個人情報のうっかり流出を防ぐには
Amazon S3の悪用ツールに学ぶ個人情報漏えい対策
Amazon S3の設定ミスを悪用するツールの存在や、企業がAmazon S3のセキュリティ対策を固めて不注意による情報流出を防ぐために何をすべきかを検証する。
クラウドサービスは、この方向に進む専用の（プロプライエタリな）データが増えるに従い、セキュリティ専門家と犯罪集団の両方が注目し始めている。企業の管理者からすれば、クラウドベースサービスの設定は社内システムと同じくらい複雑なことだ。ユーザーのうっかりミスで、個人情報をインターネットで不特定多数の目にさらしかねない。過去にWindows XPやOracleのシステムを悪用するツールが開発されてきたのと同様、クラウドサービスの設定ミスを悪用するためのツールも開発されている。リソースをクラウドベースのインフラに移行する企業は、こうしたツールを研究し、自社の設定の安全確認のために利用する必要がある。
本稿では1つのツールを取り上げ、それがAmazon S3の設定ミス悪用のためにどう使われるか、そして企業がAmazon S3のセキュリティ対策を固めて不注意による情報流出を防ぐために何をすべきかについて検証する。
Amazon Simple Storage Service（S3）は恐らく現在あるクラウドサービスの中でも有数の人気サービスであり、大手のWebサイトや企業、政府機関、さらには個人も利用している。人気の理由は、既存のアプリケーションと簡単に連係できること、標準的なWeb（HTTP）コールを通じてストレージが提供されていることにある。例えばWebサイトでは簡単にAmazon S3のストレージを参照して画像やコードを引き出すことが可能で、帯域幅やストレージのコストを削減できる。各Amazon S3のインスタンスはバケツと呼ばれる。それぞれのバケツは用途に応じて公開か非公開かを設定できるオプションがある。顧客はまた、それぞれが全世界のS3バケツの中で固有のアカウント名を持つことを求められる。これにより、顧客は「http://s3.amazonaws.com/accountname」のようなカスタムURLが付いた個別のバケツに容易にアクセスできる。
DijiNinjaと名乗るセキュリティ研究者は、Amazon S3のストレージがどう機能するかについて考えていたとき、ふと思い当った。もしそれぞれのURLが固有のアカウント名でカスタマイズされているのなら、既存のブルートフォース技術を使ってAmazon S3のバケツを列挙すれば、恐らくはファイルにアクセスできるのではないか。同氏はこの理論を検証するため、標準的な単語リストを使ってAmazon S3のAPIに総当たりを試みるツール（http://www.digininja.org/projects/bucket_finder.php）を開発した。同ツールでは、Amazon S3のストレージバケツの公開／非公開を適切に設定しているかどうかもチェックできる。
単純な単語リストを使ってこのツールを実行した結果、Amazon S3の不備と顧客による適切な設定の重要性の両方が浮き彫りになった。同ツールは「http://s3.amazonaws.com/wordlist」というフォーマットでバケツのURLに対して連続的なアクセスを試み、単語リストを総当たりした。使ったのはわずか2700語の単語リストだったにもかかわらず、スキャンの結果、公開、非公開を含めてAmazonのバケツの中にある約1万5000のファイルの存在が明らかになった。
最も驚くべきこととして、バケツの中にあって非公開の印が付いたファイルでも、アクセスはできないまでも名称の一覧が表示された。非公開バケツの中にある自分のファイルの名称が、Webブラウザを使っていてバケツの適切なURLを知っている相手なら誰にでも見えてしまうことを、顧客は認識していない可能性がある。このサービスの利用者は少なくとも、公に見られてもバケツの中身を分かりにくくするために、一般的な名称の利用を検討する必要がある。
われわれが行った実験では、もう1つ驚くべき結果が出た。公にアクセスできてしまうバケツが大量にあったのだ。顧客はストレージプロパティについてアクセスの公開／非公開の適切な設定を行っておらず、個人情報をうっかりインターネットにさらしている可能性がある。Amazon S3のストレージバケツには大量の写真が保存されており、その多くは例えば子どもや休暇、記念日といった個人的な性質のものだった。さらに、顧客の請求書や社会保障番号など、恐らく公開する意図はないはずの個人情報を含んだ文書もあった。Amazon S3の顧客は不注意による重要情報流出のリスクを避けるため、コントロールを作成してストレージバケツのパーミッション設定を監視する必要がある。
これはまだ、クラウドサービスの潜在的な設定ミスと脆弱性を洗い出すために作られた初期世代ツールのほんの一例にすぎない。クラウドサービスのセキュリティを突く攻撃の嵐の前触れとなる、1滴の雨の滴でしかないのだ。Amazon S3のようなクラウドプラットフォームでホスティングされるデータが増えるほど、攻撃者はこうしたツールを使って標的を見定め、機会をうかがうようになる。クラウドサービスの適切な設定とモニタリングのためのポリシーや手順を策定するセキュリティ専門家が、こうした日和見攻撃への対策を強化できれば、企業はクラウドサービスの機能をフル活用できるようになるだろう。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
事例
[株式会社マクニカ] アイカ工業に学ぶ脆弱性対策 情シスが把握できずにいたアセットも正確に把握 -
製品資料
[株式会社マクニカ] 「脆弱性総まとめ」解説 被害事例から考える必須の対策ポイント -
製品資料
[Splunk Services Japan合同会社] サイバー脅威「トップ50」完全解説ガイド、新たな攻撃手法に対抗するには -
製品資料
[株式会社うるる] 「入札市場」完全ガイドブック：メリットから資格取得のポイントまで -
市場調査・トレンド
[株式会社うるる] はじめての「自治体／官公庁入札」 必要な知識がすぐに学べる入門ガイド
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
100億円の「Linux更新」を回避 みずほ銀行が選んだ“おきて破り”のRHEL延命策
-
2
Oracle巨大ITプロジェクトはなぜつまずいたのか 8年で導入1割、追加で170億ドル
-
3
Microsoft製品でここまで自動化できる 情シスがやめられる手作業10選
-
4
AI基盤は本当に「オンプレ回帰」する？ Broadcomの言い分と企業の本音
-
5
オフコンからの脱却 小川建設が自社開発システムを捨てパッケージERPを選んだ訳
-
6
ISMSの“コンサル丸投げ”が招く数千万円の無駄 NTTドコモビジネスの脱出劇
-
7
「Microsoft 365」が乗っ取られる 跡形もなくMFAを破る手口
-
8
Netflixのバックエンドは「ほぼJava」 3000超のアプリを支える開発基盤の裏側
-
9
「技術屋」で終わらないために 情シスが今取るべき認定資格5選
-
10
「有線LAN環境」に関するアンケート
ホワイトペーパーランキング PR
-
1
AIエージェントで多様な日常業務を効率化するための入門ガイド
-
2
AIが「わざわざ使うツール」になっていない？ 業務で自然に使う導線にする秘訣
-
3
5回聞くだけじゃ足りない？ トヨタ式「なぜなぜ分析」の正しい実践方法
-
4
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
5
「脱Excel」か「Excel快適化」か？ 現場にやさしい業務改善の進め方
-
6
インシデント対応工数を約3割削減、東京ガスの事例に学ぶ監視体制刷新のコツ
-
7
PostgreSQLの「機能」「性能」「運用」「拡張性」に関する悩みの解消法
-
8
5分で分かる「セキュア大容量ファイル転送サービス」の機能とメリット
-
9
Macの安全神話は崩壊？ 最新の脅威動向から見えた攻撃のトレンドと有効な対策
-
10
情報セキュリティ対策早分かりガイド：25の自社診断で弱点と解決策を理解
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー