ニュース一覧

クラウドセキュリティ ゼロトラストセキュリティ基本対策（Vol.2）

前回は、クラウド環境において境界防御型のセキュリティではサイバー攻撃の種類(脅威)に対抗できないため、必要になってきているゼロトラストセキュリティの概念についてお話しました。 今回は対象のシステムがサイバー攻撃の脅威にさらされているゼロトラスト環境において、セキュリティ保全を考えて対象システムを防御するために必要な3つの基本的考え方について、本ページで概要をご紹介します。 （詳細の仕組みに興味を持った方は、様々なセキュリティ製品での実装形態に照らし合わせて、さらに知識を拡げてみてください。） サイバー・ハイジーン サイバーセキュリティの脅威の多くは、システムの入り口（エンドポイント）から侵入したウィルスといわれるソフトウェアが引き起こします。そのためこのような脅威への対策として、エンドポイントで稼働しているOS/ミドルウェアなどのソフトウェアに脆弱性がないよう、事前のパッチ適用やバージョンアップを迅速で継続的に実施することで最新の状態を維持し、既知の攻撃に対する脆弱性をなくすことが重要です。 これはあたかも流行する病気のウィルスに感染しないように手洗いやマスク着用をすることに例えられるため、サイバー・ハイジーン（衛生状態を保つ）という用語で説明されています。ITシステムの各構成要素において、パッチ適用やSWのバージョンアップをタイムリーに行い、”衛生状態を保つ”ような運用保守を実施することが重要です。 広く解釈すると感染の入り口になるエンドポイントには、システムのユーザー（人間）自身が含まれると考えることができます。システムユーザーが騙されて新たな脅威を引き起こさないためにもユーザーへのセキュリティ教育の徹底（セキュリティリテラシー教育）することも、サイバー・ハイジ―ンの一環と考えることができます。 動的ポリシー ゼロトラスト環境におけるセキュリティを考える際に従来と異なるのは、一度安全な環境を構築しそれを守るという考え方ではなく、常に信頼できる状態を維持するためにシステムを左図のようなモデルとして捉えた上で、下記の3つを仕組みが回るように環境を整備する必要があります。 活動主体（サブジェクト）の信頼を毎回検証し、状態を確認 通信（トランザクション）を行うごとにポリシーに基づき、信用度レベルを評価 アクセス対象（オブジェクト）の信頼性を確認し、アクセス毎にポリシーに基づきアクセスの正当性を検証 例えば、ID・パスワードが合致して正当な活動主体（サブジェクト）であったとしてもそのユーザーがなりすましされている可能性があります。「いつもと異なるデバイスからアクセスしている」「様々な異なる地域からアクセスしている」このような検証結果により不審なことが起こっている場合には、信用度レベルを下げてさらなる検証を行うといったポリシーに基づく防衛ができるようになります。 パスワードレス ゼロトラスト環境での“認証基盤”についての要件を整理しましょう。 活動主体（サブジェクト）が誰かを確認 識別：Identification そのサブジェクトが本人であることを、何らかの方式で検証 認証：Authentication そのサブジェクトの属性によって、アクセスできるデータ（オブジェクト）の範囲を権限管理 認可：Authorization 　これらを正確にかつユーザーの負担を軽減して行うために様々な安全な認証方法が考えられ、組み合わされて活用(多要素認証）されるようになっています。(下図参照） 一方で、認証の安全性確保が複雑化し、正規のユーザーにとってセキュリティ機能が”厄介なもの”になっているという側面もあり、安全性の確保とユーザー利便性の両立を確保することが重要になっています。IDやパスワード（認証資格情報：クレデンシャル）をネットワーク通して送ると盗聴されるリスクがあることから、FEDO2が考案されています。これは機器の登録情報を保持し、ユーザーからシステムへの認証要求を受け一時的なキーを振りだす方式であり、クレデンシャルの送付を避けることとユーザーが複雑なパスワードを管理する負荷の軽減を両立させる手段として考案され、広がってきています。 このようなセキュリティの安全性と利便性の両立を享受するプロセスを、Security Orhestration(複数ツールの連携統合）、Automaton（インシデント対応や脅威分析の自動化)、Response(自動対応・自動応答）の頭文字を取って、SOAR技術として、ITセキュリティ業界のトレンドになっています。 2回にわたって、クラウドにおけるセキュリティ技術の概要を解説してきました。各企業が現在保持するITインフラは過去から積み上げてきた技術実装の集積であり、すべてをいきなり新しい技術でリプレースするというのは困難を伴いますが、今回説明してきたような概念を意識して新しい技術を積み上げていくことで、新しいセキュリティ体系にスムーズに移行していくことが可能になります。 セキュリティコラム第１弾

クラウドセキュリティ ～クラウド時代のセキュリティ変遷（Vol.1）～

昨今クラウドコンピューティングが広がり計算機リソースの利用においても、電気やガスのように従量制でいつでも使える時代になってきました。その結果、従来個社で所有していたIT資源と混在し、システム構成が複雑化しています。また、AI技術によるビッグデータ活用においてITで扱われるデータの信頼性も考慮すべき時代になりました。 従来のセキュリティは、ファイヤーウォールを用いて内側と外側に分け、内側の安全性を確保するための境界防衛型セキュリティ技術が、体系化され、使われてきました。 しかし、クラウドサービスの拡大により守るべき対象が内側にも外側にもあること（ネットワークがゼロトラスト）、さらに、悪意ある攻撃やなりすましなどによる情報漏洩などが拡大しており、ネットワークへの入り口や境目が脅威にさらされ（エンドポイントがゼロトラスト）、単純な境界防御方式では安全が確保できない状況が当たり前になっています。 このように、ネットワークもエンドポイントも信用しづらい状況下で通用するセキュリティを考えていく必要があり、クラウド活用時代において早期のゼロトラスト・セキュリティ確立が急がれています。 セキュリティの区分と脅威 システムのセキュリティを考えるとき、以下の3つの区分で考えていくことで、網羅的にセキュリティ脅威への対策を整理することができます。 物理セキュリティ施設や設備の保護を目的とし、人の不正侵入や盗難、災害から守るための物理的な対策を講じること例：監視カメラ、施錠など物理アクセス制御など 情報セキュリティ情報、データの機密性、完全性、可用性を保護するための対策を講じること例：暗号化、VPN,バックアップ、情報アクセス権管理。 サイバー・セキュリティ(NW＆ｴﾝﾄﾞﾎﾟｲﾝﾄ・セキュリティ)ネットワークやシステムをサイバー攻撃から守るための対策を講じること例：ファイアウォール、侵入検知システム、ウイルス対策 上記3つの基本切り口に加えて、以下の視点でのセキュリティ保全環境を強化することで、適用業務や人間系も含んだ全体システム系としてのセキュリティ施策を考慮し、より安全性の高いIT環境設計ができます。　　　 アプリケーション・セキュリティ 認証と権限管理（誰が利用可能かをチェック） コンプライアンス 事故対応 セキュリティリテラシー教育 本稿では、これらの中で、クラウド環境と最も密に関係するサイバー・セキュリティ(NW＆ｴﾝﾄﾞﾎﾟｲﾝﾄ・セキュリティ)について、掘り下げていきます。 出典：「ITビジネス・プレゼンテーションライブラリー/LiBRA」by　ネットコマース株式会社サービス斎藤昌義 サイバー攻撃の種類 サイバーセキュリティを考えるにあたり、最近では安全な範囲を定義してその範囲内を守るという境界防御の概念が破綻しており、広く第三者による悪意ある攻撃が起こる可能性があることを前提に考える必要があります。一般的なサイバー攻撃の種類（脅威）を確認していきましょう。 マルウェア悪意のあるソフトウェアで、意図せずシステムに侵入して、システム破壊や情報盗難をおこないます ランサムウェアデータを暗号化し、解除のための身代金要求を行う」攻撃 フィッシング詐欺偽装メールやSMSでユーザーに個人情報や認証情報を入力させて盗む 標的攻撃特定組織や個人を標的として狙うカストマイズされた攻撃 DoS/DDoS攻撃サーバーに大量のリクエストお送り、そのサーバーをパンクさせてサービス停止をさせる攻撃 ゼロデイ攻撃ソフトウェアの未知の脆弱性を狙って仕掛ける攻撃で、防御がで きていないため被害が大きい SQLインジェクションデータベースに不正な検索要求を送り、データを盗み取る 最近のAIシステムへの攻撃としては上記に加え、学習データに不正なものを送り込んで誤動作を誘発させる“ポイズニング攻撃”、AIに不正指示をして意図しない動作を引き起こす“プロンプト・インジェクション”など新種の攻撃が増え続けています。そのため未知の攻撃にも耐性のある防御の仕組みづくりがゼロトラスト環境には求められます。 ゼロトラストセキュリティ 昨今、複雑化したシステム構成においてセキュリティ系全体の保全を考えるにあたり、サイバー・セキュリティの比重が増してきており、様々な悪意のある攻撃に対する対応策として、ゼロトラストセキュリティの考え方が企業における脅威に向き合う基本姿勢になってきました。　経営者も、セキュリティ担当技術者に任せきりにするのではなく、その新しい概念を網羅的に把握し、リーダーシップを発揮してサイバー・セキュリティ強化へ舵を切る必要があります。 次回は、ゼロトラストセキュリティ基本対策について詳しく見ていこうと思います。