シークレット管理：ツールとベストプラクティス

ねえ…秘密を守れますか？ 機密情報や重要なデジタル情報を扱うなら、答えは必ず「はい」でなければなりません。しかし、言うほど簡単ではありません。シークレット管理は聞こえほど単純ではなく、対応を誤れば企業や顧客、そして評判に甚大な影響を及ぼすおそれがあります。この記事では、シークレットを保護するためのベストプラクティスとツールをご紹介します。

シークレットとは？ 

シークレット管理におけるシークレットとは、機密性を保ち、安全に管理しなければならないあらゆる情報を指します。パスワード、APIキー、暗号鍵、トークン、認証や認可に使用するその他の認証情報などが含まれます。また、財務記録や医療記録、個人を特定できる情報（PII）、知的財産など、ほかの種類の機密データもシークレットに含まれる場合があります。

シークレットが漏えいすると、データやシステムへのアクセスや、ユーザーやサービスへのなりすましに悪用される可能性があるため、不正なアクセスや開示から保護する必要があります。

シークレット管理が重要な理由

2021年12月27日、セキュリティエンジニアのDaniel Hackmann氏は、自身が設定したAWS CanaryTokenによって、CircleCIアカウントへの侵入が発生した可能性をメールで知らされました。侵入者は、AWSキーを模したおとりを作動させたと考えられます。ハニートークンやおとりは、侵入の検知や防止を目的としてシステムに設置でき、攻撃者によって作動すると、セキュリティ侵害の可能性を知らせます。その1週間後、セキュリティインシデントを受け、CircleCIは顧客にシークレットのローテーションを推奨しました。これは、適切なシークレット管理があってこそ可能になった対応です。 

シークレット管理は、機密情報の安全を確保し、規制への準拠を支援し、拡張性を高め、チーム間のコラボレーションを促進するために重要です。

• セキュリティ：パスワード、APIキー、暗号鍵などのシークレットは、アプリケーション、システム、データの保護に役立ちます。侵害されると、悪意のある人物がシークレットを使ってリソースやデータに不正アクセスし、データ侵害やなりすましなどのセキュリティインシデントを引き起こす可能性があります。 

• コンプライアンス：GDPR、HIPAA、PCI-DSSなどのコンプライアンス要件では、組織に対し、機密データの保護と監査可能なアクセス制御が求められます。シークレット管理は、こうした要件への準拠や、セキュリティ制御の証明に役立ちます。

• 拡張性：アプリケーションやシステムが複雑化するにつれて、シークレットの管理も難しくなります。シークレット管理を自動化・効率化するツールを活用すれば、大規模環境でもシークレットを安全に保ちやすくなります。

• コラボレーション：シークレット管理により、複数のチームが機密情報にアクセスし、安全に連携するための枠組みを整えられます。同時に、シークレットへのアクセスを許可されたユーザーやアプリケーションに限定できます。

シークレット管理における課題

組織がシークレット管理に取り組む際には、さまざまな課題に直面する可能性があります。主な課題は次のとおりです。

• 複雑さ：大規模なインフラストラクチャやクラウドネイティブ環境では、シークレット管理はますます複雑になります。複数のシステムやプラットフォームで使用されているシークレットをすべて把握するのが難しくなります。

• 手作業のプロセス：手作業でシークレットを管理すると時間がかかり、ミスも発生しやすくなります。その結果、効率が低下し、運用コストやセキュリティリスクが増大します。

• 失効：セキュリティ侵害が発生した場合、影響を受けたシークレットを特定して失効させるのは困難です。特に、複雑な環境ではその傾向が顕著です。

シークレット管理の6つのベストプラクティス

シークレットを安全に保ちながら、許可された担当者が効率よく利用できるようにするため、次の6つのベストプラクティスを検討しましょう。

1. 一元化と標準化：シークレット管理を一元化することで、組織全体で一貫性と標準化を実現できます。一元的なアプローチにより、機密データの可視性と制御を確保しながら、さまざまなシステムやプラットフォームのシークレットを簡単に管理できます。

2. キーと認証情報を定期的にローテーションする：キーが漏えいしたり盗まれたりしても、有効期間を短くできるよう、キーと認証情報を定期的にローテーションする習慣をつけましょう。サーバーレスのシークレット管理、コンテナ、その他多くの最新アプリは、キーのローテーションを前提に構築する必要があります。 

3. アクセス制御：シークレットへのアクセスは、知る必要のある許可された担当者にのみ付与します。シークレットを厳重に管理することで、不正アクセスのリスクを抑え、意図した目的に限って使用されるようにできます。

4. 自動化を活用する：シークレット管理を自動化すると、人為的ミスのリスクを軽減し、効率とセキュリティを高められます。プロセスを自動化することで、シークレットの取り扱いに一貫性を持たせ、社内ポリシーの徹底にも役立ちます。

5. 監査：機密データへの不正なアクセスや使用を検知・防止し、ポリシーや規制要件への準拠を確認するため、シークレット管理の活動を定期的に監査しましょう。

6. ポリシー：シークレット管理のポリシーを策定し、文書化することで、機密データに関する各担当者の責任と義務を明確にしましょう。最新の手順をチームメンバーが把握できるよう、ポリシーを定期的に見直し、トレーニングを実施してください。 

おすすめのシークレット管理ツール

ツールを活用することで、組織のシークレット管理を強化できます（Dockerシークレットの保護など）。ここでは、優れたツールを4つご紹介します。

• Hashicorp Vault：シークレットを安全に保存し、アクセスを管理できる、人気のオープンソースツールです。複数の認証方式と認可方式に対応し、さまざまなクラウドプロバイダー、データベース、その他のシステムと連携できます。また、堅牢な監査証跡、動的シークレット、サービスとしての暗号化も提供します。

• AWS Secrets Manager：アプリケーション、サービス、ITリソースへのアクセス保護を支援するフルマネージドサービスです。シークレットのローテーション、管理、取得を簡単に行えます。シークレット管理を自動化し、必要なときにいつでも暗号化され、安全に利用できる状態を保ちます。 

• Google Secret Manager：Googleが提供するSecret Managerは、APIキー、パスワード、証明書、その他の機密データを安全かつ便利に保存できるサービスです。Google Cloud全体のシークレットを一元管理し、アクセスや監査を行うための、信頼できる単一の情報源を提供します。

• Azure Key Vault：アプリケーションやサービスで使用する暗号鍵、シークレット、証明書を安全に保存・管理できるクラウドベースのサービスです。キーやシークレットの作成、保存、管理を簡単に行え、データの暗号化やユーザー認証に利用できます。また、ロールベースのアクセス制御、監査ログ、他のAzureサービスとの連携など、幅広いセキュリティ機能を備えています。

次のステップ：Snykによるシークレット管理の支援 

Snykは監査に最適です。実用的な分析情報と、攻撃者がシークレットにアクセスして悪用する前に脆弱性を修正するための推奨事項を提供し、ソフトウェアのサプライチェーンセキュリティとAppSecを強化します。

Snyk Codeはコードベースをスキャンし、APIキーやパスワードなど、ハードコードされたシークレットや機密情報を特定します。こうしたシークレットの検出に加え、シークレット管理ツールを使って安全に管理する方法も提案します。

Snyk ContainerとSnyk Open Sourceは、コンテナに最も安全なベースイメージやパッケージを選ぶのに役立ちます。これらのコンポーネントをスキャンして脆弱性を特定し、代替案を提案することで、攻撃対象領域を縮小し、エクスプロイトを防ぎます。

また、Snyk IaC（Infrastructure as Code）は、デプロイの前後を通じてリスクの軽減を支援します。インフラストラクチャコードをスキャンし、一部のハードコードされたシークレットや設定ミス、脆弱性を検出します。セキュリティのベストプラクティスに関する分析情報や修正手順を提示し、インフラストラクチャの安全性とコンプライアンスを確保します。

Snykがシークレットの保護にどう役立つか、ライブデモでご確認ください。サイバーセキュリティをさらに強化するために、Kubernetes Secrets管理のベストプラクティスもぜひご覧ください。