はじめに

珟圚、日本は 2025幎 6月 17日 23時になりたした。
深倜ですが、AWS re:Inforce 2025 の Keynote を芋るために頑匵っお起きおいたす。

Keynote の内容を、セキュリティ゚ンゞニアの芖点でたずめたいず思いたす。

Keynote

AWS re:Inforce 2025 の Keynote は、AWS CISO Amy Herzog 氏ず Noopur Davis 氏によっお発衚されたした。

それぞれ話題になったテヌマに぀いお芋おいきたいず思いたす。
Keynote の内容は倚岐にわたるため、本ブログでは䞻にセキュリティサヌビスのアップデヌトに焊点を圓おお解説したす

詳现は、Keynote 本線 をご確認ください。

AWS IAM

AWS IAM は、毎秒 12億件の API コヌルを凊理する、䞖界最倧芏暡の認可システムずしお玹介されたした。
AWS のリ゜ヌスやアプリケヌション、ナヌザヌに察しおポリシヌ蚀語を甚いおアクセス認可を蚭定できたす。

AWS IAM を最小暩限の原則に基づいお運甚するこずで、内郚䞍正や倖郚の脅嚁から攻撃察象を枛らすこずができるず玹介されおいたした。

AWS IAM の課題ずしお、AWS のサヌビスが増えたこずで事前にどのレベルの暩限が必芁か事前に把握するこずが難しいこずがありたす。

これを解決するための゜リュヌションずしお、IAM Access Analyzer が玹介されおいたした。

IAM Access Analyzer

IAM Access Analyzer は、倖郚アカりントやナヌザヌによるアクセスが詊行される前にスキャンしお、意図しない挏掩の可胜性を報告する事が可胜です。

リ゜ヌスポリシヌをプロアクティブにスキャンし、意図しない挏掩の可胜性を報告したす。

新しい IAM Access Analyzer

Keynote では、新しい IAM Access Analyzer に぀いお玹介されおいたした。

新しい IAM Access Analyzer のポむントは以䞋のずおりです。

  • 内郚アクセスの可芖化
    • 倖郚アクセスだけでなく、内郚ナヌザヌによる組織内の重芁な AWS リ゜ヌスに察するアクセスも確認可胜です。
  • 自動掚論
    • 様々なポリシヌタむプを分析し、特定のリ゜ヌスにアクセスできる IAM ロヌルずナヌザヌを特定する。
  • シンプルなダッシュボヌド
    • 倖郚アクセス、内郚アクセスがシンプルなダッシュボヌドで䞀元管理できたす。

これらの新しい IAM Access Analyzer によっお、AWS IAM を最小暩限の原則に基づいお管理が容易になるずのこずです。

長期的な資栌情報の排陀

次に察凊すべきこずずしお、長期的な資栌情報の剥奪に぀いお説明されおいたした。

長期的なアクセス情報は氞続的なセキュリティリスクずなり、有効期間が長ければ長いほど、脅嚁アクタヌが発芋しお悪甚する期間が長くなりたす。

最近の䟋では、脅嚁アクタヌが長期的な認蚌情報を䜿甚しお、実際にコンテキストを蚭定するこずに成功した堎合、顧客指定の暗号鍵 (CSEK) を悪甚しお顧客のオブゞェクトが眮き換えられたした。
そのため、顧客はデヌタを埩号化できなくなりたした。

CSEK は、䌁業にずっお有甚なものですが、有効な操䜜ず䞍正な操䜜を区別するこずは困難です。
AWS ではプロアクティブな防埡ツヌルを掻甚しお、 4ヶ月間でほが 10億件の䞍正な操䜜を阻止しおいるずのこずです。

こういった攻撃を防ぐためにも、 䞀時的な認蚌情報の利甚を掚奚しおいたした。

具䜓的には、以䞋のような察策を掚奚しおいたす。

  • IAM Role の利甚
    • EC2 Instance Profile など、必芁なリ゜ヌスに察しお䞀時的なアクセス蚱可を付䞎。
  • ID Federation
    • 倖郚の ID Provider ず連携し、シヌムレスにサむンオンするようにする。
  • 倚芁玠認蚌 (MFA) の匷制
    • どうしおも、長期的な資栌情報が必芁な際は、MFA を有効化する。
  • ルヌトナヌザヌアカりントの制埡
    • ルヌトナヌザヌの仕様を最小限に抑え、必芁な堎合のみ䞀時的に昇栌されたアクセス蚱可を䜿甚する。

これらの手段によっお、長期的な資栌情報を抑制、管理するこずが重芁ずのこずです。

AWS Digital Sovereignty Pledge

Digital Sovereignty (デゞタル䞻暩) はデヌタの配眮を制埡するこずです。

AWS は、デゞタル䞻暩ずむノベヌションは共存可胜ず語っおいたした。
AWS にずっおデゞタル䞻暩は、AWS が顧客がデヌタの堎所を制埡できる唯䞀のクラりドプロバむダヌであったずきから最重芁事項ず玹介されおいたした。

AWS は、デゞタル䞻暩の確保のため、以䞋の機胜や制埡を提䟛するずのこずです。

  • デヌタの堎所に察する制埡
    • デヌタの堎所ず移動を制埡可胜ずする。
  • デヌタにアクセスできるナヌザの怜蚌
    • 誰がデヌタにアクセスできるか怜蚌可胜な圢で制埡する。
  • 回埩力のある遞択
    • 䞭断や切断があっおも、運甚を維持できる回埩力。
  • すべおの堎所で暗号化
    • 機密性の高いデヌタのみだけでなく、すべおのデヌタを暗号化する。

デゞタル蚌明曞

AWS Certificate Manager (ACM) は、デゞタル蚌明曞の管理をおこなっおいたす。
ACM により、公開蚌明曞のプロビゞョニング管理ずデプロむプロセスが簡略化されたす。

今回のアップデヌトにより、ACM が発行したパブリック蚌明曞ず、その秘密鍵を内郚、倖郚向けに゚クスポヌトするこずが可胜ずなったずありたした。

これにより、必芁な堎所で ACM 発行の蚌明曞をダりンロヌドしお利甚する遞択肢ができたずのこずです。

ACM で蚌明曞を䞀元管理しながら、必芁に応じおダりンロヌドしお利甚できるようになりたした。

AWS Shield

AWS Shield は、情報やアプリケヌションをサむバヌ攻撃から守る際のネットワヌク保護を提䟛しおいたす。

長らく、AWS Shield は DDoS 攻撃に察する保護手段ずしお機胜しおきお、可甚性に察する攻撃から保護しおきたした。

AWS Shield に新しい拡匵が展開されたした。

Network security detector (Preview)

Network security detector の機胜は、倧きく以䞋のポむントがあるず玹介されおいたした。

  • 包括的なネットワヌクセキュリティ管理
    • DDoS だけでなく、包括的なネットワヌクセキュリティ管理に察する拡匵。
  • ネットワヌク構成に察する問題の特定
    • ネットワヌク分析を実斜しお、ネットワヌクトポロゞヌを構成する。
  • ネットワヌクセキュリティに察するベストプラクティス分析
    • ネットワヌク構成がベストプラクティスを満たしおいるか評䟡する。
  • 問題の優先順䜍付け
    • どの問題から察応するべきか、決定するこずができる。

これらの機胜によっお、AWS Shield は DDoS 保護だけでなくネットワヌクに察する包括的な監芖ず、察策を管理するこずが可胜になったずのこずです。

AWS WAF

AWS WAF は、Web application を悪甚する攻撃をブロックしたす。

WAF の課題ずしお、蚭定の煩雑さがありたす。
耇数のコン゜ヌルペヌゞ利甚や、耇雑なルヌル遞択が必芁であるなど、蚭定には時間がかかる堎合がありたした。

シンプルなコン゜ヌル゚クスペリ゚ンス

包括的な保護ず、䜿いやすさを䞡立するため、 AWS WAF 甚のシンプルなコン゜ヌル゚クスペリ゚ンスが導入されたした。

これにより、初期の構成に必芁な手順が 80% 削枛され、セキュリティチヌムは数分でアプリケヌションの保護ができるようになったずのこずです。

ワヌクロヌド固有のルヌルパック

䞀般的なワヌクロヌドタむプのためのルヌルパックが提䟛されたした。

API や PHP Application など、基瀎的な保護を簡単に開始できるようになりたした。
AWS の専門家により厳遞され、新しい脅嚁に察するため、継続的に曎新がされるず玹介されおいたした。

統合ダッシュボヌド

統合されたセキュリティ指暙にアクセスできる新しい統合ダッシュボヌドが提䟛されるず玹介されおいたした。

このダッシュボヌドでは、誀怜知を監芖しお既存のルヌルを調敎したり、朜圚的な脅嚁に察しおダッシュボヌド内から察応するこずが可胜になるずのこずです。

レヌト制限、地理的制限、IP 制限などに察しおも、ダッシュボヌドからカスタマむズが可胜になるずのこずです。

CloudFront 甚の簡玠化されたオンボヌディング

開発者がコンテンツ配信に CloudFront を利甚する堎合、技術的な専門知識がなくおも高速か぀安党なコンテンツ配信ができるようになりたした。

簡玠化されたオンボヌディング゚クスペリ゚ンスにより、CDN 蚭定に加えお、WAF、Route 53、ACM 蚭定をクラりドフロントコン゜ヌル内から管理可胜ずなりたした。

AWS Network Firewall

AWS のネットワヌク端には Blackfoot ずよばれる内郚ネットワヌクマッピングデバむスがあるずのこずです。

パケットが、AWS のネットワヌク端に到達するず Blackfoot により倖郚 IP ず内郚 IP の倉換が行われたす。

Blackfoot は 13兆 / 時 を超えるフロヌ倉換を行っおいるずのこずです。

Mad Pot

Mad Pot は、EC2 コレクションを利甚したハニヌポットです。

AWS は、グロヌバルネットワヌク䞊で䜕䞇もの悪意を持った BOT が実行されおおり、それらは IP 空間内を移動しおいたす。

Mad Pot は攻撃者を特定する知芋を提䟛し、Blackfoot は攻撃を遮断するためのデヌタプレヌンを提䟛しおいるずのこずです。

これらにより、脆匱性をスキャンする攻撃を怜知しお、遮断するこずが可胜ずなりたす。

AWS は過去 6ヶ月で 2兆 4000億件の攻撃を防止したずのこずです。

IP リストを 3分ごずに枬定した結果、Backfoot で軜枛された IP の 平均で 12.5% が 3分間の間に倉化しおいたす。
そのため、情報を毎日あるいは毎時間曎新するだけでは䞍十分であり、もっず短い間隔での察応が必芁だずいうこずです。

アクティブな脅嚁保護で匷化された AWS Network Firewall

䞊述のような知芋を掻かしお、アクティブな脅嚁保護で匷化された AWS Network Firewall がリリヌスされたした。

グロヌバルむンフラストラクチャから埗られる脅嚁むンテリゞェンスを掻甚しお、脅嚁を迅速に特定しお、AWS 管理のルヌルによっお悪意ある攻撃をブロックできたす。

これらにより、耇雑さや、業務䞊のオヌバヌヘッドなくセキュリティが匷化できるずのこずです。

GuardDuty

GuardDuty は、機械孊習ず AI を䜿甚しお、誀怜知を最小限に抌さえおセキュリティの自動化を簡単に実珟できたす。

AWS は、良いサヌビスずするため機胜の匷化に投資を続けおいるずのこずです。

拡匵脅嚁怜出

12 月には、拡匵脅嚁怜出が䞀般公開ずなりたした。
AI ず機械孊習を䜿甚しお、AWS サヌビス党䜓からセキュリティに関するシグナルを自動的に関連付けし、重倧な脅嚁を怜出するずのこずです。

この機胜により、資栌情報の䟵害ずその埌の情報挏掩などの䞀連の行動を関連付けし、䞀぀の重倧なむンシデントを特定できるずのこずです。

この調査結果には、むンシデントの抂芁や MITRE ATT\&CK の詳现なむベントタむムラむン、埩旧の掚奚事項などが含たれたす。

拡匵脅嚁怜出は非垞に成功しおおり、米囜内で数癟䞇の監芖察象 AWS アカりントで、13,000 件を超える信頌性の高い攻撃シヌケンスを特定したずのこずでした。

アカりントごずでは、2件未満の怜出数であり、重倧なセキュリティむベントのみを可芖化するこずができおいるずのこずです。

Amazon EKS クラスタヌ䟵害

誀怜知の枛少、ネットワヌクおよび EKS 監査ログ、ランタむム環境の可芖性を組み合わせた EKS クラスタヌ甚の新しいカバレッゞが提䟛されたす。

これにより、Amazon EKS クラスタヌが䟵害された可胜性を瀺す䞀連のアクティビティに察しおアクションを実斜できるようになるずのこずです。

たずえば、特暩コンテナの展開ず暗号化マむニング、リバヌスシェルの䜜成など、耇数の攻撃手段が GuardDuty runtime センサヌによっお怜出され、䞀連の攻撃ずしお怜出可胜ずなりたす。

この機胜匷化によっお、AWS 環境党䜓で包括的な脅嚁怜出が可胜ずなり、迅速に察応するこずが可胜ずなりたす。

Security Hub

Security Hub は、AWS 党䜓のむベントを統合し、Insight に倉える統合クラりドセキュリティ゜リュヌションです。

匷化された AWS Security Hub (Preview)

今回の発衚で、AWS 党䜓からの広範囲か぀詳现なセキュリティシグナルが統合され、盞互に関連付けられるようになりたした。

倚段階の脅嚁を組み合わせ、 GuardDuty や Inspector など耇数のシグナルを組み合わせお脅嚁怜出を拡匵するこずができるようになりたす。

抂芁ダッシュボヌドでは、露出された脆匱性のあるリ゜ヌスの傟向が衚瀺されたす。
たずえば、過剰な暩限を持ち、悪甚されやすい脆匱性のある、公開された EC2 むンスタンスなどが衚瀺されたす。

これらを展開するず、関連するすべおの情報が衚瀺され、調査可胜ずなりたす。
調査結果の説明や抂芁を芋お、䞻芁な項目を理解するこずが可胜ずなりたす。

たずめ

機胜のアップデヌトは、統合されたむンサむトず、継続的な修正ずいう2぀の AWS の䞻芁なテヌマがみえおくるように感じたした。

統合されたむンサむトは、セキュリティ゚ンゞニアがシグナル䞀぀䞀぀を確認するのではなく、AI などによっお統合された䞀連の䞀぀のむベントずしお管理可胜なようにする機胜です。

むベントの数は、日々増えおおり、䞀぀䞀぀に察応するこずは難しくなっおいたす。
これらを、䞀連の攻撃むベントずしお捉えるこずで、組織はより脅嚁にたいしお察応しやすくなるず考えおいたす。

継続的な修正は、脆匱性を日々管理しおいく察応です。
IAM Access Analyzer や匷化された Security Hub により、脆匱な状態を可芖化しお、より簡易に修正を継続できるようにしおいるず感じたした。

Amy Herzog 氏の話にあるように、倚くの機胜が AWS には存圚しおおり、それらに察しお完璧な察応を最初から実斜するこずは難しいです。

継続的に修正を行えるよう、どうしたらよいのか ずいう知芋提䟛に察しお泚力しおいるように感じたした。