この調査結果をまとめた2014年版の報告書「Cloud Security Report」が先ごろ公開された。この報告書からは、2013年4月1日から9月30日にかけて、クラウド環境に対する攻撃が量と種類の両方で急増していることが読み取れる。攻撃の多様性に関しては、上記期間にオンプレミス環境を狙った攻撃は平均2.5種類で2012年と変わらなかったのに対し、クラウド環境を狙った攻撃は2012年の平均1.8種類から、2013年には平均2.3種類に増加している。

　例えば、脆弱性スキャンを受けたクラウド事業者の割合は2013年の調査報告では29％だったが、2014年版では40％以上に増え、オンプレミス環境での割合をわずかに上回っている。Alert Logicの脅威調査担当ディレクター、スティーブン・コティ氏によれば、「クラウド環境を狙った脆弱性スキャンの急増は、クラウドに保存される機密情報が増加傾向にあることを攻撃者が認識している表れだ」という。

　さらに報告書によれば、攻撃者はクラウド環境へのログイン関連の脆弱性を利用すべく、ブルートフォースアタックへの依存も強めているようだ。ブルートフォースアタックを仕掛けられたクラウド事業者の割合は、2012年の35％から2013年には44％に増加している。オンプレミス環境では、半数弱の顧客がブルートフォースアタックの試みを検出している。またクラウド環境では、マルウェアの活動も2012年の調査時から2倍に増加し、2014年版では10％以上がマルウェア攻撃を経験している。

　Alert Logicがハニーポットから収集したマルウェアサンプルからも、さまざまな差異が読み取れる。マルウェア攻撃の標的となった件数は、米国に設置されたハニーポットと比べて、欧州のハニーポットは4倍、アジアのハニーポットは2倍多くなっている。コティ氏によれば、「マルウェア作成コミュニティーやサイバー犯罪組織の多くは東欧に拠点があり、攻撃者は拠点の近くでマルウェアをテストしたがる傾向にある」という。

　さらにハニーポットから収集されたマルウェアサンプルには、地域によって、量だけでなく種類にもばらつきがみられた。

　「攻撃の種類で見ると、欧州のハニーポットでは、Microsoft-DS（Microsoft Directory Service）に対する攻撃を除き、全ての種類の攻撃が同じ割合で確認された。これは、攻撃者がさまざまな種類のマルウェアを試そうとしていることの表れだ。だが、アジアではConfickerによる攻撃が目立ち、Confickerの亜種が上位10位を占めた。アジアのハニーポットは、私がこれまでに確認したConfickerの全ての亜種から攻撃を受けているが、米国と欧州のハニーポットを攻撃したのは一部の亜種だけとなっている」（コティ氏）

セキュリティ戦略をクラウドにも

　興味深いことに、ハニーポットに記録されたマルウェアのうち、アンチウイルスソフトが検出したのは約86％だった。コティ氏によれば、「検出されなかったマルウェアの大半は、ZeusやConfickerといった古いマルウェアの亜種を転用したものだ」という。

　「ZeusとConfickerにはまだ高い実効性がある。セキュリティ対策としてファイアウォールとアンチウイルスしか持たない環境にこうしたマルウェアを拡散させる方法さえ見つければ、認証情報を入手できるだけでなく、攻撃も容易に仕掛けられる。わざわざ一から作る理由などあるだろうか」と、同氏は語る。

　また、コティ氏によれば、クラウド攻撃に転用版のマルウェア亜種が使われることに関しては、特に目新しい要素はないという。従来のエンタープライズ環境はそうしたマルウェア攻撃に何年も前から取り組んでいるからだ。ブルートフォースアタックと脆弱性スキャンも、これまでオンプレミスデータセンターを標的としてきた。つまり、クラウドに移行しようという企業には、これまでとほぼ同様のセキュリティ問題への対応が求められるということだ。

　「アンチウイルスソフトについては、もう使い物にならないとの指摘もあるが、今でも役に立つ。アンチウイルスは企業が社内環境で採用している多重防御セキュリティ戦略の一部であり、企業はクラウド環境でもこうした戦略を引き継ぐ必要がある」と、コティ氏は指摘する。

　「たとえ攻撃が増加しているとしても、企業はクラウドへの資産の移行を思いとどまるべきではない」と、同氏は続ける。全体ではまだオンプレミス環境の方がより多くの攻撃を受けており、クラウド環境がセキュリティ面で劣るということはまだ確実な方法では立証されていないからだ。

　代わりに、同氏は企業ユーザーに対し、クラウド環境に移行する際にはセキュリティ上の義務についてしっかり理解するようアドバイスする。そのためには、クラウドサービス事業者と率直な話し合いを持つ必要がある。

　「例えば、基本のサービスについてはサービス事業者に100％の責任がある。ネットワーク要素の大半についても同様だ。だがアプリケーション層は100％ユーザーの責任だ。パッチ更新の設定、アクセス管理、ログの検査などは全て、ユーザーの責任だ」と、コティ氏は語る。「こうした要素はサービス事業者がユーザーに代わって対処するものと考えている向きも多い。だが、実際は違う。サービス事業者の責任範囲を正しく理解することが極めて重要だ」（同氏）