パブリッククラウドとDevOpsを保護する方法は？統一された可視性を得る。
ここ10年のIT業界におけるもっとも大きな変化は、AWS、Azure、GCPなどのパブリッククラウド（IaaS）サービスの採用です。
パブリッククラウドは、リモートセンターで稼働している「だけ」のサーバーではありません。 これらはインフラストラクチャをコードとして使用しています。つまり、ストレージ、バーチャルマシンとコンテナといった種々の構成ブロックおよびそれを稼働するネットワークが、パブリッククラウドAPIに呼び出しを行うことで変更できるということです。パブリッククラウドを使用する企業は多大な速度と弾力性という恩恵を手にし、それがDevOpsの隆盛につながりました。
そのあらゆる利点のため、パブリッククラウドとDevOpsを採用すると、多くの新技術が利用できることになります – そしてアタックサーフェスの変化速度が劇的に増加します。これによりインフラストラクチャ自身の可視性が低下し、より複雑になる傾向があるので、セキュリティの阻害要因となりがちです。
サイバーセキュリティはサイバー衛生から始める
弊社はセキュリティは効率的なサイバー衛生から始まると考えます – コンピューティングインフラストラクチャのすべてが解明され、最新の状態に適切に構成されているようにしておくことです。 インフラストラクチャの状態に目を配り最新状態に保つことで、サイバーアタックサーフェスを劇的に低下させます。つまるところ、今日エクスプロイトされている脆弱性の99％は、 セキュリティによって少なくとも12ヶ月にわたって知られています。
しかしながら、サイバー衛生は、ダイナミックなパブリッククラウド環境では維持するのが困難です。私たちが話した多くのセキュリティチームは、これらのコンポーネントがどの程度最新状態で堅固に構成されているかについてはおろか、何が稼働しているのかについても把握していませんでした。
デフォルトのSSH認証など、パブリッククラウドのインフラストラクチャの誤用に起因する多くの問題を見るだけで十分です。
パブリッククラウドはセキュリティに恩恵あり
こういった有名なインシデントにもかかわらず、パブリッククラウドの制御された利用はセキュリティに寄与すると考えます – DevOpsの方法論とテクノロジーが賢明に使用される限りにおいて。変更不可能なコンテナ、マイクロサービス、自動セキュリティテストは、実際に企業のセキュリティレベルを 向上 することができます。
しかしながら、多くのセキュリティソリューションは物理的な、オンプレミスデータセンターを念頭に構築されています – パブリッククラウドに要求されるレベルのスケールと可視性を備えていないのです。セキュリティチームは、パブリッククラウドのインフラストラクチャに何が起こっているのかを追跡するために、このスケールと可視性を必要とします。それはまた、DevOpsチームと適切に業務を行う上で必要なバックグラウンドとデータを提供します。 – 多くの業界人が DevSecOpsと呼ぶものです。
Cyber Exposure：クラウドセキュリティに高度な可視性を提供
Cyber Exposureの規律は、セキュリティリーダーがパブリッククラウドのインフラストラクチャのサイバーリスクを管理し測定するためにDevSecOpsを取り入れる助けになります。従来の脆弱性管理プラクティスはクラウドセキュリティに対して、以下を通じてもっと可視性を提供しなければなりません：
- その場での発見とクラウド資産の継続的なモニタリング
- ソフトウェアの開発サイクルにおけるクラウド資産の静的および動的なスキャンを統合
- DevOpsよる自動化とシームレスなワークフローの統合
本日、弊社はTenable.ioにおいてパブリッククラウド利用を可能にする新製品を発表できることに興奮しています：
- Microsoft AzureおよびGoogle Cloud プラットフォーム用の新クラウドコネクター： すべてのクラウドワークロードが把握され脆弱性が検出されるよう、AzureとGCPクラウド環境における資産の変化を継続的に発見し追跡既存のAWS用のクラウドコネクターと共に、これらの新コネクターはもっとも広くデプロイされている3大パブリッククラウド（IaaS）プラットフォームに対する、サイバーセキュリティリスクの統一見解を提供します。
- Tenable.io コンテナセキュリティにおける新コンテナランタイムスキャン：実稼働環境で稼働しているコンテナにCyber Exposureに可視性を導入しましょう。この重要な製品強化はTenable.ioコンテナセキュリティおよび Tenable.io Vulnerability Management が協働することによって可能になり、セキュリティをエンドツーエンドDevOpsプロセスにスムーズに統合します。
- Tenable.io Web Application Scanningにおける新ウェブアプリケーションの発見：ウェブアプリケーション環境全体のCyber Exposureを理解するために、以前は把握していなかったアプリケーションも含め、企業全体で所有しデプロイしているウェブアプリケーションを特定しましょう。この新性能は重要な可視性問題を解決します – デプロイされているウェブアプリケーションの数はセキュリティチームが把握しているよりも多いことがよくあります。
弊社はDevOpsの使用増加を心強く感じており、正しく導入すれば貴社のセキュリティを向上させると信じています。パブリッククラウドはDevOpsの柱です。 適切な知識とスムーズな統合により、セキュリティチームがDevSecOpsを利用し、どんな企業であれこの新技術を安全に、かつ責任を持って使用するためのガードレールを提供することができます。
リソース：パブリッククラウド インフラストラクチャの安全保護について
詳細情報
Renaud Deraison
Renaud Deraison は世界のセキュリティコミュ二ティで脆弱性スキャナー、Nessus® の父として知られています。2013 年に開発 15 周年を迎えた Nessus は、脆弱性スキャン機能の 事実上の世界標準として評価されています。
Renaud は 2002 年に Tenable Network Security を共同創設し、現在も最高テクノロジー責任者として製品戦略と開発を主導しています。Tenable 創設前は Nessus 脆弱性スキャナーの主要開発者であり、17 歳で Nessus の初版をリリースしています。SolSoft に在籍し、コンピュータセキュリティのコンサルタント会社、 Nessus Consulting S.A.R.L.を起業しました。
Renaud は世界のセキュリティコミュニティで活躍を続けています。ネットワークスキャン機能とセキュリティに関するパテントを 3 件保有し、専門書や雑誌に著述があります。Common Vulnerabilities and Exposures Organization の編集委員会の委員も務めています。2013 年には、Ron Gula とJack Huffard と共に Ernst and Young 社のアントレプレナー・オブ・ザ・イヤーの受賞の栄誉に輝きました。
関連記事
Cybersecurity Snapshot: SharePoint Attacks Trigger Urgent Patching Calls, While U.S. Gov’t Unveils AI Innovation Plan
Check out the latest on attackers’ cyber siege of SharePoint servers. Plus, the White House releases plan to spur AI innovation. In addition, CISA alerts orgs about Interlock ransomware. And get the latest on Q2's top malware; ransomware trends; and credentialed scanning....
Tackling Shadow AI in Cloud Workloads
As enterprise adoption of cloud AI systems balloons, protecting them has become a priority for cybersecurity teams. Shadow AI – the rampant, unsanctioned use of AI apps and services – has emerged as a particularly critical threat. Here we outline two best practices that can help you combat shadow AI...
Cybersecurity Snapshot: AI Security Tools Embraced by Cyber Teams, Survey Finds, as Vulnerability Research Gets a Boost from UK Cyber Agency
Check out why AI security tools are turning into “must have” assets for cyber teams. Plus, get the details on the NCSC’s efforts to supercharge its bug hunting capabilities. Meanwhile, Tenable webinar attendees shared their experience securing machine identities. And get the latest on the crypto cri...
- Cloud