Elastic Compute Service:ECS インスタンスのセキュリティに関するベストプラクティス

クラウドセキュリティの動向

サイバーセキュリティの脅威

クラウドベースのアーキテクチャへのシフトは、新たなセキュリティ上の課題をもたらします。一度の誤操作により、アプリケーションがインターネットに公開されたり、キーが漏洩したりする可能性があります。セキュリティとコンプライアンスは、クラウドジャーニーに不可欠です。

クラウド情報資産を保護するための準備

クラウド情報資産の保護

クラウドセキュリティは、ポリシー、コントロール、テクノロジーを使用して、外部および内部の脅威からデータ、インフラストラクチャ、アプリケーションを保護します。コンプライアンスを確保するため、クラウドベースのアプリケーションは最初からセキュリティを念頭に置いて開発する必要があります。

Alibaba Cloud アカウントの保護

アカウントでの MFA の有効化

Alibaba Cloud アカウントで多要素認証 (MFA) を有効にしてください。 MFA では、ユーザー名とパスワードに加えて、MFA デバイスによって動的に生成されるセキュリティコードが必要になります。

最小権限ポリシーを持つ RAM ユーザーの使用

AccessKey ペアの代わりにインスタンス RAM ロールによる API オペレーションの呼び出し

ECS インスタンスにデプロイされたアプリケーションは、通常、AccessKey ペアを使用して他の Alibaba Cloud API にアクセスします。 ただし、インスタンスに AccessKey ペアを保存すると、漏洩やメンテナンスの困難さなどのセキュリティリスクが生じます。 インスタンス RAM ロールは、AccessKey ペアを公開することなく RAM を使用してきめ細かい権限制御を行うことで、これらのリスクに対処します。

インスタンス RAM ロールを ECS インスタンスにアタッチし、Security Token Service (STS) の一時的な認証情報を使用して他の Alibaba Cloud API にアクセスしてください。 ロールをアタッチした後は、インスタンスメタデータにはセキュリティ強化された方法でアクセスしてください。 STS の一時的な認証情報は定期的に更新されます。 詳細については、「インスタンス RAM ロール」をご参照ください。

AccessKey ペアの漏洩防止

AccessKey ペアは API 認証情報であり、安全に保管する必要があります。 GitHub などの外部チャネルに公開しないでください。 AccessKey ペアが漏洩すると、リソースが危険にさらされます。

アカウントとパスワードの管理に関するセキュリティの提案

情報資産の一括管理

設定ミスによって資産が保護されない事態を防ぐため、クラウドリソースを一括で管理・監査します。インスタンスとセキュリティグループには統一されたデプロイメントと命名規則を使用し、非準拠リソースを定期的にチェックします。一括管理にはタグを、O&M の自動化には Cloud Assistant を、コンプライアンス監査には Cloud Config を使用します。

タグを使用したリソースの一括管理

• タグを使用して、クラウドリソースを一括で識別、分類、検索します。セキュリティインシデントが発生した際、タグを使用することで影響範囲と重大度を迅速に特定できます。

• 特定のタグが付いたセキュリティグループなどのリソースに対し、セキュリティポリシーを一括で構成します。

詳細については、「タグ」をご参照ください。

Cloud Assistant を使用した O&M の自動化

Cloud Config によるリソースのコンプライアンス監査

Cloud Config は、クラウドリソースのコンプライアンスを評価・監視します。複数のリージョンにわたるリソースを集約し、設定変更をタイムラインに記録し、準拠していない設定に対してアラートを生成します。詳細については、「Cloud Config とは」をご参照ください。

インスタンス作成時のセキュリティ設定

セキュリティ強化インスタンスでの高セキュリティビジネスのホスティング

セキュアなイメージの使用

• パブリックイメージを使用し、イメージのセキュリティ強化を有効にします。

  • Alibaba Cloud が提供するパブリックイメージを使用します。

  • パブリックイメージに対して無料のセキュリティ強化を有効にし、Web シェル検出、セキュリティ設定チェック、異常なログインアラートなどの機能を利用できます。

  

• 暗号化されたカスタムイメージを使用します。

  AES-256 アルゴリズムを使用してカスタムイメージを暗号化し、データ漏洩を防止します。暗号化されたディスクのスナップショットから、暗号化されたカスタムイメージを作成します。また、コピーと暗号化機能を使用して、イメージコピーを暗号化することもできます。共有された暗号化イメージの場合、キー漏洩を防ぐために個別の BYOK キーを作成してください。詳細については、「カスタムイメージのコピー」をご参照ください。

KMS を使用したディスクデータの暗号化

災害復旧のためのスナップショットの使用

• スナップショットを使用したデータバックアップ

  スナップショットは災害復旧の基盤であり、システム障害、誤操作、セキュリティ問題によるデータ損失を軽減するのに役立ちます。ニーズに基づいてスナップショットを作成してください。詳細については、「手動でのスナップショットの作成」をご参照ください。

  耐障害性を向上させ、データ損失を最小限に抑えるために、自動スナップショットを毎日作成し、少なくとも 7 日間保持してください。

  

• 暗号化されたスナップショットの使用

  ECS は、データ漏洩を防ぐために、スナップショットに AES-256 暗号化を使用します。暗号化されたディスクから作成されたスナップショットは、自動的に暗号化されます。

セキュリティ強化モードでのインスタンスメタデータへのアクセス

ECS インスタンスメタデータには、Alibaba Cloud 内のインスタンス情報が含まれています。実行中のインスタンスのメタデータを表示および使用して、インスタンスを設定または管理できます。詳細については、「インスタンスメタデータ」をご参照ください。

ネットワークリソースの分離と保護

Virtual Private Cloud (VPC) は、物理ネットワークをデータリンク層で分離されたセキュアな仮想ネットワークに抽象化します。VPC は完全に分離されており、Elastic IP アドレスまたは NAT IP アドレスを介してのみ接続します。各 VPC 内で、IP アドレス範囲、CIDR ブロック、ルートテーブル、ゲートウェイを構成できます。VPN Gateway、Express Connect、または Smart Access Gateway (SAG) を使用して、オンプレミスデータセンターを VPC に接続します。Cloud Enterprise Network (CEN) を使用して、世界中のネットワークを接続します。

ネットワークはサイバー攻撃に対して脆弱です。Alibaba Cloud では、セキュリティグループ、ネットワーク ACL、ルーティングポリシー、または Express Connect 回線を使用して、VPC へのアクセスを制御します。また、外部の脅威から保護するために、Cloud Firewall、WAF、Anti-DDoS を構成します。

ネットワークリソース分離に関するセキュリティ推奨事項

安全なネットワーク環境の構築

• セキュリティグループを適切に構成してネットワークを分離し、攻撃対象領域を削減します。

  セキュリティグループは、ECS インスタンスへの、およびインスタンスからのネットワークアクセスを制御します。ポートと IP アドレスでトラフィックをフィルタリングするルールを構成して、攻撃対象領域を削減します。

  たとえば、ポート 22 は Linux インスタンスのデフォルトの SSH ポートです。これを開いたままにしておくと、セキュリティリスクが生じます。特定の IP アドレスのみがポート 22 にアクセスできるようにルールを構成するか、VPN を使用してログインデータを暗号化します。

  推奨事項	説明	参考資料
  最小権限の原則	セキュリティグループはホワイトリストとして機能します。必要なポートのみを開き、必要なパブリック IP アドレスのみを割り当てます。トラブルシューティングには VPN またはバスティオンホストを使用します。不適切な構成により、ポートや IP アドレスがインターネットに公開される可能性があります。 セキュリティグループでは、インターネットと内部ネットワークの両方のトラフィックに対して、ビジネスに必要なポートのみを開放します。 リスクの高いサービスポートについては、特定の IP アドレスからのアクセスのみを許可します。 HTTP サービス管理バックエンドについては、特定の IP アドレスからのアクセスのみを許可し、ドメイン名に対して WAF を有効にします。	ガイドラインとユースケース
  セキュリティグループルールで承認オブジェクトとして 0.0.0.0/0 を設定しない	すべてのインバウンドアクセスを許可することは、よくある間違いです。0.0.0.0/0 はすべての IP アドレスを意味します。この承認オブジェクトを持つルールは、すべてのポートを外部アクセスに開放します。デフォルトですべてのポートへのアクセスを拒否し、その後、80、8080、443 などの必要なポートのみを許可します。	セキュリティグループルールの追加
  不要なインバウンドセキュリティグループルールの無効化	ルールに 0.0.0.0/0 が含まれている場合は、アプリケーションが公開しているポートを確認してください。外部サービスを提供すべきでないポートについては、拒否ルールを追加します。たとえば、MySQL がポート 3306 で実行されている場合、最も低い優先度 (100) で拒否ルールを追加します。	セキュリティグループルールの追加
  承認オブジェクトとしてのセキュリティグループの参照	最小権限の原則に基づいてルールを追加します。異なるアプリケーション層では、適切なインバウンドルールとアウトバウンドルールを持つ異なるセキュリティグループを使用します。 セキュリティグループ間で相互アクセスができない分散アプリケーションでは、IP アドレスや CIDR ブロックの代わりにセキュリティグループを承認オブジェクトとして参照するルールを追加して、相互アクセスを許可します。 たとえば、Web 層用に sg-web を、データベース層用に sg-database を作成します。sg-database で、sg-web を参照してポート 3306 経由のアクセスを許可するルールを追加します。	セキュリティグループルールの追加
  セキュリティグループへの適切な名前とタグの設定	明確な名前と説明は、セキュリティグループの識別に役立ちます。 ECS コンソールまたは API 経由でセキュリティグループにタグを追加すると、検索と管理が容易になります。	セキュリティグループの変更 タグ
  相互アクセスが必要な ECS インスタンスを同一セキュリティグループに追加	各 ECS インスタンスは、最大 5 つのセキュリティグループに所属できます。同じセキュリティグループ内のインスタンスは、内部ネットワーク経由で通信します。複数のセキュリティグループがある場合は、新しいグループを作成し、内部ネットワーク通信が必要なインスタンスを追加します。 すべてのインスタンスを同じセキュリティグループに追加しないでください。分散アプリケーションでは、各インスタンスが異なる役割を果たし、特定のインバウンドルールとアウトバウンドルールが必要です。	セキュリティグループとインスタンス (プライマリ ENI) の関連付け
  セキュリティグループ内のインスタンスの分離	セキュリティグループは、ステートフルパケットインスペクション (SPI) を備えた仮想ファイアウォールとして機能します。同じセキュリティグループ内のインスタンスは、同じリージョンとセキュリティ要件を共有します。Alibaba Cloud では、内部アクセス制御ポリシーを細かく調整することで、セキュリティグループ内のインスタンスを分離します。	セキュリティグループ
  セキュリティグループの 5 タプルルールの使用	セキュリティグループは、ECS インスタンスへの、および ECS インスタンスからのネットワークアクセスを制御し、論理的なセキュリティ分離を提供します。5 タプルルールは、送信元 IP、送信元ポート、宛先 IP、宛先ポート、トランスポート層プロトコルに基づいた精密なアクセス制御を可能にします。	セキュリティグループの 5 タプルルール
  インターネット向けインスタンスと内部ネットワーク向けインスタンスを異なるセキュリティグループに分離	ECS インスタンス上のアプリケーションは、インスタンスがポート (80 や 443 など) を公開したり、ポートフォワーディングルール (NAT ポートフォワーディングや EIP ベースのフォワーディングなど) を使用したりすると、インターネットからアクセス可能になる場合があります。 最も厳格なセキュリティグループルールを適用します。デフォルトですべてのプロトコルとポートを拒否し、その後、80 や 443 などの外部サービスに必要なポートのみを許可します。 同じセキュリティグループ内のインターネット向けインスタンスには、明確な役割が必要です。MySQL や Redis などのバックエンドサービスは、インターネットアクセスのないインスタンスにデプロイし、セキュリティグループルールを使用して特定のセキュリティグループからのアクセスを許可します。	セキュリティグループルールの追加

• セキュリティドメインを構成して、組織内の異なるセキュリティレベルのサービスを分離します。

  異なるセキュリティレベルのサーバーを個別にホストするために、VPC を使用してプライベートネットワークを構築します。VPC を作成し、CIDR ブロックを割り当て、ルートテーブルとゲートウェイを構成し、この論理的に分離された VPC に重要なデータを保存します。日常の O&M には EIP またはジャンプサーバーを使用します。詳細については、「VPC の作成と管理」をご参照ください。

• ジャンプサーバーまたはバスティオンホストを使用して、内部および外部からの侵入を防ぎます。

  ジャンプサーバーには広範な権限があります。代わりにバスティオンホストを使用して、すべての O&M 操作を記録および監査し、異常を検出し、アクションを特定の担当者に関連付けます。

  ジャンプサーバーを VPC 内の専用 vSwitch に割り当て、対応する EIP または NAT ポートフォワーディングテーブルを関連付けます。専用のセキュリティグループ (SG_BRIDGE) を作成し、必要なポート (Linux の場合は TCP 22、Windows の場合は RDP 3389) のみを開きます。組織の特定のパブリック IP アドレスからのインバウンドアクセスを制限します。ジャンプサーバーが別のセキュリティグループ (SG_CURRENT) にアクセスできるようにするには、特定のプロトコルとポート経由で SG_BRIDGE からのアクセスを許可するルールを追加します。SSH の場合は、パスワードではなくキーペアを使用します。詳細については、「SSH キーペアの概要」をご参照ください。

• パブリック IP アドレスを適切に割り当てて、インターネットに公開される攻撃対象領域を削減します。

  適切なパブリック IP の割り当ては、攻撃対象領域を削減します。VPC インスタンスの場合、インターネットアクセスが必要なインスタンスを、監査を容易にするため、いくつかの指定された vSwitch に接続します。

  • インターネットサービスを提供しないインスタンスには、パブリック IP アドレスを割り当てないでください。複数のインターネット向けインスタンスの場合は、SLB を使用してトラフィックを分散します。詳細については、「SLB の概要」をご参照ください。

  • アウトバウンドインターネットアクセスが必要だがパブリック IP を持たないインスタンスの場合は、NAT ゲートウェイを使用します。特定の CIDR ブロックまたはサブネット用に SNAT エントリを構成して、サービスがインターネットに公開されるのを防ぎます。詳細については、「NAT Gateway とは」をご参照ください。

セキュリティサービスによるセキュリティ防御システムの構築

Anti-DDoS Origin Basic (無料)、Anti-DDoS Pro、Anti-DDoS Premium による DDoS 攻撃の緩和

DDoS 攻撃は、侵害された複数のシステムから、ターゲットに不正なトラフィックを殺到させます。Alibaba Cloud の Anti-DDoS サービスは、SYN、UDP、ACK、ICMP、DNS、HTTP フラッド攻撃を含む、レイヤー 3 からレイヤー 7 までの攻撃から防御します。Anti-DDoS Origin Basic は、最大 5 Gbit/s の DDoS 緩和を無料で提供します。

Anti-DDoS Origin Basic は ECS インスタンスでデフォルトで有効になっているため、スクラビングデバイスを購入することなく、DDoS 攻撃中も通常のアクセスを維持できます。インスタンスを作成した後、トラフィックスクラビングのしきい値を設定してください。

Security Center Basic (無料) による、システム脆弱性悪用からの保護

Security Center は、リアルタイムで脅威を特定、分析、警告する一元的なセキュリティ管理システムです。機能には、ランサムウェア対策、ウイルス対策、Web 改ざん防止、コンプライアンスチェックが含まれます。

Security Center Basic はデフォルトで利用でき、異常なログイン、脆弱性、クラウドサービス設定のリスクをスキャンします。脅威検出、脆弱性の修正、ウイルス駆除などの高度な機能については、Security Center コンソールから有料版を購入してください。詳細については、「Security Center Basic」をご参照ください。

WAF によるシステム脆弱性悪用からの保護

WAF は、SQL インジェクション、XSS 攻撃、Web シェル、トロイの木馬、不正アクセスを含む、一般的な OWASP 攻撃と HTTP フラッド攻撃から Web アプリケーションを保護します。WAF は悪意のあるトラフィックをブロックすることでデータ漏洩を防止し、Web サイトのセキュリティと可用性を確保します。詳細については、「クイックスタート」をご参照ください。

インスタンスのゲスト OS におけるアプリケーションの保護

ECS インスタンスへの安全なログインを確保するためのセキュリティ設定

既定では、非 root アカウントで ECS インスタンスにログインできます。su または sudo を使用して管理者権限を付与します。既定では、root アカウントは PEM キーファイルでログインできません。Linux インスタンスでは、RSA キーペアによるログインのみを構成します。Windows インスタンスでは、8 文字以上で特殊文字を含む複雑なパスワードを使用してください。

転送中のデータの暗号化

セキュリティグループまたはファイアウォールを構成し、データを暗号化するポート間の通信のみを許可するように設定してください。TLS 1.2 以降などの暗号化プロトコルを使用して、クライアントと ECS インスタンス間で転送中の機密データを暗号化してください。

ログの異常の監視と監査

FireEye による M-Trends 2018 レポートでは、全世界の滞留時間 (攻撃から検知まで) の中央値は 101 日であり、アジア太平洋地域では 498 日であると報告されています。滞留時間を短縮するには、信頼性の高いログデータと監査サービスが不可欠です。