re:Invent 2022で押さえておきたいクラウドセキュリティの最新情報
Shilpi Bhattacharjee
2022年12月21日
0 分で読めます2年間の休止期間（2020年はバーチャル、2021年はハイブリッド開催）を経て、AWS re:Inventが今年、満を持して対面開催で戻ってきました。参加者は52,000人を超え、今年のRSA（26,000人）とBlackhat USA（21,000人）の合計を上回りました。
re:Inventでは2,000を超えるセッションが開催されました。基調講演、リーダーシップセッション、チョークトーク、ブレイクアウトセッション、ワークショップなど、参加者を楽しませ、学びを深めるためのさまざまなプログラムが用意されていました（その一部は、ブログ記事re:Invent 2022の主なポイントですでにご紹介しています）。チョークトークとワークショップを除くほとんどのセッションはYouTubeで視聴できます。来年、時間を最大限に活用したいなら、興味のあるチョークトークやワークショップに参加し、ほかのセッションはオンラインで視聴するのがおすすめです。
そして私たちの意見（Corey Quinnも同じ意見です）としては、人との交流を存分に楽しむことをおすすめします！人とつながり、学ぶのに絶好の機会です。AWSに関心を持つ開発者、セキュリティ担当者、経営幹部、起業家など、さまざまな人々が一堂に会するカンファレンスだからです。
re:Inventの基調講演
ほかのカンファレンスとは違い、re:Inventの基調講演は1つや2つではありません。なんと6つもあります。基調講演を抜け出してコーヒーを買いに行くタイプの参加者なら、かなりのカフェイン摂取量になるでしょう。
イベントは月曜夜、AWSユーティリティコンピューティング担当シニアバイスプレジデントのPeter DeSantisによる基調講演で幕を開けました。低コスト、高パフォーマンス、セキュリティの間でせめぎ合いがあっても、AWSは妥協しないという姿勢について語りました。
また、AWSデータおよび機械学習担当バイスプレジデントのSwami Sivasubramanianによる基調講演もあり、AWSが組織のデータをビジネスに役立つ有意義なインサイトやアクションへと変える方法について語りました。データと機械学習の分野でAWSが進めている取り組みに関心がある方は、ぜひご覧ください。
AWSワールドワイドチャネルおよびアライアンス担当バイスプレジデントのRuba Bornaは基調講演で、AWSパートナーが顧客のビジネス変革を加速するうえで、独自の強みを発揮できることを紹介しました。
AWSのセキュリティに関心がある方にとって、特に注目したい基調講演は、AWS CEOのAdam SelipskyとAmazon.comのバイスプレジデント兼CTO、Dr. Werner Vogelsによるものでしょう。
CEO基調講演の要約
Adam Selipskyの基調講演では、サステナビリティ、クラウドによるコスト削減、あらゆるものの中心となったデータ、そしてもちろんセキュリティについて多く語られました。AWSは2025年までに事業運営を100%再生可能エネルギーで賄うことを目指しており、現時点で目標の85%に達しているとAdamは説明しました。また、クラウドプロバイダーの中で水の効率利用をリードし、2030年までにウォーターポジティブを実現することを目指しています。
Adamは、先行きが不透明な時代であることを認め、「コスト削減を計画しているなら、クラウドこそ最適な場所です」と述べ、困難な時期にクラウド支出を6,350万ドル削減できたAirbnbを例に挙げました。クラウドを活用すれば、より効率的に、より少ない支出でイノベーションを加速できます。不確実な時代であっても、イノベーションは必要だとAdamは語りました。
基調講演では、データについても多く語られました。データは膨大で、増え続けています。そのため、クラウドセキュリティでは、この増加するデータをどう保護するかが大きな課題になっています。
Adamは、セキュリティとはコントロールとアクセスの適切なバランスを見つけることだと説明し、AWSは創業以来、セキュリティを最優先事項としてきたと述べました。セキュリティは安心して新しいことに挑戦するための自信を与えるべきだとも語りました。基調講演では、AWSが非常に安全な環境として認められていることにも触れ、その証しとして、米国の上場株式オプションの中央清算機関であるOptions Clearing Corp（OCC）を挙げました。OCCは中核ワークロードをクラウドに移行し、AWS上で運用する予定です。Adamはこれを、一世代に一度の技術的決断と呼びました。
Adamによると、セキュアに構築することが最も容易な道です。AWSが提供するセキュリティ重視のサービスを幅広く紹介し、正確には20種類あると説明しました。
Adamはコンテナの人気が高まっていることにも触れ、安全を保つには適切なツールが必要だと述べました。（編集者の視線からすると、ここでSnyk Containerについて触れておくのがよさそうです。）
CTO基調講演の要約
Werner VogelsはAWSのスティーブ・ジョブズのような存在だと言えるでしょう。基調講演は参加者の間で特に人気があります。映画『マトリックス』シリーズに着想を得て、Dr. Vogelsは非同期で疎結合なシステムを構築するメリットと、イベント駆動型アーキテクチャによってグローバル規模に拡張できることについて語りました。
クラウドによって、3Dを活用した没入感の高い体験を顧客が構築できるようになり、シミュレーションにより新たな方法で実験やイノベーションを行えるようになったと説明しました。また、セキュリティに関わるAmazon EventBridge Pipes、AWS Application Composer、Amazon Code Catalystについても紹介しました。これらについては、以下のセキュリティ最新情報で取り上げます。
re:Invent 2022のセキュリティ最新情報
今年のre:Inventでは、新しいセキュリティ製品や既存製品のアップデート、機能に関する多数の発表があり、AWSがセキュリティを引き続き重視していることが明らかになりました。それでは、詳しく見ていきましょう。
AWSのセキュリティ製品のリリース（AWSの新しいセキュリティ製品）
AWS Security Lakeのプレビューが開始– 特に大きな期待を集めているサービスの1つです。AWSや外部のさまざまなセキュリティデータセットを統合し、制御・変換する、フルマネージド型のセキュリティデータレイクです。
Security LakeはOpen Cybersecurity Schema Frameworkを活用しています。これは、スキーマ開発のための拡張可能なフレームワークと、ベンダーに依存しない中核セキュリティスキーマを提供するオープンソースプロジェクトです。Security HubとのAWSインテグレーションに対応しており、VPCログ、CloudTrail、Route53ログから直接データを収集します。
AWS Verified Accessのプレビューが開始– VPNを使わずに、社内またはリモートからアプリケーションへの安全なアクセスを可能にする新しいセキュア接続サービスです。
Amazon Verified Permissionsのプレビューが開始– カスタムアプリケーション内のきめ細かな権限と認可を管理できます。RBAC（ロールベース）とABAC（属性ベース）の利点を組み合わせた、きめ細かな制御を実現します。OPA（Open Policy Agent）の興味深い代替手段になる可能性があるという声もあります。
AWSセキュリティ製品のアップデート（既存のセキュリティ製品に追加された新機能）
Amazon InspectorがAWS Lambda関数の脆弱性スキャンに対応– Amazon Inspectorは、EC2などのアプリケーションや設定を対象とするAWSの自動脆弱性管理サービスです。これまではEC2インスタンス、コンテナイメージ、Lambda関数などの混在ワークロードを一般的な脆弱性に照らして分析するために、AWSのツールとサードパーティ製ツールを使う必要がありました。今ではすべてAWS上で実行できるため、ほぼリアルタイムの脆弱性スキャンが可能になります。セキュリティコミュニティからは、歓迎すべき変更だという声が上がっています。
Amazon GuardDuty RDS Protection （プレビュー中）とコンテナランタイム脅威検出（近日提供予定）– Amazon GuardDutyは、AWS環境全体をスキャンする脅威検出サービスです。アカウント内のデータベースへのアクセスアクティビティを監視し、機械学習で不審なログインを検出します。今回、Amazon Aurora（組み込みのセキュリティ、継続的なバックアップ、サーバーレスコンピューティング）に保存されているデータの脅威検出に対応しました。検出結果の種類もいくつか追加されましたが、対応しているのは一部のバージョンのみです。対応するRDS Auroraのバージョンはこちら
コンテナランタイム脅威検出では、Amazon GuardDutyランタイム脅威検出を使って、コンテナ内の脅威を検出できます。これは、ファイルアクセス、プロセス実行、ネットワーク接続など、ホスト上のOSレベルの動作を監視する、軽量なフルマネージド型セキュリティエージェントです。
以前ご紹介したAWS re:Inforce 2022の振り返りでも触れたように、AWSは今年、GuardDutyを複数回アップグレードしています。まずはAmazon GuardDuty EKS protection とAmazon GuardDuty Malware Protection for EBS volume、そしてre:Inforceで発表されたSecurity Hubとのインテグレーションから始まりました。
Amazon Macieの自動データ検出– Amazon MacieはAWSのデータセキュリティサービスです。このアップデートにより、機密データがどこ（Amazon S3）に保存されているかを、より低コストで可視化できます。Amazon Macieはre:Inforceでもアップデートされ、Amazon S3オブジェクトの新しい検証機能が追加されました。
AWS Control Towerに新しいコントロールが追加（プレビュー中）– AWS Control Towerを使うと、コンソール上のガバナンスルールを適用、管理できます。新しいコントロールライブラリのセクションでは、300を超えるコントロールを利用でき、マネージド型の予防的、検出的、プロアクティブなコントロールを適用できます。AWS Control TowerからSecurity Hubの検出的コントロールを有効にすることも可能になりました。今年初めに発表されたre:Inforceのアップデートを見た方ならご存じのとおり、AWS Control TowerはAWS CloudTrailの組織ログ記録にも対応しました。
AWS Config Rulesがプロアクティブなコンプライアンスに対応– コンソールで標準リソーステンプレートのプロアクティブモードを選択し、展開前にコンプライアンスをテストできます。これは、今年初めにAWS Configがコンプライアンススコアに対応したアップデートに続くものです。
AWS KMS（Key Management Service）External Key Store（XKS）– 暗号化キーをオンプレミスまたはAWS外部で使用・保管する必要がある場合も、実現できるようになりました。
Amazon VPC（Virtual Private Cloud）でVPC Latticeのプレビューが開始– サービス間の通信を接続、保護、監視するための一貫した方法を提供します。
Amazon CloudWatchがクロスアカウントオブザーバビリティに対応– Amazon CloudWatchは、アラーム、ログ、イベントを使ってスタック全体を監視し、アクションを自動化できるサービスです。このアップデートにより、AWS、オンプレミス、その他のクラウドにあるリソースやアプリケーションを監視し、アカウントをまたぐテレメトリデータを検索、分析、関連付けできるようになりました。
AWSの既存製品に追加されたセキュリティ機能（セキュリティ以外の既存製品向けのセキュリティ機能）
AWS Organizationの委任管理者– 組織のガバナンスポリシー管理を委任できるようになり、俊敏性と分散化を高められます。
AWS Backupがデータ保護ポリシーへのAWS CloudFormationスタックの関連付けに対応。（スタック内のAWS IAMやAmazon VPCなど、ステートレスリソースも対象です）。さらに、Amazon Redshiftにも対応し、自動および手動のスナップショットでデータを保護できます。
Amazon EventBridge Pipesが一般提供を開始– イベントのプロデューサーとコンシューマーをポイントツーポイントで接続するインテグレーションを、よりシンプルで一貫性があり、コスト効率よく作成できます。EventBridgeの用途はイベントバスやスケジューリングにとどまりません。「強化版パイプ」とも呼ばれるこの機能を使えば、AWSサービスを簡単につなぎ合わせ、高度なインテグレーションをすばやく構築できます。
セキュリティに影響するAWSのセキュリティ以外の製品リリース
AWS Application Composer（プレビュー） – Application Composerは、ブラウザー上でサーバーレスアプリケーションの構築を視覚的に組み立てられるアプリケーションです。既存のIaC（SAMまたはCloudFormationファイル）をドラッグ＆ドロップで活用することも、新しいアーキテクチャを一から作成することもできます。ブラウザー上で新しいアプリケーションの各コンポーネントをドラッグ＆ドロップし、それらをつなげるだけです。出力されるのは、デプロイ可能な状態のInfrastructure as Code（IaC）です。サーバーレスに対応したAWSサービスを使ったアプリケーション構成の試行錯誤をなくし、アーキテクチャ内の各サービスについて、デプロイ可能な設定とIaCを生成できるようにすることを目的としています。
一般的なソースコード管理ツールやTerraformとの連携については、特に企業がアプリケーションのデプロイに既存のTerraformテンプレートを使用している場合、情報が限られています。
Amazon CodeCatalyst（プレビュー） – Amazon CodeCatalystは、ソフトウェア開発チームに統合されたプロジェクト体験を提供する統合ソフトウェア開発サービスです。AWS上でアプリケーションの計画、コーディング、ビルド、テスト、デプロイに必要なツールをまとめて利用できます。
既存のGitHubリポジトリ、GitHub Actions、Jiraなどと連携できます。アプリケーションのCI/CDパイプライン全体に独自のツールを使うのではなく、AWSがコードに関するすべてを集約する場所になろうとしているのかもしれません。無料利用枠はありますが、無料のサービスではありません。
すでに問題なく使えているサービスがある場合は必要ないかもしれませんが、新しいプロジェクトには適している可能性があります。コード管理から実際のパイプライン、アプリケーションのデプロイまで、アプリケーション開発とデプロイに関わるすべてを簡素化できる可能性があります
AWS re:Invent 2022で特に印象に残ったセッション
セキュリティ関連の最新情報をおさらいしたところで、これまでに特に印象に残ったセッションをいくつかご紹介します。2000ものセッションすべてを挙げるには多すぎますし、まだ視聴できていないものもあります。学び、共有できることがたくさんあるので、ぜひじっくりご覧ください。
開発者を夢中にさせる：AWSにおけるビルダー体験（DOP208-L）- 開発者エクスペリエンス担当バイスプレジデント Adam Seligman
エグゼクティブによるインサイトパネル：クラウド時代の企業文化の変革（ENT234-L）- PagerDuty、Expedia Group、Nubank
AWS Well-Architected Frameworkのセキュリティの柱：大規模なクラウドセキュリティ（SUP309）- Molex
AWSのベストプラクティス：組織化と運用（COP305）- Warner Bros Discovery - HBO Max
コンテナの脅威検知に向けたAWSセキュリティサービス（SEC329-R1）- Warner Bros Discovery - HBO Max
これらのお気に入りに加えて、登壇者による「お気に入りの講演」プレイリストもいくつかあります。ぜひご覧ください。さらに楽しみたい方は、Cloud Security PodcastのCloud Security Editionエピソードもチェックしてください。
re:Inventで初登場したCloud Security Villainsもお見逃しなく！
今年のre:Inventに参加された方は、楽しい時間を過ごされたことと思います。参加できなかった方は、上記のリンクから配信をご覧ください。見逃してほしくないセキュリティ関連の内容が盛りだくさんでした！
