クラウドセキュリティ
概要
クラウドセキュリティとは、日々変化し続けるAWS、Azure、GCPの環境を、防御可能な状態に保ち続ける取り組みです。クラウド侵害の主因は特殊なエクスプロイトではなく、設定ミスです。公開されたままのストレージバケット、過剰な権限を持つIAMロール、インターネットに開かれた管理ポート、誰も所有者を覚えていないアカウントで無効化されたログ。当社は、こうした設定ミスを継続的に検出・修正するポスチャ管理と、攻撃者が実際にどこまで到達し、何を連鎖できるのかを実証するクラウド侵入テストを組み合わせます。ポスチャのスコアだけでは、何が設定ミスかは分かっても、何が本当に悪用可能かは分からないからです。
方法論＆標準
評価は、AWS、Azure、GCPのCIS Foundations Benchmarks、各クラウドプロバイダーのWell-Architectedのセキュリティの柱、そしてOWASP Cloud-Native Top 10に照らして行います。テストは各プロバイダーの実施ルールに従い、アイデンティティに関する指摘は一般的なチェックリストではなく最小権限の原則に基づいて整理します。
含まれる内容
提供される成果物
よくある質問
責任を負うのは一部だけです。責任共有モデルの下では、AWS、Azure、GCPはクラウドを動かす基盤インフラを保護します。その上に置くもの、すなわちデータ、アイデンティティ、ネットワーク構成、アクセスポリシー、ワークロードは、貴社が守るべき領域です。クラウド侵害の大半は、まさにこの利用者側の領域で発生しており、当社がテストするのもそこです。
CSPMは構成を継続的にスキャンし、ベンチマークから逸脱している箇所を教えてくれます。クラウド侵入テストは別の問いを立てます。これらの設定ミスがある状態で、攻撃者は実際にどこまで到達できるのか、という問いです。テストは個々の指摘を実際の攻撃経路へと連鎖させます。だからこそ、深刻度が低いとされた露出したロールが、本番データまであと一歩の距離にあると分かるのです。継続的な衛生管理にはポスチャ管理を、実証にはテストを用いるのが適切です。
いいえ。事前に実施範囲のルールを合意し、各クラウドプロバイダーのテストポリシーを遵守し、可用性に影響しうる操作は流量を制限します。破壊的なチェックは、非本番アカウントがある場合はそちらに対して実施し、実施期間中はテスターとのリアルタイムの連絡窓口を設けます。
はい。ポスチャのドリフトが最も深刻になるのはマルチクラウドです。チームが一方のプロバイダーにベースラインを適用しても、他方には反映されないままになりがちだからです。当社はAWS、Azure、GCPを同一の基準で評価し、RBAC、Podセキュリティ、イメージの来歴、コントロールプレーンを含め、Kubernetesとコンテナのワークロードもカバーします。
設定ミスが生まれる場所で修正することです。コンソール上での場当たり的な修正は次のデプロイで元に戻ってしまうため、当社は修正をInfrastructure as Codeの変更と、ガードレール（サービスコントロールポリシー、Azure Policy、アドミッションコントローラー）として提供し、そもそも設定ミスがデプロイされないようにします。その上で、ドリフトを捉える継続的なポスチャ監視を追加します。
主にAWS、Azure、GCPのCIS Foundations Benchmarksであり、あわせて各プロバイダーのWell-Architectedのセキュリティの柱を用います。コンプライアンス上の要請がある場合は、指摘事項を該当するISO 27001、SOC 2、PCI DSSの統制にマッピングするため、一度の評価でセキュリティ面と監査面の両方の要求を満たせます。