超簡易版 - 2022 State of Public Cloud Security Report

Orca Securityのセキュリティリ調査チームによるPublic Cloudのセキュリティ対策状況を調査した[2022 State of Public Cloud Security Report](https://orca.security/lp/2022-state-public-cloud-security-report/)が先日公開されました。この記事はレポートのポイントをまとめた超簡易版です。

# 主な発見
調査の結果多くの組織で基礎的なセキュリティ対策が欠如していることが発覚しました。

- <font color="DarkOrange">36%</font>の組織が個人情報や健康情報等のPII(個人を特定する情報)を非暗号化
- 攻撃経路の<font color="DarkOrange">78%</font>は既知の脆弱性を第一ステップとして利用
- <font color="DarkOrange">7%</font>の組織はインターネットに接続された利用されていないWorkloadを運用
- 攻撃経路の大半はわずか<font color="DarkOrange">3ステップ</font>で企業の最重要資産に到達
- <font color="DarkOrange">33%</font>の組織はRootアカウントをMFAなしで運用
- <font color="DarkOrange">72%</font>の組織がPublicに公開しているS3バケットを1つ以上運用
- <font color="DarkOrange">12%</font>の組織が漏洩済または極めて弱いポリシーのPasswordをインターネット接続されている環境で利用
- <font color="DarkOrange">70%</font>のK8S API ServerはPublicに公開
- <font color="DarkOrange">58%</font>のSever-lessサービスは非推奨の実行環境で運用
- 重大なセキュリティインシデント検知〜復旧までの平均時間は<font color="DarkOrange">18日</font>

# 根本的なこと
先ず大前提としてCloudのSSRM(Shared Security Responsibility Model)があります。IaaS/PaaS/SaaSのいずれのサービスモデルであってもDataやApplication、NetworkやSecurity,IAMの設定はCloudサービスを利用するお客様の責任になります。仮に何らかの設定ミスからCloud上の個人情報が搾取されてしまったとしても最終的にはお客様の責任です。
<br>
また、<font color="DarkOrange">10%</font>の組織は10年以上前に発見された脆弱性を放置していることが分かりました。更に攻撃経路の<font color="DarkOrange">78%</font>は既知の脆弱性を起点に行われることが発覚しました。Zero Dayのような未知の脆弱性による攻撃に備えるより既知の脆弱性を愚直に対処する方が大きなRisk軽減に繋がると言えますね。
<br>
予防の効果も見逃せません。<font color="DarkOrange">33%</font>の組織はAWS Rootアカウントを、<font color="DarkOrange">58%</font>のAzure RootアカウントはMFAが無効になっていることが分かりました。更に<font color="DarkOrange">71%</font>の組織がGCPのデフォルトアカウンを利用していることが発覚しました。GCPのデフォルトアカウントは書き込み権限を持っており最小権限の原則から反しています。これらを対処することでアカウント乗っ取りのリスクを軽減できますね。
<br>
設定ミスは最も頭の痛いCloudのRiskかもしれません。<font color="DarkOrange">99%</font>の情報漏えいはUserによる設定ミスが原因であることが分かりました。更に掘り下げてみると、<font color="DarkOrange">99%</font>の組織がAWS ManagedのKMSを利用、<font color="DarkOrange">79%</font>の組織が90日以上経過したAccess Keyを保持、<font color="DarkOrange">77%</font>の組織がデフォルトのPortが空いたままのRDSを利用していることが発覚しました。得てしてCloudのデフォルト設定はベストプラクティスになっていません。デフォルトを信用して使い続けるのは危険です。
<br>
シークレット(Password, API Key, Token)は重要資産が保管されたDangerous Zoneへの鍵です。厳密に管理されるべきですね。<font color="DarkOrange">18%</font>の組織が脆弱または漏洩したPasswordをInternetに接続した環境で利用、<font color="DarkOrange">43%</font>の組織がShell Historyに平文Passwordを記録、<font color="DarkOrange">21%</font>の組織が組織外で作成・管理されている認証鍵を利用していることが分かりました。API KeyやTokenは用が済んだら削除する、Passwordは定期的に変更する等の愚直な運用が大切ですね。
<br>
ラテラルムーブメントはRansomware被害の温床です。<font color="DarkOrange">75%</font>の組織がラテラルムーブメントが可能なCloud環境を運用していることが発覚しました。そのほとんどの組織が、複製/放置されたPrivate Keyを持っていたり、Hashではなく復元可能な暗号化でPasswordを管理していたりと、攻撃者に"ラテラルムーブメントして下さい"と言っているようなものです。また根本的なRansomware対策にはMicrosegmentationのような対策も合わせて必要かもしれません。
<br>
組織の最重要資産は最高水準のセキュリティポリシーで保護されるべきです。繰り返しになりますが<font color="DarkOrange">36%</font>の組織がPII等の機密情報を暗号化しておらず、<font color="DarkOrange">35%</font>の組織が門外不出の機密情報をGitHub Public Repoに保持、<font color="DarkOrange">6%</font>の組織で2021年12月から2022年1月にかけて未対策のLog4j脆弱性を確認されました。Dataの責任はお客様にあります。Providerは責任をとってくれません。




# 推奨
調査結果を踏まえたCloud SecurityのRiskを軽減するために推奨する対策です。

1. 企業内の最重要資産を特定
1. 既知の脆弱性検出やPatch適用を愚直に運用
1. Cloud上の資産を常に正確に把握
1. 最小権限の原則を守る
1. 機密情報は必ず暗号化
1. MFAはあれば尚良しではなく必須
1. TemplateやImageを常に検査
1. 使っていないWorkloadは直ちに削除
1. 定期的なAuditを実施
1. 最重要資産は必ずバックアップを取っておく
1. 体系化されたチェックリストを活用

物事に100%はありえないため上記はあくまで推奨ですが調査結果を元に体系化したものであるためRisk軽減に繋がることは間違いないはずです。