ハイブリッド・Cloud セキュリティとは？

ハイブリッド・クラウドのセキュリティとは 、パブリック・クラウドとプライベート・クラウドの両方の環境でデータ、アプリケーション、インフラストラクチャを保護するために設計された戦略、テクノロジー、運用手法を指す。

このアプローチでは、ID・アクセス管理（IAM）、暗号化、ネットワーク・セグメンテーション、継続的モニタリングを統合することで、資産がどこに存在するかにかかわらず、セキュリティ管理が一貫して適用されることを保証する。

適切に構築されたハイブリッドクラウドセキュリティフレームワークは、企業が動的なマルチプラットフォーム環境全体でリスクを管理し、コンプライアンスと運用の回復力をサポートしながら脅威に適応できるよう支援します。

実際のハイブリッド展開では、組織は1つのインフラをプライマリ・システムとデータに使用し、もう1つをバックアップに使用する。障害が発生した場合、組織はこの2つを切り替えることができる。

しかし、ハイブリッド環境は、しばしばセキュリティの盲点をもたらす。これには、検証されていないAPI、セキュリティ設定が欠けている不正なデプロイメント、設定の誤りなどがある。

完全に安全な環境は存在しないが、リスクは大幅に低減できる。実証済みのベストプラクティスを適用することで、組織は防御を強化し、暴露を抑えることができる。

ハイブリッド・クラウド環境の内部では、攻撃対象領域がより大きくなり、1つの設定ミスや脆弱なアクセス・ポリシーが侵害につながる可能性がある。  

米陸軍の情報・安全保障局でさえ、設定ミスによるデータ漏洩を経験している。 

また、データの保存先や共有先によって異なるルールが適用されるため、規制遵守のプレッシャーもある。 

最後に、ハイブリッド・セットアップの分割された性質は、ディザスタリカバリやフェイルオーバーの計画を複雑にするため、事業継続の管理が難しくなる。

このような環境における脅威は、技術的なギャップと人的な見落としが混在して発生する。 

COVID-19以降、リモートワークやクラウドインフラストラクチャへの移行が急速に進んだことで、こうしたリスクはさらに高まった。 

これらの課題を適切に軽減するためには、まず問題を理解しなければならない。

設定ミスはクラウドにおける最も一般的な問題の1つであり、不適切に設定されたアクセス制御、露出したストレージ、または古くなったコンポーネントによって顕在化する。 

もう1つの深刻な懸念は、侵入後の横方向の動きである。攻撃者がいったんインフラに侵入すると、システムをまたいで移動し、機密資産を探し回る可能性がある。 

複数のプラットフォームにまたがるハイブリッドモデルは、この種の活動を検知しブロックすることを難しくしている。 

最後に、インサイダーの脅威も、特に権限が厳重に管理されていない場合には、現実のリスクとなる。 

マルウェア、ランサムウェア、データ漏洩といったCloud脅威は、オンプレミスシステムとクラウドプラットフォームの間でデータが常に移動するハイブリッド環境では、より深刻な打撃を受ける。 

この動きによって攻撃対象が広がり、敵が発見されずにすり抜ける機会が増える。 

ランサムウェア集団は現在、AIを駆使したツールを使って標準的な防御を回避しており、その一方でデータ侵害の被害は拡大している。 

ハイブリッド・クラウドのセットアップでは、武器化されたファイル・アップロードも脅威となっている。  

悪意のある行為者は、一見何の変哲もないファイルにマルウェアを埋め込むことで、セキュリティフィルターを回避し、ペイロードを検知されずに配信することがよくある。  

以下のような技術 Deep CDR(Content Disarm and Reconstruction)のような技術は、悪意のあるコードが損害を与える前にファイルから除去することで、これらの脅威を無力化することができます。 

また、ハイブリッド型のセットアップでは責任の所在が曖昧になり、アクセス制御やパッチ適用に弱点が生じる可能性もある。 

ハイブリッドセットアップ内のプラットフォームは、データの保存場所や扱い方について、異なる法律によって管理される可能性がある。

COVID-19の大流行によって加速したハイブリッド・クラウドの導入拡大により、セキュリティはこれまで以上に重要になっている。

企業はリモートワークとクラウドインフラストラクチャに急速に移行しましたが、その多くは、このような分散したマルチプラットフォーム環境に対応する適切なセキュリティフレームワークを備えていませんでした。このようなクラウド導入の増加は、攻撃者の侵入口を増やし、コンプライアンス管理を複雑にしています。

このような多様なシステムでは、GDPRのような規制要件とプロセスを整合させるのは至難の業だ。GDPRは特定のデータをEU域内に置くことを義務付けている。

すべてのリスクを考慮すると、ハイブリッド・クラウドのセキュリティは、特にシングル・クラウドやオンプレミスのシステムと比較した場合、依然として強力な利点を兼ね備えている。

ハイブリッド・クラウドのセキュリティの基礎となる重要な原則には、どのエンティティもデフォルトでは信頼されないことを保証するゼロ・トラスト・セキュリティや、サプライチェーンのセキュリティへの配慮などがある。

後者は、依存関係やサードパーティのソフトウェアを保護することに重点を置いている。

セキュリティの実践を整理するために、多くのチームはCloud （Cloud Security Alliance）の（CCM）Cloud （Cloud Controls Matrix）を適用している。  

CCMは、ID管理、インフラ・セキュリティ、コンプライアンスといったクラウド特有の管理領域を細分化し、ISOやNISTといったグローバルスタンダードと整合させている。  

また、IaaS、PaaS、SaaSの各サービスモデルにおける役割と責任を定義するのにも役立つ。 

CSPMツールは、誤った設定を発見し修正することで、セキュリティ問題の主な原因であるヒューマンエラーのリスクに対処する。

ハイブリッド・クラウドは強力なイネーブラーであると同時に、独特のリスクを伴う環境でもある。 

このような背景から、ハイブリッド・クラウドのセキュリティ・フレームワークには、いくつかの重要な要素を備えた、明確で多面的なアプローチが必要となる。

IAMはアクセス・コントロールのフレームワークであり、適切な個人だけが適切な理由で適切なリソースに適切な時間にアクセスできるようにする。 

IAMは、IDがオンプレミスと複数のクラウド・サービスにまたがるハイブリッド環境の中心的存在である。  

IAMの枠組みでは、2つの方法が非常に有効である：

• (RBAC） 役割ベースのアクセス制御
• (PAM) 特権アクセス管理

RBACは、組織におけるユーザーの役割に基づいて権限を割り当て、ユーザーがアクセスまたは実行できるデータやアクションを制限する。ロールは通常、職務機能（開発者、アナリスト、人事など）に基づいており、各ロールにはあらかじめ定義されたアクセス権が設定されている。

この方法は最小特権の原則を強制し、ユーザーが必要なものだけにアクセスできるようにします。また、アクセスを論理的に構造化することで、ガバナンスやコンプライアンスにも役立ちます。

職能に基づいてのみ権限を割り当てるRBACとは対照的に、PAMは特権アカウント、すなわち管理者権限や重要システムへのアクセスを持つアカウントへのアクセスを安全に管理するために使用される。

ハイブリッドセットアップでは、PAMはインフラ管理レイヤー（ドメインコントローラー、クラウド管理ポータルなど）のセキュリティと、クラウド管理コンソール（AWSルート、Azureグローバル管理者など）へのアクセスを制御するために重要だ。

SOCは、セキュリティの脅威を監視、検出、対応、緩和する集中ユニットである。 

この部署は、人、プロセス、テクノロジーを駆使して、24時間体制で監視しながら脅威の検知と対応を調整する。

CASBは、クラウド・サービスの利用者（組織）とプロバイダーとの間のセキュリティ・ポリシー実施ポイントである。

CASB内では、組織はインフラを運営していなくても、何をアップロードし、どのようにクラウドとやり取りするかに責任を持つ。

CASBは、シャドーIT、データ移動、ユーザー行動の検出と管理を支援し、IT部門に未承認のツールが使用されていることを可視化する。

ハイブリッド・インフラでは、CASBによって統一されたガバナンスが可能になる。これにより、データをクラウドに移行しても、オンプレミスのセキュリティとコンプライアンスが損なわれることはない。

ハイブリッド環境では、セキュリティ・アーキテクトは、クラウドとオンプレミのシステム間でシームレスに実装できる一連のツール、プラクティス、ポリシーを必要とする。

CSPMは、クラウド設定を自動的に評価・管理するツールである。その目的は、クラウド環境全体の設定ミス、コンプライアンス違反、リスクのある設定を検出することである。 

ハイブリッド・クラウドのセットアップはダイナミックで複雑であり、パブリック・クラウドとオンプレミスの環境間で頻繁に変更が行われるため、ハイブリッド・クラウドには特に有効だ。

ツールというよりもプロセスであり、脅威を検知するためにログ、メトリクス、セキュリティイベントを継続的に収集・分析することを指す。 

モニタリングが機能するためには、インシデントを調査し対応するための明確なプロセスと組み合わせる必要がある。 

ハイブリッド環境では、このプロセスにより、クラウドネイティブアプリ、SaaS、オンプレミスのファイアウォール、サーバー、エンドポイントなど、散在するデバイスやソフトウェアに対する統一された脅威ビューが提供される。

最後に、ツールやスクリプトを使用して、セキュリティ・ポリシーを自動的に実施する。これらのポリシーは、非準拠のリソースを無効にしたり、暗号化を強制したり、承認されていないサービスをブロックしたりする。 

自動化された実施により、作業負荷が着地するかどうかにかかわらず、セキュリティルールが作業負荷とともに移動することが保証される。

すべてのツールやポリシーのほかに、ハイブリッド・クラウドのセキュリティ・フレームワークは、次のような運用戦術に基づいて構築されている：

ハイブリッド・クラウド・インフラを保護する場合、課題は使用するテクノロジーよりも、すべての環境間での連携と一貫性にある。

その性質上、ハイブリッド・クラウド・インフラは複数のツール、ポリシー、コントロールによって管理される。

このため、セキュリティ・チームは複数のプラットフォームを使用せざるを得ず、設定ミスのリスクが高まる。

しかも、1つのシステムが変更されても、他のシステムとは自動的に同期しない。これは、見落としのリスクを高めることにつながる。

ハイブリッド・セットアップの多様な性質は、誰が何にアクセスし、データがどこに存在し、リソースがすべての環境でどのように構成されているかについての一貫した洞察の欠如にもつながる。

散在するデータには重大なリスクが隠されている可能性がある。

このような課題に対処するには、複雑性を戦略的に管理し、攻撃対象領域を減らし、オンプレミスとクラウドの環境間で一貫した制御を確保することを目的とした戦略が必要です。

このアイデアは、すべての環境で共有されるルールセットを作成することで、それぞれの設定の複雑さに巻き込まれないようにすることだ。 

組織は、誰がログインでき、何にアクセスできるかを管理するために、1つのIDシステムを導入することができる。  

Azure ADやOktaのようなツールは、シングルサインオンと多要素認証をサポートしている。 

もう一つのアイデアは、パスワード・ルール、ネットワーク・ルール、暗号化要件など、繰り返し必要となるポリシーのテンプレートを構築することだ。 

最後に、すべてのセキュリティ・ポリシーは、GDPR、HIPAA、ISO 27001のような外部標準と一致させ、監査に備える必要がある。

各チームが異なるツールで異なるデータを見れば、攻撃は気づかれないかもしれない。

盲点を避けるために、組織はSIEMやSOARツールを使ってログやアラートを一箇所に集めると同時に、システム間で連携するエンドポイントツールを使うべきである。

また、全システムにまたがる重要なアラートを表示する単一のダッシュボードをチームが持つことも有効です。これにより、セキュリティ専門家は迅速に対応し、パターンを発見することができます。