クラウドセキュリティ.

クラウドセキュリティは、組織が完全には所有していない基盤(通常は AWS、Azure、GCP、または SaaS プラットフォーム)で稼働するワークロードを守るための実践全般を指します。対象は、ID とアクセス管理、ネットワーク分割、転送中および保管中データの暗号化、構成のハードニング、ワークロード保護、クラウド API と監査ログの継続的な監視などです。クラウドは API 駆動かつ弾力的であるため、従来の境界防御だけでは不十分であり、統制はワークロードに追随し、各プロバイダーのネイティブサービス(IAM、KMS、CloudTrail、Security Hub、Defender for Cloud)と統合する必要があります。

責任の境界線が共有責任モデルです。プロバイダーは「クラウドそのもの」(物理設備、ハイパーバイザー、マネージドサービスの基盤)を守り、顧客は「クラウドの中で動くもの」(データ、IAM ポリシー、OS のパッチ適用、そして何より構成)を守ります。報じられる侵害の多くは顧客側に起因します。2019 年の Capital One 侵害はその典型例です。設定を誤った ModSecurity WAF がサーバーサイドリクエストフォージェリ(SSRF)で悪用され、EC2 インスタンスメタデータサービス 169.254.169.254 に到達し、S3 バケットを列挙・読み取り可能な過剰権限ロールの一時的な IAM 認証情報を取得。約 1 億 600 万件の申請者記録が露出しました。この事件は IMDSv2(メタデータ要求をセッショントークンに紐づける)、最小権限 IAM、送信フィルタリングの広範な導入を促しました。2023 年の Storm-0558 侵入では、盗まれたマイクロソフトの署名鍵で Exchange Online のトークンが偽造され、プロバイダー側の失敗さえ連鎖しうることを示しました。成熟したプログラムでは、CSPM、CWPP、CIEM、CNAPP を CIS ベンチマーク、コードとしてのガードレール、共有責任モデルに基づく堅固なガバナンスと組み合わせます。

flowchart TD
  subgraph P[プロバイダーが「クラウド」を守る]
    P1[物理データセンター]
    P2[ハイパーバイザー / ホスト]
    P3[マネージドサービス基盤]
  end
  subgraph C[顧客が「クラウド内」を守る]
    C1[データと暗号鍵]
    C2[IAM ポリシーと最小権限]
    C3[構成 / ハードニング]
    C4[OS とアプリのパッチ]
  end
  C3 -->|設定ミス| M[SSRF -> IMDS 認証情報<br/>例: Capital One 2019]
  M --> B[データ持ち出し]
  C2 -->|最小権限 + IMDSv2| D[影響範囲を限定]