implementing-cloud-workload-protection

クラウドワークロード保護の実装

使用するタイミング

• 環境においてクラウドワークロード保護機能を導入または設定するとき
• コンプライアンス要件に沿ったセキュリティ統制を確立するとき
• この分野のセキュリティアーキテクチャを構築または改善するとき
• この実装を必要とするセキュリティ評価を実施するとき

前提条件

• クラウドセキュリティの概念およびツールに関する基礎知識
• 安全に実行するためのテスト環境またはラボ環境へのアクセス
• 必要な依存関係がインストールされた Python 3.8 以上
• テスト活動に対する適切な承認

手順

実行中のプロセス一覧、ネットワーク接続、ファイルの整合性、リソース使用率の異常を確認することで、クラウドワークロードの実行時の脅威を監視します。

import boto3

ssm = boto3.client("ssm")
# Run command on EC2 instances to check for suspicious processes
response = ssm.send_command(
    InstanceIds=["i-1234567890abcdef0"],
    DocumentName="AWS-RunShellScript",
    Parameters={"commands": ["ps aux | grep -E 'xmrig|minerd|cryptonight'"]},
)

主な保護領域:

1. 暗号通貨マイナーやリバースシェルに対するプロセス監視
2. 重要なシステムファイルに対するファイル整合性監視
3. C2 コールバックに対するネットワーク接続監査
4. リソース使用率の異常検知（CPU の急上昇）
5. ハッシュ比較による未承認バイナリの検出

例

# Check for unauthorized outbound connections
ssm.send_command(
    InstanceIds=instances,
    DocumentName="AWS-RunShellScript",
    Parameters={"commands": ["ss -tlnp | grep ESTABLISHED"]},
)