェーズで、マイクロソフトのソリューションでどのようなセキュリティ対策がとれるのか、デモを交えてご紹介します。
【de:code 2020】 GitHub と Azure Security Center による、アプリケーションのための Azure セキュリティ
- 1. *本資料の内容 (添付文書、リンク先などを含む) は de:code 2020 における公開日時点のものであり、予告なく変更される場合があります。 #decode20 # GitHub と Azure Security Center による、 アプリケーションのための Azure セキュリティ 服部 佑樹 日本マイクロソフト株式会社 AppDev スペシャリスト 大井 喜智 マイクロソフト コーポレーション GBB テクニカルスペシャリスト #S05
- 2. 本セッションについて 対象者 課題 ゴール • アプリケーションのセキュリティ対策の検討が必要な開発者 • クラウドプラットフォームのセキュリティ対策が必要な DevOps 担当者 • OSS やパブリッククラウドにおけるセキュリティ対策の実装 • GitHub や Azure Security Center をどのように活用できるかを理解すること
- 3. セッションアジェンダ • イントロダクション • GitHub で加速するアプリケーションセキュリティ • Azure Security Center で加速するプラットフォームセキュリティ
- 4. 8億円 2019 年 US 企業におけるセキュリティ侵害 1 件あた りの平均コスト 30% 今後２年間以内にセキュリティ侵害の可能性 Sources Cost of a Data Breach Report 2019, Ponemon & IBM Security セキュリティ侵害のコスト
- 7. Source: 2019 Data Breach Investigations Report, Verizon 品質の低いコードが セキュリティ侵害を引き起こす 53%の侵害はアプリケーション コードの脆弱性によって生じている。
- 8. 開発フェーズでコードの安全性を担保する事が必要 セキュリティリサーチャーの人数対 ソフトウェア開発者の人数570倍開発中に修正することで膨大なコストの節約が可能 ソフトウェア 開発者 セキュリティ リサーチャー ~ 40M ~ 70K 開発 構築 テスト/QA デプロイ 運用 修正コスト SDLC Stages 開発 構築 テスト デプロイ 侵害 $80 $240 $960 $7,600 セキュリティシフトレフト $ Millions
- 9. Azure と GitHub を使うことであらゆる開発フェーズを安全に
- 10. 秘密 現在 エンタープライズ プロジェクトの 99% がオープンソースを 使用 GitHub を使用したコードベースの保護 ソフトウェアサプライチェーンの 理解と保護 Dependency Insights と Dependabot を使用して、 すべての依存関係を 表示および追跡 自動セキュリティアラートと バージョンパッチの取得 コードからクラウドへの ワークフローへのセキュリティの統合 CodeQL による 数千もの脆弱性のスキャン GitHub Token Scanning によるシークレットの漏洩の保護
- 11. Securing Software, Together GitHub Advanced Security from AddExpr a, Variable v, RelationalOperation cmp where a.getAnOperand() = v.getAnAccess() and cmp.getAnOperand() = a and cmp.getAnOperand() = v.getAnAccess() and forall(Expr op | op = a.getAnOperand() | op.getType().getSize() < 4) and not a.getExplicitlyConverted().getType().getSize() < 4 select cmp, "Bad overflow check" コード上のゼロデイ脆弱性や 既存の脆弱性（とその関連）を探索 CodeQL による脆弱性の探索を通常の 開発者ワークフローに提供 CodeQL
- 13. 解析結果画面
- 14. コールグラフを加味した解析
- 15. GitHub Advanced Security の効果 81% 静的解析の結果のレビュー するのに費やされる時間の 削減。 120 過去2年間で発見された CVE の数。過去 3 ヶ月だ と 50 を超える。 3x 正確性の向上 Microsoft で発見された脆 弱性の数 1700+ オープンソースコミュニティによっ て開発された CodeQL クエリ の数
- 16. DevSecOps on Azure Microsoft のベストプラクティス
- 17. DevSecOps の世界 code build test plan release monitor operate deploy 本番環境の保証 イミュータブルなアーキテクチャ GitHub コード解析 クラウドポリシーの担保 Azure Policy CI/CD プロセスへの セキュリティの取り込み Security Center や Power BI によるレポーティング 継続的アシュアランス
- 18. 継続的アシュアランスの実現 Secure DevOps Kit for Azure
- 19. Secure DevOps Kit for Azure (AzSK) Subscription Security (Policy, ASC Config, Alerts, RBAC, etc.) サブスクリプションにおけるプロビジョニングセキュリティ - Azure における Policy 定義 Security IntelliSense, Security Verification Tests (SVTs) PowerShell スクリプトで環境のセキュ リティをチェック CICD Build/Release Extensions ビルド/リリースパイプラインから 安全にデプロイする Continuous Assurance Runbooks 定期的にスキャンしてドリフトを監視 OMS Solution for Alerting & Monitoring DevOpsのステージにまたがる単一の セキュリティ・ダッシュボード Cloud Risk Governance データに基づいたセキュリティ改善
- 20. まとめ
- 21. Azure Security Center で加速する プラットフォームセキュリティ 大井 喜智 GBB テクニカルスペシャリスト
- 23. 49% 62% 自社のクラウドサービスの利用の 可視性 に自信がない 誤設定 がクラウド利用の 最大の脅威 84% 伝統的な セキュリティ製品は 役に立たないか、機能が制限 • "The 2018 Global Cloud Data Security Study,” Gemalto (Jan 2018) – https://safenet.gemalto.com/resource/partnerasset.aspx?id=64424542279&langtype=1033. • “2018 Cloud Security Report,” Palo Alto Networks (May 2018) – https://www.paloaltonetworks.com/resources/research/2018-cloud-security-report-palo-alto-networks. Figure 1 – An unstructured cloud adoption scenario can become a nightmare for the SecOps March
- 24. Azure Security Center とは？ Azure Security Center
- 25. App Service の保護 Azure App Service サンドボックス (Windows) 仮想マシン (Windows) 内部ログ フィッシング URL 異常な リクエスト Linux コマンド
- 26. コンテナー / Kubernetes 環境の保護 Azure Kubernetes Service Azure Container Registry API Server セキュリティログからのコンテナーの脅威検知 イメージの脆弱性 のスキャン セキュリティログからの コンテナーの脅威検知 Kubernetes API サーバーでの 脅威検知 Azure VM コンテナーが抱える 脆弱性 クラスターの 管理者特権 コイン マイニング
- 28. コンテナー環境の脅威検知
- 30. サーバー上の脆弱性のスキャン
- 34. Azure Security Center レファレンス https://docs.microsoft.com/ja-jp/azure/security-center/recommendations-reference https://docs.microsoft.com/ja-jp/azure/security-center/alerts-reference
- 35. まとめ
- 36. セッションまとめ
- 37. Microsoft Learn おすすめコンテンツ Azure Security Center を使用して、ブルート フォースおよびマルウェア攻撃からサーバーと VM を保護する https://docs.microsoft.com/ja-jp/learn/modules/secure-vms-with-azure-security-center/ Azure Security Center を使用してセキュリティ上の脅威を解決する https://docs.microsoft.com/ja-jp/learn/modules/resolve-threats-with-azure-security-center/ Azure Security Center を使用したセキュリティ上の脅威の検出 https://docs.microsoft.com/ja-jp/learn/modules/identify-threats-with-azure-security-center/ GitHub セキュリティ https://github.co.jp/features/security
- 38. © 2018 Microsoft Corporation. All rights reserved. 本情報の内容（添付文書、リンク先などを含む）は、作成日時点でのものであり、予告なく変更される場合があります。 © 2020 Microsoft Corporation. All rights reserved. 本情報の内容 (添付文書、リンク先などを含む) は、公開日時点のものであり、予告なく変更される場合があります。 本コンテンツの著作権、および本コンテンツ中に出てくる商標権、団体名、ロゴ、製品、サービスなどはそれぞれ、各権利保有者に帰属します。