クラウドセキュリティ: なぜ一過性のアセットを無視してはいけないのか

定期的に実行している脆弱性スキャンは、クラウドに存在する短寿命のアセットを捉えることができず、サイバー犯罪者がつけ込みやすいセキュリティギャップを作る原因となる可能性があります。

クラウド環境には資産を需要に合わせて動的にプロビジョニング、デプロビジョニングするエラスティックな能力があるため、セキュリティ部門外のステークホルダー (DevOps、ウェブや E コマース担当者など) も資産を操作する場合があります。しかし、そのため短期間存在するアセットが生じ、セキュリティ担当者にとっては企業のクラウド環境の完全な可視性を妨げる要因となります。脆弱性スキャンが週 1 回定期的に実行されていても、このような一過性のアセットは、今起動したかと思えば、数時間後には停止するなど、頻繁に回転しているような状態なので、捉えることができるはずがありません。その結果は、セキュリティの穴、サイバー犯罪者がこれぞ、と待ち構えていた悪用の機会となるギャップです。動的で、短寿命のクラウドのアセットには、同様に動的なアプローチでの脆弱性精査手法が必要なのです。

なぜ短寿命のクラウドアセットを無視してはいけないのか

「短い間しか存在しない一過性の資産が、本当に会社の全体的なセキュリティ体制に影響するのだろうか」と疑う向きもあるかと思います。また、「短寿命の資産のインベントリは維持するのは難しいから、その他の測定しやすい資産だけを監視する」という考えもあるかもしれません。しかし、本当のところは、定期的な脆弱性スキャンは、ポイントインタイムのスナップショット、すなわちその時々の状態は捉えることはできるものの、スキャンの実行間隔の間に立ち上がったり落ちたりするクラウドのインスタンスのエクスポ―ジャーについては多くが放置されたままになります。

クラウドのアセットは、互いにクローンされたものが多く、あるアセットの脆弱性が悪用されると、複製されたアセットに同様の影響が起きることが予想されます。アセットは、一旦脆弱性が暴露されると、たとえ暴露された期間が非常に短くても悪用されることが可能で、その場合、デプロビジョニングされるまでの間にどのように波及するか、その影響範囲を推測することは不可能です。

例えば、自動スケーリング対象のサービスについて考えてみると、ピークタイムには自動的に容量がスケールアップされてビジネスの需要を満たします。ここでスケールアップされたサービスに重大な脆弱性があったとしたらどうなるでしょうか。サービスは数百ものインスタンスを自動スケーリングの設定によって生成するとすれば、その 1 つひとつのインスタンスにその重大な脆弱性が複成されて保有されます。 

「多分大丈夫だろう」とか「見てみないふりをしよう」などのアプローチで短寿命のクラウド資産に対応していては、企業を脅威にさらし、さらにはビジネス全体の評価にも大きな悪影響があることは明白でしょう。成功と名声を支えようとする努力の甲斐がなくなってしまいます。

Tenable.io を活用して、クラウド上の一過性のアセットを保護する

1 日に何回も入れ替わる可能性のあるクラウドの負荷やインスタンス には、継続的な可視性が必要です。脆弱性管理プログラムは、動的なクラウド環境のセキュリティ、継続的可視性、信頼性のある IT 業務を強化できるように設計されている必要があります。

Tenable.io は包括的な脆弱性管理のアプローチを提供します。クラウド上のすべての資産に存在する脆弱性を検知して、クラウドのアタックサーフェスを評価します。Tenable.io は Amazon Web Services (AWS)、Microsoft Azure、 Google Cloud Platform (GCP) とのクラウドコネクターを装備しており、複数のクラウド環境で生成されてプロビジョニングされた、短寿命なアセットをほぼリアルタイムで検出します。

また、Tenable.io の Frictionless Assessment は、スキャナーの導入やエージェントのインストールなしで AWS 環境内のクラウドアセットを継続的に評価することができます。Frictionless Assessment は、盲点やカバレッジのギャップを回避できるので、特に短寿命のクラウドアセットに有効です。新しい脆弱性が特定され次第、すぐに自動的にスキャンして、クラウド環境内のアセットに最新のソフトウェア欠陥があるかないかを迅速に確認することができます。

ダッシュボードやレポートをニーズに合わせて変更できるので、脆弱性の優先度について部門内外に伝達しやすく、短寿命のクラウドアセットに依存しているチームにとっても役に立ちます。

もっと詳しく

• Tenable が Netskope のクラウド上の一過性アセットの可視性の増強に一役買いました。ユースケースはこちらから

• クラウドセキュリティを影響する 3 大課題についてはこちらから

• クラウドリソースのタグ付けでサイバー衛生を改善する方法についてはこちらから

• 異なる共有責任モデルによって影響されるクラウドセキュリティの選択肢について詳しくはこちらから