クラウド ハードニング入門

クラウドに機密データを保存すると、攻撃対象領域（攻撃面）が大きく広がります。そして攻撃者は、クラウド導入がもたらす機会を素早く捉えています。実際に、 2022 Netwrix 調査 では、クラウド基盤を狙った攻撃が10%増加したことが分かりました。

クラウドの強化（ハーデニング） とは、安全な設定を確立・維持し、その他の脆弱性を特定して軽減することで、クラウドシステムに対するリスクを低減するプロセスです。なぜ クラウドの強化（ハーデニング） がセキュリティと規制コンプライアンスの両面で重要なのか、また今日のクラウドにおける主要な脅威は何かを学びましょう。さらに、提供形態（IaaS、PaaS、または SaaS）やクラウドの種類（パブリック、プライベート、またはハイブリッド）にかかわらず、クラウドを強化するために取るべき手順を見つけてください。

クラウドの強化（ハーデニング）がセキュリティを強化する仕組み

クラウドの強化（ハーデニング） は、IT の脆弱性や侵害のリスクを低減するために、システムの設定と構成を保護することを意味します。強化における重要なステップの1つは、システムから不要なコンポーネントをすべて削除することです。不要なプログラム、アカウント機能、アプリケーション、ポート、権限、アクセスを削除することで、攻撃者やマルウェアがクラウド環境に侵入するための経路を減らせます。

ただし、クラウドの強化（ハーデニング）は一度実施すれば終わりではありません。セキュリティ設定からのずれ（ドリフト）がないかを常に監視し、脅威状況が変化し、ベストプラクティスが進化していくのに合わせて、基準値（ベースライン）を定期的に見直し、更新する必要があります。

もちろん、クラウドの強化（ハーデニング）はより大きなセキュリティ戦略の一部にすぎません。この戦略には、潜在的な脅威を速やかに検知して対応するためのツールの導入も含めるべきであり、またインシデント発生後にシステムを迅速に復旧できるようにしておく必要があります。

クラウドのハードニングがコンプライアンスに役立つ方法

世界中の政府は、 data security のための標準を含む規制を定めています。これらは、データがホスティングされている場所に関係なく適用されます。ここでは、特に把握しておくべき重要なものを紹介します：

• HIPAA（Health Information Portability and Accountability）は、保護対象の健康情報（PHI）を確保するための米国の標準です。Security Rule（セキュリティ・ルール）とPrivacy Rule（プライバシー・ルール）の各セクションでは、電子的な医療取引におけるアクセス手段とガイドラインを定めており、医療機関に対してセキュリティ侵害の報告を求めています。
• PCI DSS（Payment Card Industry Data Security Standard）は、カード会員データを保護するために設計されています。多要素認証（MFA）やデータ暗号化に関する要件が含まれており、対象となる組織には、セキュリティ改善のためにペネトレーションテストを実施することが求められます。
• FERPA（Family Educational Rights and Privacy Act）は、個人を特定できる情報（PII）を含む学生データのプライバシーとセキュリティを扱います。FERPA の要件では、データの暗号化、利用、再開示（re-disclosure）、および破棄（destruction）などのトピックが対象となります。
• GDPR（General Data Protection Regulation：一般データ保護規則）は、EU居住者の情報を保存または処理する組織であれば、どの場所にある組織にも適用される欧州連合の標準です。その規定は、データの保存、利用、保管期間、アクセスなどに関する事項を扱います。 
• SOX（Sarbanes-Oxley Act of 2002）は、すべての米国の上場企業に対して不正な会計および金融活動のリスクを軽減することを求めることで、企業の不正行為から国民を守るのに役立ちます。とりわけSOXでは、データの完全性、監査、アクセス制御、変更管理に関する義務が詳細に定められています。 
• FISMA（Federal Information Security Management Act）では、米国の連邦政府機関に対し、セキュリティ計画を作成し、実施し、遵守することで資産と情報を保護することを求めています。この計画は毎年見直される必要があります。さらに、この法律では対象となる機関に対し、FISMAに準拠したデータセンター（クラウド事業者を含む）のみを利用することを義務付けています。
• ISO 27017は ISO 27000 の一部門であり、クラウドサービスの提供および利用に適用可能な情報セキュリティ管理策に関するガイドラインを示しています。共有される役割と責任、仮想マシンのハードニング、物理ネットワークと仮想ネットワークに対するセキュリティ管理の整合（アラインメント）などのトピックを扱います。

法律に加えて、組織はサイバーセキュリティの統制（コントロール）フレームワークを採用しなければならない（または採用を選択する）場合があります。とりわけ CCM（Cloud Controls Matrix）は、アプリケーションおよびインターフェースのセキュリティ、監査と保証、変更管理と構成管理、脅威と脆弱性管理など、17の領域にわたるクラウド技術の重要な側面を網羅しています。

組織は複数の法律の対象になる可能性がありますが、その多くは同じ中核となるベストプラクティスに根ざしています。したがって、クラウドのハードニングのような同じセキュリティ対策（コントロール）を適用することで、さまざまな規制要件を一度に満たすことができます。

最も重要なパブリッククラウドのセキュリティ脅威

サイバーセキュリティの専門家が最も懸念している クラウドのセキュリティ脅威 は、2022 年の調査 によると、次のとおりです:

• クラウドプラットフォームの設定ミス（62%）
• データの流出（51%）
• 不安全な API およびその他のインターフェイス (52%)
• 不正なアクセス (50%)
• サービス、アカウント、またはトラフィックのハイジャック (44%)
• 外部とのデータ共有 (39%)
• 外国の国家支援によるサイバー攻撃 (37%)

さまざまなクラウドモデルにおけるハーデニング

クラウドのハーデニングは常に推奨されます。しかし、これを実施するうえでの責任分担は、組織とクラウドサービス提供者（CSP）の間でどのように分かれるかは、クラウドモデルによって異なります。IaaS、PaaS、またはSaaSです。

Infrastructure as a Service（IaaS）

IaaS は、CSP から、たとえば Azure や EC2 上の仮想マシン、または AWS 上の EBS などの基本的なインフラストラクチャ コンポーネントをレンタルすることです。IaaS では、クラウドのハーデニングは主に利用者側で行います。CSP は物理的なセキュリティやファームウェアの更新を担当しますが、提供される仮想コンポーネントの構成については、あなたが責任を負います。特に、次の事項について責任があります：

• Identity と データガバナンス（ユーザーのアクセス管理と変更管理を含む）
• オペレーティングシステムを設定し、強化する
• データの暗号化
• アプリケーション レベルの設定
• ネットワークレベルおよび個々のコンポーネントレベルの両方でのネットワークアクセス制御
• セキュリティテスト
• 監査とログ記録

PaaS（Platform as a Service）

PaaSモデルでは、組織がプラットフォームと実行リソースを制御して、アプリケーションの開発、テスト、デプロイを行います。例として、Red Hat OpenShift、AWS Elastic Beanstalk、Google App Engine などがあります。

このクラウド運用モデルでは、OS、ミドルウェア、ランタイム環境はCSPが管理しているため、それらの強化（ハードニング）はCSPの責任です。ただし、組織には引き続き次の責任があります。

• ユーザーのアクセス管理や変更管理（チェンジ・コントロール）を含む、アイデンティティおよびデータのガバナンス
• クライアントおよびエンドポイント保護
• ネットワークレベルでのネットワーク制御
• アプリケーションレベルの設定
• セキュリティテスト
• 監査とログ記録

SaaS（Software as a Service）

Microsoft 365 や Salesforce を含む SaaS モデルでは、すべてのコンポーネントが CSP によって管理され、その結果、責任はさらに CSP 側に移ります。とはいえ、組織の責任は決して小さくありません。そこには次の設定が含まれます：

• ユーザーアカウントおよびアクセス管理ルール
• アプリケーションレベルの設定
• ログ記録と監査

クラウドのデプロイモデル

選択する クラウドのデプロイモデル — プライベート、パブリック、またはハイブリッド — は、クラウドのセキュリティ計画にも影響します。

プライベートクラウド

プライベートクラウドは単一の組織にサービスを提供し、サービスはプライベートネットワーク上で維持管理されます。その結果、組織はインフラストラクチャに対して完全なコントロールを持ちます。このデプロイモデルは、広範な柔軟性とカスタマイズの機会を提供しますが、運用・保守にはより多くのリソースと専門知識が必要です。

あなたが所有者であるため、以下についてはすべての責任を負います：

• ハードウェアとソフトウェアの導入および保守
• インフラの物理的セキュリティを確保する
• 脅威や攻撃から防御するための適切なセキュリティ対策を実施する

パブリッククラウド

パブリッククラウドのモデルでは、CSP がサポートするインフラストラクチャとソフトウェアのすべてを所有・運用し、サービスはインターネット経由で提供されます。パブリッククラウドはマルチテナント環境として運用されるため、一般的にプライベートクラウドよりもコストが低く、スケーラビリティにも優れています。とはいえ、組織はインフラストラクチャに対するコントロールがより制限され、提供事業者が実装したセキュリティ対策に依存することになります。

そのため、CSP のセキュリティに関する取り組み（コミットメント）と規制上のコンプライアンスが、あなたのセキュリティおよびコンプライアンスのニーズに一致していることを確認する必要があります。とりわけ、次の点はあなた（利用者）の責任です。

• 提供者のセキュリティに関する取り組み（コミットメント）を徹底的に調査する
• CSP の監査および規制上のコンプライアンスを読み、理解する
• 責任分界（分担）を明確に理解する。

ハイブリッドクラウド

ハイブリッド クラウドは、パブリック クラウドとプライベート クラウドの組み合わせです。もちろん、そのためセキュリティ確保が最も複雑になる可能性があります。特に、各タイプのクラウドに対するセキュリティ上の懸念を管理することに加え、すべてのクラウドにわたって一貫したセキュリティ ポリシーが適用されるようにし、さらにあるクラウドでセキュリティ態勢（security posture）に変更があった場合、その変更が他のクラウドにも複製されるようにする必要があります。たとえば、プライベート クラウドで使用しているイメージにセキュリティ変更が加えられた場合、その変更はパブリック クラウドにも同様に反映（配布）されるのでしょうか？

クラウド加固の推奨事項

CIS ベンチマークを使用する

組織が安全な設定を確立できるように、Center of Internet Security (CIS) は CIS benchmarksを提供しています。これらのセキュリティ設定ガイドは、オペレーティング システム、 ネットワーク デバイス、サーバー、デスクトップ ソフトウェア——そしてクラウド プロバイダーまで、幅広い技術を対象としています。CIS benchmarks を導入することで、デジタル資産における設定に起因するセキュリティ脆弱性を減らせます。

始めるのに最適なのは、CIS のハードニング（hardening）ガイドラインを使って組織のサーバー イメージを強化するか、AWS、Azure、または Google Cloud のマーケットプレイスから CIS で強化されたイメージを購入することです。次に、ウイルス対策、変更検知、その他のセキュリティ ソリューションを、強化済みのイメージに統合します。

セキュリティのベストプラクティスを実装する

脅威に対してクラウド環境をさらに強化するには、次の実践を導入してください。

• 最小権限 — 各サーバーに、意図された機能を実行するために必要な最小限の権限と特権のみを付与します。これにより、悪意ある攻撃者や偶発的なエラーによって引き起こされ得る被害を抑えることができます。
• 最小限のアクセス — ネットワークからクラウドサーバーへのアクセスを制限し、各インスタンスには必要なオペレーティングシステムの構成要素とアプリケーションのみをインストールします。これにより、悪意ある攻撃者が機密情報へアクセスすることがより困難になります。
• 構成管理と変更管理 — 基準となるサーバー構成を作成し、その基準からのすべての逸脱を追跡します。
• ログ監査 — すべてのアクセス試行とすべての変更に関するログデータを生成し、確実に安全な方法で保存するように、各資産を設定してください。
• コンプライアンス監査とレポーティング — 適切なセキュリティ対策を実装し、監査人にコンプライアンス遵守の証拠を提示できるようにしてください。
• 脆弱性管理— クラウド環境に対して脆弱性を定期的に評価し、セキュリティパッチやアップデートを速やかに適用してください。
• ネットワーク分割 — クラウド環境をより小さく、相互に隔離されたセグメントに分けて、セキュリティインシデントの潜在的な影響を抑えます。
• 暗号化 — 保存データおよび転送中データを暗号化して、不正アクセスから保護します。

結論

クラウドサービスのメリットは、コスト削減、スケーラビリティの容易さ、強力な機能など、非常に大きいです。しかし、データとアプリケーションのセキュリティは引き続き確保する必要があります。上記の情報を活用することで、組織がクラウド環境をより適切に防御し、事業の成長につなげることができます。

よくある質問（FAQ）

1. クラウド基盤のセキュリティを強化するにはどうすればよいですか？

システムの構成や設定を適切にセキュリティ強化し、侵害されやすさを下げます。非必須のソフトウェアプログラムやユーティリティをすべて削除し、攻撃者がシステムに侵入する機会を減らしてください。

2. ネットワークのハードニング手法とは何ですか？

中核となるセキュリティのベストプラクティスには、最小アクセス（least access）、最小特権（least privilege）、構成管理（configuration management）、変更管理（change management）、監査およびログ記録（auditing & logging）が含まれます。

3. セキュリティにおけるホストのハードニングとは何ですか？

ホストのハードニングでは、ホストから必須でないコンポーネント、プログラム、アカウント、アプリケーション、サービス、ポート、権限およびアクセスを削除し、その脆弱性を低減します。ホストのハードニングには次のような内容も含まれます。

• 不要なネットワークサービスを無効化し、残すサービスには認証を強制します。
• ホストのファイアウォールをインストールして設定します。
• 必要なユーザーに、必要なときにだけアプリケーションを利用できるようにします。
• ユーザーがより低い権限で作業するようにし、より高い権限は必要に応じてのみ付与します。
• システムの弱点を定期的にテストし、それを是正します。
• 強力なパスワードの適用とパスワードの定期ローテーションを行います。
• 定期的なセキュリティ更新とアップグレードを自動化します。

4. クラウドのハードニングにはどのようなメリットがありますか？

クラウドのハードニングには、次のようなさまざまなメリットがあります：

• クラウド基盤の攻撃対象領域（アタックサーフェス）を削減する
• 組織全体のセキュリティ体制を強化する
• 規制や標準への準拠を確実にするために役立ちます
• データ漏えい および不正アクセスのリスクを最小化します
• セキュリティインシデントのコストや、潜在的なコンプライアンス違反の罰金を削減します
• クラウドベースのシステムの効率とパフォーマンスを向上させます

5. クラウドのハードニングはどれくらいの頻度で実施すべきですか？

クラウドのハードニングは、継続的なセキュリティおよびコンプライアンスのプログラムの一環として、定期的に実施する必要があります。クラウド基盤が安全な状態を維持できるように、セキュリティ設定と運用方法を定期的に見直し、更新することが重要です。