クラウドネイティブ人材育成コース【セキュリティ編】を受けてみた[Udemy]

# Udemuの「クラウドネイティブ人材育成コース【セキュリティ編】」を受けてみた。

https://www.udemy.com/course/cloudnativesecurity/

### ■セクション1：【第1章】今なぜクラウドセキュリティが重要なのか
社員のITリテラシーが不足しており、DXを理解するためのスキルを持った人材が不足している。
※ITリテラシー：情報の扱いに関する理解や操作に関する能力のこと。

DXは単にソフトウェアや開発インフラをクラウドに移行するだけでなく使う人にも一定のリテラシーが必要。
※DXとは、デジタル技術を社会に浸透させて人々の生活をより良いものへと変革すること。

オンプレからクラウドに移行すると便利な一方、ハッカーなどに狙われないように
オンプレと同様にセキュリティ対策が必要となる。
　(例)
　・アカウントへのMFA有効化
　・使わなくなったアカウントは即時停止


### ■セクション2：【第2章】Why DXの答えはセキュリティ？
セキュリティの面では、ゼロトラストが重要である。
信頼を前提にせず、常に認証と認可を求めるアプローチで、DevOps、DevSecOps、SREと組み合わせてアプリケーション全体でセキュリティを確保する必要がある。
また、セキュリティのシフトレフトも重要で、開発の初期段階からセキュリティを優先することが求められる。

一方で、DXのゴールは組織内で異なる。
アプリケーション開発部門では、クラウド基盤への移行とCI/CD導入による全工程の自動化が重要で、これにより人的ミスの削減と安全なサービスリリース間隔の短縮が実現される。
営業部門では、情報伝達のデジタル化が求められ、さまざまなSaaSの導入が課題である。
CxO層では、個人のスキルに依存しないプロセスの自動化がDXの中心的なゴールとなる。

これらを組み合わせ、セキュリティはデジタルプロセスと共に進化し、組織全体で安全で効果的なデジタルトランスフォーメーションが実現される。


### ■セクション3：【第3章】クラウドの移行は危険？
金融機関は、クラウドサービスを利用してフィンテックやDXに迅速でコスト効率の良い対応を進めている。
 同時に、サイバー攻撃増加に備え、FISC安全対策基準を大幅に更新している。 
 このような状況下で、金融機関は「責任共有モデル」を活用し、クラウド事業者とユーザー間でセキュリティ責任を明確に定義し、
 共通理解を確立することで、効果的なセキュリティ対策を実現する枠組みを構築している。

【責任分界点の要約】
　オンプレ：組織がセキュリティとインフラ設計に全責任を負います。
　IaaS：クラウド事業者がインフラを、ユーザーがソフトウェアを管理します。
　PaaS：クラウド事業者がミドルウェアを提供し、ユーザーがアプリケーションを開発します。
　SaaS：クラウド事業者が全てを管理し、ユーザーは提供されたアプリケーションを利用し、カスタマイズの自由度が制限されます。

各CSPからはセキュリティ設定のガイドラインや責任共有モデルが提供されており、これらを理解することでセキュリティ課題に対処できる。
クラウドでは静的な監査項目が適用されないため、監査要求に応じて国際基準に合致した監査認証を提供でき、複数のCSPを組み合わせたマルチクラウド戦略を採用することも可能である。


### ■セクション4：【第4章】クラウドネイティブを採用するセキュリティメリット
クラウドネイティブアーキテクチャの導入と検討が進んでいる。
クラウドネイティブトレイルマップは、クラウドによるシステム開発とアプリケーションリリースの可用性向上など、クラウド導入および移行に関するメリットを理解するための有用なガイドラインである。

DX推進の目的は、アジャイル開発とリリースサイクルの効率化である。
クラウドネイティブアーキテクチャやCI/CDなどアジャイル開発に基づくアプローチがクラウドインフラを活用して普及している。
この変化に伴い、セキュリティもシフトレストの対象となっており、CISベンチマークなどのガイドラインがセキュリティ向上の手助けとして活用されている。
セキュリティのシフトレストはDXの成功に欠かせず、迅速かつ安全なサービス提供に貢献している。

また、セキュリティのためのガイドラインであるNIST SP800-190は、開発からデプロイまでの重要なステップで役立つ。
特に、IaC（Infrastructure as Code）のチェック作業は、手動で行うと見落としやミスが発生しやすいため、できる限りツールやサードパーティ製のソリューションなどを活用して自動化することが重要である。


### ■セクション5：【第5章】パブリッククラウドのインシデント事例と対策
ブロックチェーンセキュリティ：
・パスワード強度の向上
・MFAの実施
・アカウントアノマリの監視
・不審な外部通信の監視
・サードパーティソリューションの検討

クラウドストレージ管理：
・カテゴリ別情報管理と最小限の権限付与
・移譲時の権限検討
・ログ活用とルール違反の通知設定
・定期的な公開ストレージの監査と管理者確認フローの導入

これらの対策を通じて、クラウドネイティブ環境でセキュリティを強化出来る。


### ■セクション6：【第6章】パブリッククラウドのセキュリティポイント
パブリッククラウドのセキュリティにおいて、以下のポイントが重要である。
1.ルートユーザにMFAを設定し、アクセスキーを無効化または削除する。
2.必要最小限の権限付与とIAM/Rolesの適切な運用を確保する。
3.ログを有効化してセキュリティインシデントを検出しやすくする。
4.IaCを使用して定義の正確性と脆弱性の監視を行う。
5.Dockerファイルをセキュリティチェックして脆弱性を除去し、安全なモジュールのみをデプロイする。
6.クラウドの暗号化キー管理方法を検討し、シークレットアクセスキーのセキュリティを強化する。


### ■セクション7：【第7章】CSPM、CWPP、CASBの導入検討
CSPM:
・エキスパート不足リスク軽減
・IAMの効果的な管理
・動的な攻撃への対応
・マルチクラウド環境のセキュリティ確保
・攻撃パターンの動的な検知
・セキュリティ監査の総合的な管理
・マルチクラウド対応により一元的な監査と管理

CWPP:
・マイクロサービスセキュリティ確保
・通信検査の自動設定
・ゼロトラスト導入可能
・アジャイル開発への対応
・アプリケーションモダナイゼーションの柔軟性向上
・コンテナ環境のセキュリティ監視自動化

CASB:
・SaaSセキュリティの向上
・シャドーITの制御
・リモートワークのセキュアな実現
・MDMとの連携によるデバイス管理
・SASE導入による柔軟なアクセス管理

これらの導入により、クラウド環境全体のセキュリティを強化し、効果的なリモートワークやマルチクラウド環境の管理を可能にする。


### ■セクション8：【第8章】各CSPが提供するクラウドセキュリティサービスの利用
AWSが提供するネイティブセキュリティサービスは、特定のプラットフォームにのみ適用されるため、マルチクラウド環境でこれらのサービスを横断的に管理することはできない。
そのため、バックエンドにはSIEM製品などを導入し、自社で統合環境を構築する必要がある。
また、サードパーティが提供するCSPM、CWPP、CASBなどのソリューションを活用し、これらのネイティブセキュリティサービスと連携しながら運用することも考慮されるべきである。


### ■セクション9：【第9章】3rdパーティソリューションの検討
パロアルトネットワークスは、次世代ファイアウォールやネットワークセキュリティ関連の製品やサービスを提供する企業である。
彼らは、グローバルインテリジェンスを活用し、未知の脅威を検出しつつプライバシーを保護する手法を採用している。
PAシリーズは、パロアルトのデータセンターとリアルタイムに通信し、常に最新の情報でアップデートされている。

同社は、ハードウェアに限定されないPAシリーズに加えて、クラウド環境向けのソリューションも提供している。
その一例がPrisma Cloudであり、この製品はパブリッククラウド環境でのコンテナデプロイメントにおいて、インフラとアプリケーションコンテナのセキュリティ管理を1つの製品で包括的に行うことができる。
これは、パロアルトネットワークスが従来のハードウェアからクラウドへソリューション提供を拡大し、顧客に柔軟性と包括的なセキュリティ対策を提供する取り組みの一部である。

また、PrismaCloudは監視対象となるパブリッククラウド環境ごとに各CSPが提供するAPI参照権限を許可し、設定情報を収集する。
これらの情報をスキャンし、異常値や推奨設定されていない設定に不備があるなどの情報をアラートとして通知する。一部のアラームに対してユーザーが許可すれば自動的に修復することも可能である。

このように、PrismaCloudはクラウド環境において、セキュリティを維持するための包括的なソリューションを提供している。さらに、クラウド開発環境やアジャイル開発環境においても、PrismaCloudを活用することでセキュリティをスムーズに統合し、CI/CDフローのセキュリティポイントに効果的に導入することが可能である。


### ■セクション10：【第10章】クラウドネイティブセキュリティのまとめ
・セキュリティ対策指針
　境界型防御に加えてゼロトラストを導入
・開発手法
　ウォーターフォール型からアジャイル開発へシフト
　サービス導入スピードを加速化。
・セキュリティ導入のタイミング
　運用環境だけでなくコードを書いた時点から導入するセキュリティのシフトレスト
・インフラ構築
　IaCを随所に導入しマニュアル作業によるミスの削減と脆弱性チェックの自動化を実現
・開発と運用
　DevSecOpsをデフォルトにして更にSRE導入し開発からリリースまでのサイクルを無理なく短縮し、リリース品質向上を同時に達成することができる
・脅威検知
　設定診断などをソリューション導入によりプロの知識をより簡単に利用することによるセキュリティ精度の向上とリソース削減を実現する
・リモートアクセス
　リモート作業環境拡大に対応するためCASBやSASEを導入し利用者側の利便性を保ちつつセキュリティ強化を同時に実現する


### ■セクション11：【第11章】【インデックス】クラウドセキュリティを理解するために必要な技術用語集
IAM (Identity and Access Management)
・認証 (Authentication): ユーザーの身元を確認するプロセス。
・認可 (Authorization): ユーザーが行える操作やリソースへのアクセスを管理するプロセス。

ロールとグループ
・ロール (Role): 特定の権限をまとめたもの。
・グループ (Group): 複数のユーザーをまとめて管理する仕組み。

最小限の権限付与とセキュリティ
・パブリッククラウドのセキュリティでは、最小限の権限付与が重要。

IDS と IPS
・IDS (Intrusion Detection System): 不正侵入を検知するシステム。
・IPS (Intrusion Prevention System): 不正侵入を防ぐシステム。
・シグネチャ型 (Signature-based): 事前の不正パターンに基づく検知。
・アノマリ型 (Anomaly-based): ユーザーの異常な挙動を検知する方式。

CI/CD (Continuous Integration/Continuous Deployment)
・ソフトウェア開発を自動化する手法。
・オープンソースツールの導入で自動化が可能。

コンテナとKubernetes
・環境設定を自動化するための技術。