CSA ガイダンス version 4.0 を用いたクラウドセキュリティリファレンス（OSS マッピング 2019）

一般社団法人 日本クラウドセキュリティアライアンス（CSA ジャパン）
クラウドセキュリティワーキンググループ

Copyright © 2019 Cloud Security Alliance Japan Chapter目次
1.

はじめに................................................................................................................................................ 42.

検討指針................................................................................................................................................ 5

3.

DOMAIN6 管理画面と事業継続 ............................................................................................................... 6

4.

DOMAIN7 インフラストラクチャ・セキュリティ................................................................................ 10

5.

DOMAIN8 仮想化とコンテナ技術 ......................................................................................................... 18

6.

DOMAIN10 アプリケーションセキュリティ ......................................................................................... 22

7.

DOMAIN11 データセキュリティと暗号化 ............................................................................................ 30

8.

DOMAIN12 アイデンティティ管理、権限付与管理、アクセス管理 (IAM) ......................................... 35

9.

参考 URL............................................................................................................................................... 39

Copyright © 2019 Cloud Security Alliance Japan Chapter

2l

本書執筆編集メンバー
氏名

所属

井上 淳

NTT テクノクロス株式会社

釜山 公徳

日本電気株式会社

福田 貢士(個人会員)

森田 翔(個人会員)

※五十音順
l

変更履歴
日付

版数

2019 年 2 月 26 日
l

1.0

変更内容
初版発行

著作権についての留意事項
本書の著作権は、CSA ジャパンまたは執筆者に帰属する。引用に際しては、出典を明記することとし、無断転載を禁止する。転載、および商用利用に際しては、事前に CSA ジャパンに相談すること。

Copyright © 2019 Cloud Security Alliance Japan Chapter31. はじめに
昨今、パブリッククラウドの利用について、業界に関わらず移行が進んでおり、銀行の勘定系システム
であっても移行する動きが見られる。このような動きでクラウドジャーニーが激化し、従来のオンプレ
ミス環境とのハイブリッド環境、場合によっては全てのシステムをクラウドへ移行、さらには新規事業
においては最初からクラウドのみを利用する等、クラウドネイティブ化が進んでいる。
この理由として、初期投資の不要やスケーリング技術によるビジネスアジリティ、ハードウェア保守の不要や従量課金制によるコスト最適化、さらには各クラウドベンダーが提供する利便性の高いマネージドサービスによる設計・構築負荷の低減などが挙げられる。
まさにクラウドの時代である。
ただし、メリットばかりではなく、デメリットや注意点も存在し、デメリットとしてはクラウドを効果的に利用しないことによるコスト増、ベンダー責任範囲のブラックボックス化、注意点についてはクラウドベンダーによるベンダーロックイン、セキュリティ施策等が挙げられる。
ここでセキュリティに着目すると、各クラウドベンダーでは自身の責任範囲内においては各団体の第三者認証を得ていることから強固なセキュリティを実装しているといえるものの、利用者側の範囲ではその限りではないのではないかと考えられる。利用者側でどのような施策を行えばよいのかについては、まとまった情報は散見されるものの、ほとんどが各セキュリティベンダーからの情報であり、これらは中立性に欠けると言える。
そこで、本書においては、中立性と参照性を鑑みた参考情報として、2017 年にクラウドセキュリティ
アライアンスにて公開した”クラウドコンピューティングのためのセキュリティガイダンス バージョン 4”と、Open Source Software(OSS)によるセキュリティマッピングを行うこととした。
本書は、利用者側の施策を中心に記述しており、クラウドを利用する多くの方々への一助となれば幸いである。

CSA ジャパン クラウドセキュリティ WG リーダー 釜山 公徳

Copyright © 2019 Cloud Security Alliance Japan Chapter

42. 検討指針
2.1. 目的
Cloud Security Alliance (CSA) において、クラウドコンピューティングのためのセキュリティガイ
ダンス(以下、ガイダンス)といったセキュリティリファレンスはあり、大変有用である。しかしながら、実環境における設計や実装といったフェーズで具体的な検討をするにあたり、人によってはイメージがわかないことがある。そこで、Open Source Software(OSS)とガイダンスをマッピングさせることで、具体的な施策のイメージへの一助になると考えた。なぜ、OSS か。それは、CSA はニュートラルな団体であり、ニュートラルなソフトウェアである OSS との親和性が高いため、題材として選択した。

2.2. 前提
以下 3 事項を前提とする。
① 記載の方針
ガイドラインの要約、ならびにワーキンググループにて独自に解釈したものとする。
② マッピングの正確性
現状、知り得る範囲で執筆しているため、正確性の保証はない。
③ 対象ドメイン
OSS にマッピング可能な技術要素を対象とし、1 章から 5 章、9 章、13 章は対象外とする。
表 2.2-1 本書におけるガイダンスの対象ドメイン

本書の対象

ドメイン No.
ドメイン 1

ドメインタイトル
クラウドコンピューティングのコンセプトとアーキテクチャドメイン 2

ガバナンスとエンタープライズリスクマネジメント

ドメイン 3

法的課題：契約と電子証拠開示

ドメイン 4

コンプライアンスと監査マネジメント

ドメイン 5

情報ガバナンス✔

ドメイン 6

管理画面と事業継続✔

ドメイン 7

インフラストラクチャ・セキュリティ✔

ドメイン 8

仮想化とコンテナ技術

ドメイン 9インシデント対応、通知、および被害救済✔

ドメイン 10

アプリケーションセキュリティ✔

ドメイン 11

データセキュリティと暗号化✔

ドメイン 12

アイデンティティ、権限付与、アクセスの管理

ドメイン 13

Security as a Service

ドメイン 14

関連技術

Copyright © 2019 Cloud Security Alliance Japan Chapter

53. DOMAIN6 管理画面と事業継続
3.1. 概要
クラウドでは従来のインフラストラクチャとは異なり、管理インターフェイスへのアクセス方法が多岐に渡ることから、不正アクセス防止のために、誰が、いつ、どこから、どのようにアクセスしたのかを適切に管理する必要がある。そのため、本ドメインでは、管理画面や管理インターフェイス（Web コンソール、API 含む）は、クラウドコンピューティングでの重要な要素であり、適切なアクセス制限、利用者
認証、アクセス監視などの施策が必要と述べている。

3.2. 解説
本章では、管理画面と管理インターフェイス（Web コンソール、API 含む）を利用する上で必要とされるセキュリティ施策の項目（要素）を記載する。
表 3.2-1 必要なセキュリティ施策の項目

主項目

要素

管理画面、管理インターフ

1. 適切なアクセス制限・分離

ェイスへのアクセス管理

2. 特権ユーザカウントの管理
3. 境界での防御
4. 利用者認証
5. 適切な利用者認証
6. アクセスの記録・定期的な監視(1) 管理画面、管理インターフェイスへのアクセス管理①

適切なアクセス制限・分離
アクセス権限は、利用用途に即してアカウントを作成し、業務レベル、役割に応じて適切に付与する。

昨今 ICT 環境が多様化していることから、テレワークによるリモート拠点からのアクセス、BYOD によるアクセス、API 経由でのアクセスといった様々なシチュエーションへの考慮が求められている。その上で、誰が何のリソースにアクセス出来るかを定義し、アカウントの分離やアクセス権限の付与が望ましい。
②

特権ユーザカウントの管理
特権ユーザは、常時利用可能な状況を無くし、必要な時に必要な範囲だけ利用可能にすることが望ましい。そのためには、申請によって利用可能とするワークフローを策定し、利用時間の制限をした上で特権ユーザの払い出しや管理が必要である。また、特権ユーザの管理において、定期的な棚卸しといった運用を取り入れることで、利用していないアカウントの洗い出しを行い、不正利用によるリスクの削減が図れる。
③

境界での防御外部ネットワークから管理インターフェイスへの脆弱性攻撃、DDoS攻撃といった不正なアクセスに対Copyright © 2019 Cloud Security Alliance Japan Chapter

6

し、各境界で防御手段の実装が必要である。
境界の定義は環境やその利用用途によって異なり、防御手段はそれぞれに応じた適切なレベルでの実装が求められ、例えば、ネットワークファイアウォール、IDS/IPS、WAF、リバースプロキシなどが挙げられる。
④

適切な利用者認証
利用者が管理ダッシュボードへの認証を行う上で、次のような安全な仕組みを利用する必要がある。
l 暗号化
l 電子署名の利用
l 規格化された認証技術の利用（OpenID Connectなど）

また、利用者認証において、特に特権ユーザや権限レベルの高いユーザでは、単一の認証方式ではなく多要素認証（MFA）の実装が重要である。
⑤

アクセスの記録・定期的な監視
誰が、いつ、どのように管理ダッシュボードを利用し、何のリソースにアクセスしているかといった情報について、定常的にモニタリングするために、ロギングの仕組みを整備しておく必要がある。
ロギングの実装は、インシデント発生時といった有事の際、迅速かつ適切に調査可能にするため、前述の情報を整理し、アラートシステムやチケットシステムとの連携も考慮しておくことが望ましい。

3.3. 対応する OSS
本章では、3.2 で記載した施策事項に応じて OSS を整理し、一覧化した。
尚、記載する OSS は一例であり、利用用途/環境に応じて他のソフトウェアと組み合わせるなどして利用することが必要である。
表 3.3-1 Domain6 目的別 OSS 適合表

目的
適切なアク

施策/機能
認可

対応 OSS
OpenAM

ライセンス
CDDL

セス管理

OSS の説明元々商用の製品がオープンソー
ス化された経緯を持ち、SAML2.0、
OAuth2.0、OIDC1.0 をはじめ多くの標準プロトコルに対応している。
SAML に 対 応 し て い る た め 、Google Apps や Salesforce な
どと連携するといった事例が多数存在する。

特権ユーザ

ID 管理

OpenIDM

CDDL

アイデンティティ情報のプロビ

カウントのジョニングとライフサイクル管

管理

理を実現。
Copyright © 2019 Cloud Security Alliance Japan Chapter

7

目的

施策/機能
ID 管理

対応 OSS
LISM

ライセンス
LGPL

OSS の説明
オープンソースの LDAP サーバ
OpenLDAP の Perl バックエンドとして動作する。
LISM のほか、OpenSSO／OpenAM、
OpenLDAP といったオープンソー
スの製品を組み合わせることによって、シングルサインオンと ID
管理を実現。

境界での防FW

pfSenseBSD

御FreeBSD を基にしたファイアウォ
ールとルーター、VPN、プロキシ機
能を保有するソフトウェア。
pfSense のパッケージリポジト
リからプラグインを入手することで、様々な機能を拡張すること
もできる。

IPS

Suricata

GPLv2

高速で堅牢な脅威検出エンジン。
リアルタイムで侵入検知や防御ができ、ルールと署名を利用したネットワークトラフィック検査
や、Lua スクリプティングを利用した複雑な脅威の検出といった機能を持つ。
非 営 利 団 体 Open Information
Security Foundation(OISF)がオ
ープンソースプロジェクトとして開発している。

IPS

WAF

Snort

ModSecurity

GPLv2、

ネットワーク型 IDS/IPS(不正侵Proprietary

入検知システム)。商用製品にもSnort利用されるなどの実績がある。

GPLv2

Trustwave 社がオープンソースとして提供する ModSecurity は WAFのひとつで、Apache のモジュールとして動作する。
「Core Rule Set」という攻撃パ
ターンルールセットと組み合わせて利用することで効果を発揮する。

Copyright © 2019 Cloud Security Alliance Japan Chapter

8

目的

施策/機能
Reverse Proxy

対応 OSS
Nginx

ライセンス
BSD-like

OSS の説明
処理性能/並行処理/メモリ使用量削減にフォーカスして開発されている Web サーバ/リバースプ
ロキシです。ロードバランサーや
HTTP キャッシュのなどの機能を備える。
Apache の代替えとしても利用さ
れている。

適切な利用

認証

OpenAM

表 3.3-1 適切なアクセス管理参照

MFA

GoogleApacheGoogle が開発している多要素認

Authenticator

License 2.0

証用トークンソフトウェア。

mfa

MIT

Python 製のオープンソース・ソフ

者認証

MFA

トウェア。
コマンドラインでのマルチファ
クタ認証を実現する。
アクセスの

収集

ELK Stack

記録・定期的分析

Elasticsearch

な監視

可視化

logstash

ApacheElasticsearch(

蓄

積

)

+

License 2.0

Logstash(収集) + Kibana(可視化)の３つの製品を利用したログの分析システム。

kibana

総称して「ELK Stack」とも呼ばれる。

Copyright © 2019 Cloud Security Alliance Japan Chapter

94. DOMAIN7 インフラストラクチャ・セキュリティ
4.1. 概要
ガイダンスの第 7 章では、クラウドを利用することにより、これまでのインフラストラクチャ・セキュ
リティにおける実装方法が大きく変わることを示唆している。
インフラストラクチャは、以下の表に記載の通り、クラウド利用者が管理する区分とクラウド事業者が管理する区分とで分類でき、本書ではクラウド利用者に焦点を当てた。
表 4.1-1 インフラストラクチャの種類

種類

概要

クラウド利用者が管理するイン

リソースプールから使用するリソース

フラストラクチャ(例) 抽象化されたプロセッサ、メモリ、
ストレージ、ネットワークなど

クラウド事業者が管理するインクラウドサービスを構築するリソース

フラストラクチャ(例) 物理的なプロセッサ、メモリ、
ストレージ、ネットワークなど

当ガイダンスでは、特に「ネットワークの仮想化」、「SDP（Software Defined Perimeter）」と「ワークロード」に焦点を当てている。
ネットワークの仮想化については当ガイダンスのドメイン 7、ワークロードセキュリティ(コンテナ)についてはドメイン 8 仮想化とコンテナ技術を参照願いたい。
「SDP」はデバイス認証およびユーザ認証を統合し、リソースへのアクセスを動的にプロビジョニングする概念である。本書では SDP として OSS をマッピングせず、デバイス認証とユーザ認証を分けてマッピングした。
また、実際にクラウド上でセキュリティ施策を実装することを含めて検討することとし、クラウドサー
ビスにおける一般的な脅威についても検討した対策を追加した。

4.2. 解説(1) ネットワークの仮想化
仮想ネットワークは、クラウドを構築する技術の一つであり、クラウド利用者がクラウドを利用する
際、技術的な詳細設定については、特に意識しなくてもよい。
VLAN はクラウド規模の仮想化やセキュリティ用途に策定されていないが、プライベートクラウドを自身で構築する際や、既存システムとクラウドサービスをハイブリッドとして利用する際には、VLAN も考慮すべきであるが、本書では関連性が低いことから対象外とした。
また、SDN については、本書では利用者が実装する場合の OSS について記載している。
(2) ワークロード
ワークロードは処理の単位を示す。クラウド環境において、ワークロードを分離、隔離することで、他
Copyright © 2019 Cloud Security Alliance Japan Chapter

10

のワークロードや実行環境からの影響を受けないようにし、自身と他のワークロードを保護する。
表 4.2-1 ワークロード

目的

概要

ワークロードの分離、隔離

仮想マシンやコンテナ技術などにより他のワークロードからの影響を受けないようにすること。

変更無用(immutable)のワークロ

ワークロードに対するパッチや変更の影響を受けード

つけないワークロードのこと。
パッチの適用などは、新しくイメージを作成し新しいインスタンスと入れ替え、ワークロードを更新する。

ロギング/モニタリング

ワークロードで利用するファイルなどの完全性が保たれていることや、ワークロードのサービスイ
ンや停止のモニタリングを行い、不正な利用を検
出する。

脆弱性診断

利用するワークロードに脆弱性が存在していないか診断を行うこと。

③一般的なインフラストラクチャ・セキュリティ
メール、Web 対策などの経路での多層防御で行う対策について OSS を紹介する。
表 4.2-2 ワークロード

目的

概要

ネットワーク脅威の検出と防御

クラウドサービスへの外側、内側からの攻撃を防御。

安全な接続環境の確保

クラウドサービスへ接続する経路の安全を確保。

資産に対する可用性の確保

クラウドで利用するリソースの管理、障害監視。

パッチ(シグネチャ)マネジメン

使用しているソフトウェアの管理。

ト
ロギングとモニタリング

利用者、操作のログ収集。

セキュリティ診断

クラウドインフラ基盤に対する定期的な診断。

4.3. 対応 OSS
本章では、4.2 で記載した施策事項に応じて OSS を整理し、一覧化した。
尚、記載する OSS は一例となり、利用用途/環境に応じて他のソフトウェアと組み合わせるなどして利用することが必要である。
表 4.3-1 Domain7 目的別 OSS 適合表

Copyright © 2019 Cloud Security Alliance Japan Chapter

11

目的
ネットワー

施策/機能
SDN

ク仮想化

対応 OSS

ライセンス

OpenDaylightEPL

Ryu SDN Framework

ApacheLicense 2.0

Open vSwitch

ApacheOSS の説明SDN においてネットワーク
構成や機能を集中的に制御するソフトウェア「SDN コ
ントローラ」機能を提供。

License 2.0
ワークロー

ワークロードのド

分離Jenkins + Ansible + Packer
JenkinsMIT

AnsibleGPLv3

PackerMPLv2

マシンイメージを管理する
Packer とソフトウェアのビルド等の作業を自動化する
Jenkins、構成管理ツール
Ansible の組み合わせにより、マシンイメージを自動
生成。

変更無用

－

－

－

－

－

－

OpenSCAP

GPLv2.1

SCAP（NIST によって規定さ(immutable)のワ
ークロード
ロギング/モニタリング
プラットフォー
ム脆弱性診断れた情報セキュリティ施策の自動化と標準化のための規格）を用いて OS のシス
テム設定や脆弱性への対応
状況などを検査するツール群。
該当するシステムがどのようなセキュリティ設定になっているか、どこまで脆弱性対応を行っているかなどをファイルとして出力できる。

プラットフォー
ム脆弱性診断OpanVASGPL

脆弱性のスキャニングと脆弱性の管理の機能を提供するサービスおよびツール群からなるソフトウェアフレームワーク。

Copyright © 2019 Cloud Security Alliance Japan Chapter

12

目的

施策/機能
プラットフォー

対応 OSS
Vuls

ライセンス
GPLv3

ム脆弱性診断OSS の説明Linux/FreeBSD 向けの脆弱性スキャンツール。
エージェントレスのアーキ
テクチャを採用しているため導入が非常に簡単である。OS としては Ubuntu、Debian、CentOS、Amazon
Linux、RHEL に対応。

ネットワー

DDoS 対策

go-dots

ク脅威の検
出と防御

WAF

ModSecurity

ApacheDOTS プロトコルを用いた

License 2.0

DDoS 対策ソフトウェア。

ApacheTrustwave 社がオープンソ

License 2.0

ー ス とし て提 供 する
ModSecurity は Web アプリ
ケーションファイアウォー
ル(WAF)のひとつで、Apacheのモジュールとして動作する。
「Core Rule Set」という攻撃パターンルールセットと組み合わせて利用することで効果を発揮する。

WAF

WebKnight

GPL

AQTRONiX 社がオープンソースで開発・提供している
IIS 向けのホスト型 WAF 。

不正アクセス及Snort + ACID

び不正侵入の検

Snort

出(防御)

ACID

パケットスニファ/パケッ
GPLv2

トロガー及びプリプロセッ

SNORT

サ機能を提供する Snort とLICENSE分析する ACID(Analysis

GPLv2

Console for Intrusion
Databases)の組み合わせ。

Copyright © 2019 Cloud Security Alliance Japan Chapter

13

目的

施策/機能
不正アクセス及対応 OSS
Suricata

ライセンス
GPLv2

OSS の説明
高速で堅牢な脅威検出エンび不正侵入の検ジン。リアルタイムで侵入出(防御)

検知や防御ができ、ルールと署名を利用したネットワ
ークトラフィック検査や、
Lua スクリプティングを利用した複雑な脅威の検出といった機能を持つ。
非 営 利 団 体
Information

Open

SecurityFoundation(OISF)がオープ
ンソースプロジェクトとして開発している。
マルウェア対策

Proxmox Mail

(メールゲートウ

Gateway

AGPLv3

受信メールと送信メールを制御し、スパム、ウイル

ェイ)ス、フィッシング、トロイの木馬からユーザーを保護
Postfix Mail Transport
Agent（MTA）、ClamAV アン
チウィルスエンジン、
Apache SpamAssassin プロ
ジェクトなどのメールフィ
ルタリング用のさまざまなサービスが適用されている。
cuckooGPLv3

マルウェアを解析するサンドボックスツール。

SpamAssassin
Rspamdマルウェア対策－

Apacheスパムメールフィルタツー

License 2.0

ル。

Apacheスパムメールフィルタツー

License 2.0

ル。

－(Web ゲートウェ
イ)

Copyright © 2019 Cloud Security Alliance Japan Chapter

14

目的

施策/機能
ネットワーク監

対応 OSS
WireShark

ライセンス
GPLv2

OSS の説明
ネットワークプロトコルア

視(パケットスニ

ナライザ(パケット取得/プ

ッフィング)

ロトコル解析ツール)
多くのプロトコルに対応
し、ネットワークインター
フェース上を通過するネッ
トワークパケットをキャプチャして収集しリアルタイ
ムで調査/解析することができる。
また多くにプラットフォー
ムに対応している。

ネットワーク監

tcpdump

BSD

ネットワークトラフィック

視(パケットスニ

をキャプチャするためのパッフィング)

ケットアナライザ。
UNIX/Linux 環境で利用でき
る。

安全な接続

VPN の利用

OpenVPN

GPLv2

環境の確保

暗号化されたトンネルを作成するソフトウェア。

(ハイブリッ

専用線の利用－トクラウド

踏み台経由のア

iptables + OpenSSH

利用を想定)

クセス(要塞仮想－

iptables

ネットワーク制御を行う
GPLv2

ネットワーク)

iptables と通信を暗号化す
るプロトコル ssh の組み合

OpenSSH

BSD

わせで実装。
iptables は Linux に実装されたコマンドのひとつ。

資産に対す

オートスケーリ

る可用性の

ング

確保

OpenStack

Apacheクラウド基盤ソフトウェ

License 2.0

ア。
Red Hat、IBM、ヒューレッ
トパッカード（HP）の他、サービスプロバイダーとしては RackSpace が、システ
ムインテグレーターである
Mirantis が積極的にコント
リビューションしている。

Copyright © 2019 Cloud Security Alliance Japan Chapter

15

目的

施策/機能
オートスケーリ

対応 OSS
CloudStack

ング

ライセンス

OSS の説明Apacheクラウド基盤ソフトウェ

License 2.0

ア。
Citrix、システムインテグ
レーターである Clogeny、
サービスプロバイダー
Shubergphilis、Leasewebなどが積極的にコントリビ
ュージョンしている。

耐障害監視(ヘルHinemos

GPLv2

スチェック)

システム稼働状況を監視。
一般的に監視機能やジョブ管理機能などは機能単位のソフトウェアとして提供されるケースが多くあるが、
Hinemos は、
「収集・蓄
積」、
「監視・性能」、「自動化」の機能をすべてワンパッケージで提供している。

耐障害監視(ヘルZabbixGPLv2

スチェック)

Zabbix 社が開発している、Web インタフェースを備えたネットワーク監視ツー
ル。データは RDB に格納される。商用サービスも提供されている。

耐障害監視(ヘルNagiosGPLv2

スチェック)

監視をプラグインによって行うのが特徴のファイルベ
ースのネットワーク監視ツール。コミュニティ活動が活発で、多数のプラグインが公開されている。

パッチ(シグ

適切なソフトウネチャ)マネェアバージョン

ジメントの管理

PuppetApacheシステム構成管理ツール。

License 2.0

Copyright © 2019 Cloud Security Alliance Japan Chapter

16

目的

施策/機能
適切なソフトウ対応 OSS
Ansible

ライセンス
GPLv3

OSS の説明
レッドハットが開発するオェアバージョン

ープンソースの構成管理ツの管理ール。ファイルに記述した設定内容に応じて自動的にユーザの作成やパッケージのインストール、設定ファ
イルの編集などを行うツール。構成管理に加え、オーケストレーションやソフト
ウェアデプロイメントの機
能を持つ。

ロギングと

セキュリティイOSSIM ＋ 各センサ

GPLv2

SIEM 機能を提供する OSSIM

モニタリン

ベントに対するとシステム稼働情報を収集

グ

ロギングとモニするセンサの組み合わせ。

タリング
セキュリテ

プラットフォー

ィ診断

ム診断
ペネトレーションテスト(侵入テ

表 4.3-1 Domain7 目的別 OSS 適合表 “ワークロード”参照

OWASP Zed Attack
Proxy

ApacheWeb アプリケーション脆弱

License 2.0

性診断ツールであり、主にスト)

次の 3 つのチェック方法でWeb アプリケーションの脆弱性を確認する。
1. 簡易スキャン
2. 静的スキャン
3. 動的スキャン

ペネトレーショ

BeEF

GPLv2

The Browser Exploitation

ンテスト(侵入テ

Framework の略称。

スト)

ブラウザのペネトレーショ
ンテスト。

Copyright © 2019 Cloud Security Alliance Japan Chapter

17

5. DOMAIN8 仮想化とコンテナ技術
5.1. 概要
本ドメインでは、クラウドコンピューティングのコアテクノロジーである仮想化のセキュリティを対象としている。ガイダンスでは、仮想化環境におけるセキュリティの観点としては、基盤となるインフラの物理的な制御に加えて、次の 2 つのレイヤーについて新たに考慮が必要であると述べている。
lハイパーバイザー等の仮想化技術についてのセキュリティl

仮想ファイアウォール等による仮想資産のセキュリティ制御

クラウド事業者が物理インフラや仮想プラットフォームのセキュリティについて責任を負う一方で、クラウド利用者は用意された環境適切に実装する必要がある。例えば、仮想化ストレージを暗号化するタイミングや、仮想ネットワークと仮想ファイアウォールの設定、専用ホストと共有ホストのどちらを利用するかなどの決定である。
本ドメインでは、クラウドコンピューティングにおける仮想化技術の柱となる以下の 4 つのカテゴリについて、それぞれのセキュリティ施策を述べている。
lコンピュートl

ネットワーク

l

ストレージ

l

コンテナ

5.2. 解説(1) コンピュート
従来は仮想マシンによって行われてきたが、コンテナ型やサーバレス型のコンピュートの抽象化も進んでいる。ガイダンスでは、クラウド利用者の責任範囲として、仮想インフラを管理するためのセキュリ
ティ制御手段として一般的に以下のようなものがあると述べている。
l

クラウドリソースに関するアイデンティティ管理（ドメイン 6 の内容）

l

監視とロギング（ドメイン 7 の内容に加え、仮想マシンのステータス・管理イベント・パフォー
マンス）l

マスタイメージ（リポジトリ）管理l

必要に応じた専用ホスティングの使用

さらにガイダンスでは、以下のような仮想化されたリソース内のセキュリティ制御もクラウド利用者の責任範囲であると述べている。
l仮想マシン、コンテナ、アプリケーションコードなどの（仮想化環境に限らない）すべての標準的セキュリティ
Copyright © 2019 Cloud Security Alliance Japan Chapter

18

l

パッチが適用された最新の仮想マシンイメージなどの安全な構成設定の配備

l

サーバレス型配備の場合のホストレベルの監視／ロギングに代わる代替手段（例：通常より堅牢なアプリケーションログ）(2) ネットワーク
ネットワークの仮想化技術は複数あるが、多くのクラウドコンピューティングでは SDN を使用している。
SDN 環境では、ネットワーク上に組み込まれた監視やフィルタリングのツールではトラフィックを検知できないため、仮想ネットワーク用のツールが必要となる。ガイダンスでは、仮想ネットワークの管理について、クラウド利用者の責任として、仮想ファイアウォールの配備を適切に設定する責任があると述べている。
(3) ストレージ
仮想化ストレージについて、ガイダンスでは、物理ストレージの暗号化でもある程度カバーできるが、データをクラウド事業者に見られないよう保護するためには仮想化レイヤーでの暗号化が必要であると述べられている。これらの追加的施策はドメイン 11 にて記載されている。
(4) コンテナ
コンテナのセキュリティについて、ガイダンスでは以下が必要であると述べられている。
l

基盤となる物理インフラのセキュリティ確保l

管理ダッシュボードのセキュリティ確保l

イメージリポジトリの適切な保管l

コンテナ内で実行されているタスク／コードのセキュリティl

イメージやコンテナの構成設定

5.3. 対応 OSS
本章では、5.2 で記載した対策事項に対応する OSS を整理したものである。
尚、記載する OSS は一例となり、利用用途/環境に応じて他のソフトウェアと組み合わせるなどして利用することが必要。
表 5.3-1 Domain8 目的別 OSS 適合表

目的

施策/機能

ハ イ パ ー バ アクセス制御

対応 OSS－

ライセンス－

OSS の説明
KVM や Zen などの仮想化基盤

イザの安全向けの OSS は存在するが IaaS

性確保

向けの OSS は存在しない。
脅威検出

－

－

VMWare 向けの商用の製品は存在するが OSS では存在しない。

Copyright © 2019 Cloud Security Alliance Japan Chapter

19

目的

施策/機能

対応 OSS仮 想 マ シ ン アイデンティテ

OpenIDMの 適 切 な 管 ィ管理

OpenAM理

Zabbix

監視とロギング

ライセンス

OSS の説明

表 5.3-2 Domain6 目的別 OSS 適合表 参照

GPLv2

Zabbix 社が開発している、Web インタフェースを備えたネットワーク監視ツール。データは RDB に格納される。商用サービスも提供されている。

マスタイメージ

Jenkins + Ansible + Packer

AMI 作成の自動化（リポジトリ）管Ansible：構成管理理

Packer：マシンイメージ自動作成
Jenkins：CI ツール

専用ホスティン

JenkinsMIT

AnsibleGPLv3

PackerMPL2.0－－

仮 想 リ ソ ー 仮想マシン、コン －－グの使用
具体策についてはガイダン

ス 内 の セ キ テナ、アプリケー

スで省略されているため割ュ リ テ ィ 制 ションコードの愛

御標準的セキュリ
ティ
安全な構成設定

表 5.3-3 Domain8 目的別 OSS 適合表 “マスタイメージ（リポジの配備トリ）管理”参照

サーバレス型配－－備の場合のホスアプリケーションにて実装する必要がある。

トレベルの監視／ロギング
仮 想 ネ ッ ト 仮想ネットワー
ワ ー ク の セ ク用のトラフィ
キュリティ

Zabbix

表 5.3-4 Domain8 目的別 OSS 適合表“監視とロギング”参照ック監視

Copyright © 2019 Cloud Security Alliance Japan Chapter

20

目的

施策/機能
仮想ファイアウ対応 OSS
VyOS

ライセンス
GPLv2

OSS の説明ソフトウェアルータ。日本でォールの適切なは VyOS も有名だが、グロー設定

バルでは pfSence のほうがメジャーである。
pfSenseApache License

FreeBSD を基にしたファイア

2.0

ウォールとルーター、VPN、プ
ロキシ機能を保有するソフ
トウェア。
pfSense のパッケージリポ
ジトリからプラグインを入手することで、様々な機能を拡張することもできる。

コ ン テ ナ の 物理インフラの－－具体策についてはガイダン

セ キ ュ リ テ セキュリティ確

スで省略されているため割

ィ

愛。

保
管理ダッシュボ
ードのセキュリ
ティ確保
イメージリポジ

OpenIDM

表 5.3-5 Domain6 目的別 OSS 適合表 参照

OpenAM
Rancher + Harbor

Docker イメージ管理のため

トリの保護

コンテナ内で動のプライベートレジストリ。
Rancher

Apache License

Harbor

2.0

－

－

－

－

作するタスク・コードのセキュリ
ティ
コンテナ構成設定のセキュリテ

仮想化インフラにより提供される。

ィ
コンテナ環境に
おける認証

－

－

仮想化インフラにより提供される。

Copyright © 2019 Cloud Security Alliance Japan Chapter

21

6. DOMAIN10 アプリケーションセキュリティ
6.1. 概要
本ドメインでは、クラウドコンピューティングにおいて特に IaaS と PaaS で、アプリケーションをセ
キュアな開発配備しようと考えているソフトウェア開発と IT のチームを対象としており、開発、配備プ
ロセスにおける主たるものに焦点を当てた対策が記載されている。

6.2. 解説
本章では、アプリケーションの開発~運用を行う上で必要とされるセキュリティ施策の項目（要素）を記載する。
表 6.2-1 Domain10 必要なセキュリティ施策の項目
主項目
利用状況の可視化要素
アプリケーション操作のモニタリング・ロ
ギング

管理画面・管理インターフ

アクセスの記録・定期的な監視

ェイスのアクセス監視
透明性の制約

外部サービスとの連携管理、アプリケーシ
ョン間のアクセス制御（API など）

セキュアな設計と開発の管開発プロセスの管理理
セキュアな配備計画

コードレビュー
機能テスト
静的アプリケーション セキュリティ テス
ト（SAST）
動的アプリケーション セキュリティ テス
ト（DAST）
侵入テスト
アプリケーション CI/CD パイプラインのセ
キュリティ

セキュアな運用管理

脆弱性評価（継続的実施）
開発コード変更管理(1) 利用状況の可視化①

アプリケーション操作のモニタリング、ロギング
アプリケーションに対する操作の記録を一般公開されている「セキュリティログ管理ガイドライン」を参考に行い、適切な保管を行なう必要がある。ログのモニタリングについては、不審な操作に関するアラートの設定および、定常的なモニタリングによる監視を行なうことで、適切な利用が成されているかを確認することができる。
Copyright © 2019 Cloud Security Alliance Japan Chapter

22

(2) 管理画面、管理インターフェイスへのアクセス監視ドメイン 6 の施策（① 適切なアクセス制限・分離）と同様の内容。
(3) 透明性の制約①

外部サービスとの連携管理、アプリケーション間のアクセス制御（API など）
対象アプリケーションが外部サービスと連携している場合など、適切な分散配置及び、外部アプリケー

ション間の適切な通信制御や認証/認可を行う必要がある。
連携対象となる外部サービスのセキュリティコントロールを把握することは難しいが、まずは自組織
内のアプリケーション管理を行い、透明性を確保していくことが重要であると考える。
(4) セキュア設計と開発の管理①

開発プロセスの管理
アプリケーションの開発ステップ（教育、定義、設計、開発、テスト）は、各担当者、各プロジェクトでの品質の差異をなくすためにも、標準化が行われていることが望ましい。
また、要件に応じた適切な設計、設計通りの開発、開発されたアプリケーションのテストなど、各ステップのインターフェイスを適切に結合し管理することで、効率的かつ漏れのないセキュアアプリケーシ
ョンの開発が行なえると考える。
(5) セキュアな配備計画①

コードレビュー
アプリケーションのソースコードは、配備する前にコードのレビュー（チェック）が必要である。いつ

誰がどのような変更をおこなったか把握し、管理/承認外の変更があった場合には、それがどのような変更なのか管理できる、またセキュリティ担当者に通知するような仕組みが必要となる。
②

ユニットテスト、回帰テスト、機能テスト
これらは、開発プロセスにおける標準的なテストとなるが、このテストにはセキュリティ品質を確保するための観点も含まれていることが望ましい。

③

l

考慮すべきセキュリティ施策の漏れの確認

lプログラム動作時の脆弱性の確認

静的アプリケーション セキュリティ テスト（SAST）
アプリケーションのソースコード自体を検査して脆弱性となりうる設計やコードを見つけ出すことを目的に実施する。
④

動的アプリケーション セキュリティ テスト（DAST）
アプリケーションを動作させながら、ペネトレーション・テストを使用し、スキルと動機を合わせ持つ

攻撃者による攻撃をシミュレーションすることで、セキュリティ上の脆弱性を見つけ出すことを目的に
Copyright © 2019 Cloud Security Alliance Japan Chapter

23実施する。
⑤

侵入テスト
外部からの侵入を想定し、自動的な定型スキャンと手動によるテストを組み合わせて脆弱性を見つけ出すことを目的に実施する。
⑥

アプリケーション CI/CD パイプラインのセキュリティ
アプリケーションを本番環境へ配備する際に、各種機能をテンプレート化し、自動構成を可能にすることで、迅速な開発が可能となるが、この自動化されたパイプラインにおいて、変更履歴の確認（ログ監視）
や、API コールの制限、レポジトリの管理を適切に行う必要がある。
(6) セキュアな運用管理①

継続的な脆弱性評価

本番環境にに配置したアプリケーションに対して、定期的（適宜）な脆弱性診断を行い、脅威の多様化に対応していく必要がある。
②

開発コード変更管理
アプリケーションのソースコードに対して、いつ誰がどのような変更をおこなったか管理し、管理/承認外の変更があった場合には、セキュリティ担当者に通知するような仕組みが必要となる。

6.3. 対応 OSS
本章では、6.2 で記載した対策事項に対応する OSS を整理したものである。
尚、記載する OSS は一例となり、利用用途/環境に応じて他のソフトウェアと組み合わせるなどして利用することが必要。
表 6.3-1 Domain10 目的別 OSS 適合表

目的

施策/機能

対応 OSS

ライセンス

OSS の説明モ ニ タ リ ン 表 3.3-1 Domain6 目的別 OSS 適合表 ”アクセスの記録・定期的な監視”参照
グ、ロギング管理ダッシュ 表 3.3-1 Domain6 目的別 OSS 適合表 ”適切なアクセス制限・分離”参照
ボードへのアクセス監視
外部連携サー API 用リバース

Kong

ビスとの連携 プロキシ

Apache

プラグインベースの Kong は拡張

License 2.0が容易で、多くの人気サービスの制御、アプリプラグインを用意する。例えば

ケーション間のアクセス制御（API など）

Amazon Web Services のイベント
Nginx

BSD-like

駆動型コード実行サービス「AWS
Lambda」の関数の管理と呼び出しが可能で、「Datadog」などのシス

Copyright © 2019 Cloud Security Alliance Japan Chapter

24

目的

施策/機能

対応 OSS

ライセンス

OSS の説明ApacheApacheテム監視ツールや「Loggly」のよCassandra

License 2.0

うなログ管理ツールへ監視データを送信できる。

開発プロセス リポジトリ管理

GitLab

MITの管理「GitHub」のようなサービスを社
内などのクローズド環境に独自で構築できる Git リポジトリマネージャー。Git ベースのソースコー
ド管理機能、マージリクエスト、
レビュー機能なども備えている。

プロジェクト管RedmineGPLv2

理Ruby on Rails で開発されており、タスク管理、進捗管理、情報共有などを行えるプロジェクト管理ソ
フトウェア。

バージョン管理

ApacheApache

さまざまなソフトウェアの開発現

Subversion

License 2.0

場において広く使われているソースコード管理システム。
ソースコードやそこに加えられた変更点などの履歴はすべて中央リ
ポジトリに記録され、各開発者はネットワーク経由で中央リポジト
リにアクセスすることでソースコードを取り出したり、変更点を記録するという中央集権型のバージ
ョン管理機能を備えている。

バージョン管理

Git

GPLv3

(Github)

オープンソース分散型バージョン
管理システム。プログラムソース
コード/設定ファイル/サイトコン
テンツなどの変更履歴を記録/追跡管理する。

コードレビュ コードレビュー
ー

Rietveld

ApacheMondrian のオープンソース版ソ

License 2.0

フトウェア。
Google App Engine で動作しており、構成管理ツールと併せて利用する。

Copyright © 2019 Cloud Security Alliance Japan Chapter

25

目的

施策/機能

対応 OSS
ReviewBoard

ライセンス
MIT

OSS の説明
Python で作成されたコードレビューツール。
ソフトウェア開発におけるソース
コードの変更評価を管理するツールで、構成管理ツールなどと併せて利用する。

ユニットテス 機能テスト

Selenium

ト、回帰テスApacheWeb アプリケーションのテスト自License 2.0動化を実現するブラウザ駆動型テ

ト、機能テス

ストツール群。ブラウザ操作からト

テストスクリプトを作成でき、Web
ベース管理タスクの自動化も行える。

静的アプリケ 静的解析

FindBugs

LGPLーション セJava プログラムコードにあるバグを解析する。

キュリティ

Serverspec

MIT

テスト（SAST）

Ruby で実装されているサーバ状態のテスト自動化フレームワー
ク。
Serverspec のテスト実行は、「テスト対象サーバに SSH ログインして、コマンド実行結果を確認する」というシンプルなアーキテクチャとなっている。

動的アプリケ 脆弱性検査

OWASP

Zed

ーション セAttack Proxy

ApacheWeb アプリケーション脆弱性診断

License 2.0

ツールであり、主に次の 3 つのチ

キュリティ

ェック方法で Web アプリケーショ

テスト（DAST）

ンの脆弱性を確認する。
・簡易スキャン
・静的スキャン
・動的スキャン

Copyright © 2019 Cloud Security Alliance Japan Chapter

26

目的

施策/機能

対応 OSS

ブラックボック

Infrataster

ライセンス
MIT

ステスト

OSS の説明「サーバ外部からのテスト」(ブラックボックステスト)を実施する
Infrataster は、外部から(実際のクライアントから)テストを行う。
Infrataster でのテストの場合、サーバ内部で動作しているミドルウェア種類などは関係なく、外部から見てどのような振る舞いをするかを検証する。

脆弱性検査

OpenVAS

GPLv2「Nessus(ネサス)」から派生した
オープンソース版脆弱性スキャ
ナ。
Linux でも Windows でも、詳細なスキャンとなる。

侵入テスト

侵入検査

OWASP

Zed

表 6.2-1 Domain10 目的別 OSS 適合表”動的ア

Attack Proxy

プリケーション セキュリティ テスト（DAST）”
参照

Metasploit

BSD

exploit コードの作成や実行を行

Framework

うためのフレームワーク。

（Metasploit

現在、Metasploit プロジェクトのCommunity）

運営は Rapid7 によって行われている。

アプリケーシ バージョン管理

Git

ョン CI/CD パ

表 6.2-1 Domain10 目的別 OSS 適合表”開発プ

ロセスの管理”参照

イプラインの 構成管理Chef

セキュリティ

Apacheファイルに記述した設定内容に応License 2.0

じて自動的にユーザの作成やパッ
ケージのインストール、設定ファ
イルの編集などを行うツール。

AnsibleGPLv3

レッドハットが開発するオープン
ソースの構成管理ツール。ファイ
ルに記述した設定内容に応じて自動的にユーザの作成やパッケージのインストール、設定ファイルの編集などを行うツール。構成管理に加え、オーケストレーションや
ソフトウェアデプロイメントの機能を持つ。

Copyright © 2019 Cloud Security Alliance Japan Chapter

27

目的

施策/機能
DevOps ダッシュ対応 OSS
Hygieia

ボード

ライセンス

OSS の説明Apache

様々な CI/CD ツールからデータを

License 2.0

収集し、単一のダッシュボードで管理することができる。
管理者向けへのプロジェクト集計
メトリックの提供や、リリース管理における監査機能を提供する。

セキュリティチ

InSpecェック自動化ApacheDevOps でのポリシーやコンプラ

License 2.0

イアンス遵守のチェック自動化を行うテストフレームワーク。

テストの実行、Jenkins

MIT

Java で作られているオープンソ

ビルド、デプロースの CI（継続的インテグレーシイョン）ツール。

コンテナ型の仮Docker

想化環境

Apacheオープンソースのコンテナ型仮想

License 2.0

化ソフトウェア。
1 つの OS にコンテナといわれる「独立したサーバと同様の振る舞
いをする区画」を複数作り、それを個別のユーザ/サービスに割り当てる。
コンテナには、個別に CPU/メモリ/ストレージなどを割り当てる必要がないため、システムリソースのオーバーヘッドが少なくて済み、同じ性能のハードウェアならば、より多くのコンテナを作ることが可能となる。

自動テスト

Selenium

表 6.2-1 Domain10 目的別 OSS 適合表”ユニッ

トテスト、回帰テスト、機能テスト”参照
CI/CD

Concourse CI

ApacheCloud Foundry やアジャイル開発

License 2.0のコンサルティングなどでソフト
ウェア開発をリードする Pivotalのエンジニアが、Go 言語で開発したパイプラインベースの CI/CD ツール。

継続的な脆弱 表 6.2-1 Domain10 目的別 OSS 適合表”静的アプリケーション セキュリティ テス
性評価

ト（SAST）”、”動的アプリケーション セキュリティ テスト（DAST）”、“侵入テスト”参照Copyright © 2019 Cloud Security Alliance Japan Chapter

28

目的

施策/機能

対応 OSS

コードレビュ バージョン管理

Apacheー（開発コーSubversion

ド変更管理）

バージョン管理

Git

ライセンス

OSS の説明

表 6.2-1

開発プロセスの管理 参照

表 6.2-1

開発プロセスの管理 参照

Copyright © 2019 Cloud Security Alliance Japan Chapter

29

7. DOMAIN11 データセキュリティと暗号化
7.1. 概要
本ドメインでは、暗号化をはじめとした、データそのもののセキュリティに関わる管理策に焦点を当てている。
オンプレミスで守られていたデータは、クラウドに移行することによって新たなリスクに晒される可能性があり、クラウドのデータはオンプレミスとは異なる視点でセキュリティ施策を講じる必要がある。
さらに、データセキュリティに関しては、事業者と利用者の責任分界という観点で、IaaS/PaaS/SaaS のどのサービス形態であっても最終的には利用者の責任範囲であるという考えが一般的であり、クラウド
利用者が最もセキュリティ施策を考慮すべき領域のひとつである。
ガイダンスでは、データセキュリティの管理策は概ね 3 つの領域に分類できると述べられている。
lクラウドへ移行するデータ（およびその所在場所）に対する管理l

クラウド上にあるデータの保護と管理l

情報ライフサイクル管理に対応したセキュリティの適用

それぞれについて利用者側の理解や対策が必要な点を以下に整理する。

7.2. 解説(1) データストレージの選択
ほとんどのクラウドプラットフォームは、冗長化した耐久性のあるストレージメカニズムを持っており、多くの場合はデータ分散配置の仕組みを利用している。
(2) クラウドへのデータ移行
まず、どんなデータをどの場所に配置するかのポリシーを定め、それをセキュリティ要件として、クラウドの利用状況やデータ転送をモニタリングし、実際のデータの移動を検知する必要がある。ガイダン
スでは、その手段として CASB、URL フィルタ、DLP といったツールを示している。
また、データ転送のセキュリティとして、クライアントサイドでの暗号化や暗号化プロキシといった手段も示しているが、ほとんどのクラウド事業者は TLS をサポートしており、TLS をサポートしていない事
業者は選択すべきではないと述べている。
(3) クラウド上のデータに対するアクセス制御
ガイダンスでは、アクセス制御は最低限 3 つのレイヤーにおいて実装されなければならないとしている。
l

管理用ダッシュボードl

外部向けと内部向けの共有の制御

lアプリケーションレベルコントロール(4) ストレージの暗号化とトークナイゼーション
暗号化には、IaaS、PaaS、SaaS といったサービスモデルに応じて様々な手段が存在する。暗号化は、復号鍵によってデータを復元することを前提に行うが、トークナイゼーションは、データをランダムな
Copyright © 2019 Cloud Security Alliance Japan Chapter

30

文字列に置き換えて保存する方式で、長期保存が必要なデータなど、クラウド上に保持した場合に（たとえ暗号化したとしても）暗号危殆化のリスクが懸念される場合に有効な手段となる。
(5) 鍵管理
ガイダンスでは、鍵管理を実施する方法としては下記の 4 つの選択肢があるとしている。
lHSM／アプライアンスl仮想アプライアンス／ソフトウェアl

クラウド事業者のサービス

lハイブリッド事業者が暗号鍵を管理する場合、国によっては、政府の要求等に基づいてデータが開示されるリスクがあるため、利用者によって鍵管理を行うことで事業者から機微なデータを守るという選択肢が存在する。
(6) モニタリング、監査、警報
ドメイン 11 の内容としては、機微なデータに関する権限付与の変更や外部からのアクセスの把握、および警報発信といった領域を指し、API とストレージアクセスの両方を監視する必要がある。
(7) データマスキング
データマスキングは、開発及びテスト環境におけるデータを守るため、もしくはアプリケーションの中にある機微なデータを隠蔽するために用いられる。

7.3. 対応 OSS
本章では、7.2 で記載した対策事項に対応する OSS を整理したものである。
尚、記載する OSS は一例となり、利用用途/環境に応じて他のソフトウェアと組み合わせるなどして利用することが必要。
表 7.3-1 Domain11 目的別 OSS 適合表

目的

施策/機能

対応 OSS

ライセンス

OSS の説明デ ー タ 分 散 分散ファイルシ

HadoopApacheGoogle 社の分散ファイルシステ

配置

Distributed

License 2.0

ムである GoogleFS の技術をもと

ステム

File

Systemに、Apache Hadoop プロジェクト(HDFS)
分散オブジェク
トストレージSwiftで開発されたソフトウェア。
ApacheOpenStack の一部でオブジェク

License 2.0

トストレージを担う。多数のサーバにオブジェクトを分散させることが可能。

Copyright © 2019 Cloud Security Alliance Japan Chapter

31

目的

施策/機能
分散ストレージ

対応 OSS

ライセンス

Ceph

OSS の説明GPLv2

分散ストレージソフトウェアで

LGPLv2.1

オブジェクト単位/ブロック単位/ファイル単位のアクセスが可能。SDS（Software Defined
Storage）の一種であり、RedHat
社が商用版を提供している。

データ移動、 DLP

MyDLP

GPLv3

操作の監視

2014 年 Comodo Group に買収された後、更新されていない

DLP

OpenDLP

GPLv3

Google Code で公開。2012 年 8月の v0.5.1 以降更新されていな
い。

URL フィルタ

SafeSquid

フリー

コンテンツフィルタリング機能を持つ Squid ベースのプロキシ。
20 ユーザまで利用可能な無償版が存在するが、厳密には OSS ではない。

URL フィルタ

DansGuardian

GPLv2

Linux などで動作する Web コン
テンツフィルタ。

ログ可視化

Logstash＋ Apache

Elasticsearch

License 2.0＋ Kibana

Elastic Stack の組み合わせによるデータ可視化。
・logstash：収集
・ES：集積・Kibana：可視化

ログ可視化

安 全 な デ ー 暗号化

Fluentd＋

Apache可視化ツールとして Kibana の代

Elasticsearch

License 2.0

わりに Fluentd を用いるパター＋ン。日本で人気があるため、日本

Kibana語の情報が多い。

OpenSSL

タ転送

Apache1.0＋

SSL プロトコル・TLS プロトコル

四条項 BSDのオープンソース実装で、多くのソフトウェアに組み込まれて
いる。

暗号化

OpenSSH

BSD

OpenBSD プロジェクトにより開発が行われた、デファクトスタ
ンダードの SSH プロトコル実装
ソフトウェア。

共有の制御

オンラインストレージ

ownCloud

AGPLv3

オンラインストレージを構築することができるソフトウェア。

Copyright © 2019 Cloud Security Alliance Japan Chapter

32

目的

施策/機能
オンラインスト対応 OSS
Nextcloud

ライセンス
AGPLv3

OwnCloud を元に開発された後発

レージ

ソフト。

デ ー タ ベ ー データベースフ
スの保護

OSS の説明GreenSQL

GPLv2

MySQL と PostgreSQL に対応したァイアウォール

プロキシ型 DBFW。
2008 年以降更新されていない。

データベースフ

sql_firewall

PostgreSQL

ァイアウォール

PostgreSQL 上で実行可能な SQLを制限することで SQL インジェ
クションを防ぐツール。
PostgreSQL ライセンスで提供さ
れている。

著作権管理

ERM/DRM

OpenIPMP

MPL1.1

オープンソースの DRM として開発されたが、2006 年の v2.0.2 以降更新されていない。

保 管 デ ー タ DB 暗号化

MyDiamo

GPLv2

MySQL,MariaDB,Percona,の暗号化

PostgreSQL に対応。個人の非営利的利用に限り無償利用可能。
DB 暗号化SQLCipher

BSD Style

SQLite データベースに対して透過 的 な暗 号化 を提 供す るツ ー
ル。

ファイル暗号化

VeraCrypt

ApacheLicense

開発が終了した TrueCrypt を元2.0に開発された暗号化ツール。

＋

ファイルやパーティションの暗TrueCrypt3.0

号化や、仮想暗号化ディスクの作成が可能。Windows、macOS、Linux に対応している。

トークナイゼー

Deeplearning4j

ション

ApacheDeeplearning4j は深層学習用のLicense 2.0

Java ライブラリであり、トーク
ナイゼーション用のクラスが含まれている。

トークナイゼー

OpenNMT

MIT

ション

OpenNMT は機械翻訳など、自然言
語処理の用途で使われる深層学
習フレームワークであり、トー
クナイゼーションの機能が含ま
れている。

鍵の管理

その他暗号化OpenSSL

表 7.3-2 暗号化 参照

KMS

KMIP4J

三条項 BSD

KMIP1.をオープンソースで実装
した Java ライブラリ。

Copyright © 2019 Cloud Security Alliance Japan Chapter

33

目的

施策/機能
HSM

対応 OSS
CrypTech

ライセンス
BSD

OSS の説明
オープンソースの HSM エンジンの作成を目標に活動しているプ
ロジェクト。

監視と警報

運用監視

NagiosGPLv2

監視をプラグインによって行うのが特徴のファイルベースのネットワーク監視ツール。コミュ
ニティ活動が活発で、多数のプラグインが公開されている。

運用監視

Zabbix

GPLv2

Zabbix 社が開発している、Web イ
ンタフェースを備えたネットワ
ーク監視ツール。
データは RDB に格納される。商用サービスも提供されている。

デ ー タ マ ス 匿名化

ARX

キング

ApacheGUI を備えたデータ匿名化ツー

License 2.0

ル。現在も開発が続けられてい
る。

匿名化

UTD

GPL

教育機関で開発された匿名化ツ

Anonymizationール。6 つの匿名化方式に対応しToolBoxている。2012 年以降更新されていない様子。

Copyright © 2019 Cloud Security Alliance Japan Chapter

34

8. DOMAIN12 アイデンティティ管理、権限付与管理、アクセス管理 (IAM)
8.1. 概要
アイデンティティ管理、権限付与管理、
アクセス管理を包含して IAM（Identity and Access Management）と当ガイダンスでは呼んでいる。
IAM における主要な用語や IAM の標準規格について当ガイダンスにて説明しているため、ぜひ参照願いたい。
IAM には、ID フェデレーション(ID 連携)や ID プロビジョニング(統合 ID 管理)などのいくつかの標準規格があり、クラウドサービス同士の連携やクラウドサービスと既存システムの ID 管理(Active
Directory や LDAP など)との連携に利用されている。
サービス間を独自方式によって連携させる場合は、方式の安全性について自ら担保しなければならないというリスクを負うことになるため、サービス間の連携にはできる限り標準規格を使用するべきである。もし、既存のポリシーをそのままにして、ID フェデレーションや ID プロビジョニングを行うことが困難であれば、IAM の標準規格に準拠するようにポリシーの見直しを検討すべきと当 WG では考えている。
表 8.1-1 ID フェデレーションと ID プロビジョニング目的概要

ID フェデレーション(ID

ユーザ ID をリンクさせる。2 つのドメインで ID フェデ

連携)

レーションを実現すると、一方のドメインで認証を受けたエンドユーザーは、他方のドメインでもログインしな
いでそのリソースにアクセスさせること

ID プロビジョニング(統ユーザに対し必要に応じてリソース（ID）を割り当てる合 ID 管理)こと

なお、技術的な対策ではないが IAM における棚卸は必要な対策であると考え、追加している。

8.2. 解説(1) アイデンティティ管理
アイデンティティ管理をクラウド個別に行うのではなく、組織のアイデンティティ管理と連携することを考えるべきである。また、不要なアイデンティティが放置されないように管理されないアイデンテ
ィティを棚卸する業務を組み入れるべきである。
(2) アクセス管理
クラウドサービスへの接続先は限定されていないため、不正アクセスの脅威にさらされることになる。
そのため、多要素認証のような認証が必要である。アクセス権の管理として、保有しているアクセス権の棚卸を行い、不正アクセスを防ぐことも大事であると考える。
「ハードウェアトークン」を用いた認証を実現する OSS は、現時点では発表されていないが、「ハード
ウェア(スマートカードなど)」を用いて認証する方法は確認されている。
Copyright © 2019 Cloud Security Alliance Japan Chapter

35

(3) 権限付与管理・アクセス制御
ネットワークや API などのリソースの利用権限を与える認可を行う制御と必要な権限を必要なアイ
デンティティに与える権限付与についても管理が必要である。
OSS ではそれらと認証も含め提供しているため、認証の OSS と重複している。権限付与についてはマ
トリクスなどで整理し、維持していく必要がある。当ガイダンスでは権限付与を検討するにあたり 2 つのモデルを紹介している。
表 8.2-1 アクセス制御のモデル

モデル名

概要

ロールベースアクセス制御

役割(ロール)を定義し、役割に基づいてアクセス(Role Based Access Control)

制御を行い、実行できる機能を限定する。

属性ベースアクセス制御

属性により実行できる機能を限定する。役割と異(Attribute

Based

Access なり、属性として複数の属性を定義でき、例としControl)て役割、端末(接続場所)などがある。

(4) 特権ユーザ管理
特権ユーザは、文字通り強力なシステム権限を所有しており、
「いつ」
、
「だれが」
、
「何を」したのか、接続するシステムに関連する全ての操作をログに記録わかるようにすべきである。
多要素認証だけでなく、場合によっては物理的な対策を講じた上で接続先を限定するなどの手段も必要であると考えた。もちろん、特権ユーザを利用できる権限保有者も定期的に棚卸を行うことも必要であると考えた。

8.3. 対応 OSS
本章では、8.2 で記載した対策事項に対応する OSS を整理したものである。
尚、記載する OSS は一例となり、利用用途/環境に応じて他のソフトウェアと組み合わせるなどして利用することが必要。
表 8.3-1 Domain12 目的別 OSS 適合表

目的施策/機能/方法

アイデンティ

ID プロビジョニ

ティ管理

ング(統合 ID 管

ロビジョニングとライフサ

理)イクル管理を実現。

ID フェデレーション

対応 OSS
OpenIDM

Shibboleth

ライセンス
CDDL

OSS の説明
アイデンティティ情報のプ

Apache License

Shibboleth プロジェクトに2.0

より開発され、学術系の認(アイデンティテ

証基盤として広く利用されィブローカ/SSO)ている SAML ベースのオー
プンソース実装。

Copyright © 2019 Cloud Security Alliance Japan Chapter

36

目的

施策/機能/方法
ID フェデレーシ

対応 OSS
OpenAM

ライセンス
CDDL1.0

OSS の説明元々商用の製品がオープンョン

ソース化された経緯を持(アイデンティテ

ち 、 SAML2.0 、 OAuth2.0 、ィブローカ/SSO)

OIDC1.0 をはじめ多くの標準プロトコルに対応している。
SAML に対応しているため、Google Apps やSalesforce などのアプリ
ケーションと連携させる事例も多く存在する。

ID フェデレーシ

Open IG

CDDL1.1

SAML2.0 SP や OAuth2.0 クョンライアント、代理認証機能(アイデンティテなどを実装しており、ID 連ィブローカ/SSO)

携に対応していない Web ア
プリケーションを OpenAMと連携して動作させるためのソフトウェア。

ID フェデレーシ

KeycloakョンApache License

OpenAM と比べて後発のプロ

2.0

ジェクトだが、近年評価を(アイデンティテ上げているソフトウェア。

ィブローカ/SSO)

SAML2.0、OAuth2.0、
OIDC1.0 に対応している。

アクセス管理多要素認証
ハードウェア－－

トークン

OpenAM + OpenSC + ハー
ドウェア
OpenAM と OpenSC を利用することでスマートカードなどによる認証を実装。

ソフトウェアトークン

FreeOTPApache License

ワンタイムパスワードを用

2.0

いた多要素認証のためのソ
フトウェアトークン実装の一。FreeOTP は Google
Authenticator の代替実装として Red Hat によって開発が行なわれている。

Copyright © 2019 Cloud Security Alliance Japan Chapter

37

目的

施策/機能/方法
ソフトウェアトークン

対応 OSS

ライセンス

OSS の説明

GoogleApache License

Google が開発している多要

Authenticator

2.0

素認証用トークンソフトウ
ェア。

OOB 認証－－－OpenAM

CDDL1.0

OpenAM と生体認証装置（ハ（アウトオブバンド）
生体認証

ードウェア）を組み合わせることで実現。
アクセス管理＆OpenAM

CDDL1.0

権限付与管理オープンソースのアクセス管理。

KeycloakApache License
2.0

「認証」
「認可」
「フェデレ
ーション」などの機能を提供。

特権ユーザ管アカウントとセ理ッションの記録

OpenAM

CDDL1.0

OpenAM 上で発生した操作はAudit ログとして出力。

多要素認証

表 8.3-2 Domain12 目的別 OSS 適合表”アクセス管理”参照

接続環境の隔離－－－

資格情報制御デジタル証明書
論理的分離(物理的分離)Copyright © 2019 Cloud Security Alliance Japan Chapter

38

9. 参考 URL
本章では、各章における OSS 一覧を作成するために参考とした URL を記載する。
表 9-1 参考 URL 一覧

OSS

URL

ACID

https://sourceforge.net/projects/acidlab/

Ansiblehttps://github.com/ansible/ansible

Apache Cassandra

http://cassandra.apache.org/

Apache SpamAssassin

https://spamassassin.apache.org/

Apache Subversion

https://subversion.apache.org/download.cgi

ApacheCloudStack

https://cloudstack.apache.org/

ARX

https://arx.deidentifier.org/

BeEF

https://github.com/beefproject/beefCeph

https://github.com/ceph/cephChef

https://downloads.chef.io/

Concourse CI

https://concourse-ci.org/download.html

CrypTechhttps://trac.cryptech.is/wiki/GitRepositories

cuckoohttps://github.com/cuckoosandbox/cuckoo

DanaGuadianhttps://wiki.archlinux.jp/index.php/DansGuardian

Deeplearning4j

https://deeplearning4j.org/

Docker

https://www.docker.com/get-started

Elasticsearchhttps://www.elastic.co/jp/products

FindBugs

http://findbugs.sourceforge.net/downloads.html

Fluentd

https://github.com/fluent/fluentd

FreeOTP

https://freeotp.github.io/

Git

https://git-scm.com/downloads

GitLabhttps://docs.gitlab.com/omnibus/manual_install.html

Glimpsehttps://github.com/Glimpse/Glimpse

go-dots

https://github.com/nttdots/go-dots

Google Authenticator

https://play.google.com/store/apps/details?id=com.google.androi
d.apps.authenticator2&hl=ja

Hadoop(HDFS)

http://hadoop.apache.org/

Harbor

https://github.com/goharbor/harbor/

Hertbeathttps://www.ossnews.jp/oss_info/Heartbeat

Hinemos

https://ja.osdn.net/projects/hinemos/

Hygieia

https://github.com/Hygieia/Hygieia
Copyright © 2019 Cloud Security Alliance Japan Chapter

39

OSS

URL

Infrataster

https://github.com/ryotarai/infrataster

InSpechttps://www.inspec.io/downloads/

iptables

https://netfilter.org/projects/iptables/index.html

Jenkins

https://jenkins.io/

Keycloakhttps://openstandia.jp/oss_info/keycloak/

Kibanahttps://www.elastic.co/jp/products

KMIP4J

http://kmip4j.sourceforge.net/

Kong

https://github.com/Kong/kong/releases

LISM

https://ja.osdn.net/projects/lism/

Logatashhttps://www.elastic.co/jp/products

Metasploit Framework

https://www.metasploit.com/download

mfa

https://github.com/broamski/aws-mfa

ModSecurity

https://www.modsecurity.org/download.html

ModSecurity

https://github.com/SpiderLabs/ModSecurity

MyDiamohttps://www.mydiamo.com/ja

MyDLP

https://github.com/mydlp

Nagioshttps://github.com/NagiosEnterprises/nagioscore

Nagioshttps://www.nagios.com/

NextCloudhttps://github.com/nextcloud/server

Nginx

http://nginx.org/en/download.html

OpanVAS

http://www.openvas.org/about.html

Open IGhttps://github.com/OpenIdentityPlatform/OpenIG(Identity Gateway)
Open vSwitch

https://www.openvswitch.org/

OpenAM/OpenIDM

https://stash.forgerock.org/projects/OPENAM

OPENDAYLIGHT

https://www.opendaylight.org/

OpenDLPhttps://code.google.com/archive/p/opendlp/

OpenIPMP

https://sourceforge.net/projects/openipmp/

OpenNMThttp://opennmt.net/OpenNMT/tools/tokenization/

OpenSCAP

https://github.com/OpenSCAP/openscap

OpenSSHhttps://anongit.mindrot.org/openssh

OpenSSLhttps://github.com/openssl/openssl

OpenStackhttps://governance.openstack.org/tc/reference/licensing.html

OpenVAS

http://openvas.org/download.html

OpenVPN

https://github.com/OpenVPN/openvpn
Copyright © 2019 Cloud Security Alliance Japan Chapter

40

OSS

URL

OSSIM

https://ja.osdn.net/projects/sfnet_os-sim/
https://github.com/jpalanco/alienvault-ossim/tree/master/os-sim

OWASP ZAP

https://github.com/zaproxy/zaproxyOWASP Zed Attack Proxy

https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project

ownCloudhttps://github.com/owncloudPacker

https://github.com/hashicorp/packer

pfSencehttps://www.pfsense.org/

Proxmox Mail Gateway

https://www.proxmox.com/en/proxmox-mail-gateway

Puppethttps://www.ossnews.jp/oss_info/Puppet
https://github.com/puppetlabs/puppet/blob/master/LICENSE

Rancher

https://rancher.com/products/rancher/

Redminehttp://redmine.jp/download/

ReviewBoard

https://www.reviewboard.org/downloads/

Rietveld

https://github.com/rietveld-codereview/rietveld

Rspamdhttps://github.com/rspamd/rspamd

Ryu SDN Framework

https://www.ossnews.jp/oss_info/Ryu_SDN_Framework
https://ryu.readthedocs.io/en/latest/search.html?q=license&chec
k_keywords=yes&area=default

SafeSquid

https://www.safesquid.com/content-filtering/downloads

Seleniumhttps://www.seleniumhq.org/download/Serverspec

https://serverspec.org/

Shibboleth

https://www.ossnews.jp/oss_info/Shibboleth

Snort

https://www.snort.org/downloads

sql_firewall

https://github.com/uptimejp/sql_firewall/

SQLCipher

https://www.zetetic.net/sqlcipher/sqlmaphttps://github.com/sqlmapproject/sqlmap

Suricata

https://suricata-ids.org/download/

Swift

https://www.openstack.org/

tcpdumphttps://www.tcpdump.org/index.html#

UTD Anonymization

http://www.cs.utdallas.edu/dspl/cgi-bin/toolbox/index.php

ToolBox
VeraCrypt

https://www.veracrypt.fr/code/VeraCrypt/

Vuls

https://github.com/future-architect/vuls

VyOS

https://vyos.io/

WebKnight

http://www.aqtronix.com/?PageID=99
Copyright © 2019 Cloud Security Alliance Japan Chapter

41

OSS

URL

WireShark

https://www.wireshark.org/

Zabbixhttps://www.zabbix.com/jp/

Copyright © 2019 Cloud Security Alliance Japan Chapter

42