2018年02月15日 08時00分 公開
特集/連載

オンプレミスとクラウドで何が違う?Webサイトのクラウド移行時に絶対変えるべき3つのセキュリティ対策

オンプレミスのデータセンターとクラウドでは、Webサイトのセキュリティ対策に異なるアプローチが必要となる。セキュリティついて根本的に考え方を変えるべき3つの事項を紹介する。

[Paco Hope,Computer Weekly]
Computer Weekly

 クラウドで運用するWebサイトのセキュリティを確保するアプローチは、従来のデータセンターで運用するWebサイトとはやや違いがあり、用いるセキュリティ手法も異なる。

Computer Weekly日本語版 2月7日号無料ダウンロード

本記事は、プレミアムコンテンツ「Computer Weekly日本語版 2月7日号」(PDF)掲載記事の抄訳版です。本記事の全文は、同プレミアムコンテンツで読むことができます。

なお、同コンテンツのEPUB版およびKindle(MOBI)版も提供しています。

ボタンボタン

 クラウドに移行する企業が増えるにつれ、情報セキュリティチームはWebサイトをクラウドに適応させ、保護する必要に迫られる。クラウド規模で安全なWebサイトを構築すると同時に、アジリティーとイノベーションを促進するには、3つの考え方を根本的に変えることが重要になる。アジリティーとイノベーションは、クラウドがビジネスにもたらす重要なメリットだ。

1.クラウドのダイナミズムを理解するセキュリティメカニズムを使用する

 オンプレミスのリソースのセキュリティを確保する場合、それらのリソースを生み出したプロセスについてはあまり気にする必要はない。データセンターに存在するリソースを保護することを考えるだけだ。そのリソースの出自がどうであれ、全資産のリストに対してアセスメントやセキュリティテストを実施できる。

 クラウドのリソースは、一時的かつ動的になる。Webサイトは、需要のピークに応じてアプリケーションサーバの新しいインスタンスを10個起動することもある。こうしたインスタンスは4時間にわたって実行され、需要が減少すれば順次終了する。この4時間の実行中のみインスタンスを確実に保護するためには、リソースが生み出された方法を調べることになる。具体的には「開始点はどこか」「起動後にインスタンスを堅牢(けんろう)にし、構成するものは何か」「リソースを起動するためのパイプラインが信頼できる理由は何か」などを調べる。

 セキュリティ担当者は、リソースを生み出したメカニズムを把握し、それを保護する必要がある。データベースを使って、全所有物を追跡するセキュリティ手法はクラウドではうまく機能しない。広範囲にわたってIPアドレスを調べる方法は、規模に応じて拡張することも、クラウドのダイナミズムに対処することもできない。

 クラウド資産を保護するには、Amazon Web Services(AWS)の「AWS Config」や「Amazon CloudWatch Events」などのクラウドネイティブの機能を使い、リソースの出入りに応じてクラウドを継続的に保護しなくてはならない。

 例えばAlfrescoのツール「Prowler」を使えば、Cloud Infrastructure Security(CIS)Foundation Benchmarkのような著名な標準への違反がないかどうか、クラウドを動的に調べることができる。このツールはCIS標準に照らしてリソースを定期的に評価し、違反を報告して、適切に対処できるようにする。Prowlerは、AWSのAPIを使って実行環境を動的に調べる。これは、リソースの静的データベースに環境が依存しないようにするためだ。静的データベースの情報は古くなってしまう恐れがある。

2.インフラのログを有効にして、分析し、対応する

 「Linux」のsyslog、「Windows」のWindowsイベント、Webサーバログなど、さまざまなログの処理と分析は恐らく既に実行しているだろう。

 クラウドでもこの習慣を続けることになる。ただし、クラウドインフラ自体もログを生成する。

この記事を読んだ人にお薦めの関連記事

注目テーマ

ITmedia マーケティング新着記事

news085.jpg

位置情報広告のジオロジック、LINE Venturesなどから総額1億円を調達
ジオロジックは、ジェネシア・ベンチャーズ、LINE Ventures、東急エージェンシーを引受先...

news065.jpg

LINE、サイバーエージェント子会社とチャットに特化した次世代型カスタマーサポート推進で協業
LINEは、サイバーエージェントの連結子会社であるAIメッセンジャーと共同で、チャットに...

news021.jpg

「NPS」の効果を実感、導入企業の8割――IMJ調査
アイ・エム・ジェイ(IMJ)は、「日本企業におけるNPS導入の実態把握調査」の結果を発表...