Trustパッチを当てよーっと——クラウド上でセキュリティの運用・監視を行うための基礎知識:親子の会話から学ぶクラウドセキュリティ(3)親子の会話で出てくるような素朴な疑問点から、クラウド環境における情報セキュリティの技術を学習する連載。今回は、クラウド上でセキュリティの運用・監視を行うための基礎知識について。公開[青山桃子,株式会社日立ソリューションズ]この記事は会員限定です。会員登録(無料)すると全てご覧いただけます。親子の会話で出てくるような素朴な疑問点から、クラウド環境における情報セキュリティの技術を学習する本連載「親子の会話から学ぶクラウドセキュリティ」。初回は、クラウドを始める前に覚えておきたいセキュリティの基礎知識、第2回はクラウド上で安全なネットワークを構築・管理するために必要な基礎知識について解説しました。今回は、クラウド上でセキュリティの運用・監視を行うための基礎知識についてです。ログは、どこで見られるのかな?よし、Webサービスを一通り作り終わったよ。動いているか、テストもしましょうね。ログは正常に取れているかしら?ログは、どこで見られるのかな?そうね、どこでどんなログが見られるかを確認しておきましょうね。クラウドでは、ベンダー側の責任範囲になっているものに関するログは、見られないかもしれないから気を付けてね。ログによるトレーサビリティー(いつ、どこで、何が起きたかを追跡すること)の確保は大変重要です。サイバー攻撃を受けるなどしてお客さまの情報が漏えいするというセキュリティインシデントが発生したとします。会社からは原因追究や再発防止策の対応を求められることと思いますが、それらは何を元に検討すればよいのでしょうか?頼りになるのはログです。そもそも、自分のサービスがサイバー攻撃を受けたことや、情報が漏えいしたこと自体、ログがなければ判断するのが難しいと思います。判断できなければ、本来は自分で負う必要のない責任まで負わされかねません。このような状況において、普段からきちんとログを取得していたかどうかは、お客さまからの信頼や会社内での評価、事後対応の量や範囲に大きく影響が出るといえます。何も起こらない場合にも監査などで定められたログを提出する必要な場合があります。Standard)では、カード会員データへの全ての個人アクセスや、管理権限を持つ個人によって行われた操作などを監査証跡として適切に記録することが要件に挙がっています。クラウドの場合、インフラはクラウドベンダー、設定がユーザーなどと分かれているため、自分の管理責任範囲のログしか見られない場合があります。「どんなログが見られるか」、設計の段階であらかじめ確認し、「必要なログが見られない」といった状況に陥らないようにしておきましょう。セキュリティに関して、注目すべきログには以下のようなものがあります。目的によって取得するログのサイズや保管期限、記録する内容を決定しましょう。概要アクセスログユーザーがサービスにアクセスした情報を記録するログイベントログ(システムログ)システムに発生したイベントを記録するログ。内容はアプリケーションの起動やエラー、設定変更、ログインの成否などクラウド基盤に関するログクラウド基盤の管理コンソールへのログイン、インスタンスの設定変更などの操作を記録するログセキュリティイベントのログIDS(侵入検知システム)などにおける悪意のある通信や操作の検知ログネットワークトラフィックのログ通信に関するログ。パケットキャプチャーやNetFlowなどがあるまた、ログを取得する際には時刻同期が重要です。問題が発生してログを照会する際には、複数の機器やサービスのログを突き合わせる場合が多いので、時刻がずれていると正しい状況を判断することが難しくなります。クラウドの場合、時刻同期がベンダー側の責任になっているサービスもあると思います。ユーザーの責任範囲になっているOSが固有の時間設定を持っているような場合は、ベンダー側の時間と誤差がないよう注意しましょう。Config」などが利用可能です。Hub」で確認可能です。VPCフローログ」があります。設定を有効にする必要があります。関連記事クラウドセキュリティの強化には、IAMとCASBの組み合わせが必要アイデンティティー管理は今後の企業におけるクラウドセキュリティの要といえる。カバーできない部分もある。これを補完するために検討したいのが、クラウドアクセスセキュリティブローカーの活用だ。27018」について、事例とともに解説します。クラウドセキュリティのメカニズムとテスト仮想化はクラウドへの移行を後押しする大きな理由になりますが、それに伴って生じるセキュリティやパフォーマンスへの影響を、慎重に考慮しなければなりません。この記事では、そのリスクを可視化し、うまく制御していく方法を紹介していきます。メールマガジンをご購読ください。申し込みページへITmediaはアイティメディア株式会社の登録商標です。