クラウドセキュリティベンダーのMitiga Securityは、「Google Cloud Platform」(GCP)の正規APIに“ある懸念”があると指摘する。それは何なのか。
オンプレミスのシステムと比べて、クラウドサービスの認証の仕組みは「極めて強力だ」と、クラウドセキュリティベンダーMitiga Securityのプリンシパルコンサルタント、アンドルー・ジョンストン氏は説明する。クラウドサービスの場合、一般的にはクラウドサービスの認証情報を持っていることが、システムにアクセスする唯一の要件となっている。
MitigaはGoogleのクラウドサービス群「Google Cloud Platform」が用意する、2つのAPI(アプリケーションプログラミングインタフェース)について悪用の危険性を指摘した。このうちシリアルポートからの出力データを取得するAPIの「getSerialPortOutput」は、利用できる機能が限られる「Viewer」(閲覧者)ロールでも使用できる。
調査報告でジョンストン氏は、この仕様に懸念を示している。ファイアウォールの設定にかかわらず、getSerialPortOutputは、シリアルポートからのデータ流出を可能にしてしまうからだ。「攻撃者はgetSerialPortOutputを用いて、不正アクセスしたシステムから、データをこっそりと流出させる可能性がある」(同氏)
ジョンストン氏によると、これらのAPIの悪用は観測されていない。ユーザー企業でこの攻撃手法が悪用された場合は、比較的明確に分かるという。「攻撃が発生していれば、getSerialPortOutputと『setMetadata』(仮想マシンのメタデータを変更する役割を持つAPI)が繰り返し呼び出されているはずだ」とジョンストン氏は説明する。
今回発見したリスクは、Googleによって明確に文書化されていなかったと、ジョンストン氏は語る。これらのAPIの危険性を示す過去の調査結果や文献も見つからなかったという。ただし攻撃のリスクは依然として存在する。「だから当社は調査を進め、Googleと関わろうとした」(同氏)
米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。
Copyright © ITmedia, Inc. All Rights Reserved.
AI活用やデータドリブン経営が加速する一方で、レガシーインフラが問題になるケースが増えている。特に複数の世代にわたってIT資産が混在しているインフラ環境では、運用負荷やコストが増大してしまう。この問題をどう解消すればよいのか。
クラウドファーストの流れが加速する中、無計画に構築されたハイブリッドクラウドの弊害が多くの企業を悩ませている。ITオペレーションの最適化を図るためには、次世代のハイブリッドクラウドへのモダン化を進めることが有効だ。
ワークロードを最適な環境に配置できる手法として注目され、多くの企業が採用しているハイブリッドクラウド。しかし、パフォーマンス、法令順守、コストなどが課題となり、ハイブリッドクラウド環境の最適化を難しくしている。
小売業界にとって、顧客体験(CX)、従業員体験(EX)の向上ならびにDX推進は重要度の高い課題である。多拠点、多店舗、他業態を展開する小売業でCXとEXをグローバルに向上する次世代のリテールコマースプラットフォームとは。
インフラのハイブリッドクラウド化を進める一方、オンプレミスとクラウドを管理するためのツールが異なるため、“二重管理”が発生している企業は少なくない。これでは運用負荷は高まるばかりだ。そこでこの状況を解消する方法を解説する。
クラウド活用で顕在化するコスト増大と活用スキル不足の課題、解決の決め手は? (2025/5/9)
KDDIの通信品質と事業成長を支える“共通インフラデータ基盤”構築の舞台裏 (2025/3/12)
高まるSaaSバックアップ需要で「ストック収益」を拡大するには (2025/1/22)
大和総研に聞く、基幹システムのモダナイズ推進を成功に導いた四つのポイント (2024/12/23)
「オンプレミス仮想化基盤」のモダナイゼーションに最適なクラウド移行の進め方 (2024/11/11)
いまさら聞けない「仮想デスクトップ」と「VDI」の違いとは
遠隔のクライアント端末から、サーバにあるデスクトップ環境を利用できる仕組みである仮想デスクトップ(仮想PC画面)は便利だが、仕組みが複雑だ。仮想デスクトップの仕組みを基礎から確認しよう。
「パーソナライゼーション」&「A/Bテスト」ツール売れ筋TOP5(2025年5月)
今週は、パーソナライゼーション製品と「A/Bテスト」ツールの国内売れ筋各TOP5を紹介し...
「マーケティングオートメーション」 国内売れ筋TOP10(2025年5月)
今週は、マーケティングオートメーション(MA)ツールの売れ筋TOP10を紹介します。
「サイト内検索」&「ライブチャット」売れ筋TOP5(2025年4月)
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。