マイクロサービスはセキュリティの複雑性を増大させるマイクロサービスに警鐘

アナリストは、マイクロサービスの利点ばかりが注目され、内在するリスクが軽視されていると警鐘を鳴らす。マイクロサービスによって生じる複雑性とは何か。

2019年07月24日 08時00分 公開
[Warwick AshfordComputer Weekly]

 企業はこぞってマイクロサービスという時流に乗ろうとしている。だが、その理由にセキュリティを挙げている企業はない。こう警鐘を鳴らすのは、KuppingerCole Analystsで主席アナリストを務めるアレクシ・バラガンスキ氏だ。同氏は英Computer Weeklyに次のように話している。「企業がマイクロサービスを取り入れる目的は、アジリティーへの対応、市場投入までの時間短縮、クラウドへの導入と拡張の容易さなどにある。こうした目的ももちろん重要だ。だがセキュリティについては全く考えられていない」

 バラガンスキ氏によると、新しいビジネス機能や収益性を目的にアプリケーションを開発すると、セキュリティが二の次になるか、セキュリティチームが開発チームや運用チームとは切り離された状態で仕事を進めることになるという。

 「恐らく、こうしたチームの孤立状態が最も大きな問題になる。DevSecOpsは、セキュリティチームと製造チームが連携し、対立しないで業務を進めることを目指す考え方だ。こうした点からもチームの孤立状態は課題になる。そのため、重要なのはDevSecOpsという方法論を検討することだ」(バラガンスキ氏)

 問題は、DevSecOpsを実践している企業がごくわずかしかないことにある。新しいアプリケーションを可能な限り迅速に運用環境にリリースすることを重視し、セキュリティの問題には後から対処できると考えている企業はまだ多いと同氏は指摘する。

 問題の中心には、マイクロサービスの設計方法が一つではないことがある。異なる環境で実行され、異なる通信チャネルを使用し、異なるプログラム言語で記述された複数のマイクロサービスを集めて一つのアプリケーションにできる。

 「この設計方法により、アプリケーションを構成する他のコンポーネントとは切り離して、簡単にマイクロサービスを開発、導入、デバッグ、保守、運用できるようになる。だが、さまざまなレベルで複雑さが生まれることになる」(バラガンスキ氏)

 「その複雑さは分散され、モノリシック開発チームほど顕著にはならないため、見過ごされがちになる。その結果、マイクロサービスアーキテクチャでは、一般的な仮想マシンやコンテナなど、低レベルのインフラのセキュリティには十分な注意が払われない」と同氏は付け加える。

 フレームワーク開発スタックそれぞれが独自の問題を抱えていることが、セキュリティを一層複雑にするとして、同氏は次のように述べる。「その上、マイクロサービス同士がコミュニケーションに使うAPIや、APIの代わりに使うメッセージングプロトコルもあり、そのそれぞれがセキュリティについて独自の課題を抱えている」

 何よりも、コントロールプレーンやサービスメッシュの各レイヤーに複数の種類があることが問題だ。こうした機能によって、ネットワーク経由でのサービス間の通信が制御され、セキュリティが確保された通信、サービス検出、負荷分散などの基本機能が自動化される。

 「そのため、多くのレベルでこうした膨大で新しい複雑さを抱えることになる。とはいえ、多くの担当者(特に開発者)は、ある程度は自助整理されていくだろうと考えがちだ。だがほとんどの場合、この複雑さを全体的に考えている担当者がいないのが現実だ」(バラガンスキ氏)

 「開発者、セキュリティの専門家、運用担当者、コンプライアンスの責任者は誰もが、自身が注力すべき分野を抱えている。だが大きな視点で全体像を見ている担当者はいないことが多い。これが恐らく最も大きな問題になる。というのも、一方では新たなレベルの複雑さを抱えているのに、他方ではシステム全体の可視性が完全に失われているためだ」

 マイクロサービスのセキュリティにすぐに取り掛かる必要がある。だがこれは難しい課題だ。マイクロサービスの設計、導入、保守には、確立された設計パターン、ベストプラクティス、標準がほぼないに等しいためだとバラガンスキ氏は指摘する。

 「まずは、これまで認識していなかった問題の存在に気付くことだ。その上で、適切な疑問を投げ掛けてその答えを模索し始める必要がある。問題を認識しない限り、解決策を探ることもできないだろう」と同氏は話す。

 マイクロサービスの仕組みの基本と、このアーキテクチャを使用する場合のセキュリティへの影響を理解することから着手することを同氏は推奨する。「基本を知らなければ、情報に基づくリスク評価を基礎として綿密な戦略を立てることはできない」と同氏は言う。

 「問い掛ける疑問を見つけるには、NIST(米国立標準技術研究所)が草案を作成したSP(Special Publication)『Security Strategies for Microservices-based Application Systems』(マイクロサービスベースのアプリケーションシステム向けのセキュリティ戦略)を確認するといい。この草案には、基本的に考慮が必要な事項の一覧が掲載されている」

 この草案には、マイクロサービスに関連するセキュリティの問題がまとめられているとして、バラガンスキ氏は次のように話す。「大半のセキュリティ担当者は、ここに掲載されている潜在的なリスクの少なくとも4分の3は考慮が及んでおらず、潜在的リスクの可能性の評価が各企業に委ねられていると考えられる」

 「自社の潜在的リスクの影響を評価できなければ、恐らく予算を誤った用途に使うことになるだろう」

 標準やフレームワークが何もない中で、最も重要なのは問題の認識だとバラガンスキ氏は指摘する。問題点を認識すれば、セキュリティは義務ではなく、開発者のアジリティーやビジネス継続性を向上させる便利なツールの一つだと考えられるようになる。

 「マイクロサービスは、一見アプリケーション開発の複雑さを緩和するように見える。開発者、運用担当者、業務担当者にとっては素晴らしいものだ。だが、さまざまな部分に複雑さが隠れていることを認識する必要がある」と同氏は言う。

 複雑さはなくならない。「Kubernetes」のような技術スタックやサードパーティーベンダーに複雑さが分散されるだけだ。それを理解して絶えず意識しなくてはならない。マイクロサービスアーキテクチャを使用することで、複雑さが増すレイヤーが追加され、誰かがそれらのレイヤーを管理しなければならない。

 「それらのレイヤーがさらされる新しいリスクについて、誰かが考えなければならない。部分的にはサードパーティーの責任になるとしても、セキュリティの脆弱(ぜいじゃく)性からデータを失った場合、結局苦しむのはコードとデータを所有する企業だ」

Copyright © ITmedia, Inc. All Rights Reserved.

隴�スー騾ケツ€郢晏ク厥。郢ァ�、郢晏現�ス郢晢スシ郢昜サ」�ス

事例 ゼットスケーラー株式会社

VPNを狙う攻撃が増加、いま必要な「従業員に意識させないセキュアな環境」とは

チョープロではVPNによるリモートアクセス環境を構築していた。しかし、VPNによるセキュリティ対策に限界を感じたことから、VPNに頼らないシステム環境の構築を目指した。同社が実現した「従業員に意識させないセキュアな環境」とは?

市場調査・トレンド ゼットスケーラー株式会社

Zscaler ThreatLabz「ランサムウェアレポート」(2024年版)

猛威を振るうランサムウェア攻撃に対抗するためには、脅威の最新動向を知ることが重要になる。そこで2024年版の「ランサムウェアレポート」から「攻撃の標的」「ランサムウェアファミリー」「効果的な防御戦略」などを紹介する。

事例 ゼットスケーラー株式会社

大和証券に学ぶゼロトラスト導入 短期間で成功させるための3つのポイントとは

多方面で事業を展開する大和証券グループでは、セキュリティを強化するためにゼロトラストへの転換を図った。そこで、あるゼロトラストセキュリティソリューションを導入し、短期間で実現したという。選定の理由や導入の効果を解説する。

製品資料 ゾーホージャパン株式会社

医療業界を襲うランサムウェアや持続的標的型攻撃、どう対処すればよいのか?

半田病院への攻撃をはじめとし、医療業界は依然マルウェア攻撃やDDoS攻撃といったサイバー脅威に頻繁にさらされている。IoTやデジタル治療も普及する中、患者の健康情報を犯罪者から守り、多様な規制にも対応するにはどうすればよいのか。

事例 キヤノンマーケティングジャパン株式会社

大手前学園の事例に学ぶ、人材不足でも強固なセキュリティを実現する方法

教育機関を狙うサイバー攻撃が増加傾向にある。教育活動の安全を守るためには、セキュリティ強化が不可欠だが、多くの教育機関でインシデントに対処できる人材が不足している。本資料では、この問題を解決した大手前学園の事例を紹介する。

アイティメディアからのお知らせ

From Informa TechTarget

「テレワークでネットが遅い」の帯域幅じゃない“真犯人”はこれだ

「テレワークでネットが遅い」の帯域幅じゃない“真犯人”はこれだ
ネットワークの問題は「帯域幅を増やせば解決する」と考えてはいないだろうか。こうした誤解をしているIT担当者は珍しくない。ネットワークを快適に利用するために、持つべき視点とは。

繧「繧ッ繧サ繧ケ繝ゥ繝ウ繧ュ繝ウ繧ー

2025/07/24 UPDATE

  1. 縺ェ縺懊€係indows Hello縲阪�窶懊ヱ繧ケ繝ッ繝シ繝我ク崎ヲ≫€昴〒繧ゆソ。鬆シ縺ァ縺阪k縺ョ縺具シ�
  2. 蠕捺・ュ蜩。縺ョ辟。譁ュ蛻ゥ逕ィ縺梧魚縺上€後す繝」繝峨�AI縲阪〒逋コ逕溘@蠕励k窶懊→繧薙〒繧ゅ↑縺�€�4縺、縺ョ繝ェ繧ケ繧ッ縺ィ縺ッ
  3. 繝代せ繝ッ繝シ繝峨→莨シ縺ヲ縺�k縺代←螳牙�諤ァ縺悟、ァ驕輔>�溘€€縲後ヱ繧ケ繧ュ繝シ縲阪€後ヱ繧ケ繝輔Ξ繝シ繧コ縲阪→縺ッ
  4. 縺ェ縺懊€後さ繝シ繝臥函謌植I縲阪r菫。縺倥※縺ッ縺�¢縺ェ縺�シ溘€€萓ソ蛻ゥ縺輔↓貎懊�窶�5縺、縺ョ繝ェ繧ケ繧ッ窶�
  5. 縲瑚コォ莉」驥代r謾ッ謇輔≧縲堺サ・螟悶�繝ゥ繝ウ繧オ繝�繧ヲ繧ァ繧「蟇セ遲悶�譛ャ蠖薙↓縺ゅk縺ョ縺具シ�
  6. 窶懊←繧後′蜊ア髯コ縺銀€昴〒縺ッ縺ェ縺上€郡aaS縺昴�繧ゅ�縺瑚�蜻ス逧�€阪€€驥題檮CISO縺瑚。晄茶縺ョ荳€螢ー
  7. 縺ェ縺懊€後Μ繝「繝シ繝医い繧ッ繧サ繧ケ縲阪�蜊ア髯コ縺ェ縺ョ縺九€€繝�Ξ繝ッ繝シ繧ォ繝シ縺梧魚縺�12縺ョ關ス縺ィ縺礼ゥエ
  8. 繝代せ繝ッ繝シ繝我ク崎ヲ√�縲後ヱ繧ケ繧ュ繝シ縲阪�繝。繝ェ繝�ヨ縺ィ窶懆ヲ矩℃縺斐○縺ェ縺�ウィ諢冗せ窶昴r隗」隱ャ
  9. 縲後ヱ繧ケ繝ッ繝シ繝峨d繧√∪縺吶€阪€€闍ア蝗ス謾ソ蠎懊′窶懊ヱ繧ケ繧ュ繝シ窶昴r菴ソ縺��縺ッ縺ェ縺懶シ�
  10. 繧シ繝ュ繝医Λ繧ケ繝医€悟、ア謨�35��€坂€補€輔◎繧後〒繧や€懃樟迥カ邯ュ謖≫€昴%縺晏些縺ェ縺�炊逕ア

ITmedia マーケティング新着記事

news017.png

「サイト内検索」&「ライブチャット」売れ筋TOP5(2025年5月)
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。

news027.png

「ECプラットフォーム」売れ筋TOP10(2025年5月)
今週は、ECプラットフォーム製品(ECサイト構築ツール)の国内売れ筋TOP10を紹介します。

news023.png

「パーソナライゼーション」&「A/Bテスト」ツール売れ筋TOP5(2025年5月)
今週は、パーソナライゼーション製品と「A/Bテスト」ツールの国内売れ筋各TOP5を紹介し...