Tenable ブログ
ブログ通知を受信する
パブリッククラウドとDevOpsを保護する方法は？統一された可視性を得る。
ここ10年のIT業界におけるもっとも大きな変化は、AWS、Azure、GCPなどのパブリッククラウド（IaaS）サービスの採用です。
パブリッククラウドは、リモートセンターで稼働している「だけ」のサーバーではありません。 これらはインフラストラクチャをコードとして使用しています。つまり、ストレージ、バーチャルマシンとコンテナといった種々の構成ブロックおよびそれを稼働するネットワークが、パブリッククラウドAPIに呼び出しを行うことで変更できるということです。パブリッククラウドを使用する企業は多大な速度と弾力性という恩恵を手にし、それがDevOpsの隆盛につながりました。
そのあらゆる利点のため、パブリッククラウドとDevOpsを採用すると、多くの新技術が利用できることになります – そしてアタックサーフェスの変化速度が劇的に増加します。これによりインフラストラクチャ自身の可視性が低下し、より複雑になる傾向があるので、セキュリティの阻害要因となりがちです。
サイバーセキュリティはサイバー衛生から始める
弊社はセキュリティは効率的なサイバー衛生から始まると考えます – コンピューティングインフラストラクチャのすべてが解明され、最新の状態に適切に構成されているようにしておくことです。 インフラストラクチャの状態に目を配り最新状態に保つことで、サイバーアタックサーフェスを劇的に低下させます。つまるところ、今日エクスプロイトされている脆弱性の99％は、 セキュリティによって少なくとも12ヶ月にわたって知られています。
しかしながら、サイバー衛生は、ダイナミックなパブリッククラウド環境では維持するのが困難です。私たちが話した多くのセキュリティチームは、これらのコンポーネントがどの程度最新状態で堅固に構成されているかについてはおろか、何が稼働しているのかについても把握していませんでした。
デフォルトのSSH認証など、パブリッククラウドのインフラストラクチャの誤用に起因する多くの問題を見るだけで十分です。
パブリッククラウドはセキュリティに恩恵あり
こういった有名なインシデントにもかかわらず、パブリッククラウドの制御された利用はセキュリティに寄与すると考えます – DevOpsの方法論とテクノロジーが賢明に使用される限りにおいて。変更不可能なコンテナ、マイクロサービス、自動セキュリティテストは、実際に企業のセキュリティレベルを 向上 することができます。
しかしながら、多くのセキュリティソリューションは物理的な、オンプレミスデータセンターを念頭に構築されています – パブリッククラウドに要求されるレベルのスケールと可視性を備えていないのです。セキュリティチームは、パブリッククラウドのインフラストラクチャに何が起こっているのかを追跡するために、このスケールと可視性を必要とします。それはまた、DevOpsチームと適切に業務を行う上で必要なバックグラウンドとデータを提供します。 – 多くの業界人が DevSecOpsと呼ぶものです。
Cyber Exposure：クラウドセキュリティに高度な可視性を提供
Cyber Exposureの規律は、セキュリティリーダーがパブリッククラウドのインフラストラクチャのサイバーリスクを管理し測定するためにDevSecOpsを取り入れる助けになります。従来の脆弱性管理プラクティスはクラウドセキュリティに対して、以下を通じてもっと可視性を提供しなければなりません：
- その場での発見とクラウド資産の継続的なモニタリング
- ソフトウェアの開発サイクルにおけるクラウド資産の静的および動的なスキャンを統合
- DevOpsよる自動化とシームレスなワークフローの統合
本日、弊社はTenable.ioにおいてパブリッククラウド利用を可能にする新製品を発表できることに興奮しています：
- Microsoft AzureおよびGoogle Cloud プラットフォーム用の新クラウドコネクター： すべてのクラウドワークロードが把握され脆弱性が検出されるよう、AzureとGCPクラウド環境における資産の変化を継続的に発見し追跡既存のAWS用のクラウドコネクターと共に、これらの新コネクターはもっとも広くデプロイされている3大パブリッククラウド（IaaS）プラットフォームに対する、サイバーセキュリティリスクの統一見解を提供します。
- Tenable.io コンテナセキュリティにおける新コンテナランタイムスキャン：実稼働環境で稼働しているコンテナにCyber Exposureに可視性を導入しましょう。この重要な製品強化はTenable.ioコンテナセキュリティおよび Tenable.io Vulnerability Management が協働することによって可能になり、セキュリティをエンドツーエンドDevOpsプロセスにスムーズに統合します。
- Tenable.io Web Application Scanningにおける新ウェブアプリケーションの発見：ウェブアプリケーション環境全体のCyber Exposureを理解するために、以前は把握していなかったアプリケーションも含め、企業全体で所有しデプロイしているウェブアプリケーションを特定しましょう。この新性能は重要な可視性問題を解決します – デプロイされているウェブアプリケーションの数はセキュリティチームが把握しているよりも多いことがよくあります。
弊社はDevOpsの使用増加を心強く感じており、正しく導入すれば貴社のセキュリティを向上させると信じています。パブリッククラウドはDevOpsの柱です。 適切な知識とスムーズな統合により、セキュリティチームがDevSecOpsを利用し、どんな企業であれこの新技術を安全に、かつ責任を持って使用するためのガードレールを提供することができます。
リソース：パブリッククラウド インフラストラクチャの安全保護について
詳細情報
関連記事
Tenable Cloud Security Study Reveals a Whopping 95% of Surveyed Organizations Suffered a Cloud-Related Breach Over an 18-Month Period
May 14, 2024The finding from the Tenable 2024 Cloud Security Outlook study is a clear sign of the need for proactive and robust cloud security. Read on to learn more about the study’s findings, including the main challenges cloud security teams face, their strategies for better protecting their cloud infrastructure and the tools they use to measure success.
Shifting the Paradigm: Why the Cyber Insurance Industry Should Focus on Preventive Security
May 13, 2024As claims and losses climb, it’s clear that preventive security should be prioritized more when designing a cyber insurance policy. Here’s why preventive security investments are cost effective and can lead to lower premiums.
Cybersecurity Snapshot: New Guide Explains How To Assess if Software Is Secure by Design, While NIST Publishes GenAI Risk Framework
May 10, 2024Is the software your company wants to buy securely designed? A new guide outlines how you can find out. Meanwhile, a new NIST framework can help you assess your GenAI systems’ risks. Plus, a survey shows a big disconnect between AI usage (high) and AI governance (low). And MITRE’s breach post-mortem brims with insights and actionable tips. And much more!
Kinsing Malware Hides Itself as a Manual Page and Targets Cloud Servers
May 16, 2024Tenable Cloud Security Research Team has recently discovered that Kinsing malware, known for targeting Linux-based cloud infrastructures, exploits Apache Tomcat servers with new advanced stealth techniques. Explore our analysis and the indicators of compromise in this report.
Microsoft’s May 2024 Patch Tuesday Addresses 59 CVEs (CVE-2024-30051, CVE-2024-30040)
May 14, 2024Microsoft addresses 59 CVEs in its May 2024 Patch Tuesday release with one critical vulnerability and three zero-day vulnerabilities, two of which were exploited in the wild.
Tenable Cloud Security Study Reveals a Whopping 95% of Surveyed Organizations Suffered a Cloud-Related Breach Over an 18-Month Period
May 14, 2024The finding from the Tenable 2024 Cloud Security Outlook study is a clear sign of the need for proactive and robust cloud security. Read on to learn more about the study’s findings, including the main challenges cloud security teams face, their strategies for better protecting their cloud infrastructure and the tools they use to measure success.
- Cloud