Palo Alto Networksの調査部門Unit 42は、クラウドサービスに関する脅威「Cloud Threat Report: Navigating the Expanding Attack Surface」の第7号を発行した。基になったデータは2022年1月～2023年1月に公開されたもので、脆弱（ぜいじゃく）性データベース「National Vulunerability Database」などの公開情報源から同社が収集したデータと、同社サービス経由で収集したデータを合わせている。

　報告書によると、クラウドサービスを利用する企業は同じ過ちを繰り返す傾向があった。調査対象となった企業のセキュリティチームが受け取ったアラートのうち、約80％はわずか5％の設定ミスや脆弱性に起因していたという。そうした“危険な行動”として、特に目立ったのは以下だったとUnit 42は報告している。

• ファイアウォールポリシーの制限不足
• データベースの不要な公開
• 多要素認証（MFA）の未実施
  • 調査対象中76％の企業が、クラウドサービスを操作するエンドユーザーにMFAを求めていなかった。

　Unit 42の調査主任ジェイ・チェン氏は、こうした危険な行動は「エンジニアとIaC（Infrastructure as Code）用テンプレートのごく一部に起因する」とみる。「問題は企業ごとに異なるものの、それらの原因のほとんどは繰り返される特定の行動にある」とチェン氏は言う。つまり企業のセキュリティチームは、頻繁に繰り返される問題の解決を優先するだけで、セキュリティへの投資対効果を高められるだけではなく、日常的に頭を悩ませるさまざまな問題を一挙に解消できる可能性もあるということだ。

　「企業が自社システムをクラウドサービスに移行する勢いは衰えていない。クラウドネイティブ（クラウドサービスで運用することを前提とした設計思想）のアプリケーションやアーキテクチャは円熟期を迎えている」。Palo Alto NetworksでPrisma Cloud部門シニアバイスプレジデントを務めるアンカー・シャー氏は、そう語る。

　シャー氏は、クラウドサービスのアップデートや新たな攻撃手法の登場、クラウドサービス向けオープンソースツールの普及といったクラウド関連技術の急速な動きによって、クラウドネイティブ固有のリスクに対する企業の認識が強まっている点を指摘する。「クラウドネイティブの人気と複雑さが、結果として攻撃対象領域を広げ、攻撃者が悪用できる脆弱性や構成ミスを生み出している」と同氏は述べる。

　クラウドセキュリティに関しては、安全ではないシステム構成など、企業の人為的ミスに起因する問題が主な懸念事項であることに変わりはない。一方でUnit 42は、クラウドサービスプロバイダー（CSP）が提供するテンプレートやデフォルト構成も原因になっていると指摘する。

　「デフォルト設定は非常に便利だが、決して『企業システムの状態を最も安全な状態に設定する』ものではない」とUnit 42は警鐘を鳴らす。

　Unit 42は報告書において、企業のシステムのクラウド化を支える推進力としてオープンソースツールに注目し、オープンソースツールがシステムをいかに複雑にし、いかにリスクを高めているのかを強調している。オープンソースツールの普及は、サポート対象外のソフトウェアや悪意のあるコンテンツの増加、パッチ（修正プログラム）適用の遅れといった問題を引き起こし、セキュリティチームが注視すべき対象を生みかねない。

クラウドの利用拡大とともに広がる攻撃対象領域

　「企業は、今後クラウドネイティブアプリケーションの攻撃対象領域が広がり続け、攻撃者がそうした領域を標的とする攻撃手法を見つける可能性があることを想定すべきだ」とUnit 42は注意喚起する。対策としてUnit 42が提唱するのは以下の通りだ。

• 強制的なMFAポリシーの導入
• セキュリティアラートの優先度と対処に関するルールの見直し、自動化
• クラウドサービスでの監査ログの取得
• 自動バックアップ
• 保存データの暗号化
• アプリケーション開発中に脆弱性を検出する「ソフトウェアコンポジション解析」（SCA）ツールの活用
• データの不正な持ち出しやコピーを防ぐ「データ損失防止」（DLP）ツールの活用
• 社内システムへの接続サービスやデータベースがインターネットに公開されないようにするための対策

　「当チームの調査結果に対する結論はシンプルだ。企業のシステムは自分たちが思っているほど安全ではない可能性がある。攻撃者の先を行くためには、警戒を怠らず、先を見越して革新的な対策を取り入れなければならない」（チェン氏）