メモ: パブリッククラウド上の暗号化 16のアドバイス(via トレンドマイクロ)
パブリッククラウド上の仮想インスタンスでセキュリティを保つ方法を、昨夜から調べています。
トレンドマイクロさんの資料に、このあたりのネタが載っていました。
観点のヒントになりそうですし、読んで分からない点がいくつかあるので、メモしておきます。
- ネットワークトラフィックを暗号化する
- ブロックデバイスには暗号化されたファイルシステムだけを使う
- dm-cryptしろとか、可能ならFUSEを使えとか、そういうこと?
- 共有ストレージ内のすべてを暗号化する
- 復号キーで対象のクラウドシステムに入るのは、復号処理の間だけにする
- VM内の認証証明書だけを、ファイルシステムキーの複号キーとする
- よくわからない。自分の訳も間違ってるかも。
- インスタンスを開始する際に、暗号化されたファイルシステムキーを取り出す
- これもやってみないとピンとこない。
- シェルアクセスにはパスワードベースの認証以外のものを使う
- 要は、鍵を使えってこと?
- sudoアクセスのためにパスワードを使わない
- ナニコレ。echoでパスワード渡してsudoするバッドノウハウの話?
- クラウドの外に通常のバックアップを取得する
- VM1つあたりのサービス数を最小にする
- 「goal=1」って書いてあるけども。。。1サービス1インスタンスが理想ってことか。
- 送信元IPアドレスを指定し、HTTPグローバルアクセスだけを通す
- 重要なデータは、分離されたデータベースに置く
- ホストベースの侵入検知システムを使う
- ネットワークベースの侵入検知システムが導入可能なクラウドプロバイダは存在するのだろうか?
- システムハードニングツールを使う
- ハードニング=可能な限り堅牢にシステムの設定を行うプロセス、と理解してたんだけど、世の中には専用ソフトがある様子。
- 良いアプリケーションを書く
なんと、オチまで! さすがトレンドマイクロさんやで・・・という冗談はさておき、サーバセキュリティをもっと勉強しないといけないことが分かりました。