関連サイト記事の紹介クラウドのセキュリティを中心に、4本のオンラインメディアの記事を紹介します。2018のレポート記事のひとつで、セキュリティ関連の発表をまとめたレポート記事です。Googleが、以前から提唱してきている新たなセキュリティモデル「BeyondCorp」についてとりあげている。BeyondCorpは、従来の「VPNを前提とした、ネットワーク境界保護を重視するセキュリティの常識」を再定義した、新たなセキュリティモデルです。これまでのITセキュリティにおける基本的考え方は、「ネットワーク境界の保護」。一般的な実装として、企業内部に「信頼できるネットワークエリア」を設けること、「DMZ」(インターネット接続のための「緩衝地帯」)を設けること、「外部からの接続にはVPNを利用する」ことが基本的な考え方です。携帯端末の進化やクラウドの活用が進んでいる他、「多様な働き方への対応」のために全ての携帯端末にVPN接続機能を持たせることで対応を行うためには、増え続ける端末とその種類に対応するのはコストが大きい。BeyondCorpは、そうした伝統的なVPN戦略から脱却し、ユーザーがより柔軟に、よりセキュアに社内の情報にアクセスできるようにすることを目指したセキュリティモデルで信頼できないネットワークから社内のサービスや情報にアクセスするためにはどこをどのように守るのが肝要かを示したものです。’18でアナウンスされた、BeyondCorp関連の発表の一つであり、クラウドインフラ上の各リソースに対するアクセス管理機能を、単一のクラウド機能を通して提供するものです。コンテナ開発におけるセキュリティ関連プロダクトについてもアップデートがあったようです。Registryにデプロイすると、GCPがコンテナ自体の脆弱(ぜいじゃく)性について自動でスキャンを行いレポートしてくれる機能です。Googleなどのパブリッククラウド事業者のサービスを利用することにより最先端のセキュリティ対策環境が利用できることを示す例ですね。クラウドやサーバレスが浸透、IT運用チームが実践すべきセキュリティ対策は?TechTargetのクラウド環境でデータとアプリケーションのセキュリティを確保する方法についてまとめた解説記事です。ビルドプロセスに自動単体テストを組み込んでバグを検出している場合であれば、ビルド段階でセキュリティ脆弱性のテストもしていることが多いでしょう。Project(OWASP)をはじめとするさまざまなツールや組織が役立ちます。AWSを使用する場合であれば、各サービスに厳格なIDアクセス許可があることが非常に重要です。1つ重要なのは、IDとアクセス管理(IAM)ユーザー全員に対して多要素認証(MFA)トークンの設定を求めることです。一方で、厳格なポリシーを設定し、ITセキュリティの役割専門の担当者を配置しても、何らかの問題が発生することは避けられません。そのためクラウド環境での活動を監視することも重要です。CloudWatch」を通じて監視します。カスタムアラームを設定することも役立ちます。IAMアカウントが普通のパターンとは異なる操作を実行しているといった、異常な動きを発見するのに有効です。通常とは異なる動作はシステムへの不正アクセスを示す場合があります。標的となる脆弱性の多くは、WordPressやPHPスクリプト言語で記述されたアプリケーションです。そのため運用チームは疑わしいURLに対する要求に目を光らせ、問題を引き起こすIPアドレスからのトラフィックを全てブロックできる手だてを整えておく必要があります。MacDonald氏の講演内容を紹介しています。同氏は「クラウドセキュリティの問題は、クラウドが安全かどうかではなく、ユーザーがクラウドを安全に使用しているかどうかがポイントだ」と説いています。ユーザーがクラウドを安全に使用するためにはどうすればよいのか。同氏はその重要な対策の1つとして、「クラウドに穴を開けてはならない」ことを挙げています。「まず、企業の内部データにおいてインターネット共有を許可しないこと。IaaSやSaaSを利用する際は、データファイルのオープン共有を許可しないように設定することが肝要だ」としています。同氏はさらに、企業のIT担当者にはクラウドセキュリティならではのスキルを身に付けることが求められると指摘。クラウドセキュリティならではのスキルについては、次のように説明しています。「これまでのファイアウォールなどの物理的な対策ではなく、クラウドセキュリティは一層ソフトウェアデファインドのスキルが必要になる。セキュリティ担当者は必要に応じて自らプログラミングして対策を講じるスキルが求められるようになる」クラウドセキュリティにおける責任の多くがユーザーにあることを説いていたのが印象的だったとのことです。Japanの読者が注目したトップ10のニュースを振り返って解説している記事です。10」にまつわる脆弱性やマルウェアといった話題への関心が高いようでてす。10は、PCのリプレースが進むのに合わせて着実に広がってきています。10は36.58%に上り、その差は徐々に縮まっています。EOSを迎えたOSでは、特別な有償サポート契約などの例外を除けば、セキュリティパッチが提供されません。7のEOSまで残り1年4カ月ほど。7が残存する見込みでありさまざまな企業で危機感をもって対応がせまられているようです。