設定ミスやコンテナ、認証情報……クラウドに潜むセキュリティリスクの処方箋

　クラウド移行の進展とともに、サイバー犯罪者の標的もクラウドへと軸足を移しつつある。一般的にパブリッククラウド環境は責任共有モデルに基づいて構築されており、インフラ部分こそプロバイダーに任せられるものの、クラウド上に構築したアプリケーションは利用企業が責任を負う。利用者側もクラウドへの適切な理解や対策が欠かせないのだ。

　例えば、Amazon S3は、クラウド型ファイルストレージとして広く知られるサービスの1つであり、それだけに攻撃者の標的になることも多い。2018年2月に米国大手新聞社のWebサイトにて、訪問者に暗号資産マイニングを行わせるクリプトジャッキングが仕掛けられたのは、Amazon S3のバケットのアクセスコントロールリスト（ACL）設定にミスがあったからだった。

　本資料では、こうしたクラウド環境の設定ミスをはじめ、クラウド内コンテナのインターネットへの公開、認証情報の取り扱いなど、クラウドサービス利用者が注意すべきリスクと脅威を解説している。その対処法も併せて紹介されているので、自社環境を見直す上での参考としてもらいたい。