Amazon Web Services ブログ

AWSリソースを安全に保護するためのアプローチとして、予防のための仕組み、検知のため仕組みといったそれぞれのレイヤーでのアプローチを検討頂くことを推奨しています。たとえば、Amazon EC2インスタンスにホストベースのコントロールを組み込むことで、アクセスを制限し、システムの動作やアクセスパターンに伴う適切なレベルの可視性を準備できます。これらのコントロールには、ホスト上のネットワークトラフィック、ログファイル、およびファイルアクセスを監視・分析するホストベースの侵入検知システム（HIDS）を含むことが一般的です。 HIDSは、通常、警告、自動修復ソリューションと統合され、攻撃、許可されていない活動、疑わしい活動、環境内の一般的なエラーを検出し対処します。 このブログ記事では、Amazon CloudWatch Logsを使用してオープンソースセキュリティ（OSSEC）HIDSからのアラートを収集、集約する方法を示します。 また、CloudWatch Logs サブスクリプションを組み合わせることで、Amazon Elasticsearch Service（Amazon ES）に分析データと可視化のアラートを配信し、一般的なオープンソースであるKibanaを使用し可視化まで行います。また皆さんが、すぐに試せるようにCloudFormationテンプレートを用意しましたので、ほとんどのデプロイメント作業を自動化させています。このソリューションを使用して、EC2 全体の可視性と洞察を向上させ、セキュリティ修復活動を促進することができます。たとえば、特定ホストがEC2インスタンスのスキャンを検知したらOSSECアラートをトリガーし、VPCネットワークACL（Access Control List）またはAWS WAFルールを実装して、送信元IPアドレスまたはCIDRをブロックすることができます。 ソリューションの概要 次の図は、この記事のソリューションの概要を示しています。 ソリューションの仕組みは次のとおりです。 1. ターゲットEC2インスタンスでは、OSSEC HIDSは、CloudWatch Logs エージェントがキャプチャするログに基づきアラートを生成します。 HIDSは、ログ分析、整合性チェック、Windowsレジストリ監視、ルートキット検出、リアルタイムアラート、およびアクティブな応答を実行します。詳細については、「OSSEC入門」を参照してください。 2. CloudWatch Logs グループはにアラートがイベントとして送信されます。 3. AWS Lambdaを介してイベントをAmazon ESに転送するために、CloudWatch Logs サブスクリプションがターゲットロググループに適用されます。 4. Amazon ESにはログに記録されたアラートデータがロードされます。 5. Kibanaはアラートをほぼリアルタイムで視覚化します。 Amazon ESはすべてのAmazon ESドメインにKibanaを標準でインストールした形で提供されます。 デプロイ時の考慮事項 この記事では、主なOSSEC HIDSのデプロイは、Linuxベースのインストールで構成されています。インストールでは、アラートが各システム内でローカルに生成されます。このソリューションは、デプロイの対象リージョンはAmazon ESとLambdaに依存します。 AWSサービスの可用性に関する最新情報は、Regionテーブルで確認できます。また、EC2インスタンスが必要なコンポーネントを適切にプロビジョニングするために、インターネットアクセスとDNS解決を持つAmazon VPC（Virtual Private Cloud）サブネットを識別する必要があります。 デプロイのプロセスを簡素化するために、テスト環境向けにAWS CloudFormationテンプレートを作成しました。このテンプレートを使用して、テスト環境スタックを既存のAmazon VPCサブネットに自動的にプロビジョニングできます。 CloudFormationを使用してこのソリューションのコアコンポーネントをプロビジョニングし、警告分析用にKibanaを設定します。このソリューションのソースコードはGitHubで入手できます。 Cloud […]

あわただしい 3 月が過ぎたので、バスケットボールのことは忘れて、Tina Barr が紹介する今月のクールなスタートアップに注目しましょう。-Ana 今月は春の到来にふさわしい新しいスタートアップ 5 社を紹介します。 Amino Apps – 数十万のコミュニティのソーシャルネットワークを提供します。 Appboy – ブランドの顧客関係を強化します。 Arterys – 医用イメージ産業を変革します。 Protenus – 医療組織の患者データを保護します。 Syapse – 標的がん治療に役立つ全国のデータを共有します。 2 月のホッとスタートアップをお見逃しの場合は、こちらをご覧ください。 Amino Apps (ニューヨーク州ニューヨーク) Amino Apps は、興味ベースのコミュニティが、特にモバイルの面で、未発達で時代遅れであるという認識に基づいて設立されました。CEO の Ben Anderson と CTO の Yin Wang は、特定のトピックを専門に扱う独立したソーシャルネットワークを数十万も集めて、これらのコミュニティへのアクセスをユーザーに提供するアプリを作成しました。そのうち、最大級のコミュニティは 100 万を超す会員を擁しており、人気の高い TV 番組、ビデオゲーム、スポーツ、その他さまざまな趣味や興味などのトピックに基づいて構築されています。Amino は、世界中のコミュニティをホストし、現在 6 か国語で利用可能であり、今後サポート言語の数は増える予定です。Amino アプリの操作は簡単です。アプリ (iOS または Android) をダウンロードして、有効な E メールアドレスでサインアップし、プロフィール写真を選択して使用を開始するだけです。ユーザーは、コミュニティを検索して、興味があるものに参加できます。各コミュニティには、チャットルーム、メルチメディアコンテンツ、クイズ、シームレスなコメントシステムがあります。コミュニティがまだ存在していない場合は、Amino […]

新しい AWS コミュニティヒーローをご紹介します。 Mark Nunnikhoven SangUk Park James Hall Drew Firment AWS コミュニティヒーローは、さまざまな方法で AWS に関する知識を広め、情熱を伝えます。ソーシャルメディア、ブログ投稿、オープンソースプロジェクト、個人的なイベント、ユーザーグループ、ワークショップなど、あらゆる手段を駆使して AWS から得た洞察を共有します。 Mark Nunnikhoven Mark Nunnikhoven は、個人、組織、コミュニティへのテクノロジーの影響について、特にプライバシーとセキュリティの観点から検討しています。「情報の守りを固める方法」を求めて、サイバー犯罪について調査し、デジタル世界に対するリスクと脅威の理解を深めようとしています。Mark は、Trend Micro の Cloud Research 担当副社長であり、長年に渡るアマゾン ウェブ サービスのアドバンストテクノロジーパートナーおよび AWS クラウドのセキュリティツールのプロバイダーでもあります。これまでに培った知識に基づいて、AWS クラウドを活用してセキュリティ環境の最新化を図る世界中の組織をサポートしています。特に自動化に注目し、寄稿、講演、指導、AWS コミュニティへの参加を通じて DevOps と従来のセキュリティの橋渡し役を務めています。 SangUk Park SangUk Park は、Megazone のチーフソリューションアーキテクトです。Megazone は、2012 年に韓国初の AWS パートナーとなり、韓国で AWS サポートを提供する唯一の AWS プレミアコンサルティングパートナーです。SungUk は、KT のパブリッククラウドおよび VDI 設計のシステムアーキテクトを務め、YDオンラインおよびネクソンジャパン (大手オンラインゲーム会社の […]

本日、皆様がお持ちのストレージとそのアクセスパターンを詳しく知るための 4 つの S3 機能についてご説明したいと思います。何をどのくらい保管しているのか、どのように使用しているのかを知ることができ、その結果として、S3 ストレージクラスの使用に関する情報に基づいた意思決定を行うことができます。これらの機能は、バケットに何十万、何千、何百万、何十億というオブジェクトを持っていても、S3 を使用するすべての人にとって価値があります。 以下が概要です： S3 分析 – オブジェクトの格納状況と取得パターンを分析し、その結果を使って、最適なストレージクラスを選択することができます。あなたは S3 コンソールで表示される分析の結果を検査したり、お好みの BI ツールにロードし深掘りしても良いでしょう。そうすることで、ストレージの利用傾向を見て、それらが使い方や成長度合いにどのように関連しているのかがつかめます。 S3 オブジェクトのタグ付け – 複数のキーと値のペア（タグ）をそれぞれの S3 オブジェクトに関連付けることができ、いつでも変更することができます。タグは、アクセスの管理と制御、S3 ライフサイクルポリシーの設定、S3 分析のカスタマイズ、CloudWatch メトリクスのフィルタリングに使用できます。バケットをデータレイクと考えることができ、タグを使用してそのデータレイクの中のオブジェクトの分類を作成できます。これは、バケットとプレフィックスを使用するよりも柔軟性があり、オブジェクトの名前を変更、移動、またはコピーせずに意味付けの変更を行うことができます。 S3 インベントリ – S3 インベントリを使用して、ビジネスワークフローやビッグデータのジョブを加速できます。この機能は、毎日または毎週の単位で、バケットの全部または一部の内容（プレフィックスによって識別される）の CSV 形式のフラットファイル表現を提供します。 S3 CloudWatch メトリクス – 13 種類の Amazon CloudWatch メトリクスを監視やアラームを設定することで、S3 を活用するアプリケーションのパフォーマンスを向上させる可能性があります。 詳細を見てみましょう。 S3 分析 S3 のユーザは、標準、標準 IA (標準低頻度アクセス)、Glacier と 3 つのストレージクラスを選択することができます。S3 のオブジェクトライフサイクル管理を使用して、オブジェクトが期限切れになるか、標準 IA もしくは […]

Amazon CloudWatch は、AWS のリソースに関するメトリックス、ログ、イベントをリアルタイムで提供および収集することで、アマゾン ウェブ サービスで実行しているアプリケーション、システム、ソリューションをモニタリングできるサービスです。CloudWatch では、リソースのレイテンシー、エラー発生率、CPU 使用率などの主要メトリックスが自動的に測定されます。さらにお客様から提供されたログやシステムデータに基づくカスタムメトリックスのモニタリングも可能です。昨年 11 月、Amazon CloudWatch に新しいダッシュボードウィジェットが追加され、すべてのメトリックスのデータを視覚化できるようになりました。CloudWatch に追加されたダッシュボードのアラームにより、お客様は AWS で実行しているソリューションやリソースの状態を把握しやすくなりました。このアラームの追加により、アラームとメトリックスを同じダッシュボードウィジェットで確認して、データに基づくトラブルシューティングと分析を行うことができます。 CloudWatch のダッシュボードは、複数のリージョンにまたがる AWS リソースを統合されたビューでモニタリングする際の可視性を高めるためのものです。CloudWatch のダッシュボードは高度にカスタマイズ可能であるため、ユーザーは独自のダッシュボードを作成して使用率、パフォーマンス、請求予定額、そして今回のアラーム状態など、さまざまなメトリックスのデータをグラフィカルに表示できます。アラームは、各メトリックスの値と指定したしきい値の関係を経時的に追跡します。アラームの状態が変わると、Auto Scaling ポリシーなどのアクションが実行されます。または、Amazon SNS に通知が送信されます。ダッシュボードにアラームを追加するという新たな方法により、CloudWatch のユーザーは、複数のリージョンにまたがって AWS のリソースやアプリケーションをモニタリングして事前にアラートを受け取る手段が増えました。さらに、ダッシュボードに追加されたアラームでは、メトリックスのデータをグラフで確認できます。アラームには次の 3 つの状態があります。 OK: アラームのメトリックス値はしきい値に達していない INSUFFICIENT DATA: データ不足。最初にトリガされたアラームのメトリックス値は、データ不足のため、[OK] 状態か [ALARM] 状態か判定できない ALARM: アラームのメトリックス値はしきい値に達している ダッシュボードでは、[ALARM] 状態は赤、[INSUFFICIENT DATA] 状態はグレイ、[OK] 状態は無色で表示されます。ダッシュボードのアラームは、Line、Number、Stacked area の各ウィジェットで表示できます。 Number ウィジェット: 目的のメトリックスの最新の値をすばやく効率的に確認できます。最新のメトリックスデータに応じてアラームの状態が変わるたびに背景色が変わります。 Line ウィジェット: 選択したメトリックスのコレクションの実値を線グラフで表示します。ダッシュボードにアラームのしきい値と状態が水平線で示されます。この水平線を境に、しきい値に達しているかどうかが一目でわかります。 Stacked area ウィジェット: […]

AWS のお客様は、Amazon EC2 インスタンス、Amazon EBS ボリューム、Amazon S3 バケットなどのリソースを整理するためにタグをよく利用します。過去 2 年間、AWS ではタグ付けをより便利で強力なものにするために努めてきました。たとえば、Auto Scaling 時のタグ付け、リソースあたり最大 50 個のタグの使用、コンソールで作成する、共通のタグを共有するリソース (リソースグループとも呼ばれます)、タグの使用を強制する Config ルールを使用するオプションなど、さまざまな機能のサポートが追加されています。お客様は、何千というリソースを管理し、各リソースで最大 50 個ものタグを使用するようになると、タグ付けの作業を簡素化するためのツールやオプションが必要になります。この度、新しいリソースのタグ付け API が利用可能になりました。新しい API は、AWS SDKs または AWS Command Line Interface (CLI) から使用できます。これまでは AWS Management Console からのみアクセス可能であったリソースグループの同じオペレーションにプログラムからアクセスできるようになりました。 概要: コンソールベースのリソースグループのオペレーション 新しい API 関数について詳しく説明する前に、コンソールベースのグループ化およびタグ付けモデルを確認しておきましょう。複数のリージョンにまたがる検索機能を使用して AWS リソースを見つけてタグを付ける機能は、すでに利用できるようになっています。たとえば、次のようにリージョンの長いリストを選択して、各リージョンの EC2 インスタンスを検索できます。 すべての必要なリソースを見つけて選択したら、[Create a new tag key] をクリックして必要なタグキーを入力して、新しいタグキーを追加できます。 次に、各インスタンスの値を入力します (新しい [ProjectCode] 列)。 […]

以下のゲスト投稿で、私の同僚である Tim Bray は IsItOnAWS.com を構築した方法について説明しています。このサイトは、AWS の IP アドレスレンジのリストと Tim が記述した Lambda 関数を使用して、お気に入りのウェブサイトが AWS で実行されているかどうかを調べることを目的としています。 — Jeff; AWS のサイトですか? クリスマスの時期に遊び半分でプログラミングをしていたら、おもしろい Lambda 関数ができました。きっと気に入ってもらえると思います。指定したドメイン名 (または IP アドレス) (IPv6 でも可能) が、公表されている AWS IP アドレスレンジ に含まれているかどうかを調べてくれます。IsItOnAWS.com で実際に試してみることができます。構築の過程では、1 つの Lambda 関数で別の Lambda 関数を作成しています。JSON 形式の IPv4 および IPv6 CIDR で提供されているレンジのリストはここです。説明書はここで、Jeff Barr のブログ もあります。以下は、JSON 形式の IP レンジの例です。 { “syncToken”: “1486776130”, “createDate”: “2017-02-11-01-22-10”, […]

AWS ブログチームに参加して最初にしたことの 1 つは、ニューヨーク市で昨年 8 月に開催されたサミットへの出席でした。お客様すべてにお会いし、Game Day を見て、AWS コミュニティの活気を肌で感じ、これから Jeff と一緒にブログを書いていく中で経験するであろうことが一層楽しみになりました。今年の AWS サミットの日程が発表されました。クラウド分野に新しい人も長年のユーザーも、AWS サミットでは常に新しい発見があります。これは世界中で開催される無料のイベントで、AWS プラットフォームに一層慣れ親しんでもらうことを目的としています。幅広いトピックをカバーし、より深い技術を習得できるよう、数多くの学習の機会を提供するプログラムを作成しました。参加すると、AWS のインフラストラクチャおよびアプリケーションの設計、デプロイ、運用に必要なスキルを開発できます。サミットは、北米、南米、アジアパシフィック、欧州、中東、日本、中華圏の各地で開催されます。開催都市と日付の詳細なリストについては、AWS サミットのページを参照してください。現在、サンフランシスコ、シドニー、シンガポール、クアラルンプール、ソウル、マニラ、バンコクの 6 つの都市で登録を受付中です。AWS イベント RSS フィードの受信登録や @awscloud のフォロー、また Facebook ページもご覧ください。サミットでは様々な新しいことを学べるだけでなく、私や Jeff に会場でばったり出会い、ブログステッカーを手に入れられるかもしれません。 -Ana

以下のゲスト投稿で、私の同僚である Tim Bray は IsItOnAWS.com を構築した方法について説明しています。このサイトは、AWS の IP アドレスレンジのリストと Tim が記述した AWS Lambda 関数を使用して、お気に入りのウェブサイトが AWS で実行されているかどうかを調べることを目的としています。 — Jeff; AWS のサイトですか? クリスマスの時期に遊び半分でプログラミングをしていたら、おもしろい Lambda 関数ができました。きっと気に入ってもらえると思います。指定したドメイン名 (または IP アドレス) (IPv6 でも可能) が、公表されている AWS IP アドレスレンジ に含まれているかどうかを調べてくれます。IsItOnAWS.com で実際に試してみることができます。構築の過程では、1 つの Lambda 関数で別の Lambda 関数を作成しています。JSON 形式の IPv4 および IPv6 CIDR で提供されているレンジのリストはここです。説明書はここで、Jeff Barr のブログ もあります。以下は、JSON 形式の IP レンジの例です。 { “syncToken”: “1486776130”, “createDate”: […]

Amazon Auroraの最近のアップデートを振り返ってみたいと思います。Amazon AuroraはMySQL互換のハイパフォーマンスなデータベースです(間もなくPostgreSQL互換のAuroraもリリース予定です)。Amazon Auroraの紹介は、【AWS発表】Amazon Auroraをご利用頂けるようになりました！や【AWS発表】Amazon Aurora – Amazon RDSに費用対効果の高いMySQL互換のデータベースが登場!!をご覧ください。 最近Auroraへ追加された機能は以下のとおりです クロスリージョンスナップショットコピー 暗号化されたデータベースのクロスリージョンレプリケーション 暗号化されたスナップショットのアカウント間の共有 US West (Northern California)リージョンのサポート T2.smallインスタンスサポート   クロスリージョンスナップショットコピー Amazon Auroraのスナップショット(自動・手動取得に関わらず)リージョン間でコピー出来るようになりました。スナップショットを選択し、Snapshot ActionsからCopy Snapshotを選択します。その後、リージョンを選択後、新しいスナップショットの名前を入力します。 この操作の中で、暗号化済みスナップショットも選択可能です。詳細はドキュメントをご覧ください。   暗号化されたデータベースのクロスリージョンレプリケーション Amazon Aurora DBを作成する際に暗号化オプションを設定出可能です。 数クリックで他のリージョンにリードレプリカを作成することが出来るようになりました。この機能を利用することで、マルチリージョン、ハイアベイラビリティなシステムが構築可能になりますし、ユーザに近い位置にデータを移動することも可能です。クロスリージョンリードレプリカを作成するには、既存のDBインスタンスを選択し、メニューからCreate Cross Region Read Replicaを選択するだけです。 その後、Network & Securityからリージョンを選択し、Createをクリックします。 レプリケーション先のリージョンには必ず2つ以上のアベイラビリティゾーンを含んだDB Subnet Groupが必要です。 このパワフルな新機能について詳細は、ドキュメントをご覧ください。   暗号化されたスナップショットのアカウント間の共有 Amazon Aurora DBインスタンスを作成する際に、定期的に自動でスナップショットを行う設定が可能です。この他にも、数クリックで任意のタイミングでスナップショットを作成することも可能です。 DBインスタンスが暗号化されている場合はスナップショットも暗号化されます。 AWS間で暗号化されたスナップショットを共有出来るようになりました。この機能を使うためには、DBインスタンスはdefault RDS keyではないマスターキーで暗号化されている必要があります。まず、スナップショットを選択し、Snapshot ActionsメニューからShare Snapshotを選択します。 そして、共有先のAWS Account […]