こんにちは。co-meetingの吉田です。

さて 第２回「セキュリティーリスクとクラウド環境」後編です。

今回はより具体的な話に入っていこうと思います。

守るべきポイントを整理しよう

前編では「セキュリティー」というものを「解らないものへの不安感」として話を進めてきました。が、もちろん具体的な「セキュリティー」というものは存在します。今度は若干詳細に環境を構成する要素を整理して、ポイントを把握するようにしてみたいと思います。

クラウドコンピューティングの構成要素から考え、以下のように概要を捉えてみます。

１は、クラウド上のコンピューターリソースへの管理者が所属するネットワークにおける守りです。

管理者自身のＰＣへ適切な対策が講じられているか、ネットワークは守られているかがポイントとなります。もし仮にクラウドがインターネット上にある利便性を生かすなら、この１の場所は公共の場所であるファーストフードの無料WiFiであったり、携帯できるポケット無線ルーターなどからスタートするケースも考えられます。開示レベルによって状況を間接的に知る事になります。

２は管理者とクラウドを繋ぐネットワークにおける守りです。

もし管理者が暗号化されていない通信でクラウドにアクセスする場合、当然経路でIDやパスワードが抜き取られたりして、管理権限を奪われる可能性があります。ただ、インターネットの通信は通信元と通信先の最後のところ以外はどのような経路を経由して情報が伝達するか、決まったルートは少ないので近場のネットワークこそ気をつけるべきでしょう。

３はクラウドの基盤における守りです。

ユーザーはクラウドとして仮想化されているものを利用しますが、もちろん物理的なリソースが無くなっているわけではありません。通常、この３の守りである物理サーバーの守りと仮想化基盤自体の守りはベンダーに委託されます。したがって、３についてはユーザーは守りについて直接的な情報取得はできないため、ベンダーの情報開示レベルいわゆる透明性によって状況を間接的に知る事になります。

４，管理者が利用するベンダーから提供される管理機能の守り

例えばログインして、サーバーの立上げや電源を切るなどの作業を行うダッシュボード、APIによりアクセスされるエンドポイントなどです。これらは通常パスワードや公開鍵方式、認証ファイルなどを用いて管理権限を持つものかを判定します。これらのファイルなどが悪用されたり、パスワードが漏れたりするのを防ぐ必要があります。

５，サーバーがさらされる直接的な外部からの攻撃における守り

クラウド上のサーバーやサービス群などはすべてグローバルなアクセスが可能です。従って世界中の管理レベルが低い汚染されたサーバーからの攻撃や悪意を持った者からの攻撃を受ける状況にあります。

各ポイントへの対応策

さて、これら１～５までの要素を見てきましたが、守り方・対応策について考えてみます。

１：企業内の情報セキュリティ施策として従来から行われていることを遵守する

２：通信は暗号化されている方式を利用する
　　SSHはポートをずらすだけでも効果アリ

３：ベンダーの施策等を調べ、適切な管理が行われているベンダーを選定する

４：パスワード、認証ファイルなどの基本的な管理体制を構築する
　　アクセスした履歴を確認できるような施策で強化する

５：ベンダー提供の防御力を高めるオプションの利用
　　　ファイアーウォールの活用による、不要なポートへのアクセス制御
　　　ロードバランサーでもポート制限が可能
　　LinuxやWindowsのサーバーにおける運用保守作業
　　　セキュリティーアップデートの適応
　　　OSレベルで用意されているファイアウォールの活用
　　追加ソフトウェアによる監視体制
　　　ログの確認やチェック機構の導入

となります。

さらに強化する作戦としては

  • もし特定箇所からしかアクセスされない場合は、VPNの導入を検討する
  • グローバルIPを外す

なども上げられます。

なお、ニフティクラウドの場合はローカル側、つまり利用者が管理するサーバー群のための専用のネットワークがありますので、こちらについても守りを固める必要があります。

通信元を限定する設定を行ったり、ファイアーウォールの機能で決められたルールが適応されているグループのみ通信を許可するなどが設定可能です。

セキュリティーを漠然とさせず要素を捉えて考えてみると、守り方が見えてくることがご理解いただけましたか？極めて基本的なセキュリティ対策を行うことが、まずは肝心といえます。

なお、一番セキュリティーレベルを下げるのは「人間」である点を忘れてはいけません。

ちょっと解らないからとFirewallをオフにしてみたり、たぶん攻撃なんてうちのサーバーはされてないという思い込みからのOSアップデート手抜き、脆弱性情報などに注意を怠ったために発生するオープンソースの特定バージョンにおけるトラブル・・・これらは、ソフトウェアや基盤が悪いのではありません。管理すべきポイントが押さえられていないことや、単純なヒューマンエラーが原因と言えます。今までの多く見られてきた社会的な影響を与えるほどの事件は、その多くがこういった利用者や管理者がルールを守らなかったことに起因しています。この点についても十分認識をするように注意して下さい。

まとめ

さて前編後編と２回にわたり、クラウド環境におけるセキュリティについて考えてみました。

セキュリティー施策の基本方針をまとめてみると

  1. 実用的なレベルを勘案した対策をうつ
  2. 敵を知る
  3. セキュリティーアップデート等の基本的な対策をしっかり行う
  4. ケアレスミスが起こる前提で対策を講じる
  5. 早期発見

という５つにまとめられると思っております。

そして、これらの方針はいたって普通で、従来と変わらないものであると言えます。ただし、従来に比べグローバル環境でのサーバー利用となることから、ちょっとしたミスで困った事態になってしまうという点をご注意下さい。

最後にセキュリティーに関する情報源のご紹介です。

IPA 独立行政法人 情報処理推進機構
「クラウドサービス安全利用のすすめ」
http://www.ipa.go.jp/security/keihatsu/pr2012/ent/02_cloud.html

ここでは日本語で、海外の情報なども見ることができます。最新の状況を知ることも大切ですが、日本以外ではすでにかなりのクラウド利用における経験があるので、日本語で読めるこの情報源はとても貴重であると思います。是非、一通りご覧下さい。

また、ニフティクラウドの書籍では、ベンダーから提供される様々な機能の使い方や使いどころなどを詳細に解説してありますので、ぜひご活用下さい。

本コラムは、ニフティ株式会社HPに掲載されている「ニフティクラウド ユーザーブログ」より転載したものです。