02:00セキュリティクラウドセキュリティSOCマルチクラウドクラウドは、多様な利便性の一方で、「クラウドならでは」のセキュリティリスクも無視できません。サービスを簡単に利用できる分、情報ガバナンスやアクセス管理は、利用者が担う必要がある部分です。今回は、クラウド利用者とプロバイダーが責任を分担する「責任共有モデル」の理解や、その利用者が担う責任は具体的にどのようなものがあるのか、ポイントを考えたいと思います。目次[非表示]1.クラウドの特徴とリスク1.1.クラウドセキュリティのリスクはクラウドの特徴を捉えることが大切2.クラウドセキュリティの責任を表す「責任共有モデル」2.1.どのようなセキュリティ項目を考慮する必要があるのか3.クラウドセキュリティのベストプラクティス3.1.アクセス制御の強化3.2.セキュリティ態勢の改善3.3.アプリとデータの保護3.4.脅威からの防御3.5.ネットワークの保護4.クラウドセキュリティ監視運用の課題4.1.クラウド利用者のセキュリティ監視運用の課題5.さいごにクラウドの特徴とリスククラウドセキュリティについて考える前に、まずクラウドの特性について、今一度確認したいと思います。Computing」では、クラウドは次の5つの基本的な特性で構成されるモデルと定義しています。共有プールを自由に利用し、最小限の管理労力で迅速にシステムをプロビジョニングおよびリリースすることができます。一方で、マルチテナントゆえのデータ侵害、データ損失、情報漏洩のリスク、不適切なプロビジョニングゆえの不正利用のリスク、またクラウドアクセスに必要なネットワークへのDDoS攻撃のリスクなどが潜んでいるとも言えます。このように、クラウドのセキュリティリスクの多くは、クラウドの特性や環境と深い関係があります。クラウドセキュリティの責任を表す「責任共有モデル」クラウド利用者の中には、全てのセキュリティの責任はクラウドプロバイダーにあると誤解してい方も決して少なくはありません。実際には、多くのパブリッククラウドプロバイダーは、「責任共有モデル」を採用しており、クラウド利用者側も多くの責任を担う必要があります。よって利用者の責任範囲は異なりますが、全てのサービスモデルで共通なことは「情報・データガバナンス」、「IDアクセス管理」、「クライアントデバイス管理」は利用者の責任であるということです。これらに加えアプリケーションまで、さらにIaaSではOSまでが利用者の責任となります。どのようなセキュリティ項目を考慮する必要があるのかそれぞれの責任のレイヤにおいて、対応すべきセキュリティ項目には次のようなものがあります。フローログコンピュート(IaaSにおいて利用者の責任)OSの脆弱性、アップデート設定の適正化ランタイム防御アンチマルウェア操作ログ、インシデントクラウドセキュリティのベストプラクティスセキュリティ原則は基本的にはオンプレミスと同じですが、多くの場合、実装は大きく異なります。マイクロソフト社ではクラウドセキュリティに関する5つのベストプラクティスを公開しており、参考になるのでご紹介します。アクセス制御の強化セキュリティ侵害を想定して、攻撃者がネットワーク境界を突破することを前提として保護する必要があります。すべてのIDを検証して保護し、デバイスの正常性を確認した上で、最小限の特権アクセスを適用し、テレメトリをキャプチャして分析する「ゼロトラストアプローチ」が求められます。次の認証方法のうち2つ以上を要求する。条件に基づいてクラウドアプリにアクセスするための自動化されたアクセス制御の決定を実装する。セキュリティ態勢の改善クラウドには動的であるという性質があります。そのため、増え続けるワークロード、その他のリソースのランドスケープにより、社内でクラウドのセキュリティ状態を完全に理解することは困難な場合があります。そのため、現在の環境を評価し、リスクを特定して軽減するために必要なツールが必要になる場合があります。業界のベストプラクティスと規制基準にマッピングされた推奨事項を確認する。主要な関係者と共有できるインタラクティブなレポートを作成して、セキュリティチームが組織のクラウドセキュリティ体制を継続的に改善していることを示す。チームは、主要なポリシーを理解して実装し、開発ライフサイクルの最初にアプリケーションセキュリティを展開する。アプリとデータの保護ID、データ、ホスト、ネットワーク全体にわたるセキュリティ戦略を通じて、データや、アプリ、インフラストラクチャを保護します。コンピューティングテクノロジを使用して使用中のデータを暗号化することも検討する。セキュリティのベストプラクティスに従うオープンソースの依存関係に脆弱性がないことを確認する。プラクティスについて開発者をトレーニングする。クラウド利用者はクラウドプロバイダーと責任を共有するオンプレミス利用からクラウド利用によって、クラウドプロバイダーに責任が一部移るが、クラウドをどのように使用するかによって、クラウド利用者の責任範囲が変わる。クラウド利用者の責任がゼロになることはない。急速に進化する脅威を、セキュリティインテリジェンスからの情報に基づいて早期に特定し、迅速に対応できるようにする必要があります。仮想マシン、コンテナー、データベース、ストレージ、IoT、およびその他のリソースに対して脅威検出が有効になっていることを確認する。脅威インテリジェンスを統合し、必要なコンテキスト、関連性、および優先順位を提供するクラウドプロバイダーを使用する。使用してノイズを削減し、インフラストラクチャを必要としないクラウドネイティブSIEMを検討する。ネットワークの保護ネットワークセキュリティの状況変化に対応するために、セキュリティソリューションは進化する脅威環境の課題に応じて強化し、攻撃者によるネットワーク悪用を困難な状態にする必要があります。境界を保護し、敵対的な活動を検出し、対応を構築するには、適切な管理が必要。DDoS防御の有効化アプリケーション層とネットワーク層を標的とする悪意のあるトラフィックからWeb資産とネットワークを保護する。マイクロセグメント化されたネットワークの作成フラットなネットワークでは、攻撃者が横方向に移動しやすくなる。ネットワーキングをサポートする。クラウドセキュリティ監視運用の課題ここまで見てきたように、クラウド利用者に求められる責任範囲は非常に広く多様であることがわかります。これらを脅威から保護するために、ベストプラクティスの全てを自ら実施することが困難な場合があります。日々進化する攻撃手法をキャッチアップしなければいけない精度の高い分析が必要がある適切に予防的対策を講ずる必要がある脅威インテリジェンスを収集し、活用する必要があるセキュリティ人財を確保しなければいけない24時間/365日体制での監視体制が必要インシデントが発生した場合は、確実に検知しなければいけないインシデントを速やかに是正しなければいけない自社の組織内でこれらをすべて網羅できる場合は問題ありませんが、実際には難しいという場合もあります。Center)サービスを有効活用することも選択肢として考えられます。セキュリティは継続が必要であるため、自社のリソースで賄わずに、外部にアウトソースすることも有効な手段です。さいごに今回は、まずクラウドの基本的な特性を理解し、その上で考えうるクラウド上のセキュリティリスクを考察しました。多くのパブリッククラウドプロバイダーが採用する責任共有モデルに触れ、クラウド利用者のセキュリティの責任範囲と各々のレイヤにおける代表的なセキュリティ項目を再確認しました。Kyriosでは、クラウドセキュリティに特化したサポートを提供しています。詳細は下記をご覧ください。マルチクラウドの環境は、イノベーションやコスト最適化など多くのベネフィットをもたらす一方で、セキュリティ対策が複雑化・高度化しており、適切な対策が必要です。Kyriosは、専門のセキュリティチームが導入から運用までトータルで支援します。Portの記事を再編集したものです。元の記事は下記をご覧ください。世界中の組織が市場投入までの時間の短縮、応答性の向上およびコスト削減を実現するため、ワークロードを急速にクラウドに移行し続けている中で、多くの組織にとってクラウドにおけるセキュリティが最大の関心事の一つであることは驚くことではありません。今回は、クラウドの特徴をおさらいしつつ、クラウドセキュリティのポイントを考察したいと思います。