AWSクラウドで実現するセキュリティと可用性の両立 · Amazon Kinesis Amazon AppStream Amazon SNS Identity & Access Management Amazon Route 53 AWS Import/Export

AWSクラウドで実現するセキュリティと可用性の両立

アマゾンウェブサービスジャパン株式会社技術本部レディネスソリューション部部長プリンシパルソリューションアーキテクト

荒木靖宏

Agenda

• AWS概況

• 金融機関におけるAWS活用のオーバービュー

• AWS活用の3パターン

– 高可用性を実現するパターン

– 高い機密性を実現するパターン

– FINTECHなど新しい取り組みでのAWS活用パターン

2

世界中に広がるAWSの拠点

33のアベイラビリティーゾーン（データセンター群）

12 のリージョン1. US EAST (Virginia)

2. US WEST (N. California)

3. US WEST 2 (Oregon)

4. EU WEST (Ireland)

5. JAPAN (Tokyo)

6. South America (Sao Paulo)

7. Singapore

8. Sydney

9. GovCloud

10. BJS 1 (Beijing China) limited preview

11. EU (Frankfurt)

12. Korea

54のエッジロケーションデータ保管先を明示的に指定可能。

パフォーマンス

AWSは、10Gbpsのネットワークをサポート

• Enhanced Networking（ SR-IOV ） – 1M PPSのパフォーマンス。遅延の最小化。(C3, C4, D2, I2, M4, R3インスタンスでサポート)

高性能のインスタンスタイプも提供。

• X1インスタンス（x1.32xlarge）

• コア数：１２８

• メモリ：2TB

4

Copyright © 2012 Amazon Web Services

Innovation

5

1,896AWS Direct

Connect

AWS Elastic Beanstalk

GovCloud

Amazon CloudTrail

CloudHSM

WorkSpaces

Amazon Kinesis

Amazon

AppStream

Amazon SNS

Identity & Access

Management

Amazon Route 53

AWS Import/Export

Amazon SWF

Redshift

Dynamo DB

CloudSearch

AWS Data

Pipeline

Trusted Advisor

AWS KMS

Amazon Config

Amazon RDS

for Aurora

WorkDocs

Directory

Service

CodeCommit

AWS CodePipeline

AWS Service

Catalog

CloudWatch Logs

Amazon EFS

Amazon API

Gateway

Amazon Machine

Learning

AWS Device Farm

AWS WAF

Elasticsearch Service

QuickSight

Import/Export Snowball

RDS for MariaDB

Amazon Inspector

AWS IoT

EC2 Container

Registry

Amazon

ElastiCache

AWS

CloudFormation

Mobile

Analytics

AWS Mobile Hub

AWS Storage GatewayAWS OpsWorks

Elastic Transcoder

Amazon SES

EC2

Container Service

Amazon Cognito

AWS CodeDeploy

Glacier

* As of 30 Dec 2015

Amazon WorkMail

Lambda

2009

48

159

722

82

2011 2013 2015

加速する機能拡張・改善のスピード

• 2015年に合計722の新機能またはサービスの追加。

• 2016年は、4/末時点で313もの新しい機能とサービスを発表

• 機能追加はAWSが実施

• 仮想化基盤への適用作業が不要

• バージョンアップ費用が不要

AWSクラウドを軸に新たなエコシステムが創造

クラウドサービス提供

アプライアンス、ネットワークベンダーの

クラウド対応

BYOL（ライセンス持込）

システムインテグレーション

Palo Alto Networks VM-Series for AWS

AWS環境上で全ての次世代ファイアウォール機能を利⽤可能• 処理負荷に応じた次世代セキュリティの配備• アプリケーションベースのトラフィック保護• 既知および未知の脅威からの防御• システム設定の集中管理理と円滑滑なポリシーアップデート

提供機能・Dos対策・ファイアウォール(アプリ識別)・IPS/IDS・ウィルス対策/未知ウィルス対策・URLフィルタ(悪意サイトの検知)・スパイウェア対策・ボットネット感染端末の発見

製品情報:https://www.paloaltonetworks.jp/content/dam/paloaltonetworks-com/ja_JP/Assets/PDFs/partner/AWS_PaloAltoNetworks/Session3.pdf

https://www.paloaltonetworks.jp/content/dam/paloaltonetworks-com/ja_JP/Assets/PDFs/partner/AWS_PaloAltoNetworks/Session3.pdf

NTTドコモがAWS導入経験を外部向けのセキュリティ調査支援サービスに

金融機関におけるAWS活用のオーバービュー

グローバルでの金融機関におけるAWS活用

ソニー銀行

継続的にAWSを利用。2016年は、リスク管理、帳票管理をAWS上に構築予定。

金融機関のクラウド活用で求められている、3つのポイント

• 金融機関が求める高い可用性。

• 障害に対する柔軟な対応。1.高可用性

• FISC安全対策基準への対応や、自組織内のリスク管理策への対応2.セキュリティ

• 新しい技術の採用

イノベーション3.Fintech

14

３つのパターン：

「1. 高可用性を実現するパターン」

金融システム on AWSで要求される可用性

• 可用性 99.95%?

• 金融機関のシステムで要求されるSLAは99.99%以上？

• 障害発生時の対応、報告

• Amazon EC2 Auto-Scaling

• 自動化

16

耐障害性・高可用性の構成の基本

• http://d36cz9buwru1tt.cloudfront.net/jp/architecturecenter/RefArch_FaultToleranceHighAvailability_5Ar.pdf

17

http://d36cz9buwru1tt.cloudfront.net/jp/architecturecenter/RefArch_FaultToleranceHighAvailability_5Ar.pdf

障害発生時の対応・体制

18

障害発生報告書

発生日時

対象サービス・業務

原因

対象システム

被害状況等

対処状況

事後改善策

Service Health Dashboard

お客様の運⽤管理システム

AWSサポート

障害検知

状況把握

一時対処

原因分析

恒久対策・再発防止

お客様のアクション

CloudTrailCloudWatch Config

ソリューションアーキテクト

Auto Scaling、自動化

• 特徴 (http://aws.amazon.com/jp/autoscaling/)

– Amazon EC2インスタンス群を自動的にスケール

– 耐障害性の向上（インスタンスの異常を検知して、新しいインスタンスを起動）

– EC2インスタンスの起動料金の最適化

• 価格体系 (http://aws.amazon.com/jp/autoscaling/pricing/)

– Auto Scaling自体の利用は無料

– Auto Scalingによって起動されるEC2インスタンスの起動料金

19

EC2インスタンスを負荷またはスケジュールに応じて自動増減

Auto Scaling group

Desired Capacity

必要に応じて追加されるCapacity

自動化による、障害発生時の対応・体制の簡略化

20

性能不足検知

状況把握

対処（自動的に対応）

原因分析

恒久対策・再発防止

お客様のアクション

EC2インスタンスを負荷またはスケジュールに応じて自動増減

Auto Scaling group

Desired Capacity

必要に応じて追加されるCapacity

自動化

不要

対応が不要に

ELB（ロードバランサ）によるヘルスチェックや、EC2 Auto-Recovery（障害時の自動復旧）機能も利用可能。

AWS上でのシステム構築のベストプラクティス

• Design for Failure– 故障に備えた設計をする

– 冗長にシステムを配置する • 地理的、さらに電源やネットワークなどの独立性も重視

– 障害時の復旧がすぐに行えるように備える

• 伸縮自在性を実装– リソースの供給を、ユーザーやシステムの需要に合わせる

– 必要があれば追加し、不要になったら捨てる

• 疎結合なシステム– コンポーネント間の依存関係を減らす

– スケールしやすく、さらに全体的に効率のよいシステムにする

21

22

リアルタイム時価情報サービスプラットフォーム

日本の証券取引所の株価情報をはじめとして、インデックス、為替、債券など多岐にわたっているリアルタイム時価情報を取得、配信。

時価配信システム

株価ボード

チャート

23

構築時の課題

同時複数クライアントに対してリアルタイムの株価配信を行う

自社のファシリティで対応することが難しい

FISCに準拠するパブリック・クラウド＝AWSを選定

24

AWS導入に向けて

時価データの『リアルタイム性』と金融機関が求める『高可⽤性』を担保

・DirectConnectの2重化・MultiAvailabilityZoneでのVPC

完全二重化構成（デュアルシステム）

25

システム構成図

証券取引所

リアルタイム株価データ


配信ゲートウェイ

既存データセンター

デュアルシステム

株価配信

大手証券会社リアルタイム株価ボード

オンライン証券個人ユーザー

Availability Zone

Availability Zone

Redis

Redis

26


証券取引所






株価配信



Availability Zone

Availability Zone

Redis

Redis

サービス

サービス

27


証券取引所






株価配信



Availability Zone

Availability Zone

Redis

Redis

サービス

切り離し

28

構築する上で

AutoScaling取引時間帯（9:00-15:00）に応じたサーバ台数、性能を確保し、かつ、非稼働時のコストダウンを実現

6:00 7:00 8:00 9:00 10:00 11:00 12:00 13:00 14:00 15:00 16:00 17:00 18:00

サーバ台数（Amazon EC2インスタンス数）

トラフィック量


「2. 高い機密性を実現するパターン」

金融システム on AWSで要求される要件

• FISC 安全対策基準「第8版追補改訂」対応

• AWS責任共有モデル

• サイバーセキュリティ対策

• 行内/社内のID管理、機密情報の管理

• AWSセキュリティ– AWS IAM, AWS CloudTrail, AWS WAF, AWS Inspector,..

FISC安全対策基準第8版追補改訂（2015/6）、FISCシステム監査指針改訂第3版追補（2016/5）のリリース

• 公益財団法人金融情報システムセンター（FISC）

• 「金融機関等コンピュータシステムの安全対策基準・解説書（第8版追補改訂）」 - 2015/6/末リリース

公益財団法人金融情報システムセンター（FISC）

「金融機関等のシステム監査指針（改訂3版追補）」- 2016/5/末リリース

クラウド技術の特性とリスクを正しく把握したうえで、リスクを適切に管理し、

クラウド技術のポテンシャルを最大限に活用可能に

「金融機関におけるクラウド利用に関する有識者検討会報告書」

• FISC主催で議論した金融機関でクラウドを活用する際の検討報告書1. 日本の金融機関が、クラウド技術の特性とリスクを正しく把握した上で、クラウド技術の持つ

ポテンシャルを最大限に活用していくためにはどうしたらよいか。

2. 安全対策のあり方について、どのようなものが相応しいか。

• 議論の参加者：– 座長：NII 喜連川先生。– 学界、金融界、実務界（クラウド事業者含む）、金融庁をはじめとするオブザーバ。– クラウド事業者として、アマゾンも参加。

• 発刊日：2014年11月4日• 金融情報システムセンター(FISC)ホームページにてダウンロード可能

FISC安全対策基準第8版追補改訂クラウドに関する主な変更点

• 廃止– 運108 クラウドサービスの利用にあたっては、適切なリスク管理を行うこと

• 改訂（新設）– 運108 クラウドサービスの利用を行う場合は、事前に利用目的や範囲等を明確にするとともに、事業者選定の手続きを明確にすること。

– 運109 クラウド事業者と安全対策に関する項目を盛り込んだ契約を締結すること。– 運110 クラウドサービス利用にあたって、データ漏洩防止策を講ずること。– 運111 クラウド契約終了時のデータ漏洩防止策を講ずること。– 運112 クラウド事業者に対する立入監査・モニタリング態勢を整備すること。

運108のポイント：事業者選定

・公開情報に加え、クラウド事業者に対し、非公開情報の開示を求めリスク管理の状況等を評価

AWS は、サードパーティによる証明、認定、Service Organization Controls 1（SOC 1）Type II レポートなどの関連するコンプライアンスレポートを、 NDA に従ってお客様に直接提供しています。

・公開情報に加え、当該クラウド事業者に対する評判や実績を評価

AWSの国内事例：http://aws.amazon.com/jp/solutions/case-studies-jp/アナリストレポート：http://aws.amazon.com/jp/resources/analyst-reports/

・主に公開情報をもとに評価 AWSの金融機関向け公開情報：http://aws.amazon.com/jp/aws-jp-fisclist/

厳格な管理

簡易な管理

コントロール AWSの対応FISC「金融機関におけるクラウド利⽤に関する有識者検討会報告書」P.57より引⽤

総合判断

基準

外部の監査人による各種監査レポートや、事例公開により、客観的に評価可能。

http://aws.amazon.com/jp/solutions/case-studies-jp/http://aws.amazon.com/jp/resources/analyst-reports/http://aws.amazon.com/jp/aws-jp-fisclist/

運108のポイント：データの所在

・当該クラウドサービスに適⽤される法令が特定できる範囲で、所在地域（国、州等）の把握が必要・インシデント発生時に立入が必要となる場面では必然的に所在地の把握が必要

AWS は、日本を含む、複数の地理的リージョンに、インスタンスを配置してデータを保管する柔軟性をお客様に提供します。データとサーバを配置する物理的なリージョンは、AWS のお客様が指定します。AWS のデータセンターでは複数のお客様をホストしており、幅広いお客様を第三者の物理的アクセスにさらすことになるという理由から、お客様によるデータセンター訪問を許可していません。このようなお客様のニーズを満たすために、SOC 1 Type II レポート（SSAE 16）の一環として、独立し、資格を持つ監査人が統制の存在と運⽤について検証を行っています。

・重要なデータの保管・処理を扱わない場合、データ所在の特定は必要としない

N/A – （すぐにでもAWSを利⽤可）

機密性

基準

厳格な管理

簡易な管理


日本を含むリージョンを展開。AWSの都合で、データを勝手に国外に移動しません。

運110のポイント：データ暗号化等

・機密性の高い個人データ等については、暗号化等による、蓄積・伝送データの保護策は必要・暗号鍵は金融機関にて保管し、管理することが望ましい

AWS がお客様に代わって保存するデータはすべて、強力なテナント隔離セキュリティと統制機能で保護されています。お客様のデータの所有権はお客様が保持します。したがってデータの暗号化を選択するのはお客様の責任となります。AWS では、S3、EBS、 SimpleDB、EC2 など、ほぼすべてのサービスについて、お客様が独自の暗号化メカニズムを使⽤することを許可しています。VPC セッションも暗号化されます。また、Amazon S3 は、お客様向けのオプションとしてサーバー側の暗号化も提供しています。

・個人データ以外の比較的機密性の高いデータについては、暗号化等による蓄積・伝送データの保護策の策定が望ましい

・重要データを扱わない場合には暗号化等による保護を必要としない

N/A – （すぐにでもAWSを利⽤可）

厳格な管理

簡易な管理


機密性

基準

データの所有権、統制権はお客様側。加えて、複数の暗号化サービスを提供。暗号鍵をお客様で管理可能。

• 主なポイント– 有効性、効率性、信頼性、遵守性及び安全性

– 情報提出依頼のみで委託業務の適切性の検証が十分にできない場合は、クラウド事業者のオフィスやデータセンターへの立入監査・モニタリングによる実地確認。

– 立入監査等が実効的でない場合などは、第三者監査による代替も可能。

– 業務の重要度、費用対効果を踏まえた管理策（SOC1,SOC2等の第三者認証の活用）

運112 クラウド事業者に対する立入監査・モニタリング態勢を整備すること。

セキュリティは大丈夫？（第三者認証）

多数の第三者認証の取得や、保証プログラムへの準拠をしています。

AWSコンプライアンス http://aws.amazon.com/jp/compliance/AWSのセキュリティとコンプライアンス http://www.slideshare.net/AmazonWebServicesJapan/aws-23722701

http://aws.amazon.com/jp/compliance/http://www.slideshare.net/AmazonWebServicesJapan/aws-23722701

AWS 基本サービス

コンピュートストレージデータベースネットワーク

AWS

グローバルインフラストラクチャリージョン

アベイラビリティゾーン

エッジロケーション

ネットワークセキュリティ

サーバー(OS)セキュリティ

お客様のアプリケーション・コンテンツ

お客様自身でクラウドをコントロール可能

AWSがクラウドのセキュリティを担当

お客様

AWS責任共有モデル

データセキュリティ

アクセスコントロール

セキュリティは大丈夫？（物理セキュリティ）

• Amazonは数年間にわたり、大規模なデータセンターを構築

• 重要な特性:

– 場所の秘匿性

– 周囲の厳重なセキュリティ

– 物理アクセスの厳密なコントロール

– 2要素認証を2回以上で管理者がアクセス

• 完全管理された、必要性に基づくアクセス

• 全てのアクセスは記録され、監査対象となる

• 職務の分離


http://www.slideshare.net/AmazonWebServicesJapan/aws-23722701

セキュリティは大丈夫？（ネットワーク）

• Distributed Denial of Service (DDoS)対策: • 効果的かつ標準的な緩和対策を実施

• 中間者攻撃対策:• 全エンドポイントはSSLによって保護• 起動時に新しいEC2ホストキーを生成

• IPなりすまし対策:• ホストOSレベルで全て遮断

• 許可されていないポートスキャニング対策:• AWSサービス利⽤規約違反に該当• 検出され、停止され、ブロックされる• インバウンドのポートはデフォルトでブロックされているた

め、事実上無効

• パケットの盗聴対策:• プロミスキャスモードは不許可• ハイパーバイザ―レベルで防御



セキュリティは大丈夫？（論理的セキュリティ）

• ハイパーバイザー（ホストOS）

– AWS管理者の拠点ホストからの個別のログイン

– 全てのアクセスはロギングされ、監査されます

• ゲストOS（EC2インスタンス）

– お客様による完全なコントロール

– お客様が生成したいキーペアを使用

• Firewall機能の標準提供

– AWS標準機能としてInbound/Outboundに対するFirewall

– AWSのお客様の権限、責任で設定



セキュリティは大丈夫？（データセキュリティ）

• データを配置する物理的なリージョンはお客様が指定

• AWSは、法令遵守等やむをえない場合を除き、お客様のデータを指定されたリージョンからお客様への通告なしに移動しない

• お客様のデータが権限のない人々に流出しないようにするストレージ廃棄プロセスを保持

• DoD 5220.22-M（米国国防総省方式）– 3回の書き込みでの消去を実施– 固定値→補数→乱数

• NIST 800-88（メディアサニタイズのためのガイドライン)– 情報処分に対する体制、運営やライフサイクルに関するガイドライン– 情報処分に対しする組織的に取り組み

• 上記の手順を⽤いハードウェアデバイスが廃棄できない場合、デバイスは業界標準の慣行に従って、消磁するか、物理的に破壊する



運113 サイバー攻撃対応態勢を整備すること

• サイバー攻撃に伴うシステムの停止や、不正な資金移動に対する、未然防止策・事前対策、検知策、対応策を検討し、態勢を整備することが必要である。また、以下に示す例の他に、各金融機関等でも有効と考えられるセキュリティ対策について検討することが必要である。

– 未然防止策・事前対策

– 検知策

– 対応策

– 教育・訓練

44

AWS WAF

• CloudFrontのエッジにてWebアプリケーションを攻撃から保護する機能を提供

• リクエストURI、クエリ文字列、HTTPヘッダ、HTTPメソッドやIPアドレスを判定条件(Conditions)として設定できる

• 条件に応じて許可・拒否・カウントを選択

• 費⽤– 1WebACLあたり月額5ドル– 1ルールあたり月額1ドル– 100万リクエストあたり0.6ドル

http://aws.typepad.com/aws_japan/2015/10/waf.html

http://aws.typepad.com/aws_japan/2015/10/waf.html

AWS Inspector

46

• 自動化されたセキュリティ診断サービス

• APIで制御できるので、開発プロセスの中に組み込むことで均質なセキュリティ診断を自動的に実行できる

• 内容についてはルールセットにより制御が可能

• 診断対象のインスタンスにエージェントをインストールした後にInspectorを起動して利⽤する

http://aws.typepad.com/aws_japan/2015/10/amazon-inspector-automated-security-assessment-service.html

http://aws.typepad.com/aws_japan/2015/10/amazon-inspector-automated-security-assessment-service.html

CloudTrail – KMSによるログファイルの暗号化

• CloudTrailが生成するログファイルをKMSの鍵を利⽤して暗号化することが可能に

• 読み取りアクセス権があれば、復号化は透過的に行われるため、ユーザ側では意識する必要なし

• CloudTrailが利⽤するKMS鍵を設定したうえで、ユーザに対して復号化の権限を付与すれば利⽤開始できる

http://aws.typepad.com/aws_japan/2015/10/aws-cloudtrail-update-sse-kms-encryption-log-file-integrity-verification.html


CloudTrail – ログファイル整合性の検証

• CloudTrailが生成するログファイルに対して、削除や改ざん操作が行われていないかを検知できるように

• ログファイル整合性の検証機能を利⽤するには、証跡ログファイルの取得設定が必要

• 削除や改ざんを検知する場合はAWS CLIの“aws cloudtrail validate –logs”を利⽤する




「3. 新しい技術を採用するパターン」

三菱UFJトラスト投資工学研究所 - ロボットファンド

• 国内株式の資産運用において、経済ニュースからキーワード (景気、上がる/下がるなど) をテキストマイニングで抜き出し、市場心理がポジティブであるかネガティブであるかを定量化。

• 経済ニュースを受信– 市場心理(ポジ/ネガ)を判

– 売買する株式銘柄を選定

AWS Lambda + API Gateway

• API Gateway– OS、キャパシティ等インフラの管理不要

– バックエンドとしてLambda、既存Webシステムを利用可能

• Lambda

• クラウド上で、イベントをトリガーに独自のコードを稼働させるComputeサービス

Mobile Apps

Websites

Services

API

Gateway

AWS Lambda

functions

AWS

API Gateway

Cache

Endpoints on

Amazon EC2 /

Amazon Elastic

Beanstalk

Any other publicly

accessible endpoint

Amazon

CloudWatch

Monitoring

岡三証券 – バーチャルトレード（サーバレス構成）

• 時価情報の

配信をサーバレスで実現。

52

まとめ

• セキュリティと可用性の両立が求められる金融分野を例にAWS利用法を説明しました

• 日本の多くの金融機関がAWSを採用

• 自動化、Design for failure

• バーチャルプライベートクラウド

• 高性能なインスタンスタイプ

• FISC安全対策基準第8版追補改訂

• API対応。サーバレスアーキテクチャへの発展が可能です。

アンケート提出で抽選で5名様に差し上げます

Documents

AWSクラウドで実現するセキュリティと可用性の両立 · Amazon Kinesis Amazon AppStream Amazon SNS Identity & Access Management Amazon Route 53 AWS Import/Export