Inquiry icon

START A CONVERSATION

Share your requirements and we'll get back to you with how we can help.

Thank you for submitting your request.
We will get back to you shortly.

クラウドセキュリティ体制の堅牢性を倍に

クラウドコンピューティング、モビリティ、IoTなど、事業運営を活性化するテクノロジーは、組織だけでなく新たなセキュリティ問題に対しての脆弱性も高めてしまいます。総合的リスク管理は、自社のセキュリティ体制を理解し、効果的な管理対策を行うことから始まります。

セキュリティ体制を定義する3つのステップ

Risk Tolerence

重要リソースの特定とリスク許容度の決定

保護の必要なデータや重要な機能など、組織における重要なリソースをすべて評価することが最初のステップです。インターネットに露出していること自体、そのすべてがリスクではありますが、ビジネス業務においては避けられないものです。それを念頭に、それぞれのリソースがどれだけのリスクを許容できるかを評価することが重要です。これと同じように、保護レベルが異なることでコストも異なることを考慮すると、適切なレベルのリスク軽減システムを導入する必要があります。

Cybersecurity Framework

サイバーセキュリティの枠組開発

何をどうやって保護するのかを特定することで、評価の次の段階であるサイバーセdキュリティの枠組を作成できます。この枠組は、組織のセキュリティ関連の業務を管理するサイバーセキュリティ関連の標準、方針そしてプロセスをセットで構成しています。

Security Posture

セキュリティ体制の評価

サイバーセキュリティの枠組により、システム変化に対してリスク評価を促進し、様々な既知の脅威や未知の脅威に備えることができるようになります。組織の業務の成熟度を評価し、侵入テストなどの積極的なテストを行い、組織の準備状況を確認します。

なぜセキュリティ体制を定義することが重要なのか

ITインフラと並行して進化するセキュリティへの脅威

  • セキュリティの境界を広げる:アプリケーションのクラウドへの移行や、ネットワークに接続されたデバイスの爆発的な増加により、企業のインフラ境界が拡大したことで、攻撃を受ける範囲も大きくなりました。
  • 複雑なインフラ:ハードウェア、ソフトウェア、ポリシーなどの形で長年にわたって蓄積されてきた技術的な遺物の積み重ねが、セキュリティリスクを複雑にしています。
  • 広範囲ターゲティング:インターネットへ晒されるということは、政府や金融サービスだけでなく、あらゆる企業がリスクに晒されているということです。
  • より複雑化した攻撃:ソーシャルエンジニアリング、ランサムウェア、マルウェアを含む様々な戦術により、サイバー攻撃の検知、抑止、封じ込めが困難になっています。
  • セキュリティへのサイロ化アプローチ:すべての企業が異なる目的を達成するため、複数の製品やベンダーを採用しています。これによって、機能としてのセキュリティは細分化されてしまい、リスクが高まってしまっています。

ビジネスリスクを最小限に抑えるには

  • ビジネスの持続性:反発力のない組織は、攻撃を受けても生き残ることが難しくなります。これは、サイバー攻撃が当たり前となっている今日の課題であると言えます。攻撃の深刻さに応じて、組織は回復に512時間から1200時間かかる可能性があります。
  • データセキュリティ:機密情報や金銭の損失などのデータ侵害は、ビジネスの信頼性と法令遵守の両方に対して深刻な影響を与えます。データ侵害において、最も絶望的な側面は、被害が実際に出てから発見されることが多いことです。
  • 資産への影響:サイバー攻撃の資産への影響は、ビジネス損失だけに終わらず、侵害の規模、組織や業種によって、高額な検知、通知、復旧費用がかかることもあります。際限なく使用できるリソースを持っている組織はありません。リスク管理の目標は、様々なトレードオフを考慮しつつ、リソースを使いすぎることなく達成させなければなりません。
  • 規制の遵守:多くの国や産業では、遵守すべき規制の枠組が設けられています。米国では医療情報を保護するHIPAA、EUでは個人情報を保護するGDPRなどがあります。

サーバーセキュリティ管理における当社の方針

数段構えの守り

攻撃を完全に避けることは不可能ですが、何層にも防衛線を張った守りであれば、攻撃のベクトルが重要なITインフラやデータへのアクセスを遅らせたり、届きにくくすることができます。

最小権限の原則

システム内の各コンポ―ネットには、最低限レベルのアクセスしか提供されていません。アクセス要件を明確に理解することで、アクセス権限を定義できます。

Cybersecurity Management

*This is a general model. Practices are adapted according to the environment.

セキュリティの実施

Securing Containerized Services

コンテナ化したサービスのセキュリティ確保

コンテナは、企業アプリケーションの重要な一部になりつつあります。不変インフラを構築するのに役立ちます。不変性は、攻撃ベクトルがコンテナにアクセスし、バックドアが作れるようにコンテナに変更を加えることを難しくします。不変性によって、コンテナのアップデートも容易になります。 セキュリティの脆弱性があるコンテナに確認された場合、交換することで、脅威をそのコンテナに限定することができます。

コンテナには最小限のソフトウェアの構成部分しか含まれないため、攻撃の表面積を減らすことができます。また、各コンテナの入点と出点も明確に定義されています。最小権限の原則に従うことで、コンテナ内の様々なリソースへのアクセスを、機能するために必要なもののみに制限できます。

しかし、コンテナのセキュリティは、それに従った以下のセキュリティの実践があってこそ実現できます。

コンテナをrootとして実行:rootユーザーとして実行しているコンテナは、root権限を持つアプリケーションと同様、安全ではありません。コンテナ技術は、信頼境界線をつくりません。コンテナ化されたアプリケーションを展開する際、組織はこの点に注意しなければなりません。必ずシステム内の特定ユーザーやグループと同時にコンテナを実行するようにしてください。

イメージプロべナンス:どのようなアプリケーションも、それを構築するイメージと同程度のセキュリティを得ることしかできません。コンテナベースのインフラを安全に保つには、イメージの識別と信頼メカニズムが必要です。このとき、証明書や電子署名を利用した、プライベートの認証済リポジトリがあると便利です。信頼性の高いイメージのリポジトリは、暗号化された状態で保管され、セキュリティプロセスへのコンプライアンスを確保する監査は、リポジトリ上で行われます。

セキュリティテスト: いかなるイメージも、環境に展開する前にセキュリティテストを行う必要があります。セキュリティテストはCI/CDパイプラインの一部でありながら、ユニットテストと同じように行われるのが理想です。ビルドされたイメージがセキュリティテストに合格した場合に限り、パイプラインがスタックにコンテナを展開します。

コンテナ対仮想マシン:セキュリティの観点から

コンテナは、仮想マシンほどの隔離性はありません。仮想マシンでは、ゲストのオペレーティングシステムは単一のカーネルを共有しないため、システムは異なるセキュリティプロファイルを持つことができます。一つの脅威に対して弱いことが、他に影響を与える可能性はほとんどありません。コンテナは、同じホストとセキュリティプロファイルを共有するアプリケーションを隔離する強力な手段を提供します。

コンテナは、プロセス隔離のためにLinexカーネルが提供する機能の一部を使用して、アプリケーション隔離を保証します。しかし、プロセスの側面の多く(ユーザー名入力スペースなど)は、Linuxのカーネルでは隔離されていません。これによって、コンテナ隔離のメカニズムは、攻撃に対して脆弱な表面部分となってしまいます。コンテナにアクセスした攻撃者は、コンテナランタイムの脆弱性を悪用して、他のコンテナやホストに影響を与えることができます。

Mandatory Access Control as Defense

防衛としての強制アクセス制御

アプリケーションがネットワークポートや、ファイルデバイスなどの他のリソースにアクセスしたり、操作を実行したりする能力を制限することは、強制アクセス制御によって制限できます。コンテナの状況において、アクセス制御は、コンテナがホストや他のコンテナに影響を与える能力を制限します。

2つのMACシステム、SELinuxまたはAppArmorのいずれかで適切なポリシーを考案することで、攻撃者がコンテナのいずれかで提供されるサービスを悪用することができた場合でも、攻撃を封じ込めることができます。必要なセキュリティおよび柔軟性のレベルに応じて、適切なMACツールの選択をサポートします。Linuxカーネルは、MACの代わりにコンテナアプリケーションを制限するためにも使用できます。

Securing the Boundary

境界線安全確保

ファイアウォールは、インターネットに接続されたすべてのアプリケーションやサービスに対し、セキュリティの第一段階を提供するものです。クラウドインフラの出現により、仮想プライベートクラウド(VPC)のような、セキュリティを強化する仕組みが追加されています。VPCを使用すると、仮想プライベートネットワークを介して接続されたコンピューティングリソース一式を、インターネットに公開されている特定のノードのみを用いて作成できます。これらノード間にネットワークルールを設定することで、侵入を防ぐことが可能です。多くの場合、外部からのネットワークアクセスが注目されます。しかし、各コンピューティングリソースから送信されるトラフィックを制限することも同じように重要かつ有用です。系統的隔離は、VPCにサブネットを作成することで可能です。

Securing Container Runtime and Platform

コンテナのランタイム・プラットフォームの保護

仮想マシンやコンテナの場合、ホストのセキュリティも重要です。ホストプラットフォームや、ランタイムの脆弱性は、コンテナ全体への侵入を許してしまう可能性があります。

フルロードのシステムの使用は、いずれの場合においても攻撃可能面を広げることになり得ます。仮想マシンやコンテナが行う隔離は、ベアメタルサーバーと同等とは言えません。GoogleのgVisorのような技術は、追加のセキュリティレイヤーを提供するものです。 これらすべては、セキュリティ戦略を考えるうえで、慎重に考慮する必要があることを示しています。

Securing Data

データの安全保護

マシン間の通信は、そのすべてをトランスポートレベルセキュリティ(TLS)プロトコルを使用して保護する必要があります。可能な限り、プライベートIPで通信を行わなければなりません。保管時のデータは、AES-256を使って暗号化し、適切なデータ管理を実施する必要があります。これによって、個人情報保護方針や契約上の義務を遵守しやすくなります。

API Key Handling

APIキーの取扱い

アプリケーション展開におけるマイクロサービスモデルの台頭に伴い、APIキーはリスクの原因となっています。これらAPIキーは、安全性を無視した扱うを受けることがしばしばみられるようになっています。サービスが侵入を受け、侵入を受けたサービスに使用される他のサービスへのキーが攻撃者から露見してしまっていると、侵害行為が五月雨的に起こることとなります。APIキーを持つ展開テキストが、バージョン管理システム上で公開されてしまっていることがよく見かけられます。

信頼できるパートナーとリスクを最小限に抑える

安心してクラウドを受け入れてください。当社の包括的なクラウドセキュリティサービスは、顧客のすべての問題に対策します。

  • セキュリティ評価:重要リソース、セキュリティの抜け穴、コンプライアンス上の問題を特定します。
  • セキュリティモニタリング:ネットワーク上の異常な活動を追跡し、信号を送ります。
  • インシデント対応管理:重要なリソースをインシデントから保護します。
  • クラウドセキュリティ管理:セキュリティを強化する複数層にわたる防衛手段を実装します。
  • クラウドエンドポイントセキュリティ:視認性を高め、エンドポイントの保護を強化します。

クラウドセキュリティにお悩みですか?