Cloudbaseで実現する効率的なセキュリティチェック
参考になった
12
株式会社スターフェスティバル / koonagi
| ツールの利用規模 | ツールの利用開始時期 |
|---|---|
| 10名以下 | 2022年10月 |
| ツールの利用規模 | 10名以下 |
|---|---|
| ツールの利用開始時期 | 2022年10月 |
導入の背景・解決したかった問題
導入背景
以前は、インフラエンジニアが少数かつ兼務をしている状態で日々の構築/運用業務で手一杯となり、横断したセキュリティチェックの優先度を中々挙げられない状況でした。
Well-Architected Frameworkを参考にセキュリティチェックの実施はしていましたが、網羅的なチェックには時間がかかるため、継続的に行うことが困難であり、これが課題となっていました。
そこで、弊社が様々なアプリケーションで使用しているAWSの設定について、セキュリティリスクを継続的にチェックし、それに対応できている状態を目指し、Cloudbaseの導入を検討しました。
比較検討したサービス
AWS Security Hub
比較した軸
- サービス導入の簡単さ
- リスク発見から対応工数の少なさ
選定理由
Cloudbaseはエージェントレスで導入が簡単であり、各種リスクに対するドキュメントも日本語で指示が的確です。そのため、導入からリスク発見、対応まで簡単かつ効率的に行えると判断し、採用しました。
導入の成果
AWSの設定を特に変更することなく、セキュリティ設定のチェックとリソース管理を自動化することができ、最小限の工数でセキュリティベストプラクティスに沿った設定を担保することが可能になりました。
また、導入当初、大小含めて数百のリスクが検出されていましたが、現在はほとんど解消されています。解消したリスクの中には、これまでインフラチームが気づいていなかったものもあり、リスクが顕在化する前に未然に対応できました。また、日々のセキュリティチェックをCloudbaseに委ねることで、安心して業務に取り組むことができるようになりました。
導入時の苦労・悩み
導入当初インフラエンジニアが工数不足だったこともあり、まずはツールを入れてセキュリティチェックを自動化しようという方針だったので導入までの苦労はあまりありませんでした。
導入に向けた社内への説明
上長・チームへの説明
インフラチーム2名で使っているので特に推進活動なことはしていませんでした。
活用方法
インフラチームは日々リスクをチェックし、発生したリスクに優先度を付けて対応しています。即時対応が必要なリスクが検出された場合は、すぐにSlackで通知が行われるため、そのリスクを速やかにチェックし対応しています。
よく使う機能
1. 設定ミス
リスクのある設定が危険度別に一覧で表示されます。危険度に基づいてトリアージした後、順番にリスクを解消していきます。
2. リスク推移
各リスクの件数を時系列で確認できるため、定期的にチェックしています。緊急度が低いリスクであっても、リスク数が増加している場合は原因を特定し、リスク回避に努めています。また、これらの数字はチームの成果としても理解しやすく、社内報告の際にはこのデータを活用しています。
ツールの良い点
- 設定に関するセキュリティチェックとタスク管理がCloudbaseで完結
Cloudbaseは、CSPMのメイン機能を持ち、簡単な設定でAWS上の各種設定におけるリスクをチェックすることが可能です。また、検知したリスクに対するタスクのアサイン機能、変更履歴機能、コメント機能が備わっており、タスク管理を別途行う必要がありません。
2. ドキュメントが充実している
各種リスクについて、日本語でリスクの解消手順が記載されており、リスク発見からの対応にかかる調査工数が削減されます。さらに、リスクのある設定についての具体的なリスク内容も明記されており、セキュリティ教育の面でも助かっています。
ツールの課題点
通知内容の詳細化
新規のリスクが検出されると、メールやSlackで通知は届きますが、現在はリスクの増減した件数のみが記載されており、詳細な内容がわかりません。そのため、Cloudbaseにログインして内容を確認する必要があります。通知段階でリスクの項目やその重要度がわかると、より便利に感じます。
ツールを検討されている方へ
クラウドサービスを常にセキュリティベストプラクティスに沿った設定に維持するには、相当なスキルと時間が必要です。そのため、CloudbaseのようなCSPMの導入が今後各企業にとって必須となると感じています。
Cloudbaseは簡単な設定で導入でき、CSPMとして必要な機能は備えられているため、セキュリティでお困りの方は、一度Cloudbaseを検討してはいかがでしょうか！
株式会社スターフェスティバル / koonagi
2014年に新卒としてSESエンジニアとしてITのキャリアを開始し、その後、AWSクラウドベンダーや外資系コンサルタント企業などを経て、2022年7月にスターフェスティバルに入社。スターフェスティバルでは各アプリケーションのインフラ全体、データ基盤の構築、そして分析業務などを担当。入社後しばらくしてからエンジニアの採用活動にも関与し、スカウト、カジュアル面談、採用イベントの企画・運営なども担当。
株式会社スターフェスティバル / koonagi
2014年に新卒としてSESエンジニアと...
