“正義のハッカー”に聞くリスクと対策【中編】

ハッカーが明かす「クラウドサービス」に潜む“2つの危険”

クラウドサービスには具体的にどのような脆弱性があり、どのような攻撃に気を付けるべきなのか。ホワイトハッカーが解説する。

公開 2020年06月30日 05時00分

更新 2020年07月01日 19時38分

著者

大久保心織

[TechTargetジャパン]

印刷する連載新着通知を受け取る

　クラウドサービスの活用が進む一方で、クラウドサービスからオンプレミスのインフラへ戻す「脱クラウド」「オンプレミス回帰」が起こるなど、システムが多様化している。そうした中で攻撃者が注目するのは、システムが稼働するインフラがクラウドサービスか、オンプレミスかといったことではなく「変化のさなかにあるかどうか」だと、日立ソリューションズでホワイトハッカーとして活動する米光一也氏は説明する。

併せて読みたいお薦め記事

技術変革とセキュリティ

攻撃者の意図を探る

　海外企業を中心に一部でオンプレミスへの回帰が見られるとはいえ、特に国内企業はまさに今、クラウドサービスの活用を本格化させているところだ。前編「サイバー犯罪者にとって『クラウドかオンプレミスか』よりも重要なこととは？」で述べた「システムの変化時に生じやすい脆弱（ぜいじゃく）性」は、クラウドサービスの導入に伴い、システムに変化を加えることによっても生じることになる。

クラウドサービスのセキュリティを脅かす2つの注意点

　企業がクラウドサービス導入時に注意すべき点として、米光氏は次の2つを挙げる。

クラウドサービス導入のハードルの低さ
クラウドサービスの見えにくさ

1．クラウドサービス導入のハードルの低さ

　オンプレミスのシステム運用は、一般的にはユーザー企業が自らハードウェアやミドルウェアを調達し、それぞれにセキュリティ設定を施す必要がある。そのためシステム運用に関する専門知識が要求され、IT部門にとってはハードルが高い。それと比べ、クラウドサービスを使って業務アプリケーションを運用する場合、求められる専門知識は少なくなる。ハードウェアやミドルウェアの調達・運用をクラウドベンダーに委任でき、ユーザー企業は「アプリケーション層まで」「OS層まで」など限られた範囲にのみ手を動かしてセキュリティ対策を導入すればよいためだ。

　導入のしやすさは、時としてリスクにつながる。十分なセキュリティの知識や意識を持たないIT部門の担当者でも、クラウドサービスを導入することはできる。こうした担当者は「一度導入できれば、そのまま細かい設定をせずに利用し続ける“なんとなく”のクラウドサービス利用を引き起こしいやすい」と米光氏は見解を示す。そうした状態のままクラウドサービスを利用し続けることで不適切な設定が残り続け、脆弱性になる恐れがある。

2．クラウドサービスの見えにくさ

　クラウドベンダーが機能アップデートを随時適用し、常に最新機能を利用できることはクラウドサービスの利点の一つだ。半面、ユーザー企業が知らないうちに、クラウドベンダーが機能をアップデートしていたという状況が発生し得るため注意しなくてはならない。ベンダーがユーザー企業の意図しない設定を適用すると、想定外の通信や公開すべきでないデータの公開といったリスクを引き起こす可能性があるからだ。「意図しない設定」についてはこうしたアップデートに伴うもの以外にも、クラウドベンダーの“設定ミス”によるものがあり、実際にそうした設定ミスでユーザー企業の機密情報が公開状態になっていた事件がたびたび発生している。

　後編は、これらのリスクに対処するための具体的な対策を紹介する。

印刷する