クラウドセキュリティ：サイバー脅威から最新のクラウド環境を守る

攻撃者は、クラウド・リソースを侵害するために、企業ネットワーク境界内のシステムにアクセスするか、リモート管理機能を持つ管理者アカウントまたはCSP管理者アクセス権を持つ管理者アカウントから認証情報を漏洩させるという2つの攻撃手段を持っています。

クラウドインフラストラクチャの可視化が可能になれば、明らかに想定外の動作をしている侵害されたシステムやサービスにおける攻撃者の振る舞いを検知することがはるかに容易になります。

ネットワーク・セキュリティとクラウド・セキュリティの違い

クラウド環境は、脅威の検知とレスポンスの方法における基本的な前提を変えます。

クラウドワークロードの非常に動的なインベントリは、システムが数秒で行ったり来たりすることを意味します。構築中にシステム構成エラーが発生した場合、自動化によって多くのワークロードにエラーが複製されると、そのエラーは悪化し、増幅される可能性があります。クラウドサービスプロバイダー(CSP)との責任分担は、攻撃ライフサイクルにおける潜在的な脅威検出のギャップを生じさせます。

クラウドのすべてがAPIデータ・アクセス方式に移行しており、トラフィック・フローを監視する従来のアプローチはもはや通用しません。

脅威の検出と対応における課題に加え、クラウドにおける技術革新のペースにより、企業は常に遅れをとっています。ビジネス上の競争が激化しているため、企業は機能を優先して出荷し、中核機能以外のビジネスモデルをアウトソーシングすることに注力しています。

クラウドサービスの爆発的な普及は、境界の概念がなくなり、境界の制御が無駄になることを意味します。新たなインフラと導入ツールの増加により、新たなセキュリティ・モデルと攻撃対象領域を持つ新たな環境が生まれます。

‍

‍

なぜ、アイデンティティがクラウドセキュリティにおける新たな境界線となっているのでしょうか？

従来の企業セキュリティでは、ユーザーやシステムは、ファイアウォールや境界防御によって保護された信頼できる企業ネットワーク内で動作していることが前提とされていました。クラウドコンピューティングは、このモデルを根本的に変えました。クラウドリソースには、ID、API、およびクラウド管理コンソールを通じて、事実上どこからでもアクセスできるため、ネットワークそのものではなく、ユーザーのIDが主要なセキュリティ境界となっています。

攻撃者は、phishing、トークンの盗用、パスワードスプレー攻撃、あるいは侵害された管理者アカウントなどを通じて正当な認証情報を入手するケースが増加しているため、多くの場合、境界防御を完全に迂回してしまいます。一度認証されると、悪意のある活動は通常の管理者による動作と区別がつかないほどに見えかねません。

このため、現代のクラウドセキュリティでは、IDの保護、最小権限のアクセス、継続的な認証、行動分析、およびクラウドIDにおける不審な活動の監視に重点が置かれています。認証後のIDの挙動を検知することは、単にログインに成功したかどうかを確認することよりも、より重要になってきています。

クラウドセキュリティツールの複雑さ

CSPが提供するツールは複雑で、多くの企業テナントにとってはまだ新しいものであるため、誤って設定してしまうことがあります。さらに、新しくリリースされる機能やサービスによって、セキュリティに関する専門知識が不足していることがさらに深刻化しています。

最も重要なのは、複数のアクセスおよび管理機能を導入することで、クラウド導入に重大なリスクをもたらす変動性が生じることです。ユーザーが企業環境の内外からクラウドリソースにアクセスできる場合、管理アクションの管理、追跡、監査が困難になります。

承認された場所からのみ管理アクセスを取得するための適切に分離された役割を含む、十分に考え抜かれた特権アカウント管理戦略がなければ、組織は管理者の資格情報と特権を悪用される危険性があります。

従来、サーバーへのアクセスには組織の境界への認証が必要であり、管理アクセスを追跡するための監視はプライベートネットワーク内に実装する必要がありました。クラウド管理システムは、パブリックインターネットからWebインターフェースまたはAPIを介してアクセスされます。適切な保護がなければ、エンタープライズテナントは重要な情報を瞬時に公開してしまう可能性があります。

クラウドセキュリティにおける攻撃のライフサイクル

攻撃者はクラウドリソースを侵害するために2つの攻撃手段を持ちます。

1 つ目は従来の方法で、企業ネットワーク境界内のシステムにアクセスし、偵察を行ってクラウド リソースにアクセスできる管理者アカウントに権限を昇格します。

もう 1 つは、リモート管理機能を持つ管理者アカウント、または CSP 管理者アクセス権を持つ管理者アカウントの認証情報を侵害するだけで、上記すべてをバイパスする方法です。

このように管理アクセス・モデルにばらつきがあるということは、クラウド・サービスの管理に使用されるエンドポイントへの無秩序なアクセスによって、新たなセキュリティ脅威の攻撃対象が変化することを意味します。インフラストラクチャの開発と管理に使用される管理対象外のデバイスは、ウェブ閲覧や電子メールなどの脅威ベクトルに組織をさらすことになります。

メインの管理者アカウントが侵害された場合、攻撃者は特権を昇格したり、企業ネットワークへのアクセスを維持したりする必要はありません。組織では、CSP 管理者権限の悪用をどのように適切に監視していますか？

クラウドセキュリティのベストプラクティス

組織は、クラウドアカウントのシステム管理と所有権の取り扱い方を見直す必要があります。メインアカウントを管理しているのは何人ですか？

1. パスワードと認証はどのように行われるのか？
2. この重要な口座のセキュリティを誰が確認しているのか？
3. セキュリティ上の問題が発生した場合、誰が責任を負うのか？

CSPかクラウド・テナント組織か？当初は問題次第のようだが、その責任をテナント組織に押し付けようとするCSPもあります。

最も重要なのは、組織が管理者資格情報の存在と不正使用をどのように監視するかです。管理者アカウントのセキュリティを確保するのはテナントの責任です。

CSPは、その重要性を明確に伝え、テナントの責任であることを伝えています。CSPは、保護が不十分、あるいは全く保護されていない場合の影響を強く強調しています。バックエンドのCSP管理インフラの可視性が欠如しているため、クラウドテナント組織は、自社環境内でCSPアクセスが侵入手段として悪用された場合、その不正使用を特定する必要があります。

クラウド型脅威検知はどのように機能するのでしょうか？

クラウド脅威検知は、クラウド上のアクティビティを継続的に分析し、データ損失や業務の混乱につながる前に攻撃者の行動を特定します。主にエンドポイントやネットワークトラフィックに焦点を当てる従来のセキュリティ監視とは異なり、クラウド脅威検知は、APIアクティビティ、IDの挙動、ワークロード間の通信、クラウド構成の変更、およびクラウドプラットフォーム全体にわたる管理操作など、クラウドネイティブなテレメトリを分析します。

現代のクラウド環境では毎日数百万件ものイベントが発生しており、手動での調査は不可能です。効果的なクラウド脅威の検知では、クラウドワークロード、ID、クラウド制御プレーン、ストレージサービス、仮想マシン、コンテナ、Kubernetesクラスター、サーバーレス関数からのシグナルを相互に関連付け、正当な管理活動と悪意のある行為を区別します。

既知の侵害指標（IoC）のみに依存するのではなく、行動検知では、MITRE ATT&CK 定義されている特権昇格、異常なAPIの使用、過度な権限変更、認証情報の悪用、不自然な移動経路、機密性の高いクラウドリソースへの異常なアクセス、および不正なデータ移動といった不審な行動を特定します。これにより、セキュリティチームは、正当なクラウドサービスを利用して従来のセキュリティ対策を回避する高度な攻撃を検知できるようになります。

企業では、ハイブリッド環境やマルチクラウド環境全体の可視性を高め、アラート疲労を軽減するために、クラウドテレメトリをネットワーク検知、ID監視、エンドポイントセキュリティ、およびSIEMプラットフォームと統合する動きがますます広がっています。

ID、API、ワークロード、ネットワークアクティビティなどが新たな検知上の課題を生み出している現代のクラウド環境において、セキュリティチームが攻撃者の行動をどのように可視化しているかをご覧ください。

クラウドセキュリティの脅威トップ

2017年、クラウド・セキュリティ・アライアンス(CSA)は、当時クラウド・コンピューティングにおける最も差し迫ったセキュリティ問題だと考えられていたことについて、専門家の意見をまとめるための調査を実施した。

特定された12の懸念事項のうち、5つは認証情報の管理と、悪意を持ってクラウド環境にアクセスするために認証情報を侵害する方法に関連していた。この5つは、調査結果による深刻度の高い順に並べると、次のようになる：

1.不十分なアイデンティティ、クレデンシャル、アクセス管理

スケーラブルなIDアクセス管理システムの欠如、多要素認証の不使用、脆弱なパスワード、暗号鍵、パスワード、証明書の継続的な自動ローテーションの欠如。

2.安全でないインターフェースと API

認証やアクセス・コントロールから暗号化やアクティビティ・モニタリングに至るまで、これらのインターフェイスは、ポリシーを回避しようとする偶発的な試みと悪意ある試みの両方から保護するように設計されなければならない。

3.アカウント乗っ取り

攻撃者はユーザーのアクティビティやトランザクションを盗聴したり、データを操作したり、改ざんされた情報を返したり、クライアントを不正なサイトにリダイレクトしたりすることができます。

4.悪意のあるインサイダー

組織のネットワーク、システム、またはデータへのアクセスを許可されている、または許可されていた現・元従業員、請負業者、またはその他のビジネスパートナーで、組織の情報または情報システムの機密性、完全性、または可用性に悪影響を及ぼすような方法で、意図的にそのアクセスを超過または悪用した者。

5.不十分なデューデリジェンス

デューデリジェンスを実施しないことは、企業を無数の商業的、財務的、技術的、法的、コンプライアンス上のリスクにさらし、その成功を危うくする。

> クラウドにおける脅威検知のホワイトペーパーをダウンロードして、実際のクラウド攻撃の完全な分析をご覧ください。

クラウド環境のセキュリティ確保は、データ保護と運用のレジリエンス維持を目指す企業にとって、必須の要件です。Vectra AIは、脅威の検知とレスポンスからコンプライアンスやデータ保護まで、現代の企業特有のニーズを満たすように設計された最先端のクラウドセキュリティソリューションを提供しています。お問い合わせいただければ、当社の専門知識がクラウドセキュリティの複雑さを解決し、クラウド資産の完全な保護を実現するお手伝いをいたします。

クラウド環境のセキュリティ確保には、どのような技術が用いられているのでしょうか？

クラウドセキュリティは、複数のテクノロジーが連携して、ID、ワークロード、クラウドインフラストラクチャ、アプリケーション、および機密データ全体にわたる可視性を提供することに依存しています。クラウド環境のあらゆる側面を単一のソリューションだけで保護することはできないため、多層的なセキュリティアーキテクチャが不可欠となります。

一般的なクラウドセキュリティ技術には、次のようなものがあります。

• 進行中のクラウド攻撃を特定するためのクラウド検知・対応（CDR）

• 設定上のリスクを検出するためのクラウド・セキュリティ・ポスチャー・マネジメント（CSPM）

• クラウドの権限を管理するためのクラウド・インフラストラクチャ・エンタイトルメント管理（CIEM）

• 仮想マシン、コンテナ、およびワークロードを保護するためのクラウドワークロード保護プラットフォーム（CWPP）

• 統合型クラウドセキュリティを実現するクラウドネイティブ・アプリケーション保護プラットフォーム（CNAPP）

• クラウド上の機密データの漏洩を特定するためのデータセキュリティ態勢管理（DSPM）

• アイデンティティ侵害を検知するためのアイデンティティ脅威検知・対応（ITDR）

これらの技術を組み合わせることで、組織はクラウドの可視性を高め、リスクを低減し、クラウド攻撃のライフサイクル全体にわたって攻撃者の活動を検知できるようになります。

クラウドセキュリティの将来はどうなるのでしょうか？

クラウドセキュリティは、クラウドコンピューティングそのものの進化とともに、絶えず進化し続けています。企業では、マルチクラウドアーキテクチャ、Kubernetes、サーバーレスアプリケーション、人工知能、自律的なクラウド運用などの導入が進んでおり、その結果、攻撃対象領域が拡大するとともに、クラウド環境の防御の複雑さも増しています。

今後のクラウドセキュリティ戦略では、クラウドインフラストラクチャ、ID、アプリケーション、API、および生成AIを活用したアプリケーションを含むAI駆動型ワークロード全体にわたる継続的な可視性に重点が置かれることになる。攻撃者が人工知能や侵害されたクラウドIDを利用してクラウド攻撃を自動化する中、ID中心の検知、行動分析、実行時脅威検知、そしてAIを活用した脅威検知およびセキュリティ運用は、ますます重要になっていく。

クラウドセキュリティとID保護、行動分析による検知、継続的な監視を組み合わせた組織は、急速に変化する企業環境において、安全なクラウドイノベーションを推進しつつ、高度な攻撃を検知する上でより有利な立場に立つことができるでしょう。

‍