年に1回の脆弱性診断は限界 24時間365日の監視を「外出し」する現実解：Defender for Cloudを生かした運用設計

企業にさまざまなメリットをもたらすが、セキュリティリスクも伴うクラウドサービス。運用負荷を減らしながらクラウドの安全性を高めるには、どうすればいいのか。解決策を説く。

[ITmedia]

　クラウドサービスは運用コストを削減しながら必要なリソースを柔軟に調達可能なことから、システムをアジャイルに開発して迅速にリリースできる。そのため、「Microsoft Azure」や「Amazon Web Services」（AWS）、「Google Cloud」などが、企業システムの基盤として当たり前のように利用されている。

　一方で、クラウド普及の初期から指摘されてきたセキュリティの懸念は、現在も完全に解消されたとは言い難い。むしろ近年は、クラウド利用の拡大によって管理対象が急増し、セキュリティ運用はさらに複雑化している。

　現在のクラウドサービスは提供範囲が広く、仮想マシンを基にしたIaaSだけでなく、コンテナ管理基盤やPaaS、SaaS、生成AIなどの多様なサービスを組み合わせて利用することもある。マルチクラウド化も進み、設定や権限管理を完全に把握し続けることは容易ではない。

　もちろん、各クラウドサービスにおいてもセキュリティ機能の強化やベストプラクティスの整備が進んでいる。ただしパブリッククラウドでは、クラウド事業者だけではなく、利用企業側にも設定やアクセス管理の責任がある。特に高い権限を持つアイデンティティーが侵害されると、管理APIやクラウドリソースへ広範囲にアクセスされ、オンプレミス以上に大きな被害に発展する可能性がある。

　現に、管理用アカウントの窃取や、設定不備を悪用した仮想マシン／クラウドリソースへの侵害は、現在も継続的に発生している。普段は利用しない海外リージョンに仮想マシンを大量展開され、暗号資産（仮想通貨）のマイニングに悪用された結果、多額のクラウド利用料金を請求されるケースもある。

　さらに厄介なのは、クラウド環境の侵害が発見されにくい点だ。攻撃者は正規アカウントを悪用して操作するため、通常の管理作業との区別がつきにくい。侵害に気付いたときには、機密情報の持ち出しやバックドア設置などが完了しているケースも少なくない。では、どうすればいいのか。