クラウドでも、自ら招くリスクからは守れない

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

クラウドセキュリティ。この言葉は、何を対象とするかを明確にしなければ、実際には意味をなしません。「クラウド」を構成する基盤インフラストラクチャのセキュリティを指すのでしょうか。それとも、「クラウド」上のコンピューティング、ストレージ、サービスのプロビジョニングと管理を可能にするコマンド＆コントロールAPIのセキュリティでしょうか。

というのも、クラウドが自らの設定ミスから魔法のように守ってくれる、などとは考えていなかったはずだからです。たとえば、Amazon S3バケットのデフォルトのセキュリティポリシーを意図的に変更し、IPアドレスさえ分かれば誰でも保存データにアクセスできるようにしてしまう、といったミスです。

そんなことはあり得ないと思うなら、その感覚は正しいでしょう。しかし、だからといって、十分なセキュリティ知識を持つ組織が実際にそのようなことをしていないと考えるのは誤りです。

その実例として、最近、あるシステムインテグレーターが、認証情報や秘密鍵などの重要なデータをAmazon S3上で公開したままにしていたことが明らかになりました。この「エラー」はすぐに修正されたとのことですが、S3を誰でもアクセスできる状態にするには、オペレーターによる操作が必要であるという事実に変わりはありません。

意図的に扉の鍵を開ける操作が必要です。Amazon S3には、デフォルトでアクセスに関する厳格なセキュリティ制御が設定されています。Amazonのドキュメントには、次のように記載されています。

デフォルトでは、すべてのAmazon S3リソースは非公開です。つまり、そのリソースにアクセスできるのはリソース所有者のみです。

-- バケットとオブジェクトのアクセス権限の設定

したがって、適切なIPアドレスを持つ人なら誰でもバケットの内容を閲覧できる状態にするには、人が意図的に操作する必要があります。

問題のSIは、自らAmazon S3のセキュリティを解除したことで被害に遭った最初の例ではありません。2017年2月には、セキュリティ研究者のTroy Hunt氏が、クラウドセキュリティ上の一連の不手際について詳しく紹介しました。これはIoT玩具のCloud Petsに関連するもので、「特定の認証を必要としないAmazon S3バケット」も含まれていました。同年7月には、大手サービスプロバイダー3社のうち1社が、Amazon S3の設定ミスにより加入者記録を公開していたことが明らかになりました。

この問題がどれほど広範に及んでいるかを示すものとして、Rhino Security Labsは、Alexa Top 10000サイトを対象に実施したAmazon S3のテストについて、興味深い結果を紹介しています。その結果、「68の異なるドメインに属する107個のバケット（1.07%）に、一覧表示権限が設定されていました。この107個のバケットのうち、61個（57%）では閲覧者全員にダウンロード権限が開放されていました。13個（12%）ではアップロード権限が開放され、8%では3つの権限すべてが開放されていました」と報告しています。

ダウンロードを誰にでも許可すれば、データが盗まれるおそれがあるため、それだけでも十分に問題です。さらに、アップロードまで誰にでも許可するのでしょうか。それでは、従業員にフィッシングメールをクリックするよう促すようなものです。

クラウドは、利用者自身の不備からデータを守ることはできません。セキュリティゲートの欠如、チェック不足、監視不足のいずれであっても、クラウドストレージへのアクセス権限を無制限に開放し、誰にも見つからないことを期待するわけにはいきません。これは、監視カメラを設置しながら、外部からのtelnetアクセスを許可したままにするようなものです。

おっと、やってしまいましたね。

重要なのは、アプリとデータのセキュリティは、それらを保護するためのポリシーと手順に左右されるということです。S3のようなクラウドストレージで「オープン」アクセスを有効にすることが妥当な場合もあります。しかし、企業ファイアウォールのポートと同様に、よほどの理由がない限り、誰でもアクセスできる状態にすべきではありません。

「クラウドセキュリティ」をレビューすることを義務付ける何らかのポリシーをまだ導入していない場合は、そのアプリを有効にしたり、そのURLを共有したりする前に導入する必要があります。今すぐにです。この記事を読むのを中断して、さっそく取りかかってください。

自らリスクを招かないようにしてください。ポリシーと手順を確認し、クラウドに保存するデータの重要性と所定の用途に応じたセキュリティ対策が講じられていることを確認してください。

S3の設定ミスが大きく報じられる事態を防げるのは、皆さま自身です。

Amazon S3バケットのセキュリティ強化に支援が必要な場合、Amazonは詳細なドキュメントだけでなく、役立つツールも提供しています。

著者について

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。

Lori Mac Vittieのその他のブログ記事