パブリッククラウド導入大作戦！ 第２回「セキュリティーリスクとクラウド環境」後編
こんにちは、ちなつです。
さて今回は、取締役＆External- facing technologistと自ら名乗り、パブリッククラウドの普及・啓蒙活動およびトレーニング等の講演活動にも従事している、ライター・吉田雄哉氏の記事をご紹介します。
（＊本記事の最後に吉田氏のプロフィールを掲載しています）
*********************************************************************
※この記事は2012年7月20日に執筆された記事になります。
こんにちは。co-meetingの吉田です。
さて 第２回「セキュリティーリスクとクラウド環境」後編です。
今回はより具体的な話に入っていこうと思います。
守るべきポイントを整理しよう
前編では「セキュリティー」というものを「解らないものへの不安感」として話を進めてきました。が、もちろん具体的な「セキュリティー」というものは存在します。今度は若干詳細に環境を構成する要素を整理して、ポイントを把握するようにしてみたいと思います。
クラウドコンピューティングの構成要素から考え、以下のように概要を捉えてみます。
１は、クラウド上のコンピューターリソースへの管理者が所属するネットワークにおける守りです。
管理者自身のＰＣへ適切な対策が講じられているか、ネットワークは守られているかがポイントとなります。もし仮にクラウドがインターネット上にある利便性を生かすなら、この１の場所は公共の場所であるファーストフードの無料WiFiであったり、携帯できるポケット無線ルーターなどからスタートするケースも考えられます。開示レベルによって状況を間接的に知る事になります。
２は管理者とクラウドを繋ぐネットワークにおける守りです。
もし管理者が暗号化されていない通信でクラウドにアクセスする場合、当然経路でIDやパスワードが抜き取られたりして、管理権限を奪われる可能性があります。ただ、インターネットの通信は通信元と通信先の最後のところ以外はどのような経路を経由して情報が伝達するか、決まったルートは少ないので近場のネットワークこそ気をつけるべきでしょう。
３はクラウドの基盤における守りです。
ユーザーはクラウドとして仮想化されているものを利用しますが、もちろん物理的なリソースが無くなっているわけではありません。通常、この３の守りである物理サーバの守りと仮想化基盤自体の守りはベンダーに委託されます。したがって、３についてはユーザーは守りについて直接的な情報取得はできないため、ベンダーの情報開示レベルいわゆる透明性によって状況を間接的に知る事になります。
４，管理者が利用するベンダーから提供される管理機能の守り
例えばログインして、サーバの立上げや電源を切るなどの作業を行うダッシュボード、APIによりアクセスされるエンドポイントなどです。これらは通常パスワードや公開鍵方式、認証ファイルなどを用いて管理権限を持つものかを判定します。これらのファイルなどが悪用されたり、パスワードが漏れたりするのを防ぐ必要があります。
５，サーバがさらされる直接的な外部からの攻撃における守り
クラウド上のサーバやサービス群などはすべてグローバルなアクセスが可能です。従って世界中の管理レベルが低い汚染されたサーバからの攻撃や悪意を持った者からの攻撃を受ける状況にあります
各ポイントへの対応策
さて、これら１〜５までの要素を見てきましたが、守り方・対応策について考えてみます。
１：企業内の情報セキュリティ施策として従来から行われていることを遵守する
２：通信は暗号化されている方式を利用する
SSHはポートをずらすだけでも効果アリ
３：ベンダーの施策等を調べ、適切な管理が行われているベンダーを選定する
４：パスワード、認証ファイルなどの基本的な管理体制を構築する
アクセスした履歴を確認できるような施策で強化する
５：ベンダー提供の防御力を高めるオプションの利用
ファイアーウォールの活用による、不要なポートへのアクセス制御
ロードバランサーでもポート制限が可能
LinuxやWindowsのサーバにおける運用保守作業
セキュリティーアップデートの適応
OSレベルで用意されているファイアウォールの活用
追加ソフトウェアによる監視体制
ログの確認やチェック機構の導入
となります。
さらに強化する作戦としては
・もし特定箇所からしかアクセスされない場合は、VPNの導入を検討する
・グローバルIPを外す
なども上げられます。
なお、ニフティクラウドの場合はローカル側、つまり利用者が管理するサーバ郡のため専用のネットワークがありますので、こちらについても守りを固める必要があります。
通信元を限定する設定を行ったり、ファイアーウォールの機能で決められたルールが適応されているグループのみ通信を許可するなどが設定可能です。
セキュリティーを漠然とさせず要素を捉えて考えてみると、守り方が見えてくることがご理解いただけましたか？極めて基本的なセキュリティ対策を行うことが、まずは肝心といえます。
なお、一番セキュリティーレベルを下げるのは「人間」である点を忘れてはいけません。
ちょっと解らないからとFirewallをオフにしてみたり、たぶん攻撃なんてうちのサーバはされてないという思い込みからのOSアップデート手抜き、脆弱性情報などに注意を怠ったために発生するオープンソースの特定バージョンにおけるトラブル・・・これらは、ソフトウェアや基盤が悪いのではありません。管理すべきポイントが押さえられていないことや、単純なヒューマンエラーが原因と言えます。今までの多く見られてきた社会的な影響を与えるほどの事件は、その多くがこういった利用者や管理者がルールを守らなかったことに起因しています。この点についても十分認識をするように注意して下さい。
まとめ
さて前編後編と２回にわたり、クラウド環境におけるセキュリティについて考えてみました。
セキュリティー施策の基本方針をまとめてみると
１，実用的なレベルを勘案した対策をうつ
２，敵を知る
３，セキュリティーアップデート等の基本的な対策をしっかり行う
４，ケアレスミスが起こる前提で対策を講じる
５，早期発見
という５つにまとめられると思っております。
そして、これらの方針はいたって普通で、従来と変わらないものであると言えます。ただし、従来に比べグローバル環境でのサーバ利用となることから、ちょっとしたミスで困った事態になってしまうという点をご注意下さい。
最後にセキュリティーに関する情報源のご紹介です。
IPA 独立行政法人 情報処理推進機構
「クラウドサービス安全利用のすすめ」
http://www.ipa.go.jp/security/keihatsu/pr2012/ent/02_cloud.html
ここでは日本語で、海外の情報なども見ることができます。最新の状況を知ることも大切ですが、日本以外ではすでにかなりのクラウド利用における経験があるので、日本語で読めるこの情報源はとても貴重であると思います。是非、一通りご覧下さい。
また、ニフティクラウドの書籍では、ベンダーから提供される様々な機能の使い方や使いどころなどを詳細に解説してありますので、ぜひご活用下さい。
------------------------------------
プロフィール
ライターネーム：吉田 雄哉
・Twitter
・co-meeting Inc.
株式会社co-meetingの創業メンバー。
「取締役＆External- facing Technologist」と名乗り
新しいIT技術を広く伝える活動とWebアプリケーション
開発を行う毎日。
パッケージベンダーでのSaaS立上げ・製造業の
情報システム部門で企画やPM・受託開発と従事して
きたため、ベンダーサイドとユーザサイド の両方の
視点を持ち合わせる。
------------------------------------