略で、情報システムの稼動に必要なコンピュータや通信回線等のインフラを、クラウド上から利用できるようにしたサービスです。「システムを導入する際はまずクラウドから考えよう」というクラウドファーストの時代背景の中で、このIaaSの活用が各企業で一般的となってきています。ガートナー社の調査によるとIaaS市場は2018年には31%成長しており、今後も伸びていく見込みです。有名なものとしてはAmazonが提供しているAWSやMicrosoftのAzure、GoogleのGCP等があり、3社で市場シェアは67%と市場の大部分を握っています。IaaSのメリットとしては、ストレージ、ネットワーク帯域等を必要な分だけ選択することができ、自由に環境を構築することが可能なことです。料金についても使った分だけ支払うことが可能ですし、AmazonやGoogle等の最先端の企業が運営しているため安定した運用が見込めます。必要に応じて柔軟に拡張することができます。IaaSの課題このようにさまざまなメリットがあるIaaSですが、当然デメリットもあります。実際にクラウドであればセキュリティを任せられるイメージを持つことが多いでしょう。IaaSではOSから自由に選択できる代わりに、不正アクセス等の何かしらのセキュリティ事故に巻き込まれた際も、それはIaaSのユーザの責任範囲となります。IaaSの責任分界点さらにIaaSではOSや環境の管理を自分で行う必要があります。メニューが豊富であるがゆえに設定が複雑化しており、セキュリティ上の正しい設定を行うには専門化による知見が必要です。このような中、素人では正しいセキュリティ設定を行い、運営することが難しいサービスになりつつあります。自由度が高いというメリットがデメリットにつながっているという課題があります。~設定ミスによるセキュリティ事故~IaaSの課題について説明しましたが、アプリケーションやミドルウェア、OSに関してもユーザの責任範囲となるため脆弱性診断等、オンプレミス環境と同等のセキュリティ対策が必要となります。IaaSでは豊富な設定メニューが存在するため、その設定が本当にセキュアなのかどうかの確認が必要です。AWSを例に取ると、IAMユーザのセキュリティ強度が低いまま運用していたため、不正アクセスを許してしまったり、不用意にアクセスキーを発行する設定にされていたため、アクセスキー流出からの情報漏洩につながったりする等IaaSの設定内容に起因するセキュリティのリスクは多数存在します。実際にIaaSの設定ミスが原因となり多くのセキュリティ事故が発生しています。容疑者はAmazonの元従業員で、原因はAWSの設定ミスと言われている。S3」のバケットに保存され、誰でも閲覧可能になっていたということが明らかとなった。原因はユーザの初歩的な設定ミスであり、URLを入力すると誰でも米政府の機密文書にアクセスできる状態であったということです。S3」のバケットに保存していたが、設定ミスが原因で、このS3バケットのURLさえ分かれば、誰でもアクセスしてデータをダウンロードできてしまう状態だった。~導入時の課題~IaaSは、部門ごとに使いやすいように個別に契約し、ルール設定しているパターンが大半です。セキュリティを考慮してIaaSに対する設定を行っている部署もあれば、適当な設定で済ませている部署も存在する可能性があります。企業におけるIaaSの導入例このような運用をしていたのではどこかしらで設定ミスが発生し、前述したセキュリティ事故につながる可能性が大いにあります。専門家によるチェックをもとに強固なセキュリティ設定を行い、会社として統一したルールを適用させることが急務です。一般的なセキュリティ対策のアプローチでは、セキュアなIaaSの設定を行うためにはどのようなアプローチがあるのか考えていきたいと思います。セキュアな設定について、「CISベンチマーク※1」がその手助けをしてくれます。CISベンチマーク検査項目CISベンチマークには、具体的な設定方法までも明確に記載されているため、IaaSやセキュリティに知見のある方によって内容を確認することで、対策までカバーすることができます。CISベンチマークでどのような項目が存在するのかAWSを例にとって確認したいと思います。AWSのCISベンチマークではIAM※2、Logging、Monitoring、Networkingの4つが大項目として存在します。その下に小項目として46項目の具体的な指摘項目が存在します。以下に実際の指摘項目を記載します。22(SSH)への接続が許可されていないこと上2つや下2つの項目は対策イメージがつくかと思います。それでは、2.1や2.5の項目はどうでしょう。CloudTrailやAWSConfigは全てのリージョン・アクティビティで設定を有効にする必要があるのでしょうか。この設定は課金の対象となるがゆえに、担当者が必要最低限の設定もせずにいい加減な対策をしてしまい、セキュリティ事故につながってしまう可能性があります。会社で多数のAWSを契約しており、これらの設定を把握することすら難しい場合もあります。このことからも、セキュアなシステムを構築し、しっかりとセキュリティ事故を防止したいという企業にとっては専門家による第三者視点の確認が必要になってきます。Management」の略/システム毎に設定されたアクセス権を統合管理する手法KCCSによる診断サービスこれらの問題に対してKCCSでは2つのソリューションを提供しています。クラウド利用可視化サービス同じ企業内でも、部門ごとにさまざまなIaaSを契約している企業も多く、一体どの部門でどれだけのIaaSを契約しているのか、把握できていないケースもあるかと思います。そのような不安がある場合には、企業のクラウド利用状況を可視化し、分かりやすいレポートにまとめてご報告する「クラウド利用可視化サービス」にて、大まかな利用状況を洗い出すことが可能となります。詳細に関しては以下のリンクをご確認ください。クラウド利用“可視化”サービスIaaSセキュリティ診断サービス企業内のクラウド利用状況を「クラウド利用可視化サービス」で洗い出した後は、いよいよIaaSセキュリティ診断サービスです。本診断サービスではIaaSの管理設定に対して、エンジニアや診断ツールによりCISベンチマークに基づいたセキュリティ診断を実施し、課題点を洗い出します。IaaSセキュリティ診断について診断サービスの老舗であるKCCSだからこそできる独自レポーティングサービスによって、分かりやすい報告書を納品します。難解な指摘内容も丁寧に説明し、対策についてアドバイスします。IaaSセキュリティ診断についてこのサービスを活用することで、今までばらばらであった部署ごとの環境に対して、一定の基準に基づいた会社としてのルールを適用させることが可能です。これにより、それぞれの部署のビジネスのスピード感を損なわずに会社としてのセキュリティ基準を保つことが可能となります。IaaSセキュリティ診断による効果あるシステムでの事例について実際にこのIaaS診断サービスを、あるお客様に実施してみました。提案も含め何度かミーティングを実施しましたが、運用している方は非常にAWSに詳しい方でしたが、前任からの引き継ぎがほぼないまま数年前に担当になった方です。そのうえ、会社・部門としてのセキュリティポリシーも無いのですから...結果はどうなったのでしょうか。-想定通りの結果です。CISベンチマークで推奨されている対策46項目中8項目しか適合していませんでした。報告会ではその部署の偉い方までいらっしゃったので、優先して改修していき改修後には改めて再診断を実施してくれることをお約束いただきました!本コラムを見て少しでも「うちのIaaSも心配かも...」と思った方は是非一度をお試しください。IaaSセキュリティ診断サービスまた、冒頭の「IaaSの課題」で記載しているとおり、クラウド上で利用しているアプリケーションやミドルウェアも何らかの問題が発生すれば、ユーザ側の責任となりますので、弊社で提供しております。Webアプリケーション診断サービスやネットワーク診断サービス等も是非あわせてご利用ください。インテグレーション課IaaSセキュリティ診断チーム掲載されている情報は、発表日現在の情報です。最新の情報と異なる場合がありますのでご了承ください。#脆弱性診断ページトップへ﻿セキュリティ製品・サービスに関するお問い合わせ・セミナーのお申し込み企業のIT環境は常に変化し、それに伴い内部・外部からの脅威も日々変化しています。いう3つの観点で、リスクアセスメントを含むコンサルティング、対策導入、運用までのトータルセキュリティソリューションを提供しています。お問い合わせ・資料請求KCCSは京セラコミュニケーションシステム株式会社の略称です。記載の会社名および製品名・サービス名は、それぞれ各社の商標または登録商標です。