AWS CloudFormation Guardで遊んでみた

AWS CloudFormation Guardで
遊んでみた
2020年08月05日
chocopurin
総関西サイバーセキュリティLT大会 #22

自己紹介
● 名前：chocopurin
● 主なお仕事
– だいぶ前：サーバ構築（J2EE・LAMP）,認証ツール開発
– ちょっと前：開発ルールの策定,コンテナの研究,脆弱性診断
– 最近：セキュア開発基盤の整備,インフラ維持管理,AWS見習い
● 趣味・興味：書籍集め、レトロゲーム関連
● 最近の出没歴（順不同）
　IT技術書のオススメLT会、OWASP Kansai
　InfraStudy Meetup、総関西サイバーセキュリティLT大会
　Security-JAWS、AWSの基礎を学ぼう、大和セキュリティ etc

AWS CloudFormation（cFn）
AWS CloudFormation では、プログラミング言語またはシ
ンプルなテキストファイルを使用して、あらゆるリージョン
とアカウントでアプリケーションに必要とされるすべてのリ
ソースを、自動化された安全な方法でモデル化し、プロビ
ジョニングできます。
https://aws.amazon.com/jp/cloudformation/より抜粋
cFnテンプレート（JSONもしくはYAML）を食わせたら
インフラとかをいい感じに作ってくれるAWSの仕組み

AWS CloudFormation Guard
● 作成したcFnテンプレートがポリシーに合致しているか
を診断する、AWS製のオープンソースツール
– https://github.com/aws-cloudformation/cloudformation-guard
– https://docs.aws.amazon.com/ja_jp/AWSCloudFormation/latest/
UserGuide/best-practices.html
– https://www.infoq.com/jp/news/2020/07/cloudformation-guard/
● 下記3つで構成される
– CloudFormation Guard（cfnguard）
– CloudFormation Guard RuleGen（cfnguard-rulegen）
– CloudFormation Guard Lambda（cfnguard-lambda）
● 2020年8月現在プレビュー版（今後仕様変わるかも）

● 動作イメージ
診断対象
テンプレート
ファイル
ルールセット
ファイル
CloudFormation
Guard
（cfnguard）
診断結果
ベース
テンプレート
ファイル
CloudFormation
Guard RuleGen
（cfnguard-rulegen）
Rustが動く環境

● ルールセットの例（policy.rules）
AWS::EC2::Instance InstanceType == m1.small
AWS::EC2::SecurityGroup GroupDescription == allow connections from
specified CIDR ranges
AWS::EC2::SecurityGroup SecurityGroupIngress ==
[{"CidrIp":"0.0.0.0/0","FromPort":"80","IpProtocol":"tcp","ToPort":"80"},
{"CidrIp":"192.168.1.1/32","FromPort":"22","IpProtocol":"tcp","ToPort":"22"}]

● 診断対象テンプレートの例（work.json）
{
"AWSTemplateFormatVersion": "2010-09-09",
"Description": "AWS CloudFormation Sample Template for cfn-guard.",
"Resources": {
"EC2Instance": {
"Type": "AWS::EC2::Instance",
"Properties": {
"InstanceType": "t2.medium"
}
},
"ServerSecurityGroup": {
"Type": "AWS::EC2::SecurityGroup",
"Properties": {
"GroupDescription": "allow connections from specified CIDR ranges",
"SecurityGroupIngress": [
{
"IpProtocol": "tcp",
"FromPort": "80",
"ToPort": "80",
"CidrIp": "0.0.0.0/0"
},
{
"FromPort": "22",
"ToPort": "22",
"CidrIp": "10.1.0.0/16"
}
]
}
}
}
}

● 診断実行の例

● 診断実行の例
t2.mediumインスタンスを使おうとしており、ポリシー
「m1.smallインスタンスを利用するべし」
に反している。
SSHのアクセス元に10.1.0.0/16が指定されており、ポリシー
「SSHのアクセス元は192.168.1.1/32にするべし」
に反している

AWS CloudFormation Guard RuleGen
● ベーステンプレートの例（policy.json）
{
"AWSTemplateFormatVersion": "2010-09-09",
"Description": "AWS CloudFormation Sample Template for cfn-guard.",
"Resources": {
"EC2Instance": {
"Type": "AWS::EC2::Instance",
"Properties": {
"InstanceType": "m1.small"
}
},
"ServerSecurityGroup": {
"Type": "AWS::EC2::SecurityGroup",
"Properties": {
"GroupDescription": "allow connections from specified CIDR ranges",
"SecurityGroupIngress": [
{
"FromPort": "80",
"ToPort": "80",
"CidrIp": "0.0.0.0/0"
},
{
"FromPort": "22",
"ToPort": "22",
"CidrIp": "192.168.1.1/32"
}
]
}
}
}
}

AWS CloudFormation Guard RuleGen
● ルールセット作成の例

まとめ
● cfnguardによって、ソースコード静的解析の感覚で
CloudFormationテンプレートを診断できる
● CI/CD連動を念頭に置いているだけあって、Rustとコ
マンドラインの環境さえあれば動作する
● ルールセット次第で診断品質が厳格にもザルにもなる
（下記がルールセット策定のインプットになりそう）
– BlackBeltや各種書籍記載のAWSベストプラクティス
– Well-Architected Framework
– 組織のセキュリティポリシー etc
● cfnguard-lambda追っかけないと・・・

AWS CloudFormation Guardで遊んでみた

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Was ist angesagt?

Was ist angesagt? (20)

Ähnlich wie AWS CloudFormation Guardで遊んでみた

Ähnlich wie AWS CloudFormation Guardで遊んでみた (20)

Mehr von cluclu_land

Mehr von cluclu_land (7)

AWS CloudFormation Guardで遊んでみた