AWS認定(セキュリティ専門)の合格に向けた5つの学習

■IAM
　- AWSサービスやほかのサービスに権限を与えるのは基本的にIAMロール
■AD(AWS Managed Microsoft AD, Simple AD, AD Connector)
　- オンプレのActive DirectoryのグループはIAMロールと紐づける
■Amazon Cognito
　- IDプールサポートされているもの
　　- 開発者が認証したID
　　- OpenID (OIDC – Open ID Connect)
　　- SAML 2.0
■AWS Organizations
■AWS WAF
■AWS Shield
　- DDoS攻撃対策
　- Standardは無料(Advancedは有料)
　- Standard：Cloud Front と Route 53の保護
　- Advanced：EC2、ELBの保護
■AWS Firewall Manager
■Amazon Route 53
■Amazon Cloud Front
■Elastic Load Balancing (ALB/CLB, NLB)
　- CLB/NLB/ALBはSSLの暗号解除の終端(SSLオフロード/SSLターミネーション)にできる
　- SSLオフロードする際にAWS Certificate Managerから証明書を発行することができる
■AWS Auto Scaling
■Amazon API Gateway
■Amazon VPC(Virtual Private Cloud)
　- VPCエンドポイントは２つ
　　- ゲートウェイVPCエンドポイント（S3とDynamoDBのみ）
　　- インタフェースVPCエンドポイント（VPCのENI[Elastic Network Interface]をPrivateLinkで対象サービスとリンクする)
　　- PrivateLinkはアプリケーションだけなど特定ポートのみの接続に適している
　　- VPC Peering はVPC同士を繋ぐのでVPC内のEC2はすべて繋がることになる
■Security Group
■AWS Artifact
■AWS KMS(Key Management Service)
　- CMK(Customer Master Key), CDK(Customer Data Key)
　- CMKは生成したリージョンでしか使えない
　- CMKは3種類
　　- カスタマー管理[ローテ1年] SSE-KMS
　　- AWS管理[ローテ3年] SSE-S3など。キーポリシーの設定不可
　　- AWS所有[ローテなし]
　- キーポリシーでKMSのキーを別アカウントに許可することは可能
　- KMS許可：一時的なアクセス許可
■AWS Cloud HSM
■AWS Lambda
　- 関数作成時に指定されたIAMロールに則って処理実行
■Amazon EBS(Elastic Block Store)
■Amazon RDS
■Amazon DynamoDB
■Amazon S3
　- アクセス制御は３つ
　　- ユーザーポリシー(IAMポリシー)
　　- バケットポリシー[設定は20KBまで]
　　- アクセスコントロールリスト(ACL)
　- Glacierのボールドロックは開始(Initiate)後24時間以内であれば停止(Abort)できる
　- Access Analyzer(無料)を使って、意図しないアクセスができるようになっていないか確認ができる
■Amazon Athena
　- S3に対してSQL発行
■AWS Secrets Manager, Parameter Store
■Amazon Cloud Watch
　- (EC2) エージェントでCloud Watch Logs 登録
　- (EC2) エージェントやスクリプトでカスタムメトリクスを登録
　- Cloud Watch Insightで分析、検索、可視化
■AWS Cloud Trail
　- アカウントの全操作ログを90日自動保存する
　- ３種類ある
　　- 「管理イベント」(デフォルトON) マネコンへのログイン、EC2作成など
　　- 「データイベント」(デフォルトOFF) S3データ操作、Lambda実行など
　　- 「インサイトイベント」(デフォルトOFF) 異常なアクティビティ
　- S3に保存する場合はデフォルトではSSE-S3で暗号化される(SSE-KMSを使うことも可能)
　- 証跡を有効にすることで90日以上の保存や他アカウントのS3への書き込みが可能になる。
■AWS Config
　- AWS Configで記録できるのはAWSリソースの設定内容の履歴とC2インスタンス、オンプレサーバのOS設定やアプリ設定
　- 保存期間はデフォルト7年。保管先はS3。
　- Configルールを使うことでAWSアカウント内の各設定がルールに準拠しているか確認できる
　- アクセスキーの生成後の経過期間を検知することが可能だが最大90日まで
■AWS Systems Manager
■AWS Cloud Formation
■AWS Trusted Advisor
　- コスト、パフォーマンス、セキュリティ、フォールトトレランス、サービスの５つの観点からチェックを実施する。
■AWS X-Ray
　- AWSのサービス(EC2,ECS,Lambda,Beanstalk)間リクエストを収集する(オンプレは不可)
　- 対象アプリにエージェントをインストールする必要がある
■Amazon Inspector
　- EC2の脆弱性検知
　- エージェントのインストールが必要（ネットワーク診断だけなら不要）
■VPC Flow Logs
　- Cloud Watch Logs または S3 にログを保存
　- VPC、サブネット、ENIの単位で作成が可能
■Amazon Quick Sight
　- ログファイル等のグラフ化
■Amazon Kinesis
　- Kinesis Family
　　- Kinesis Data Streams：データを処理・分析するカスタムアプリに最適
　　- Kinesis Data Firehose：AWSストレージサービスに保存する場合に最適
　　- Kinesis Data Analytics
　　- Kinesis Video Streams
　- Kinesis Data FirehoseはElasticsearchへの連携機能がある。
■Amazon Elasticsearch Service
　- オープンソースのRESTful分散検索/分析エンジン
■Amazon Macie
　- S3上にある個人情報・機密情報をチェック
■Amazon Guard Duty
　- Cloud Trail, VPC Flow Logs, DNS Logsがインプットとなる
　- 不正やセキュリティイベントなどの脅威を検出
　- 発生したイベントベース
　- セキュリティの検知（セキュリティの調査はDetective)
■AWS Security Hub
■Amazon Detective
　- 時系列に過去ログやセキュリティイベント情報をグラフで可視化
　- セキュリティの調査（セキュリティの検知はGuard Duty)
　- Guard Dutyが動いてる必要がある
　- 情報の収集元はCloud Trail, VPC Flow Logs, Guard Dutyの３つ
■AWS Direct Connect
　- デフォルトでは通信の暗号化はされない
■AWS Well Architected
　- 5本の柱
　　- 運用の優秀性
　　- セキュリティ
　　- 可用性
　　- パフォーマンス効率
　　- コスト最適化