クラウド環境の１番の脅威は人為的な設定ミス？気づくための仕組みとは -セキュリティ通信-

エスカ＆レン：

今月もやってきました！「エスカとレンのセキュリティ通信」のお時間です。

エスカ：

最近は寒い時期が続いていますが、体調などはお変わりありませんか？

レン：

僕たちの周りでも風邪が流行っているので、より一層体調管理には気を付けています！

エスカ：

それでは、今日のテーマです。今回はクラウド環境の脅威について最新情報を解説していきます！

この記事の内容

CSAジャパン「クラウドコンピューティングに対する重大な脅威2024」公開

クラウド設定ミスによるインシデント事例・・・三重県立学校で個人情報漏洩

CSAジャパン「クラウドコンピューティングに対する重大な脅威2024」公開

エスカ：

昨今クラウドの利用が加速していますが、セキュリティ課題については取り組まれていますか？

一般社団法人日本クラウドセキュリティアライアンス（CSAジャパン）翻訳WGは12月9日、「クラウドコンピューティングに対する重大な脅威2024」の公開を発表しました。

同レポートでは、クラウド業界のセキュリティ課題について、500人以上の業界専門家を対象に調査を行い、回答者は今年のクラウド環境における11の重要なセキュリティ課題を特定し、紹介しています。

クラウドコンピューティングに対する重大脅威2024（参照： CSAジャパン）

レン：

今回はこの中から、1位になった「設定ミスと不適切な変更管理」についてご紹介します。

【設定ミスと不適切な変更管理】

設定ミスとは、クラウドコンピューティング資産の誤った、または最適とは言えない設定のことで、意図しない損害や外部/内部の悪意ある活動に対して脆弱な状態になる可能性があります。よくある設定ミスには、次のようなものがあります。（一部抜粋）

1	シークレット管理	パスワードやAPIキー、証明書などの機密情報の取り扱いが適切でなく、攻撃者に搾取されやすい状態
2	無効化された監視とロギング	疑わしい挙動を検知できない状態
3	ICMPがオープン	攻撃者が対象を特定しやすい状態
4	セキュアでない自動バックアップ	バックアップデータが暗号化されていない、アクセス制限が不十分、安全でない場所への保管等の場合、データが窃取されたり、不正アクセスされるリスクが高まる
5	ストレージへのアクセス	ストレージが意図せず一般公開されている状態
6	HTTPS/HTTPポート以外への無制限のアクセス	必要のないポートが開いており、攻撃者がリソースへアクセスしやすい状態
7	過剰なアクセス権限の有効化	過剰なアクセス権限は攻撃者がこの設定ミスを悪用しやすい状態

参考URL：
https://www.cloudsecurityalliance.jp/site/wp-content/uploads/2024/12/TopThreatstoCloudComputing202420240805_J.pdf
https://www.clouddefense.ai/common-misconfigurations-on-the-cloud/
https://scan.netsecurity.ne.jp/article/2024/12/24/52079.html

そふくリス：

クラウド環境は提供ベンダーがセキュリティ対策してくれると思っていたので、セキュリティ事故についてあまり意識していなかったなぁ。気づかないところに設定ミスがありそうで怖いね。

エスカ：

そうだね。クラウドの設定ミスは情報漏洩に直結するから特に怖いよね。
意図しない設定ミスを防ぐためには次のような対策が有効になります。
自組織でも問題がなさそうか確認してみてくださいね。

■推奨する対応策

①クラウド環境へ構築する時や設定変更を行う時はポリシーを策定し、正しい設定になっているか複数人で確認を行う
②アクセス制御の方針を策定し、必要以上に権限は付与せず、不要になった時点で棚卸を行う
③公開前や設定変更時に技術的な診断を行い、意図しない設定になっていないか確認する
④クラウド環境を監視する仕組みを導入し、意図しない設定が行われた場合に気づくことができる体制を整える

そふくリス：

なるほど・・。意図しない設定に気づく仕組みやサービスにはどのようなものがあるの？

レン：

利用するクラウドサービスや環境構成によって異なるよ。詳しく知りたい方は、リンクからサービスページをご覧ください。

■関連サービス

・ SCSmart クラウド設定監査・・クラウド環境の設定不備や潜在的な攻撃の兆候の検知、対処方法の提示
・クラウド設定診断・・クラウド環境の設定確認やアプリケーションの動作の解析等の実施
・ Security FREE for M365 ・・Microsoft アカウントにおける不正アクセス等の監視・検知