クラウドで運用するWebサイトのセキュリティを確保するアプローチは、従来のデータセンターで運用するWebサイトとはやや違いがあり、用いるセキュリティ手法も異なる。
クラウドに移行する企業が増えるにつれ、情報セキュリティチームはWebサイトをクラウドに適応させ、保護する必要に迫られる。クラウド規模で安全なWebサイトを構築すると同時に、アジリティーとイノベーションを促進するには、3つの考え方を根本的に変えることが重要になる。アジリティーとイノベーションは、クラウドがビジネスにもたらす重要なメリットだ。
オンプレミスのリソースのセキュリティを確保する場合、それらのリソースを生み出したプロセスについてはあまり気にする必要はない。データセンターに存在するリソースを保護することを考えるだけだ。そのリソースの出自がどうであれ、全資産のリストに対してアセスメントやセキュリティテストを実施できる。
クラウドのリソースは、一時的かつ動的になる。Webサイトは、需要のピークに応じてアプリケーションサーバの新しいインスタンスを10個起動することもある。こうしたインスタンスは4時間にわたって実行され、需要が減少すれば順次終了する。この4時間の実行中のみインスタンスを確実に保護するためには、リソースが生み出された方法を調べることになる。具体的には「開始点はどこか」「起動後にインスタンスを堅牢(けんろう)にし、構成するものは何か」「リソースを起動するためのパイプラインが信頼できる理由は何か」などを調べる。
セキュリティ担当者は、リソースを生み出したメカニズムを把握し、それを保護する必要がある。データベースを使って、全所有物を追跡するセキュリティ手法はクラウドではうまく機能しない。広範囲にわたってIPアドレスを調べる方法は、規模に応じて拡張することも、クラウドのダイナミズムに対処することもできない。
クラウド資産を保護するには、Amazon Web Services(AWS)の「AWS Config」や「Amazon CloudWatch Events」などのクラウドネイティブの機能を使い、リソースの出入りに応じてクラウドを継続的に保護しなくてはならない。
例えばAlfrescoのツール「Prowler」を使えば、Cloud Infrastructure Security(CIS)Foundation Benchmarkのような著名な標準への違反がないかどうか、クラウドを動的に調べることができる。このツールはCIS標準に照らしてリソースを定期的に評価し、違反を報告して、適切に対処できるようにする。Prowlerは、AWSのAPIを使って実行環境を動的に調べる。これは、リソースの静的データベースに環境が依存しないようにするためだ。静的データベースの情報は古くなってしまう恐れがある。
「Linux」のsyslog、「Windows」のWindowsイベント、Webサーバログなど、さまざまなログの処理と分析は恐らく既に実行しているだろう。
クラウドでもこの習慣を続けることになる。ただし、クラウドインフラ自体もログを生成する。
続きを読むには、[続きを読む]ボタンを押して
会員登録あるいはログインしてください。
超リッチなイーロン・マスク氏の「言論の自由」は、あなたのそれと同じなのか?
Twitter買収の大義名分とされる「言論の自由」。しかし、同じことを語っているつもりでも...
新卒の営業職が仕事をやりたくない時期、最多は「5月」 ―― RevComm調査
新卒営業社員は5月に最初の「壁」を感じるようです。
「メタバース」でどうやってもうけるの? Meta(旧Facebook)が考える収益化への道
Metaの中核をなすメタバースプラットフォームのマネタイズ計画が明確になりつつある。高...