個人情報のうっかり流出を防ぐには
Amazon S3の悪用ツールに学ぶ個人情報漏えい対策
Amazon S3の設定ミスを悪用するツールの存在や、企業がAmazon S3のセキュリティ対策を固めて不注意による情報流出を防ぐために何をすべきかを検証する。
クラウドサービスは、この方向に進む専用の（プロプライエタリな）データが増えるに従い、セキュリティ専門家と犯罪集団の両方が注目し始めている。企業の管理者からすれば、クラウドベースサービスの設定は社内システムと同じくらい複雑なことだ。ユーザーのうっかりミスで、個人情報をインターネットで不特定多数の目にさらしかねない。過去にWindows XPやOracleのシステムを悪用するツールが開発されてきたのと同様、クラウドサービスの設定ミスを悪用するためのツールも開発されている。リソースをクラウドベースのインフラに移行する企業は、こうしたツールを研究し、自社の設定の安全確認のために利用する必要がある。
本稿では1つのツールを取り上げ、それがAmazon S3の設定ミス悪用のためにどう使われるか、そして企業がAmazon S3のセキュリティ対策を固めて不注意による情報流出を防ぐために何をすべきかについて検証する。
Amazon Simple Storage Service（S3）は恐らく現在あるクラウドサービスの中でも有数の人気サービスであり、大手のWebサイトや企業、政府機関、さらには個人も利用している。人気の理由は、既存のアプリケーションと簡単に連係できること、標準的なWeb（HTTP）コールを通じてストレージが提供されていることにある。例えばWebサイトでは簡単にAmazon S3のストレージを参照して画像やコードを引き出すことが可能で、帯域幅やストレージのコストを削減できる。各Amazon S3のインスタンスはバケツと呼ばれる。それぞれのバケツは用途に応じて公開か非公開かを設定できるオプションがある。顧客はまた、それぞれが全世界のS3バケツの中で固有のアカウント名を持つことを求められる。これにより、顧客は「http://s3.amazonaws.com/accountname」のようなカスタムURLが付いた個別のバケツに容易にアクセスできる。
DijiNinjaと名乗るセキュリティ研究者は、Amazon S3のストレージがどう機能するかについて考えていたとき、ふと思い当った。もしそれぞれのURLが固有のアカウント名でカスタマイズされているのなら、既存のブルートフォース技術を使ってAmazon S3のバケツを列挙すれば、恐らくはファイルにアクセスできるのではないか。同氏はこの理論を検証するため、標準的な単語リストを使ってAmazon S3のAPIに総当たりを試みるツール（http://www.digininja.org/projects/bucket_finder.php）を開発した。同ツールでは、Amazon S3のストレージバケツの公開／非公開を適切に設定しているかどうかもチェックできる。
単純な単語リストを使ってこのツールを実行した結果、Amazon S3の不備と顧客による適切な設定の重要性の両方が浮き彫りになった。同ツールは「http://s3.amazonaws.com/wordlist」というフォーマットでバケツのURLに対して連続的なアクセスを試み、単語リストを総当たりした。使ったのはわずか2700語の単語リストだったにもかかわらず、スキャンの結果、公開、非公開を含めてAmazonのバケツの中にある約1万5000のファイルの存在が明らかになった。
最も驚くべきこととして、バケツの中にあって非公開の印が付いたファイルでも、アクセスはできないまでも名称の一覧が表示された。非公開バケツの中にある自分のファイルの名称が、Webブラウザを使っていてバケツの適切なURLを知っている相手なら誰にでも見えてしまうことを、顧客は認識していない可能性がある。このサービスの利用者は少なくとも、公に見られてもバケツの中身を分かりにくくするために、一般的な名称の利用を検討する必要がある。
われわれが行った実験では、もう1つ驚くべき結果が出た。公にアクセスできてしまうバケツが大量にあったのだ。顧客はストレージプロパティについてアクセスの公開／非公開の適切な設定を行っておらず、個人情報をうっかりインターネットにさらしている可能性がある。Amazon S3のストレージバケツには大量の写真が保存されており、その多くは例えば子どもや休暇、記念日といった個人的な性質のものだった。さらに、顧客の請求書や社会保障番号など、恐らく公開する意図はないはずの個人情報を含んだ文書もあった。Amazon S3の顧客は不注意による重要情報流出のリスクを避けるため、コントロールを作成してストレージバケツのパーミッション設定を監視する必要がある。
これはまだ、クラウドサービスの潜在的な設定ミスと脆弱性を洗い出すために作られた初期世代ツールのほんの一例にすぎない。クラウドサービスのセキュリティを突く攻撃の嵐の前触れとなる、1滴の雨の滴でしかないのだ。Amazon S3のようなクラウドプラットフォームでホスティングされるデータが増えるほど、攻撃者はこうしたツールを使って標的を見定め、機会をうかがうようになる。クラウドサービスの適切な設定とモニタリングのためのポリシーや手順を策定するセキュリティ専門家が、こうした日和見攻撃への対策を強化できれば、企業はクラウドサービスの機能をフル活用できるようになるだろう。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社うるる] 「入札市場」攻略ガイド：効率的に落札するためのポイントを徹底解説 -
製品資料
[株式会社うるる] 入札情報に特化した「販路拡大」「効率化」のためのサポートツールとは？ -
市場調査・トレンド
[株式会社うるる] 公共入札に成功する企業と失敗する企業の「5つの違い」 -
製品資料
[日本ビジネスシステムズ株式会社] 専門家が教える、Microsoft 365の「テナント統合／分離」を成功に導く秘訣 -
製品資料
[rakumo株式会社] Microsoft 365での情報埋没を防ぐ、社内ナレッジを資産化する情報ポータル活用
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
半数がブルーカラー転向を視野に？ ベテランエンジニアを追い込む“54歳の壁”
-
2
PHP脆弱性「PHP2Shell」で2260万件に影響 情シスの緊急チェックリスト
-
3
「Microsoft 365」が乗っ取られる MFAを破る“本物の画面”の恐怖
-
4
「テザリング依存」に潜む落とし穴 “遅いVPN”を解消するネット構築術
-
5
AI導入が失敗する“真犯人”は現場のマニュアル 7割が陥る「標準化」のわな
-
6
「Wi-Fi 7」経由でWindowsが乗っ取られる？ 最高権限奪取の恐怖
-
7
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
8
「Windows」の不要なファイルを安全に消して容量を空ける方法
-
9
Claude利用8割のGMO、AI人材の評価軸が「トークン管理」に変わった
-
10
ライオンが脱レガシーシステムのパートナーに「Google Cloud」を採用した理由
ホワイトペーパーランキング PR
-
1
AI駆動攻撃にどう対抗する？ 超速の攻撃からエンドポイントを保護する方法
-
2
2026年のサイバーセキュリティには何が必要か？ 最新データに学ぶ傾向と対策
-
3
経験豊富な即戦力人材に直接アプローチできる、「攻めの採用」への転換術
-
4
「IT史に名を残すシステム障害」8選
-
5
最速72分でデータが流出？ 最新の脅威トレンドや侵入手法から分かった防衛策
-
6
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
7
Microsoft 365のメールセキュリティ、3つの“死角”と追加で検討すべき対策とは
-
8
AI駆動開発のスピードと安全性を両立 「品質・セキュリティ管理」の実践ガイド
-
9
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
-
10
「標的型攻撃メール」事例・サンプル集
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー