ウェビナー recap：あらゆるクラウド侵害に欠けているストーリー

Snykのチーフアーキテクト、Josh Stellaが先日、クラウドセキュリティに関するウェビナーを開催しました。Stellaは、クラウドセキュリティとコンプライアンスを手がける企業Fugueの共同創業者兼CEOであり、同社はSnykに買収されました。Fugueの機能を活用し、Snykは開発者ファーストのセキュリティプラットフォームをクラウドセキュリティ分野へと拡大します。

この講演でStellaは、あらゆるクラウド侵害に欠けているストーリー、つまり攻撃者がクラウド上で、どのように、いつ、どこで活動するのかについて解説しました。また、現代の攻撃からクラウドリソースを守るための方法論も紹介しました。

このブログ記事では、講演で紹介された重要な知見をいくつか取り上げます。

クラウドがセキュリティをどう変えたのか

まず、クラウドコンピューティングがセキュリティのあり方をどのように変えたのかを理解することが重要です。かつてデータセンターは比較的隔離されたハードウェアベースの環境だったため、境界の防御に重点を置くことが効果的でした。一方、現在のクラウドベースのインフラはソフトウェアによって定義されます。特定のクラウドプロバイダーを利用するすべての顧客が、同じハードウェアを共有しているためです。

ソフトウェア定義型クラウドの利点は、柔軟性が高く、プログラムで制御できることです。そのため、企業はクラウドセキュリティを含むさまざまな機能を自動化できます。しかし、この柔軟性には複雑さも伴います。最新のクラウド環境は数十万ものコンポーネントで構成され、クラウドプロバイダーは何百ものサービスを提供しているためです。

課題は、こうしたコンポーネントやサービスの設定を、開発者がInfrastructure as Codeを使って担うケースが増えていることです。その結果、開発チームにはクラウドセキュリティに関する責任もさらに求められるようになっています。

攻撃者の手口も変化している

クラウドは、攻撃者の活動方法にも影響を与えています。クラウド以前の時代、ハッカーは標的を選び、脆弱性を探して、時間をかけて計画的に攻撃を仕掛けていました。現在のハッカーは、自動化ツールを使って脆弱性を探し、標的を選ぶと、すぐに攻撃を実行します。

つまり、隠すことでセキュリティを確保することはできません。公開されているIPアドレスやDNSは、公開されてから数分以内にスキャンされます。ハッカーの標的になる可能性が生じるまで、何時間も何日も待ってくれるわけではありません。

大規模なクラウド侵害に関する報道の多くは、侵害の原因が単一の脆弱性や設定ミスにあるかのように伝えており、実態を誤解させることがあります。実際には、その多くはコントロールプレーンを保護できていないシステム設計の不備が原因です。攻撃者は、設定に不備のある単一のクラウドサーバーを通じて最初にシステムへ侵入することがありますが、その後、システム内を横方向に移動し、価値の高いデータを探して持ち出そうとします。

クラウドセキュリティの5つの基本

従来のデータセンターでは境界の防御が有効でしたが、現在のクラウド環境で攻撃者を防ぐには、それだけでは不十分です。Stellaによると、クラウドセキュリティを継続的に向上させる好循環を生み出す、5つの基本があります。

1. 環境を把握する

クラウドシステムを攻撃する場合も保護する場合も、環境を把握することが欠かせません。たとえば、特定のクラウド環境において脆弱性が実際にどのような形で現れるのかを知ることは、クラウドセキュリティのリスクを最小限に抑えるうえで非常に重要です。

2. 予防とセキュアな設計

攻撃者の主な侵入口の一つが設定ミスであるため、Infrastructure as CodeやCI/CDパイプラインの開発時に、設定ミスを検出して修正することが重要です。また、設計段階からセキュアなクラウドアーキテクチャを検討しておけば、攻撃者が境界を突破した場合でも、システム内で横方向に移動するのを防ぎやすくなります。

3. 開発者を支援する

開発者はトレーニングや認定資格を通じてセキュアな設計を学べますが、クラウドセキュリティのベストプラクティスを共有する最善の方法は、自動化とツールの活用です。IaCセキュリティツールを使えば、開発者は既存のDevOpsワークフローの中で、実行につながるセキュリティガイダンスを得られます。

4. ポリシーをコード化する

ポリシー・アズ・コードとは、Infrastructure as Codeや稼働中のクラウド環境において、安全かどうかを判定できるソフトウェアです。つまり、ポリシー・アズ・コードによって、セキュリティチームはソフトウェア開発ライフサイクル（SDLC）全体にわたり、規模に応じてセキュリティポリシーを自動で展開・適用できます。

5. 重要な指標を測定する

組織によって重視するセキュリティ指標は異なるため、何が最も重要なのかを判断し、定量化することが大切です。デプロイ前に排除した脆弱性の数、デプロイ承認にかかる時間の短縮幅、クラウドエンジニアリングの生産性向上などを追跡するとよいでしょう。測定によって進捗を確認できるだけでなく、この5段階のサイクルの最初の段階に役立つ重要な情報も得られます。

Snykの顧客のうち、クラウドセキュリティで大きな成果を上げている企業は、常に次の5つの取り組みを実践しています。

Snykによる開発者ファーストのクラウドセキュリティ

Snykは、クラウドセキュリティに関して開発者が直面する課題を認識し、その負担をさらに軽減することを目指しています。クラウドセキュリティポスチャ管理をDevSecOpsのワークフローに統合することで、組織がクラウド環境をより深く理解し、よりセキュアなシステムを設計し、開発者がより安全なソフトウェアをリリースできるよう支援します。

詳しくは、ウェビナーの全編をご覧ください。あらゆるクラウド侵害に欠けているストーリー—知っておくべきこと、そして実行すべきこと。