クラウドの誤設定.

クラウドの誤設定は、クラウド上のデータ侵害の最大の根本原因です。管理者・IaC テンプレート・CI/CD パイプラインが、セキュリティのベストプラクティスに反する形でサービスを構成したときに発生します。典型例としては、公開状態のオブジェクトストレージ、0.0.0.0/0 に開放されたセキュリティグループ、暗号化未設定、ログ無効化、デフォルト認証情報、過度に広い IAM 信頼ポリシーなどがあります。クラウド API は大規模に資源を展開できるため、たった一つの不適切なテンプレートが、何百ものアカウントとリージョンに同じ欠陥を複製してしまいます。

2019 年の Capital One 侵害は典型例です。誤設定された Web アプリケーションファイアウォールがサーバサイドリクエストフォージェリ(SSRF)に脆弱で、攻撃者は EC2 インスタンスメタデータサービス(IMDS)へ到達し、WAF ロールの一時認証情報を盗み、それを用いて 700 以上の S3 バケットからデータを列挙・コピーしました——約 1 億 600 万件の顧客レコードです。Capital One はのちに米国 OCC へ 8,000 万ドルの制裁金を支払い、1 億 9,000 万ドルで訴訟を和解しました。AWS の IMDSv2(セッショントークン方式・ホップ制限付き)は、この SSRF から認証情報へ至る攻撃連鎖を直接的に緩和します。

検出と防止には CSPM、IaC スキャン(Checkov、tfsec)、Policy as Code(OPA、AWS Config、Azure Policy)、最小権限 IAM、アカウント単位での公開アクセス遮断、チケット起票と修正フローに連動する継続的なコンプライアンスチェックが用いられます。

flowchart TD
  A[IaC テンプレート / 手動変更] --> B{安全でない設定?}
  B -->|いいえ| OK[準拠ベースライン]
  B -->|はい| C[公開バケット / 開放 SG / 広すぎる IAM]
  C --> D[インターネット公開または SSRF]
  D --> E[攻撃者がデータや認証情報を窃取]
  C -. 検出 .-> F[CSPM / IaC スキャン / Policy as Code]
  F --> G[自動修正 + チケット]
  G --> OK