セキュリティの設計・構築
この章では、DevOpsコースの課題として、構築済みのプラットフォームをセキュリティの観点で強化します。設計→構築の順で提出し、設計段階で講師のレビューを受けてから実装に入る流れを想定しています。
1. この章の目的
インフラを構築しCI／CDを整えた時点では、セキュリティ観点で「最低限動く」状態にすぎません。実務で運用に耐える状態には、認証・認可・暗号化・監査・攻撃検知など多くの観点があります。
本章では、自分が構築したプラットフォームに対して脅威モデリングを行い、優先度の高い施策を自ら選び、設計・実装します。「どこまで対応するか」「なぜその判断か」を自ら決めて説明できるようになることが目的です。
2. 実施要件
以下の流れで進めます。
- 脅威モデリング: 守るべき資産と、想定される攻撃経路を洗い出す
- 施策の選定: WAF・Security Hub・GuardDuty・IAM権限最小化・シークレット管理・ネットワーク分離 など、優先度上位のものを選ぶ
- 設計: 各施策の設計判断・採用構成・トレードオフをドキュメント化する
- 設計提出: 「構築結果」を空欄にした状態で一度提出し、講師のレビューを受ける
- 構築: 設計に沿って実装する。動作確認まで含める
- 再提出: 「構築結果」欄にリポジトリURL・動作確認記録を追記して再提出する
3. 参考: 代表的な施策
対応する施策は自ら決めます。以下は候補の例です。
- WAF導入: 想定される攻撃パターンに応じたルール設計
- Security Hub／GuardDuty有効化: 検知した内容の通知先・対応フロー設計
- IAM権限の最小化: 各サービス・ロールに必要最低限の権限だけを付与
- シークレット管理: Secrets Manager／SSM Parameter Store でアプリケーション設定値を集約
- ネットワーク分離: プライベートサブネット化・VPCエンドポイント・セキュリティグループの精緻化
4. 提出物
下記内容を提出フォームより提出してください。設計と構築を分けて提出することも、まとめて提出することも可能です。
| 項目 | 内容 |
|---|---|
| 概要 | 今回対応したセキュリティ施策を簡潔に記載する |
| 設計 | 脅威モデリング・選定した施策・設計判断・採用構成・トレードオフを記載する |
| 構築結果 | 実装した内容のリポジトリURL・動作確認記録を記載する。設計だけを先に提出する場合は空欄で構わない |
| まとめ | 取り組み中に苦労したこと、判断に迷ったこと、学んだことを振り返る |