クラウドの重大セキュリティ脅威＋
2017 インシデント事例集

Cloud Security AllianceCLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

Cloud Security Alliance 著 作 になる「重 大 脅 威 調 査 」 の正 式 の所 在 場 所 はhttps://cloudsecurityalliance.org/group/top -threats/です。

© 2017 Cloud Security Alliance – All Rights Reserved
All rights reserved. You may download, store, display on your computer, view, print, and link to
The Treacherous 12 - Cloud Computing Top Threats in 2016 athttps://cloudsecurityalliance.org/download/the-treacherous-twelve-cloud-computing-top-threa
ts-in-2016/, subject to the following: (a) the Report may be used solely for your personal,
informational, non-commercial use; (b) the Report may not be modified or altered in any way;(c) the Report may not be redistributed; and (d) the trademark, copyright or other notices may
not be removed. You may quote portions of the Report as permitted by the Fair Use provisionsof the United States Copyright Act, provided that you attribute the portions to T he Treacherous
12 - Cloud Computing Top Threats in 2016.

© 2017 Cloud Security Alliance－

すべての権 利 は Cloud Security Alliance に帰 属 します。

以 下 の条 件 のもとに、ダウンロード、保 存 、コンピュータディスプレイへの表 示 、読 み取 り、印 刷 、
https://cloudsecurityalliance.org/download/the-treacherous-twelve-cloud-computing-top-threa
ts-in-2016 にある「The Treacherous 12 - Cloud Computing Top Threats in 2016」へのリンクを行うことができます。
a)このレポートが個 人 的 、参 照 目 的 かつ非 商 業 的 目 的 に限 定 して利 用 されること
b)このレポートをいかなる形 ・手 段 よらず修 正しもしくは変 更 しないこと
c)このレポートの配 布 もしくは移 転 を行 わないことd)商 標 、著 作 権 その他 の表 示 を削 除 しないこと
このレポートは、米 国 著 作 権 法 におけるフェアユース規 定 により認 められている範 囲 で引 用 可 能 です。
ただし、出 典 としてこのレポート名 を明 記 すること。

1©2017 Cloud Security Alliance. All rights reserved.

CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

日本語版提供に際しての告知及び注意事項
本 書 「危 険 な 12 の落 とし穴 クラウドの重 大 セキュリティ脅 威 ＋ 2017 インシデント事 例 集 」は、Cloud Security Alliance (CSA)が公 開 している「Treacherous 12 – Top Ｔｈｒｅａｔs toCloud Computing+ Industry Insights」の日 本 語 訳 です。
本 書 は、一 般 社 団 法 人 日 本 クラウドセキュリティアライアンス（CSA ジャパン）が、CSA の許 可 を得 て翻訳 し、公 開 するものです。
本 書 は、原 文 をそのまま翻 訳 したものです。また、本 書 内 で参 照 されている URL 等 は、すべて英 語 版
へのリンクとなっております。原 文 と日 本 語 版 の内 容 に相 違 があった場 合 には、原 文 が優 先 されます。
翻 訳 に際 しては、原 文 の意 味 および意 図 するところを、極 力 正 確 に日 本 語 で表 すことを心 がけてい
ますが、翻 訳 の正 確 性 および原 文 への忠 実 性 について、CSA ジャパンは何 らの保 証 をするものではありません。
技 術 用 語 等 について、一 般 に定 訳 があると判 断 したものは、極 力 それを使 用 していますが、文 脈 上 その他 の理 由 で、一 般 に用 いられる訳 語 が妥 当 でないと考 えた場 合 は、他 の語 に置 き換 えている場 合があります。また、同 様 の理 由 で、技 術 用 語 に対して訳 語 を 1 対 1 で充 てているとは限 りませんので、ご了 解 ください。確 認 が必 要 と思 われた場 合 は、原 典 に当たられることをお勧 めします。
この翻 訳 版 は予 告 なく変 更 される場 合 があります。以 下 の変 更 履 歴 （日 付 、バージョン、変 更 内 容 ）をご確 認 ください。
変更履歴
日付
バージョン
変更内容
2018 年 5 月 22 日
ク ラ ウ ド の 重 大 セ キ ュ リ ティ 脅 威 初版発行
2017 V1.0

本 翻 訳 の著 作 権 は CSA ジャパンに帰 属 します。引 用に際 しては、出 典 を明 記 してください。無 断 転 載を禁 止します。転 載 および商 用 利 用 に際 しては、事 前 に CSA ジャパンにご相 談 ください。
本 翻 訳 の原 著 作 物 の著 作 権 は、CSA または執 筆 者 に帰 属 します。CSA ジャパンはこれら権 利 者 を代理 しません。
原 著 作 物 における著 作 権 表 示 と、利 用 に関 する許 容 ・制 限 事 項 の日 本 語 訳 は、前 ページに記 したとおりです。なお、本 日 本 語 訳 は参 考 用 であり、転 載 等 の利 用 に際 しては、原 文 の記 載 をご確 認 下 さい。

［翻 訳 に際 しての注 記 ］
文 中 「X.4 CCM V3.0.1 記 載 の管 理 策 」において、赤 字 表 記 は、CCM V3.0.1 の日 本 語 版 (CSA ジャパ
ン発 行 )及 び原 文 に照 らして、本 書 が誤 りであると考 えられるものを、CCM V3.0.1 日 本 語 版 の表 記に合 わせたもの、control 番 号 以 外 の青 字 は、本 書 翻 訳 に際して、CCM V3.0.1 日 本 語 版 の表 記 が誤りであると考 えられるものを、正しいものに修 正 したものです。

2©2017 Cloud Security Alliance. All rights reserved.

CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

目次
謝 辞 ....................................................................................................................................... 6
Executive Summary .............................................................................................................. 7
調 査 方 法 .............................................................................................................................. 101.

デ ー タ 侵 害 .................................................................................................................... 11

1.1.

説 明 ............................................................................................................................ 11

1.2.

ビジネスインパクト......................................................................................................... 12

1.3.

文 献 と具 体 例 ............................................................................................................... 12

1.4.

CCM V3.0.1 記 載 の管 理 策 ............................................................................................ 12

1.5.

リンク集 ....................................................................................................................... 132.

ID、 認 証 情 報 、 ア ク セ ス 管 理 の 不 備 ............................................................................. 14

2.1.

説 明 ............................................................................................................................ 14

2.2.

ビ ジ ネ ス イ ン パ ク ト .................................................................................................... 15

2.3.

文 献 と具 体 例 ............................................................................................................... 15

2.4.

CCM V3.0.1 記 載 の管 理 策 ............................................................................................ 15

2.5.

リンク集 ....................................................................................................................... 16

3.

イ ン タ フ ェ ー ス と API の セ キ ュ リ テ ィ 欠 陥 ................................................................... 17

3.1.

説 明 ............................................................................................................................ 17

3.2.

ビ ジ ネ ス イ ン パ ク ト .................................................................................................... 17

3.3.

文 献 と 具 体 例 .............................................................................................................. 18

3.4.

CCM V3.0.1 記 載 の管 理 策 ............................................................................................ 18

3.5.

リンク集 ....................................................................................................................... 18

4.

シ ス テ ム の 脆 弱 性 .......................................................................................................... 19

4.1.

説 明 ............................................................................................................................ 19

4.2.

ビ ジ ネ ス イ ン パ ク ト .................................................................................................... 19

4.3.

文 献 と 具 体 例 .............................................................................................................. 20

4.4.

CCM V3.0.1 記 載 の管 理 策 ............................................................................................ 20

4.5.

リンク集 ....................................................................................................................... 20

5.

ア カ ウ ン ト ハ イ ジ ャ ッ ク ............................................................................................... 225.1.

説 明 ............................................................................................................................ 22

5.2.

ビ ジ ネ ス イ ン パ ク ト .................................................................................................... 22

5.3.

文 献 と 具 体 例 .............................................................................................................. 22

5.4.

CCM V3.0.1 記 載 の管 理 策 ............................................................................................ 23

5.5.

リンク集 ....................................................................................................................... 23

6.

悪 意 の あ る 内 部 者 .......................................................................................................... 24

6.1.

説 明 ............................................................................................................................ 243©2017 Cloud Security Alliance. All rights reserved.

CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

6.2.

ビ ジ ネ ス イ ン パ ク ト .................................................................................................... 24

6.3.

文 献 と 具 体 例 .............................................................................................................. 25

6.4.

CCM V3.0.1 記 載 の管 理 策 ............................................................................................ 25

6.5.

リンク集 ....................................................................................................................... 257.

標 的 型 攻 撃 の 脅 威 .......................................................................................................... 27

7.1.

説 明 ............................................................................................................................ 27

7.2.

ビ ジ ネ ス イ ン パ ク ト .................................................................................................... 28

7.3.

文 献 と 具 体 例 .............................................................................................................. 28

7.4.

CCM V3.0.1 記 載 の管 理 策 ............................................................................................ 28

7.5.

リンク集 ....................................................................................................................... 28

8.

デ ー タ の 喪 失 ................................................................................................................. 30

8.1.

説 明 ............................................................................................................................ 30

8.2.

ビ ジ ネ ス イ ン パ ク ト .................................................................................................... 30

8.3.

文 献 と 具 体 例 .............................................................................................................. 31

8.4.

CCM V3.0.1 記 載 の管 理 策 ............................................................................................ 31

8.5.

リンク集 ....................................................................................................................... 31

9.

不 十 分 な デ ュ ー デ ィ リ ジ ェ ン ス ..................................................................................... 32

9.1.

説 明 ............................................................................................................................ 32

9.2.

ビ ジ ネ ス イ ン パ ク ト .................................................................................................... 32

9.3.

文 献 と 具 体 例 .............................................................................................................. 33

9.4.

CCM V3.0.1 記 載 の管 理 策 ............................................................................................ 34

9.5.

リンク集 ....................................................................................................................... 34

10.

クラウドサービスの悪用・

乱 用 ・ 不 正 使 用 ............................................................. 36

10.1.

説 明 ......................................................................................................................... 36

10.2.

ビ ジ ネ ス イ ン パ ク ト ................................................................................................. 36

10.3.

文 献 と 具 体 例 ........................................................................................................... 37

10.4.

CCM V3.0.1 記 載 の管 理 策 ......................................................................................... 37

10.5.

リンク集 .................................................................................................................... 37

11.

サ ー ビ ス 妨 害 攻 撃 ....................................................................................................... 39

11.1.

説 明 ......................................................................................................................... 39

11.2.

ビ ジ ネ ス イ ン パ ク ト ................................................................................................. 39

11.3.

文 献 と 具 体 例 ........................................................................................................... 40

11.4. CCM V3.0.1 記 載 の管 理 策 ............................................................................................ 40
11.5. リンク集 ....................................................................................................................... 40
12.

共 用 技 術 の 脆 弱 性 ....................................................................................................... 42

12.1.

説 明 ......................................................................................................................... 42

12.2.

ビ ジ ネ ス イ ン パ ク ト ................................................................................................. 42

12.3.

文 献 と 具 体 例 ........................................................................................................... 42

12.4.

CCM V3.0.1 記 載 の管 理 策 ......................................................................................... 43
4©2017 Cloud Security Alliance. All rights reserved.

CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

12.5.

リンク集 .................................................................................................................... 432017 年版
インシデント事例集
2017 年 版
謝辞

インシデント事例集…………………………………………………………

44…………………………………………………………………………………………

45

Executive Summary………………………………………………………………………

BOX の 招 待 リ ン ク の 管 理 不 備
ヤフーの漏えい問題

46……………………………………………………………

47………………………………………………………………………

48

LinkedIn の パ ス ワ ー ド ハ ッ シ ュ 化 に 際 し て の 保 全 策 の 失 敗
インスタグラムにおけるアカウント復旧機能の悪用…………………………

49… … … … … … … … … … … … … … 51

MongoDB に お け る メ キ シ コ の 有 権 者 情 報 の 漏 え い………………………………………

52

MongoDB の 無 防 備 に 対 す る ラ ン サ ム ウ ェ ア の 攻 撃………………………………………

53

Moonpig モ バ イ ル ア プ リ の セ キ ュ リ テ ィ 欠 陥……………………………………………

54

Dirty Cow Linux の 特 権 奪 取 に 関 す る 脆 弱 性……………………………………………

55………………………………………………………………

57

OAuth の セ キ ュ ア で な い 実 装Zynga 元 従 業 員 の デ ー タ 窃 盗 疑 惑…………………………………………………………

58

T-Mobile に お け る 顧 客 情 報 盗 難…………………………………………………………

59………………………………………………………………

60……………………………………………………………………

62…………………………………………………………………… …

63

NetTraveler 標 的 型 攻 撃 脅 威
Virlock ラ ン サ ム ウ ェ ア
ヤフーの漏えい問題

クラウドサービスを利用するマルウェアによるデータ抜き取りと検知逃れ

…………

65

Zepto ラ ン サ ム ウ ェ ア の ク ラ ウ ド ス ト レ ー ジ サ ー ビ ス を ホ ス ト と し た 拡 散

………

66

……………

67

CloudSquirrel マ ル ウ ェ ア に よ る Dropbox の C&C サ ー バ の ホ ス ト 利 用

CloudFanta マ ル ウ ェ ア に よ る ク ラ ウ ド ス ト レ ー ジ を 利 用 し た マ ル ウ ェ ア 拡 散
Dyn DDoS 攻 撃… … … 68……………………………………………………………………………

オーストラリア統計局に対するサービス妨害…………………………………………

Cloudflare/Cloudbleed バ ッ フ ァ オ ー バ ー フ ロ ー 脆 弱 性………………………………

69
71
72

5
©2017 Cloud Security Alliance. All rights reserved.

CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

謝辞

共 同 リーダ

Jon-Michael C. Brook
Scott Field
Dave Shackleford
執 筆 ・協 力 者

Jon-Michael Brook
Scott Field
Dave Shackleford
Vic Hargrave
Laurie Jameson
Michael Roza
CSA グローバルスタッフ
Victor Chin
Stephen Lumpe (Design)
CSA Chapters
CSA Greater Seattle Chapter
CSA Thailand Chapter

6©2017 Cloud Security Alliance. All rights reserved.

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

Executive Summary
誰 も予 測 できなかった速 さで、クラウドコンピューティングはビジネスや政 府 に等 しく変 容 を迫 り、そして新 たなセキュリティ課 題 をもたらしている。クラウドのサービスモデルが開 発 されることで、ビジネスを支 える技 術 はかつてないほど効 率 性 の高 いものになった。サーバを保 有 する発 想 から サービ
ス利 用 ベースの思 考 への転 換 は、IT 部 門にコンピューティングとアプリケーションの企 画 ・設 計 ・提 供に関 する考 え方 の刷 新 を迫 っている。一 方 でこうした進 化 は新 たなセキュリティ上 の脆 弱 性 を生 み、
以 前 からある脆 弱 性 を助 長 し、またセキュリティ問 題 の本 当 のインパクトが完 全 には理 解 されない
状 態 をもたらしている。クラウドコンピューティングによってもたらされるセキュリティリスクの最 たるものの一 つに、IT 部 門 あるいは情 報 管 理 責 任 者 がバイパスされてしまう可 能 性 の問 題 がある。 全
面 的 にクラウド技 術 にシフトすることはコストと生 産 性 の面 で 利 点 がある一 方 、実 施 に際 してはビジネスにおけるセキュリティに関 するポリシー、実 施 手 順 、実 践 規 範 に注 意 を払 わなくてはならない。
そういった基 準 が整 わない状 態 では、ビジネスはセキュリティ事 故 に対 して脆 弱 となり、クラウドへのシフトで得 られる利 点 を失うことにもなりかねない。
Cloud Security Alliance (CSA)は、クラウドコンピューティングの利 点 とリスクの両 面 を見 据 え、産 業
界 全 体 に 通 じ る ク ラ ウ ド セ キ ュ リ テ ィ の 標 準 を 開 発 し て き た 。 近 年 の 例 で は 、 CSA は “Security
Guidance for Critical Areas in Cloud Computing ”（「セキュリティガイダンス」）と“Security as aService Implementation Guidance”（「SecaaS 実 装 ガイド」）をリリースした。これらの著 作 は、「セキュリティガイダンス」では１３のドメインで、また「SecaaS 実 装 ガイド」では 10 のサービスカテゴリで網 羅
的 にセキュリティ課 題 をとらえ、クラウドコンピューティングをセキュアにするための実 践 規 範 の業 界
標 準 に、瞬 く間 になった。多 くの企 業 、組 織 、政 府 機 関 がそのセキュリティ戦 略 にこれらのガイダンスを組 み入 れている。
上 述 の研 究 成 果 と同 様 に、“The Treacherous 12 - Cloud Computing Top Threats in 2016”（「危険 な 12 の落 とし穴 －クラウドの重 大 セキュリティ脅 威 2016」）は、CSA の研 究 体 系 の中 で重 要 な位
置 を占 めている。このレポートの目 的 は、組 織 に最 新 の、専 門 家 によるクラウドセキュリティ問 題 の解
説 を提 供 し、クラウド活 用 戦 略 においての正 しい知 識 に基 づくリスク管 理 の判 断 をできるようにすることである。このレポートには、CSA に参 加 する専 門 家 による、クラウドにおける最 も深 刻 なセキュリ
ティ課 題 についての共 通 認 識 を網 羅 している。
クラウドに関 するセキュリティ上 の懸 念 は多 岐 にわたるが、本 レポートでは、クラウドコンピューティン
グの共 有 される点 とオンデマンドである特 性 に特 に関 係 する 12 の点 に焦 点 を当 てている。最 重 要
課 題 を特 定 するために、CSA ではこの分 野 の専 門 家 に調 査 を行 い、クラウドコンピューティングにおける最 重 要 のセキュリティ課 題 についての専 門 的 意 見 を集 約 した。重 大 脅 威 ワーキンググループは
この調 査 結 果 を基 に、その専 門 知 識 を加 味 して最 終 的 に２０１６年 度 のレポートをまとめた。この最 新© 2017, Cloud Security Alliance. All rights reserved

7

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

版 のレポートでは、専 門 家 たちは以 下 の１２のクラウドセキュリティの重 要 課 題 を特 定 した。（調 査 結
果における深 刻 度 順 となっている）：
1. データ漏 洩
2. 不 十 分 なアイデンティティ・認 証 情 報 ・アクセス管 理
3. API のセキュリティ欠 陥
4. システムとアプリケーションの脆 弱 性
5. アカウントの乗 っ取 り
6. 悪 意 ある内 部 者
7. 標 的 型 攻 撃 の脅 威 （APT）
8. データ喪 失9. 不 適 切 なデューデリジェンス
10. クラウドサービスの誤 用 ・悪 用
11. DoS 攻 撃
12. 共 有 技 術 の脆 弱 性
２０１６年 版 重 大 脅 威 のリリースは、クラウドコンピューティングに関 わる 意 思 決 定 における、枝 葉 末 節のレベルから経 営 問 題 への移 行を反 映 している。それは今 や IT 部 門 の問 題 でなく経 営 陣 の課 題 となっているのである。クラウドの成 熟 がその理 由 の一 つかもしれないが、より重 要 なことは、クラウドの採 用が経 営 陣 による戦 略 的 意 思 決 定 の対 象 となったことである。本 書の 2013 年 版 は、開 発 者 やIT 部 門 が自 らセルフサービスでシャドーIT を取 り込 み、組 織 のセキュリティ要 求 事 項 をすり抜 ける問
題 に焦 点 を当 てた。2016 年には、クラウドの採 用 は、株 主 価 値 を最 大 にするという経 営 陣 の戦 略 に、的 確 に即 したものとなっていると考 えられる。クラウドコンピューティングの常 時 稼 働 状 態 にある特性 は、外 部 から見 た時 のイメージをゆがめ、企 業 の評 価に影 響 を与 えている。今 回 の調 査 では、アイ
デンティティ、認 証 情 報 とアクセス管 理 、API のセキュリティ欠 陥 、システムとアプリケーションの脆 弱性 といった、より広 範 囲 に影 響 するアーキテクチャや設 計 問 題 が増 加 し、相 対 的 にデータ喪 失 や個人 アカウントの乗っ取 りといった問 題 は低 下 した。
このレポートは、危 険 な 12 の落とし穴 の説 明 と分 析 を行 っている。クラウド利 用 者 と事 業 者 にとって、クラウドコンピューティングの戦 略 上 、リスクを緩 和 することに向 けた情 報 に基 づく判 断 を行 うに際しての、改 訂 版 のガイドとして役 立 つであろう。この脅 威 分 析 レポートは、実 践 規 範 ガイドである「クラウドセキュリティガイダンス V3」および「Security as a Service 実 装 ガイド」とセットにして利 用 されたい。脅 威 分 析 は STRIDE の脅 威 モデル[1]に沿 って行 った。当 ワーキンググループはまた、NISTのリスク管 理 フレームワーク[2]を情 報 技 術 リスク管 理 のためのガイダンスとして推 奨 する。これらすべてを取 り込 むことによって、クラウドセキュリティ戦 略 の総 合 的 かつ的 確 な構 築 に際 して、価 値 あるガイドが提 供 されることであろう。

© 2017, Cloud Security Alliance. All rights reserved

8Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

2017 年に、最 新 の事 例 や出 来 事 を更 新 した。
その内 容 は、2017 年 インシデント事 例 集 を参 照 されたい。

[1] STRIDE Threat Model:
https://msdn.microsoft.com/en-us/library/ee823878(v=cs.20).aspx[2] NIST Risk Management Framework (RMF) Overview:
http://csrc.nist.gov/groups/SMA/fisma/framework.html© 2017, Cloud Security Alliance. All rights reserved

9Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

調査方法
危 険 な 12 の落 し穴 －クラウドコンピューティング重 大 脅 威 2016 年 版 作 成 に際 して、CSA の重 大 脅 威ワーキンググループは 2 段 階の主 要 な調 査 を行 った。どちらの調 査 も手 法 としてアンケート調 査 を用 いた。
調 査 の第 一 段 階 における我 々の狙 いは、クラウドセキュリティに関 する懸 念 事 項 について、簡 単 なリストを作ることにあった。最 初 に、昨 年 の 8 つの問 題に新 たに 12 の課 題 を加 えて、セキュリティの懸
念 事 項 20 件 リストを作 成 した。その 20 の懸 念 事 項 について、ワーキンググループ(WG)のメンバー
が各 々の所 属 先 でその重 要 性 を示 し、状 況 の聞 き取 りを行 った。調 査 のこの 段 階 では、調 査 対 象 企
業 がそれ以 外 の懸 念 事 項 を述 べることもできるようにした。調 査 結 果 と追 加 で得 られた情 報 を総合 的 に検 討 して、WG は特 筆 すべき 13 のクラウドセキュリティに関する懸 念 事 項 を抽 出 した。
調 査 の第 2 段 階 では、第 1 段 階 で得 られたリストに対 してランク付 けすることが主 たる目 標 となった。
WG は、調 査 によって、人 々が何 を最 も関 心 あるセキュリティの懸 念 事 項 と考 えているかを把 握 しようとした。手 法 として 4 段 階 のリッカート尺 度 を用 いることとした。リッカート尺 度 はアンケート調 査 でよく用 いられる数 値 化 手 法 で、あるテーマに対 する人 の態 度 を表 すのに使 われる。段 階 は １：当 てはまらない ２： 少 し当 てはまる ３：当 てはまる ４：よく当 てはまる とした。すべてのセキュリティの懸
念 事 項 に対 して 1, 2, 3, 4 のどれかを選 択 してもらい、その数 値 が宛 てられる。例 えば「当 てはまらない」としたセキュリティの懸 念 事 項 は１点 が与 えられ、「少 し当 てはまる」は２点 といった具 合 に。各
項 目 の数 値 は平 均 を取 り、その数 値 によりセキュリティの懸 念 事 項 がランク付 けされる。WG ではスコ
アの小さいセキュリティの懸 念 事 項 を振 り落 とし、最 終 的 に１２に絞った。
WG はまた、STRIDE 方 式 によりセキュリティの懸 念 事 項 の分 析 を行 った。この方 式はマイクロソフトにより開 発 され、セキュリティ脅 威 を評 価 するのに用 いられる。本 調 査 で取 り上 げたセキュリティの懸
念 事 項 が、特に以 下 の脅 威 のカテゴリのどれかに当 てはまるかを評 価 するのに用いられた。
 ID の詐 称 (S) データの改 ざん(T) 事 後 否 認 (R) 情 報 漏 えい(I) サービス妨 害 (D) 特 権 の奪 取 (E)© 2017, Cloud Security Alliance. All rights reserved

10Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

1. データ侵害

サービスモデル
IaaS PaaS SaaS

調 査 では、２７１人 がアンケートに回 答 した。その約 半 分 (48.95%)はアメリカ
で、次に多 いのはオーストラリア(5.02%)であった。
業 種 別 では、44.65%が技 術 産 業 、15%が専 門 的 サービス業 、9.03%が公 共部 門 であった。その他には教 育 、金 融 、健 康 医 療 等 がある。
職 務 別 では、87.33%がセキュリティ関 係 、12.22%がソフトウェア、9.95%がネットワークで、以 下 その他 となっている。

1.1. 説 明
データ侵 害 とは、機 微 情 報 、保 護 対 象 情 報 、または機 密 情 報 が外 部 に出 た
り、読 み取 られたり、盗 まれたり、権 限 のない 者 に利 用 されたりする事 象 を言 う。データ侵 害 は標 的 型 攻 撃 の主 たる目 的 である場 合 があり、または単に人 的 ミス、アプリケーションの脆 弱 性 、もしくはセキュリティ対 策 の不 足 のセキュリティガイダ
ンスの対応ドメイン
Domain 5: 情報管理とデータセキュリティ
Domain 10: アプリケー
ションセキュリティ
Domain 11: 暗号化と鍵管理
Domain 12: アイデン
ティティ、権限付与、
アクセス管理Domain 13: 仮想化

STRIDE脅威分析

結 果 であったりする。データ侵 害 は公 開 を想 定 していない情 報 が対 象 とな×IDの詐称(S)り、それには個 人 の健 康 医 療 情 報 、 金 融 資 産 の情 報 、個 人 識 別 情 報 (PII)、

×

データの改ざん(T)×

事後否認(R)✔

情報漏えい(I)で価 値 がある場 合 がある。例 えば、犯 罪 組 織 は詐 欺 的 な各 種 行 為 のため×

サービス妨害(D)に金 融 資 産 の情 報 や個 人 情 報 を物 色 する。競 合 先 や他 国 は固 有 の価 値 あ×

特権の奪取(E)

営 業 秘 密 、知 的 財 産 が含まれる。
ある組 織 がクラウドに置 いてあるデータは、他 の組 織 にとっては、別 の理 由

る情 報 、知 的 財 産 や営 業 秘 密 に強 い関 心 を示 す。アクティビストはダメージや迷 惑 をもたらす情 報 暴 露 を目 指 す。権 限 のない内 部 者 がクラウド上 でデータを手 に入 れることは、組 織の重 大 な関 心 事 である。
データ侵 害 のリスクはクラウドコンピューティングに固 有のものではないが、クラウド利 用 者 の懸 念 事
項 としては常 に上 位 にある。クラウド環 境 は従 来 型 の企 業 ネットワークと 同 様 の脅 威 にさらされる上に、共 有 リソースや、クラウド事 業 者 の従 業 員 や、クラウド事 業 者 のパートナー企 業 といったルートからの攻 撃 にもさらされる。クラウド事 業 者 へのアクセスは容 易 であり、そのホストする膨 大 なデータは
魅 力 的 なターゲットとなっている。

© 2017, Cloud Security Alliance. All rights reserved

11

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

1.2. ビジネスインパクト
ほとんどのデータ侵 害 が問 題 ではあるものの、一 般 にはダメージの深 刻 さはデータの機 微 性 に左右 される。世 界 中 の国 や地 域 で、法 令 や規 制 により、機 微 な情 報 を許 可 された以 外 の利 用 に対 して保 護 するよう、しかるべき基 準 に基 づいた対 策 を、組 織 に対 して義 務 付 けてい る。データ侵 害 が発生 した場 合 には、企 業 は多 額 の罰 金 を科 せられ、民 事 賠 償 訴 訟 を提 起 され、場 合 によっては罪 に問われる。
企 業 にはまた、事 故 調 査 と影 響 を受 けた顧 客 への通 知 のためのコストがかかる。事 故 対 応 をうまくやるために、専 門 家 のコンサルティングや法 務 面 の支 援 を受 ける企 業 もある。データ侵 害 に 遭 った
企 業 でよく行 われるのは、被 害 に 遭 ったお客 様 の情 報 をモニタリングして、悪 用 が発 見 されればお客 様 に通 知 するサービスを受 けることである。ブランド価 値 の 毀 損 やそれに伴 う事 業 機 会 の喪 失 といった間 接 被 害 は、算 定 が極 めて困 難 である。顧 客 離 れの度 合 いと、顧 客 獲 得 にかかるコストの変動 分 といった指 標 が、こういった損 失 の算 出 に用 いられる。
クラウド事 業 者 は一 般 的 に、自 らの責 任 範 囲 についてはセキュリティを充 実 させているが、クラウド
利 用 者 はどこまで行 ってもクラウド上 にある自 らの管 理 下 のデータの保 護 に対 する責 任 がある。データ侵 害 に対 する最 善 の保 護 策 は、有 効 なセキュリティプログラムの導 入 である。企 業 がクラウド環
境 でセキュリティを確 保 するための重 要 な手 段 は、多 要 素 認 証 と暗 号 化 である。

1.3. 文献と具体例
2015 年 の中 頃 、アンチウィルス企 業 である BitDefender は、AWS にホストされた自 社 のパブリックク
ラウドアプリケーションに内 在 したセキュリティ脆 弱 性 の結 果 、顧 客 の名 前 とパスワードを窃 取 された。被 害 者 の数 は公 表 されていない。実 行 犯 のハッカーは身 代 金 として 15,000 ドルを要 求 した。
2015 年の Anthem における 8000 万 人 分 の顧 客 データの流 出 は、社 内 ネットワーク上 で認 証 情 報 を盗 まれたことから始まった。第 三 者 のクラウドサービスが利 用 されて企 業 内 ネットワークからパブリッ
ククラウドに多 量 のデータが送 出 され、ハッカーがダウンロードできる状 態に置 かれた。
イギリスの通 信 事 業 者 である TalkTalk は 2014 年 と 2015 年 に起った複 数 のセキュリティインシデン
トを報 告 したが、その顧 客 個 人 情 報 の流 出 規 模 は 400 万 人 に達した。これに続 いて、TalkTalk の顧
客 から銀 行 口 座 の情 報 を聞き出 そうとするだましの電 話の攻 勢 が起 きた。TalkTalk は、顧 客 情 報 の
暗 号 化 を怠 ったことに対 して多 方 面 から批 判 を浴 びた。

1.4. CCM V3.0.1 記載の管理策
AIS-04: アプリケーションとインターフェースセキュリティ
CCC-02: 変 更 管 理 と構 成 管 理 － 開 発 の外 部 委 託－

データセキュリティ/完 全 性© 2017, Cloud Security Alliance. All rights reserved

12Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

DSI-02: データセキュリティと情 報 ライフサイクル管 理 － データ保 存 /フロー
DSI-05: データセキュリティと情 報 ライフサイクル管 理 － 非 実 稼 働 データ
DSI-06: データセキュリティと情 報 ライフサイクル管 理 － 所 有 者 /管 理 責 任
DSI-07: データセキュリティと情 報 ライフサイクル管 理 － 安 全 な廃 棄EKM-02: 暗 号 化 と鍵 管 理 － 鍵 作 成
EKM-03: 暗 号 化 と鍵 管 理 － 機 微 データの保 護
EKM-04: 暗 号 化 と鍵 管 理 － 保 管 とアクセス
GRM-02: ガバナンスとリスク管 理 － データフォーカスリスクアセスメント
GRM-10: ガバナンスとリスク管 理 － リスクアセスメント
HRS-02: 人 事 － 経 歴 スクリーニング
HRS-06: 人 事 － モバイルデバイス管 理
IAM-02: アイデンティティとアクセス管 理 － 資 格 証 明 のライフサイクル / プロビジョニング管理
IAM-04: アイデンティティとアクセス管 理 － ポリシーと手 順
IAM-05: アイデンティティとアクセス管 理 － 職 務 の分 離IAM-07: アイデンティティとアクセス管 理 － 第 三 者 アクセス
IAM-09: アイデンティティとアクセス管 理 － ユーザアクセス権 限
IAM-12: アイデンティティとアクセス管 理 － ユーザ ID 認 証
IVS-08: インフラと仮 想 化 のセキュリティ － 本 番 / テスト環 境
IVS-09: インフラと仮 想 化 のセキュリティ － 区 分
IVS-11: インフラと仮 想 化 のセキュリティ － VMM セキュリティ - ハイパバイザ堅 牢 性
SEF-03: セキュリティインシデント管 理 、E ディスカバリ、クラウドフォレンジックス － インシデントレ
ポーティング
STA-06: サプライチェーンの管 理 、透 明 性 、説 明 責 任 － ガバナンスのレビュー

1.5. リンク集
1.

The Impact of a Data Breach Can Be Minimized Through Encryption
https://securityintelligence.com /the-impact-of-a-data-breach-can-be-minimized-through-en
cryption/2.

Dropbox and Box leak files in security through obscurity nightmare
http://www.techrepublic.com/article/dropbox-and-box-leak-files-in-security-through-obscuri
ty-nightmare/3.

Anthem’s Breach and the Ubiquity of Compromised Credentials
https://blog.cloudsecurityalliance.org/2015/02/09/not -alone-92-companies-share-anthemsvulnerability/

4.

Stolen Passwords Used in Most Data Breaches
http://www.darkreading.com/stolen -passwords-used-in-most-data-breaches/d/d-id/120461
55.

Anti-Virus Firm BitDefender Admits Breach, Hacker Claims Stolen Passwords are
Unencrypted
http://www.forbes.com/sites/thomasbrewster/2015/07/31/bitdefender -hacked/

6.

TalkTalk Criticised for Poor Security and Handling of Hack Attack
http://www.theguardian.com/technology/2015/oct/23/talktalk -criticised-for-poor-security-an
d-handling-of-hack-attack© 2017, Cloud Security Alliance. All rights reserved

13

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

2. ID、認証情報、アクセス管理の不備
2.1. 説 明
データ侵 害 や攻 撃 を可 能 にすることは様 々な理 由 により生 じる：適 切 な
ID・アクセス管 理 の欠 如 、多 要 素 認 証 の失 敗 、弱 いパスワード、暗 号 鍵 ・パ
スワード・電 子 証 明 書 の継 続 的 自 動 更 新 の仕 組 みの欠 如 などである。
認 証 情 報 や暗 号 鍵 はソースコードに書 き込 んだり、GitHub のような公 開のリポジトリで配 布 してはならない。見 られたり悪 用 されたりする恐 れが大 きいからである。鍵 管 理 が適 切 に行 われるようにするためには、暗 号
鍵 は適 切 に保 管 し、安 全 性 の高 い公 開 鍵 基 盤 (PKI)を利 用 しなければな

サービスモデル
IaaS PaaS SaaS
セキュリティガイ
ダンスの対応ドメイン
Domain 11: 暗号化と鍵管理
Domain 12: アイデン
ティティ、権限付与、
アクセス管理らない。

STRIDE脅威分析
ID 管 理 システムは拡 張 性 を備 え、何 百 万 というユーザや多 数 のクラウド
事 業 者 に対 応 してライフサイクル管 理 が可 能 なものでなければならない。
ID 管 理 システムは、即 時 的 にリソースへのアクセス権 を取 り消 す機 能 をサポートして、業 務 の終 了 や担 当 替 えといった担 当 者 の変 更 に対 応 できなければならない。
ID 管 理 システムは相 互 接 続 されることが多 くなっており、ユーザ管 理 の✔

IDの詐称(S)✔

データの改ざん(T)✔

事後否認(R)✔

情報漏えい(I)✔

サービス妨害(D)✔

特権の奪取(E)負 荷 を軽 減 するためにクラウド事 業 者 との ID 連 携 (例 えば SAML アサーション)は以 前 にも増 して一 般 的 になりつつある。クラウド事 業 者 との ID
連 携 を計 画 している組 織 は、クラウド事 業 者 が実 装 している ID ソリューション廻 りのセキュリティについて、プロセス、インフラ、利 用 者 間 の分 離 （共 用 ID ソリューションの場 合 ）などを確 認 しなければならない。
多 要 素 認 証 -例 えばスマートカード、OTP、電 話 認 証 など-はクラウドサービスのユーザとオペレータには必 須 である。この方 式 の認 証 は、盗 まれたパスワードがユーザの同 意 なしにリソースへのアクセ
スを可 能 にした場 合 に、パスワード盗 難 を把 握 するのに役 立 つ。窃 取 されたパスワードは、”pass thehash”といったネットワーク上 を探し回 るタイプの攻 撃 に使 われる。
旧 式 のシステムでパスワード認 証 しか使 えない場 合 、認 証 システムは、ポリシーを厳 格 にする機 能 、
例 えばパスワード強 度 の検 証 や組 織 が指 定 する定 期 的 更 新 を備 えなければならない。
データを暗 号 化 する暗 号 鍵 やデータへのアクセスを保 護 する TLS 証 明 書 は、保 存 時 には定 期 的 に
更 新 しなければならない。そうすることで、暗 号 鍵 が許 可 なく利 用 された場 合 に攻 撃 を検 知 するこ© 2017, Cloud Security Alliance. All rights reserved

14

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insightsとができる。定 期 更 新 が行 われない場 合 は、暗 号 鍵 が盗 難 に遭 うと、侵 害 に要 する時 間 の短 縮 と範 囲 の拡 大 を著 しく助 長 してしまう。
全 てのデータ保 護 機 能 （パスワード、秘 密 鍵 、利 用 者 特 定 式 データベース）を持 つ中 央 集 約 型 ストレージ構 造 は、攻 撃 者 にとって極 めて価 値 の高 いターゲットになる。パスワードと暗 号 鍵 の中 央 集 中
管 理 を選 択 することは誤 りであり、組 織 は中 央 集 中 管 理 の利 便 性 と、それが盗 まれた場 合 の脅 威のトレードオフを比 較 考 量 しなければならない。すべての重 要 資 産 と同 様に、 ID の保 護 と鍵 管 理 シス
テムは、最 優 先 課 題 であるべきである。

2.2. ビジネス インパ クト
正 規 のユーザ、オペレータ、または開 発 者 になりすました不 正 行 為 者 は、データの読 み取 り・盗 み出
し・改 ざん・消 去 や、管 理 画 面 や管 理 コマンドの発 行 、送 信 中 データの盗 み見 、正 規 のソースからを装った不 正ソフトウェアの生 成 が可 能 になる。

2.3. 文献と具体例
GitHub に対するクラウドサービス認 証 情 報 の盗 み出し攻 撃 と仮 想 通 貨 マイニングのためのアカウン
トハイジャック－「GitHub 上 のプロジェクトに格 納 してあったクラウドサービスの認 証 情 報 が、プロジェクト開 始 後 36 時 間 以 内に、見 つけ出 され悪 用 された。」
Praetorian 社 、クラウドベースのパスワード破 りサービスを開 始 －「テキサス州オースティンの情 報 セキュリティソリューション提 供 企 業 である Praetorian 社 は、アマゾン AWS のコンピューティングパワー
を活 用 した、パスワードハッシュを簡 単 に破 るためのクラウドベースのプラットフォームの提 供 を開 始した。」

2.4. CCM V3.0.1 記載の管理策
IAM-01: アイデンティティとアクセス管 理
IAM-02: アイデンティティとアクセス管 理
IAM-03: アイデンティティとアクセス管 理
IAM-04: アイデンティティとアクセス管 理
IAM-05: アイデンティティとアクセス管 理
IAM-06: アイデンティティとアクセス管 理
IAM-07: アイデンティティとアクセス管 理
IAM-08: アイデンティティとアクセス管 理
IAM-09: アイデンティティとアクセス管 理
IAM-10: アイデンティティとアクセス管 理
IAM-11: アイデンティティとアクセス管 理
IAM-12: アイデンティティとアクセス管 理
IAM-13: アイデンティティとアクセス管 理

－
－
－
－
－
－
－
－
－
－
－
－
－

監 査 ツールアクセス
資 格 証 明 のライフサイクル/プロビジョニング管 理
診 断 /設 定 ポートアクセス
ポリシーと手 順
職 務 の分 離
ソースコードアクセス制 限
第 三 者 アクセス
信 頼 された発 行 元
ユーザアクセス権 限
ユーザアクセスレビュー
ユーザアクセス取 り消し
ユーザ ID 認 証
ユーティリティプログラムアクセス© 2017, Cloud Security Alliance. All rights reserved

15

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

HRS-01: 人 事 － 資 産 返 却
HRS-03: 人 事 － 雇 用 契 約HRS-04: 人 事 － 雇 用 の終 了
HRS-08: 人 事 － 技 術 的 に受 け入 れられる使 用
HRS-09: 人 事 － 訓 練 / 認 識 向 上
HRS-10: 人 事 － ユーザ責 任

2.5. リンク集
1.

Attackers Scrape GitHub for Cloud S ervice Credentials, Hijack Account to Mine
Virtual Currency
http://www.forbes.com/sites/runasandvik/2014/01/14/attackers-scrape-github-for-cloud-servi
cecredentials-hijack-account-to-mine-virtual-currency/

2.

Dell Releases Fix for Root Certificate Fail
http://www.bankinfosecurity.com/dell -releases-fix-for-root-certificate-fail-a-8701/op-1© 2017, Cloud Security Alliance. All rights reserved

16

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

3. インタフ ェ ー スと API のセキュ リティ 欠 陥

サービスモデル
3.1. 説 明

IaaS PaaS SaaS

クラウド事 業 者 は一 連 のソフトウェアによる ユーザインタフェース (UI)やアプリケーションプログラミングインタフェース (API)を提 供 しており、利用 者 はこれを使 ってクラウドサービスとやり取 りし管 理 する。これらのインタフェースを使 って、プロビジョニング、管 理 、統 合 管 理 、 モニタリングを行 う。一 般 的 なクラウドサービスのセキュリティと可 用 性 は、これらの基本 的 API のセキュリティに依 存 する。認 証 とアクセス管 理 から暗 号 化 、動作 監 視 まで、これらのインタフェースはポリシーに反 する事 故 や攻 撃 に対して防 御 できる設 計 にしなければならない。
更 に、利 用 企 業 や第 三 者 が、これらのインタフェース上 に、自 社 の顧 客 向
けに付 加 価 値 サービスを構 築 する場 合 がある。この場 合 、追 加 のレイヤ
ーの API により事 態 は複 雑 となる。なぜなら、利 用 者 は自 分 の利 用 を可能 にするために、第 三 者 に認 証 情 報 を委 ねなければならないからである。
API と UI は一 般 的 に、IP アドレスと並 んで、安 心 できる組 織 の境 界 線 の外から利 用 可 能 な、システムの露 出 部 分 である。こういった資 源 は激 し い
攻 撃 にさらされるので、その防 御 のための適 切 な管 理 策 は、防 衛 と検 知

セキュリティガイダ
ンスの対応ドメイン
Domain 5: 情報管理とデータセキュリティ
Domain 6: 相互運用性と移植容易性Domain 9: インシデント
レスポンス
Domain 10: アプリケー
ションセキュリティ
Domain 11: 暗号化と鍵管理
Domain 12: アイデン
ティティ、権限付与、
アクセス管理STRIDE脅威分析
×

IDの詐称(S)✔

データの改ざん(T)✔

事後否認(R)✔

情報漏えい(I)

ほとんどのクラウド事 業 者 が、そのサービスモデルにセキュリティをしっか×

サービス妨害(D)り組 み込 むように努 めている一 方 、そのサービスを使 うクラウド利 用 者 に✔

特権の奪取(E)のための第 一 線 の備 えとなる。

3.2. ビジネス インパ クト

おいては、クラウドサービスの使 用 、管 理 、統 合 管 理 、モニタリングに関 連
するセキュリティの影 響 を理 解することが重 要 である。脆 弱 な UI や APIを信 じ込 んでいると、組 織 は機 密 性 、完 全 性 、可 用 性 ならびに説 明 責 任 に関 わるセキュリティ上 の様 々な問 題 にさらされることになる。
アプリケーションとシステムの脅 威 モデルを、データフローやアーキテクチャ、設 計 も含 めて、作 成 することは開 発 ライフサイクルにおいて常 に実 施 すべき重 要 な事 項 になる。セキュリティに焦 点 を当てたコードレビューに加 え、厳しい侵 入 検 査 が必 須 要 件 となる。

© 2017, Cloud Security Alliance. All rights reserved

17

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

3.3. 文献と具 体例
IRS の事 故 事 例 と適 切 な API の重 要 性 －「2015 年 中 頃 、米 国 歳 入 庁 (IRS)で脆 弱 な API(“GetTranscript”)のために 30 万 件 以 上 のデータが流 出 した。」
なぜ API の暗 号 鍵 や機 微 情 報 の漏 えいが問 題 として深 刻 化 しているのか－API のセキュリティは単に API 自 体 のセキュリティを意 味 するだけではない。そこには API の暗 号 鍵 やクラウドの認 証 情 報 や
機 微 なデータが外 部 の目 にさらされることに対 する防 御 が含 まれている。－この問 題 は時 として開発 者 が見 落 とすことがある。

3.4. CCM V3.0.1 記載の管理策
AIS-01: アプリケーションとインターフェースセキュリティ － アプリケーションセキュリティ
AIS-04: アプリケーションとインターフェースセキュリティ － データセキュリティ/完 全 性
IAM-08: アイデンティティとアクセス管 理 － 信 頼 された発 行 元
IAM-09: アイデンティティとアクセス管 理 － ユーザアクセス権 限

3.5. リンク集
1.

Insecure API Implementations Threaten Cloud
http://www.darkreading.com/cloud/insecure -api-implementations-threaten-cloud/d/d-id/11375
50

2.

Web Services Single Sign-On Contains Big Flaw
http://www.darkreading.com/risk-management/web-services-single-sign-ons-contain-big-f
laws/d/did/1103454?

3.

IRS Breach and Importance of Adaptive API Security
http://apigee.com/about/blog/technology/irs -breach-and-importance-adaptive-api-security

4.

OWASP API Security Project
https://owasp.org/index.php?titl e=OWASP_API_Security_Project&setlang=en

5.

Your API Authentication is Insecure, and we ’ll tell you why
http://sakurity.com/blog/2015/03/04/hybrid_api_auth.html

6.

Why Exposed API Keys and Sensitive Data are Growing Cause for Concern
http://www.programmableweb.com/news/why-exposed-api-keys-and-sensitive-data-are-growing-causeconcern/analysis/2015/01/05© 2017, Cloud Security Alliance. All rights reserved

18Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

4. システムの脆弱性
サービスモデル
4.1. 説 明
システムの脆 弱 性 はプログラム上 の悪 用 対 象 となるバグで、攻 撃 者 は
これを用 いてコンピュータシステムに侵 入 し、データの窃 取 、システムの乗 っ取り、サービス提 供 活 動 の破 壊 を行 う。OS のコンポーネント－カーネ
ル、システムライブラリ、アプリケーションツール－に潜 む脆 弱 性 は、全 てのサービスとデータを重 大 なリスクにさらす。
このタイプの脅 威 は今 に始 まったことではない。バグはコンピュータの発
明 以 来 の問 題 である。ネットワークが発 明 されたとき、それは遠 隔 から操れるものになった。クラウドコンピューティングにおいてマルチテナントが
導 入 されたことで、複 数 組 織 のシステムが相 互 に近 接 して配 置 されることになった。そして共 有 メモリとリソースへのアクセスは新 たな攻 撃 対 象
面 を形 成 している。
システムの脆 弱 性 に対 する攻 撃 で生 じる打 撃 は深 刻 だとしても、そのよ
うな攻 撃 は基 本 的 な IT プロセスで軽 減 させることができる。システムへの脅 威に対 応 して定 期 的 にシステムをスキャンし、セキュリティパッチやアップグレードをインストールすることで、システムの脆 弱 性 に伴 う未 解 消のセキュリティギャップを埋 める長 い道 のりを行 くことができる。セキュアな設 計 とアーキテクチャにより、特 定 のシステムへのアクセス権 を制 限 することで、攻 撃 者 が 情 報 システムの全 てに対 して完 全 な支 配 権 を持 つ
可 能 性 を減 らすことができる。

4.2. ビジネス インパ クト
システムの脆 弱 性 にパッチが当 たっていない状 態 の情 報 システムのセキ

IaaS PaaS SaaS

セキュリティガイダ
ンスの対応ドメイン
Domain 1: クラウドコン
ピューティングのアー
キテクチャフレームワーク
Domain 2: ガバナンスとエンタープライズリス
クマネジメント
Domain 7: 従来からのセキュリティ対策、事業継続性、災害復旧
Domain 8: データセンタ
運用
Domain 10: アプリケー
ションセキュリティ
Domain 13: 仮想化

STRIDE脅威分析✔

IDの詐称(S)✔

データの改ざん(T)✔

事後否認(R)✔

情報漏えい(I)✔

サービス妨害(D)✔

特権の奪取(E)ュリティに対 する影 響 は深 刻 でコストがかかる。しかしながら、防 御 のコス
トは他の IT 関 連 の支 出 －攻 撃 されたシステムのクリーンアップなど－に比 べれば小 さいものである。OS のベンダーは脅 威 調 査 コミュニティからの情 報に対 応 して、通 常 共
通 脆 弱 性 識 別 子 (CVE)の公 表 から数 日 で、無 償 のパッチを提 供 している。
同 様 に、脆 弱 性 を発 見 し修 復 するための IT プロセスを導 入 することのコストは、脆 弱 性 によって生 じる可 能 性 のある損 害 に比 較 すれば小さいものである。

© 2017, Cloud Security Alliance. All rights reserved

19

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

高 度 の規 制 対 象 である組 織 （例 えば政 府 や金 融 機 関 ）は、パッチ当 てを迅 速 に行 う能 力 がなければならないし、可 能 なら、自 動 反 復 できるようにすべきである。セキュリティの管 理 者 は、脅 威 対 応 の
情 報 収 集 機 能 を設 置 しなければならない。脆 弱 性 が公 表 された時 点 （「ゼロデイ」と呼 ばれる）からベンダーによりパッチが提 供 されるまでの期 間 のギャップを埋 めるために。
重 要 システムの緊 急 パッチ当 てと脆 弱 性 による影 響 の広 がりへの対 応 を行 う 変 更 管 理 プロセスを
作 成 して、脆 弱 性 の修 復 活 動 が、実 施 され検 証 され完 了 する前 に、技 術 チームにより適 切 に文 書 化
され点 検 されるようにしなければならない。その他 の脅 威 への対 処 手 段 、除 去 、 移 転 、受 容 についても同 様 に文 書 化 しトラックしなければならない。

4.3. 文献と具 体例
被 害 は膨 れ上 がる。サイバー攻 撃 への備 えは益 々必 須に－「Heartbleed や Shellshock は、商 用 ソフ
トウェアより安 全 と考 えられていたオープンソースのアプリケーションでさえも脅 威 に対 して脆 弱 であることを示 した。これらのマルウェアは特 に Linux が走 るシステムに影 響 を与 えた。このことで、Linux がベースとしている UNIX を使 う Web サイトが全 体 の 67.7%を占 めることから、懸 念 が広 がっている。」
2015 年のデータ侵 害 についてのベライゾンの調 査 報 告 －「Bush に潜 む ShellShock バグは、2014
年 の OSS 脆 弱 性 で 2 番 目 に人 騒 がせなイベントであった。あまりに多 くの攻 撃 が成 功 した結 果 、Heartbleed の影 が薄 くなったほどだ。」
2014 年 サイバー脅 威 防 衛 レポート－「攻 撃 の 75%は商 用 ソフトウェアの既 知 の脆 弱 性 をつくものであり、それは通 常 のパッチ当 てをしていれば避 けられるものであった。」

4.4. CCM V3.0.1 記載の管理策
AIS-01: アプリケーションとインターフェースセキュリティ － アプリケーションセキュリティ
AIS-02: アプリケーションとインターフェースセキュリティ － 顧 客 アクセス要 求
AIS-03: アプリケーションとインターフェースセキュリティ － データの完 全 性
AIS-04: アプリケーションとインターフェースセキュリティ － データセキュリティ/完 全 性
BCR-04: 事 業 継 続 管 理 と運 用 レジリエンス － 文 書
CCC-03: 変 更 管 理 と構 成 管 理 － 品 質 検 査
IVS-05: インフラと仮 想 化 のセキュリティ － 管 理 - 脆 弱 性 管 理
IVS-07: インフラと仮 想 化 のセキュリティ － OS 堅 牢 性 と基 本 管 理
TVM-02: 脅 威 と脆 弱 性 の管 理 － 脆 弱 性 / パッチ管 理

4.5. リンク集
1.

2014 Cyberthreat Defense Report© 2017, Cloud Security Alliance. All rights reserved

20

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

http://www.trendmicro.com/cloud-content/us/pdfs/security-intelligence/reports/rpt-cybere
dge-2014-cdr.pdf

2.

Magnified Losses, Amplified Need for Cyber -Attack Preparedness
http://www.trendmicro.com/cloud-content/us/pdfs/security-intelligence/reports/rpt-magni
fied-losses-amplified-need-for-cyber-attack-preparedness.pdf

3.

Verizon 2015 Data Breach Investigations Repor t
http://www.verizonenterprise.com/DBIR/2015/© 2017, Cloud Security Alliance. All rights reserved21

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

5. アカウントハイジャック
サービスモデル
5.1. 説 明アカウントやサービスのハイジャックは新 しい問 題 である。フィッシングやだまし手 法 、ソ フトウェア脆 弱 性 の悪 用 といった攻 撃 手 法 はいまだに成功 を収 めている。認 証 情 報 やパスワードはよく繰 り返 し利 用 され、そのよ
うな攻 撃 のインパクトを増 幅 している。クラウドというソリューションはこの状 況 に脅 威 を上 乗 せしている。もし攻 撃 者 が認 証 情 報 を手 に入 れれ
ば、行 為 や取 引 を盗 み見 し、データを操 作 し、誤 った情 報 を返 し、違 法 な
サイトにリダイレクトするといったことができてしまう。乗 っ取 られたアカ
ウントやサービスインスタンスは、新 たな攻 撃 基 地 となる。そこから、乗 っ取 ったアカウントの信 用 を力として活 用 して、更 なる攻 撃を展 開 できる。
組 織 はこうしたタイプの攻 撃 を認 識 し、一 般 的 になっている多 層 防 御 の
戦 略 を理 解 し、攻 撃 による被 害 や、場 合 によっては訴 訟 を抑 え込 む必 要がある。組 織 はユーザやサービス間 でアカウントの認 証 情 報 を共 有 することを禁 止 し、できれば二 要 素 認 証 という強 力 な技 術 を活 用 することを
検 討 するべきである。全 てのアカウントとそのアカウントのふるまいを、サービスアカウントも含 め、モニターし、管 理 者 から追 跡 可 能 にするべきで

IaaS PaaS SaaS
セキュリティガイダ
ンスの対応ドメイン
Domain 2: ガバナンスとエンタープライズリス
クマネジメント
Domain 5: 情報管理とデータセキュリティ
Domain 7: 従来からのセキュリティ対策、事業継続性、災害復旧
Domain 9: インシデント
レスポンス
Domain 11: 暗号化と鍵管理
Domain 12: アイデン
ティティ、権限付与、
アクセス管理ある。

STRIDE脅威分析
5.2. ビジネス インパ クト✔

IDの詐称(S)✔

データの改ざん(T)ることが多 く、引 き続 き重 要 脅 威 である。盗 んだ認 証 情 報 で、攻 撃 者 は✔

事後否認(R)

しばしばクラウドコンピューティングサービスの重 要 エリアにアクセスし、✔

情報漏えい(I)

そのサービスの機 密 性 、完 全 性 、可 用 性 を侵 害 する。

✔

サービス妨害(D)✔

特権の奪取(E)アカウントやサービスのハイジャックは、通 常 盗 まれた認 証 情 報 が使 われ

攻 撃 者 はアカウントへのアクセスを利 用 してデータを盗 み、クラウドのサービスとシステムを破 壊 し、利 用 組 織 の評 判 を傷 つけ、更 に多 くのことができる。

5.3. 文献と具 体例2010 年 4 月 、アマゾンでクロスサイトスクリプティング（XSS）バグが確 認 された。このバグは攻 撃 者© 2017, Cloud Security Alliance. All rights reserved

22

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insightsにサイトからの認 証 情 報 の乗っ取 りを許 してしまう。2009 年には、アマゾンのシステムが数 多 くハイ
ジャックされ、Zeus のボットネットのノードが走 らされた。
2014 年 6 月 、アマゾン AWS の Code Space 社のアカウントが、管 理 用 コンソールを多 要 素 認 証 で防御 していなかった結 果 被 害に遭 った。全 ての情 報 資 産 が破 壊 され、事 業 が継 続 不 能 となった。

5.4. CCM V3.0.1 記載の管理策
IAM-02: アイデンティティとアクセス管 理 － 資 格 証 明 のライフサイクル/プロビジョニング管 理
IAM-08: アイデンティティとアクセス管 理 － 信 頼 された発 行 元
IAM-09: アイデンティティとアクセス管 理 － ユーザアクセス権 限
IAM-10: アイデンティティとアクセス管 理 － ユーザアクセスレビュー
IAM-11: アイデンティティとアクセス管 理 － ユーザアクセス取 り消し
IAM-12: アイデンティティとアクセス管 理 － ユーザ ID 認 証
IVS-01: インフラと仮 想 化 のセキュリティ － 監 査 ログ / 侵 入 検 知
SEF-02: セキュリティインシデント管 理 、E ディスカバリ、クラウドフォレンジックス － インシデント
管理

5.5. リンク集
1.

Amazon purges account hijacking threat from site
http://www.theregister.co.uk/2010/04/20/amazon_website_treat/2.

Zeus bot found using Amazon’s EC2 as C&C Server
http://www.theregister.co.uk/2009/12/09/amazon_ec2_bot_control_channel/

3.

Code Spaces RIP: Code hosting provider ceases trading after “well -orchestrated”
DDoS attack
http://www.cloudcomputing-news.net/news/2014/jun/19/code-spaces-rip-code-hosting-provid
er-ceasestrading-after-well-orchestrated-ddos-attack/© 2017, Cloud Security Alliance. All rights reserved23

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

6. 悪意のある内部者
サービスモデル
6.1. 説 明
悪 意 のある内 部 者 によるリスクは、セキュリティ業 界 で議 論 されてきた。
その脅 威 レベルは議 論 の余 地 があるが、内 部 者 の脅 威 が実 在 する 敵 であることは議 論 の余 地 がない。CERN は内 部 者 の脅 威 を以 下 のように定義 している。
組 織 にとっての内 部 者 の脅 威 とは、退 職 した職 員 、下 請 先 またはその他のビジネスパートナーであって、組 織 のネットワーク、システム、データへのアクセス権 を過 去 または現 在 有 し、そのアクセス権 を意 図 的 に超 えま
たは悪 用 して、組 織 の情 報 もしくは情 報 システムの機 密 性 、完 全 性 、可用 性 に悪 影 響 を与 えることである。

6.2. ビジネス インパ クト
悪 意 のある内 部 者 、例 えばシステムアドミニストレータは、機 微 な情 報 に

IaaS PaaS SaaS

セキュリティガイダ
ンスの対応ドメイン
Domain 2: ガバナンスとエンタープライズリス
クマネジメント
Domain 5: 情報管理とデータセキュリティ
Domain 11: 暗号化と鍵管理
Domain 12: アイデンティ
ティ、権限付与、アクセス管理

STRIDE脅威分析✔

IDの詐称(S)✔

データの改ざん(T)IaaS から PaaS、SaaS まで、悪 意のある内 部 者 は、より高いレベルのアクセ

×

事後否認(R)ス権 を持 ち、より重 要 なシステムや、更 に実 際 問 題 としてデータにまで、✔

情報漏えい(I)

アクセスすることができる。セキュリティ面 をクラウドサービス事 業 者 だけ×

サービス妨害(D)×

特権の奪取(E)

アクセスできる可 能 性 がある。

に頼 っているシステムは、その結 果 より大 きなリスクにさらされることになる。

クラウド事 業 者 の提 供 する暗 号 化 を利 用 した実 装 は、例 えきちんとした組 織 でデータストレージの管
理 と鍵 管 理 が分 離 されている事 業 者 であっても、悪 意 のある内 部 者 からの攻 撃 に対 しては脆 弱 である。その場 合 、鍵 へのアクセスは、クラウド事 業 者 の監 査 可 能 なプロセスの中 にあり、アドホックで、または見 つからない方 法 で、見 ることができる。悪 意 のある内 部 者 のリスクを抑 える対 策 には、暗 号
化 プロセスと鍵 自 体 を自 ら管 理 すること、クラウド事 業 者 が適 切 なポリシーを有 していると確 認 すること、職 務 の分 離 、ロールベースでアクセス権 を最 小 限 に制 限 すること、アドミニストレータの行 為をしっかりとロギング、監 視 、監 査 することがある。
気 をつけなければいけないのは「悪 意 のある内 部 者 」が必 ず悪 意 を持 って行 動 するとは限 らないことである。内 部 者 は必 ずしも悪 意 がある訳 でなく、単に「自 分 の仕 事 を仕 上 げてしまおうとしてい© 2017, Cloud Security Alliance. All rights reserved24Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

る」場 合 がある。例 えば、誤 ってお客 様 のデータを公 開 のリポジトリにアップしたり、機 微 な情 報 を法管 轄 や国 をまたがってコピーするかもしれない。

6.3. 文献と具 体例
クラウドコンピューティングにおける内 部 者 の脅 威－

「全 体 として、「内 部 作 業 」がクラウドコンピューティングにおけるセキュリティの厄 災 の大 半 の原 因 である。企 業 は、自 社 の機 微 情 報 を 防 衛 するためには、セキュリティ脅 威に対 して事 前 防 止 型 の姿 勢をもって解 決 策 を探 さなければならない。」
クラウドにおける特 権 付 与 の管 理 のずれが内 部 者 の脅 威 を増 幅 している－

「組 織 はクラウドア

ーキテクチャの全 体 にわたって、 共 有 アカウントに制 限 を加 え、ユーザの行 為 のトラッキングを改 善する必 要がある。」

6.4. CCM V3.0.1 記載の管理策
DCS-04: データセンタセキュリティ － オフサイト認 証
DCS-08: データセンタセキュリティ － 許 可 されていない個 人 エントリ
DCS-09: データセンタセキュリティ － ユーザアクセス
DSI-04: データセキュリティと情 報 ライフサイクル管 理 － 処 理 / ラベル付 / セキュリティポリシー
DSI-06: データセキュリティと情 報 ライフサイクル管 理 － 所 有 者 /管 理 責 任
EKM-02: 暗 号 化 と鍵 管 理 － 鍵 作 成
EKM-03: 暗 号 化 と鍵 管 理 － 機 微 データの保 護
GRM-07: ガバナンスとリスク管 理 － ポリシーの強 制 適 用
GRM-10: ガバナンスとリスク管 理 － リスクアセスメント
HRS-02: 人 事 － 経 歴 スクリーニング
HRS-07: 人 事 － ロール / 責 任
IAM-05: アイデンティティとアクセス管 理 － 職 務 の分 離IAM-01: アイデンティティとアクセス管 理 － 監 査 ツールアクセス
IAM-08: アイデンティティとアクセス管 理 － 信 頼 された発 行 元
IAM-09: アイデンティティとアクセス管 理 － ユーザアクセス権 限
IAM-10: アイデンティティとアクセス管 理 － ユーザアクセスレビュー
IVS-09: インフラと仮 想 化 のセキュリティ － 区 分
STA-09: サプライチェーンの管 理 、透 明 性 、説 明 責 任 － 第 三 者 の監 査

6.5. リンク集
1.

Insider threats to cloud computing
http://www.cloudtweaks.com/2012/10/insider -threats-to-cloud-computing/2.

Cloud’s privileged identity gap intensifies insider threats
http://www.darkreading.com/vulnerabilities ---threats/clouds-privileged-identity-gap-intensifie
s-insiderthreats/d/d-id/1138974

3.

Insider Threats to Cloud Computing: Directions for New Research Challenges
http://resources.sei.cmu.edu/asset_files/W hitePaper/2012_019_001_52385.pdf© 2017, Cloud Security Alliance. All rights reserved25

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

4.

The Insider Threat in Cloud Computing
https://www.infosec.aueb.gr/Publications/CRITISCloud%20Insider.pdf© 2017, Cloud Security Alliance. All rights reserved26

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

7. 標的型(APT)攻撃の脅威
サービスモデル［訳 注 ：Advanced Persistent Threat は直 訳 すれば「進 化 した執 拗 な脅 威 」であるが、 初 出 段
階 で IPA は標 的 型 攻 撃 または標 的 型 攻 撃 脅 威の用 語 を 当 てた。その後 「高 度 標 的 型 攻 撃 」や
「高 度 サイバー攻 撃 」も用 いている。また「標 的型 諜 報 攻 撃 」との語 も確 認 される。従 い定 訳 はないと判 断 し、仮 に「標 的 型 攻 撃 」とすると共 に、APT または APT 攻 撃 も併 せて用 いることとする。］

7.1. 説 明
標 的 型 攻 撃 (APT)はサイバーアタックの寄 生 虫 のようなパターンで、標的 とする会 社 のコンピューティングインフラの中 に橋 頭 堡 を築 くためにシステムに侵 入 し、データや知 的 財 産 を密 かに盗 み出 すものである。 APTはその目 的 を達 するために長 期 間 目 に見 えない活 動 をする。防 御 のために張 り巡 らせた対 策 に順 応 することもよくある。APT の侵 入 口 の一 般

IaaS PaaS SaaS

セキュリティガイダ
ンスの対応ドメイン
Domain 1: クラウドコン
ピューティングのアー
キテクチャフレームワーク
Domain 2: ガバナンスとエンタープライズリス
クマネジメント
Domain 7: 従来からのセキュリティ対策、事業継続性、災害復旧
Domain 8: データセンタ
運用
Domain 10: アプリケー
ションセキュリティ
Domain 13: 仮想化

的 なものとしては、spearphishing(特 定 対 象 に向 けたフィッシング)、シス
テムへの直 接 ハッキング、USB デバイスを使 った攻 撃 コードの運 び込 み、パートナーネットワークを通 じた侵 入 、セキュリティの弱 い第 三 者 ネットワ

STRIDE脅威分析

ークの利 用 などがある。ひとたび侵 入 を果 たせば、APT はデータセンタ

×IDの詐称(S)のネットワークの中 を自 在 に動 き回 り、通 常 のネットワークトラフィックに紛×

データの改ざん(T)

れ込 んで目 的 を達 する。

×

事後否認(R)✔

情報漏えい(I)×

サービス妨害(D)✔

特権の奪取(E)IT 部 門 にとっては、企 業 や政 府 機 関 をターゲットとする最 新 の進 化 型 サ
イバーセキュリティ攻 撃 の情 報 を入 手 することは割 が合 う。APT の検 出や除 去 は困 難 だが、予 防 型 対 策 を打 つことで幾 分 かは阻 止 できる。例 え
ば、APT の侵 入 によく使 われる spearphishing のような、ソーシャルエン
ジニアリング手 法 に気 づいて対 処 するための教 育 を、ユーザに施 すことは大 事 である。

意 識 涵 養 プログラムを定 期 的 に強 化 することは、この種 の攻 撃 に対 する最 良 の防 御 の一 つである。
なぜならば、この種 の脆 弱 性 の多 くは、ユーザが阻 止 したり対 処 したりすることが必 要 だからである。スタッフは、添 付 ファイルを開 く前 やリンクをクリックする前 に もう一 度 考 える習 慣 が、染 み着 い

© 2017, Cloud Security Alliance. All rights reserved27

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insightsていなければならない

7.2. ビジネス インパ クト
複 雑 な APT と戦 うには、より高 いレベルのセキュリティ対 策 、プロセス管 理 、インシデント対 応 計 画 、IT スタッフの教 育 が必 要 で、そのためにはセキュリティ予 算 の増 額 が伴 う可 能 性 がある。コストはAPT 攻 撃 の成 功 に伴 う財 務 的 損 害 に照 らして評 価 する必 要 がある。

7.3. 文献と具 体例
Carbanak: 10 億 ドルの APT 攻 撃 はいかにして阻 止 されたか？

－「・・・Carbanak という全 世 界 の金 融 機 関 を対 象 とした APT 攻 撃 は、今までで最 大 のサイバー強 盗 とされている・・・通 常 のサイバー
犯 罪 の手 口 である利 用 者 の認 証 情 報 を盗 んだりマルウェアを使 って個 人 のオンラインバンキングのセッションを侵 したりするのでなく、Carbanak は厚 かましくも銀 行 の内 部 システムと運 用 をターゲッ
トとし、複 数 の強 奪 のチャネルを手 に入 れて、1 銀 行 当 り平 均 で 8 百 万 ドルを奪った。」
APT の世 界 の最 近 のトレンド－「中 国 のサイバースパイと疑 われている件 では、 APT によって

『早 くも 2006 年 から、複 数 の産 業にわたって、少 なくとも 141 の組 織 からの、何 百 テラバイトに上 るデータ』が盗まれた。」
APT の世 界 の最 近 のトレンド－「国 土 安 全 保 障 省 のレポートによると、APT は、『事 業 会 社 に仕 向

けられており、こうした新 興 の危 険 な攻 撃 に対 して戦 うためのソリューションに対 する必 要 は世 界 的に急 拡 大 している。』」

7.4. CCM V3.0.1 記載の管理策
AIS-01: アプリケーションとインターフェースセキュリティ － アプリケーションセキュリティ
AIS-02: アプリケーションとインターフェースセキュリティ － 顧 客 アクセス要 求
AIS-03: アプリケーションとインターフェースセキュリティ － データの完 全 性
AIS-04: アプリケーションとインターフェースセキュリティ － データセキュリティ/完 全 性
BCR-04: 事 業 継 続 管 理 と運 用 レジリエンス － 文 書
IVS-01: インフラと仮 想 化 のセキュリティ － 監 査 ログ / 侵 入 検 知
IVS-02: インフラと仮 想 化 のセキュリティ － 変 更 検 知
IVS-05: インフラと仮 想 化 のセキュリティ － 管 理 脆 弱 性 管 理
IVS-07: インフラと仮 想 化 のセキュリティ － OS 堅 牢 性 と基 本 管 理
IVS-13: インフラと仮 想 化 のセキュリティ － ネットワークアーキテクチャ
TVM-01: 脅 威 と脆 弱 性 の管 理 － アンチウイルス / 悪 質 なソフトウエア
TVM-02: 脅 威 と脆 弱 性 の管 理 － 脆 弱 性 / パッチ管 理

7.5. リンク集
1.

Advanced Persistent Awareness.

© 2017, Cloud Security Alliance. All rights reserved28

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

http://www.trendmicro.co.uk/media/misc/ap t-survey-report-en.pdf
2.

Current Trends in the APT World.
http://resources.infosecinstitute.com/current -trends-apt-world/

3.

Carbanak: How Would You Have Stopped a $1 Billion APT A ttack?
https://securityintelligence.com/carbanak -how-would-you-have-stopped-a-1-billion-apt-attac
k/4.

Managing Information Security.
http://csrc.nist.gov/publications/nistpubs/800 -39/SP800-39-final.pdf

5.

Understand and combat advanced persistent threats and targeted attacks.
http://www.trendmicro.com/us/enterprise/challenges/advance -targeted-attacks/#what-happens-during-an-attack© 2017, Cloud Security Alliance. All rights reserved29

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

8. データの喪失
サービスモデル
8.1. 説 明
個 人 であれ企 業 であれ、自 分 のデータを永 遠 に失 うと想 像 することは恐 ろしい。
クラウド上 に保 存 されたデータは、悪 意 を持 った攻 撃 以 外 の理 由 でも失われることがある。クラウド事 業 者 が偶 発 的 に消 してしまう場 合 や、より
悪 いケースでは火 事 や地 震 のような物 理 的 破 壊 によっても、 クラウド事
業 者 またはクラウド利 用 者 が、事 業 継 続 災 害 復 旧 ならびに 、日 次 バック
アップや、可 能 ならオフサイト保 管 といった実 践 規 範 を守 って、データバ
ックアップの適 切 な手 立 てを講 じていない場 合 には、クラウド利 用 者 のデータが永 遠 に失 われることになりかねない。更 に、データ喪 失 を回 避 す
る責 務 はクラウド事 業 者 の肩 にだけのしかかっているのではない。クラウ
ド利 用 者 がそのデータをクラウドにアップする前 に暗 号 化 していて、暗 号

IaaS PaaS SaaS

セキュリティガイダ
ンスの対応ドメイン
Domain 5: 情報管理とデータセキュリティ
Domain 10: アプリケー
ションセキュリティ
Domain 12: アイデンティ
ティ、権限付与、アクセス管理
Domain 13: 仮想化

STRIDE脅威分析
×

IDの詐称(S)×

データの改ざん(T)✔

事後否認(R)×

情報漏えい(I)ータ喪 失 に対 して責 任 を負 うのか、知 っておく必 要 がある。クラウド事 業✔

サービス妨害(D)者 の一 部 は地 理 的 にまたがった冗 長 性 や、クラウド内 でのバックアップや、×特権の奪取(E)

鍵 をなくした場 合 にも、データは失 われる。
クラウド利 用 者 は、契 約 のデータ喪 失 条 項 を確 認 し、クラウド事 業 者 の対策 の冗 長 性 について問 い合 わせを行 って、どちらがどんな条 件 の下 にデクラウド－クラウド外 施 設 間 のバックアップを提 供 する。データの保 管 、バックアップ、保 護 についてクラウド事 業 者 に依 存 するリスクと、同 様 の機 能をインハウスで実 施 することを比 較 考 量 しなければならない。データが極 めて重 要 な場 合 には、両者 ともに選 択 することも必 要 となろう。

8.2. ビジネス インパ クト
情 報 は重 要 な資 産 とは見 られないかもしれないが、ほとんど全 ての今 日 の組 織にとって血 液 と同 じなのだ。ほとんどの企 業 が保 有 する、単 一 種 類 の最 も価 値 のある資 産 なのである。物 品 を売 っている小 企 業 であっても、日 々の操 業 のための関 連 するサービスがデータへのアクセスに頼 っている。
在 庫 、仕 入 れ先 リストや顧 客 リスト、受 注 、スケジュール管 理 、請 求 書 の発 行 、給 料 支 払 い、財 務 などなどである。データ喪 失 は致 命 的 になる。多 くの企 業 が、クラウド上 に保 存 した重 要 データ を、復 旧させられることを確 実 にするための手 立 てを講 じることを、経 営 者 が怠 った結 果 、事 業 を畳 まざる
を得ないことになってきた。

© 2017, Cloud Security Alliance. All rights reserved30

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

新 しい EU のデータ保 護 ルールの下 では、データの破 壊 と個 人 データの毀 損 はデータ侵 害 の一 形 態とみなされ、適 切 な報 告 が求められる。
さらに、多 くの法 令 遵 守 ルールでは、組 織 は監 査 記 録 その他 の文 書 を保 存 するよう求 められる。そのデータをクラウドに保 存 していた場 合 、そのデータ喪 失 は組 織 の法 令 遵 守 に関 する立 場 を危 うくしかねない。

8.3. 文献と具 体例
2011 年 4 月 、アマゾンの EC2 がクラッシュし、多 くの利 用 者 に莫 大 なデータ喪 失 をもたらした。
2014 年 11 月 、ソニーが攻 撃 者 に侵 入 され、個 人 識 別 情 報 や従 業 員 間 の e メールのやり取 りなどの
秘 密 情 報 が漏 洩 した。2015 年 第 1 四 半 期 には、ソニーはハッキングにより継 続 している被 害 に対 処するために、1500 万 米 ドルを投 入 した。
2014 年 6 月 、オンラインホスティングとコード発 行 事 業 者 の Code Spaces 社 は、ハッキングに遭 い、
顧 客 データのほとんどが改 ざんされ破 壊 される結 果 となった。同 社 は最 終 的 にこの攻 撃 によ る被害 から回 復 することができず、閉 鎖 に追 い込 まれた。

8.4. CCM V3.0.1 記載の管理策
BCR-11: 事 業 継 続 管 理 と運 用 レジリエンス － 保 持 ポリシー
BCR-05: 事 業 継 続 管 理 と運 用 レジリエンス － 環 境 リスク
BCR-06: 事 業 継 続 管 理 と運 用 レジリエンス － 機 器の位 置
GRM-02: ガバナンスとリスク管 理 － データフォーカスリスクアセスメント

8.5. リンク集
1.

Cloud Computing Users Are Losing Data, Symantec Finds
http://www.investors.com/cloud-computing-data-loss-high-in-symantec-study/

2.

Kill the Password: W hy a String of Characters Can’t Protect Us Anymore
http://www.wired.com/gadgetlab/2012/11/ff -mat-honan-password-hacker/

3.

Code Spaces RIP: Code hosting provider ceases trading after “well -orchestrated”
DDoS attack
http://www.cloudcomputing-news.net/news/2014/jun/19/code-spaces-rip-code-hosting-pro
vider-ceases-trading-after-well-orchestrated-ddos-attack/4.

Everything You Ever Wanted to Know About the Amazon EC2 Crash
http://siliconangle.com/blog/2011/04/29/everything -you-ever-wanted-to-know-about-the-amazon-ec2-crash/

5.

Inside the Hack of the Century
http://fortune.com/sony-hack-part-1/© 2017, Cloud Security Alliance. All rights reserved31

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

9. 不十分なデューディリジェンス
サービスモデル［訳 注 ：デューディリジェンスは「詳 細 な調
査 に基 づく評 価 」といった意 味 だが、より重 いニュアンスがあり、一 般 にそのまま使われているので、それに倣 うこととする。］

9.1. 説 明
経 営 者 が事 業 戦 略 を立 てるに当 って、クラウド技 術 とクラウドサービス事
業 者 の存 在 は考 慮 に入 れるべきである。クラウド技 術 とクラウドサービス
事 業 者 の評 価 に際 して、うまく行 くようにするためには、デューディリジ
ェンスの実 施 計 画 とチェックリストをうまく作 り上 げることが重 要 である。
デューディリジェンスを実 施 せずにクラウド技 術 を取 り入 れ、クラウドサー
ビス事 業 者 を選 択 する組 織 は、その成 功 を危 うくする 無 数 のリスク－営
業 、財 務 、技 術 、法 務 、遵 法 のあらゆる面 でのリスク－に身 をさらすことになる。これは、企 業 がクラウドへの移 行 を検 討 する場 合 も、移 行 済 みまたは移 行 検 討 中 の企 業 の吸 収 合 併 を意 図 している場 合 でも、当 てはまる
問 題 である。

9.2. ビジネス インパ クト
営 業 面 ：クラウド事 業 者 が開 発 予 定 のシステムやプロセスに依 存 した新 しい顧 客 サービスを設 計 しても、そのような開 発 はクラウド事 業 者 の技 術者にとって高 い優 先 順 位 を持たないかも知 れない。
技 術 面 ：クラウド技 術 に精 通 していない設 計 者 やアーキテクトがクラウドに載 せるアプリケーションを開 発 しても、想 定 外 の運 用 上 または構 造 上

IaaS PaaS SaaS

セキュリティガイダ
ンスの対応ドメイン
Domain 1: クラウドコンピュー
ティングのアーキテクチャ
フレームワーク
Domain 2: ガバナンスとエンタープライズリスクマネジ
メント
Domain 3: 法律問題：契約と電子証拠開示Domain 4: コンプライアンスと監査マネジメント
Domain 5: 情報管理とデー
タセキュリティ
Domain 6: 相互運用性と移植容易性
Domain 7: 従来からのセキュリティ対策、事業継続性、
災害復旧
Domain 8: データセンタ運用
Domain 9: インシデントレス
ポンス
Domain 10: アプリケーション
セキュリティ
Domain 11: 暗号化と鍵管理
Domain 12: アイデンティティ、
権限付与、アクセス管理
Domain 13: 仮想化
Domain 14: Security as aServiceの問 題が起 きるかも知 れない。
法 務 面 ：通 常 運 転 中 に使 用 中 、移 送 中 または保 存 中 のデ ータが国 外 の所 在 場 所 にある場 合 は、あるいは復 旧 過 程 の場 合 であっても、規 制による制 約 を受 ける恐 れがある。
遵 法 面 ：「内 部 」ネットワークレベルのデータプライバシーとセキュリティ対 策 に頼 っていたアプリケーションを、クラウドに移 行 することは、それらの対 策 が失 われた時には危 険 である。

© 2017, Cloud Security Alliance. All rights reserved

32

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

クラウド技 術 モデルへの移 行 を行 おうとする企 業 や組 織 にとっての最 低
限 必 要 なことは、幅 広 いデューディリジェンスを実 施 して、クラウドの技 術

STRIDE脅威分析

モデルを採 用 し、その供 給 事 業 者 と付 き合 うことによって引 き受 けるこ✔

IDの詐称(S)とになる、リスクを理 解 することである。

✔

データの改ざん(T)✔

事後否認(R)✔

情報漏えい(I)✔

サービス妨害(D)✔

特権の奪取(E)9.3. 文献と具 体例
機 能 を果 たすリソース・コントロール・ポリシー－

2012 年 、Netflix が、コンテンツを顧 客 に配 信 するのに利 用していた AWS パブリッククラウドが、
米 国 東 部 リージョン(AWS 内 で複 数 のゾーンにまたがっている)で、機 能

停 止 に遭った。原 因 は、誤 ってロードバランシングを制 御していた情 報 を消 してしまったことによる 。
契 約 と財 務 面 での存 続 可 能 性－2013 年 、クラウドストレージ専 業 で、IBM や Dell や自 社 の顧 客のデータをホストしていた Nirvanix は、連 邦 破 産 法 11 条 を申 請 し、営 業 を停 止 した。利 用 者 はデータ
を他 のサービスに移 すのに 2 週 間 未 満 の期 間 しか与 えられず、以 下 のような問 題 を浮 かび上 がらせた： データ喪 失 ：利 用 者 がそのデータを 2 週 間 以 内 に取 り戻せなかった場 合 、Nirvanix 上の顧 客
データはどうなるのか？
 業 務 障 害 ：映 像 と TV の制 作 スタジオである Relativity Media は、Nirvanix のクラウドを、世 界に展 開 する従 業 員 が共 同 作 業 し、膨 大 なデジタルファイルを共 有 することで生 産 性 を上 げるためのハブとして使 っていた。
 セキュリティ侵 害 ：金 詰 まりのサービス事 業 者 はセキュリティのための技 術 と人 をけちるかも知
れなく、突 然 のペースダウンは通 常 とるべきセキュリティの手 順 を隙 間 に落 としてしまうことになるかも知 れない。
 法 令 違 反 ：医 療 機 関 や金 融 機 関 は、政 府 の規 制 を遵 守 するためにデータを保 持 しなければならない。データが失 われた場 合、これらのサービスは法 令 違 反 状 態 になる。
M&A－

2011 年 、Facebook は、同 社 がプライバシーに関する約 束 を守 れなかったことで顧 客 を裏切 ったとの、FTC からの責 任 追 及 を解 決 した。FTC の命 令 によれば、Facebook は、プライバシーに関する設 定を変 更 する場 合 は、他 の要 件 と合 わせて、利 用 者 の承 認 の同 意 を得なければならない。
米 国 司 法 省 の前 司 法 次 官 補 である Jason Weinstein は、サイバーセキュリティのデューディリジェン
スの問 題 について簡 潔 にまとめて、このように述 べた：「企 業 を買 収 する場 合 、その企 業 のデータを買 うことになる。それはデータセキュリティ問 題 を買 うことになるかもしれない。」別 の言 い方 をす
れば「サイバーリスクは、財 務 や法 務 のデューディリジェンスを考 慮 に入 れるのと全 く同 等 に考 えなければならない。」© 2017, Cloud Security Alliance. All rights reserved33

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

9.4. CCM V3.0.1 記載の管理策
AIS-01: アプリケーションとインターフェースセキュリティ － アプリケーションセキュリティ
AIS-04: アプリケーションとインターフェースセキュリティ － データセキュリティ/完 全 性
AAC-01: 監 査 保 証 とコンプライアンス － 監 査 計 画
AAC-02: 監 査 保 証 とコンプライアンス － 独 立 した監 査
AAC-03: 監 査 保 証 とコンプライアンス － 情 報 システムに関する規 制 の把 握BCR-01: 事 業 継 続 管 理 と運 用 レジリエンス － 事 業 継 続 計 画
BCR-02: 事 業 継 続 管 理 と運 用 レジリエンス － 事 業 継 続 テスト
BCR-03: 事 業 継 続 管 理 と運 用 レジリエンス － データセンタのユーティリティ / 環 境 状 態
BCR-04: 事 業 継 続 管 理 と運 用 レジリエンス － 文 書
BCR-05: 事 業 継 続 管 理 と運 用 レジリエンス － 環 境 リスク
BCR-06: 事 業 継 続 管 理 と運 用 レジリエンス － 機 器の位 置
BCR-07: 事 業 継 続 管 理 と運 用 レジリエンス － 機 器のメンテナンス
BCR-08: 事 業 継 続 管 理 と運 用 レジリエンス － 機 器の停 電
BCR-09: 事 業 継 続 管 理 と運 用 レジリエンス － 影 響 解 析BCR-10: 事 業 継 続 管 理 と運 用 レジリエンス － ポリシー
BCR-11: 事 業 継 続 管 理 と運 用 レジリエンス － 保 持 ポリシー
GRM-01: ガバナンスとリスク管 理 － ベースライン要 求
GRM-02: ガバナンスとリスク管 理 － データフォーカスリスクアセスメント
GRM-03: ガバナンスとリスク管 理 － 管 理 の監 視
GRM-04: ガバナンスとリスク管 理 － 管 理 プログラム
GRM-05: ガバナンスとリスク管 理 － 経 営 層 による補 強 / 関 与GRM-06: ガバナンスとリスク管 理 － ポリシー
GRM-07: ガバナンスとリスク管 理 － ポリシーの強 制 適 用
GRM-08: ガバナンスとリスク管 理 － リスクアセスメントにおけるポリシーインパクト
GRM-09: ガバナンスとリスク管 理 － ポリシーレビュー
GRM-10: ガバナンスとリスク管 理 － リスクアセスメント
GRM-11: ガバナンスとリスク管 理 － リスク管 理 フレームワーク
IVS-06: インフラと仮 想 化 のセキュリティ － ネットワークセキュリティ
IVS-09: インフラと仮 想 化 のセキュリティ － 区 分

9.5. リンク集
1.

Technology: A lack of due diligence still a top threat in the cloud
http://www.insidecounsel.com/2013/12/06/technology -a-lack-of-due-diligence-still-a-top-thr［ 訳 注 ： URL が 無 効 で リ ン ク を 張 れ な い ］

2.

Due Diligence: 50 Questions for Cloud Computing Providers
http://www.techbridge.org/documents/TechBridge%20 -%20Due%20Diligence%20-%2050%20
Questions%20for%20Cloud%20Providers.pdf ［ 訳 注 ： URL が 無 効 で リ ン ク を 張 れ な い ］

3.

With All Due Diligence
http://www.tierpoint.com/index.php/download_file/364

4.

Cloud Service Vendor Evaluation and Due Diligence
http://blog.itil.org/2015/01/itil/cloud -service-vendor-evaluation-and-due-diligence/

5.

ISO Standards Catalogue
http://www.iso.org/iso/catalogue_detail?csnumber=56269© 2017, Cloud Security Alliance. All rights reserved34

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

6.

How long will big-name customers like Netflix put with Amazon cloud outages?
http://www.networkworld.com/article/2 162488/cloud-computing/how-long-will-big-name-custo
mers-like-netflix-put-up-with-amazon-cloud-outages-.html

7.

Summary of the December 24, 2012 Amazon ELB Event in the U.S. -East Region
http://aws.amazon.com/message/680587/?tag=viglink125435 -20

8.

Avoiding the Fallout From a Bankruptcy in the Cloud
http://www.cruxialcio.com/nirvanix-bankruptcy-2037

9.

FTC Notifies Facebook, WhatsApp of Privacy Obligations in Light of Proposed
Acquisition
https://www.ftc.gov/news-events/press-releases/2014/04/ftc-notifies-facebook-whatsapp-priv
acy-obligations-light-proposed© 2017, Cloud Security Alliance. All rights reserved35

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

10.

10.1.

クラウドサービスの悪用・乱用・不正使用
説明

セキュリティが不 十 分 なまま配 備 されたクラウドサービス、クラウドの無 償
試 用 、支 払 い手 段 を悪 用 した詐 欺 的 なアカウントのサインアップは、 IaaS、Paa、SaaS といったクラウドのコンピューティングモデルを悪 意 ある攻 撃に曝 してしまう。
悪 いことを企 てる者 は、クラウドコンピューティングのリソースを、クラウド
利 用 者 や組 織 や、あるいは他 のクラウド事 業 者 を標 的 にする際 に活 用 する。クラウドサービスをベースにしたリソースの悪 用 の事 例 としては、 DDoS

サービスモデル
IaaS PaaS SaaS

セキュリティガイダ
ンスの対応ドメイン
Domain 3: 法律問題：契約と電子証拠開示
Domain 7: 従来からのセキュリティ対策、事業継続性、災害復旧
Domain 9: インシデント
レスポンス

攻 撃 、スパムメール、フィッシングの実 行 や、デジタル通 貨 のマイニングや、
大 規 模 なワンクリック詐 欺 や、認 証 情 報 データベースを盗 み出 してブルSTRIDE脅威分析

ートフォース攻 撃 を仕 掛 けること、更 には悪 性 のコンテンツや海 賊 コンテ
×IDの詐称(S)×

データの改ざん(T)クラウドサービスの悪 用 に対 する対 策 としては、クラウド事 業 者 が支 払 い×

事後否認(R)手 段 偽 装 やクラウドサービスの悪 用 を検 知 することがあり、例 えばネット

×

情報漏えい(I)

ワーク上 の発 信 側 ・着 信 側 の DoS 攻 撃 の検 出 といったことである。クラウ✔

サービス妨害(D)×

特権の奪取(E)ンツのホスティングがある。

ド事 業 者 はインシデント対 応 の仕 組 みを用 意 して、リソースの悪 用 を把 握しなければならないし、クラウド事 業 者 から発 信 されている悪 用 について、クラウド利 用 者 に通 知 する手 段 を持 たなければならない。クラウド事 業 者 はまた、 クラウド利 用 者 が自 らのワークロードの状 態 をモニターできるための対 策 手 段 を、備 えなければならない。

10.2.

ビジネス インパ クト

クラウドサービスのリソースが悪 用 されると、そのクラウド事 業 者 にホストされた正 規 のクラウド利 用
者 にとって利 用 可 能 な能 力 を減 衰 させる恐 れがある。悪 用 に対 応 していると、その他 のお客 様 サポート対 応のためにあるリソースの利 用 が、制 限 される可 能 性 がある。
不 正 な支 払 い手 段 を用 いられた場 合 、その不 正 と無 縁 の存 在 、例 えば金 融 機 関 やクラウド事 業 者に余 計 なコストを背 負 わせ、ひいてはクラウド利 用 者 やその他 の存 在 のコスト負 担 になる可 能 性 がある。
クラウド事 業 者 発 の、もしくはクラウド事 業 者 を標 的 とした DDoS 攻 撃 は、同 じクラウドプラットフォー© 2017, Cloud Security Alliance. All rights reserved36

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

ムにホストされた他 のサイトにとって、利 用 可 能 性 を失 わせたり、ビジネスを阻 害 されたり、収 益 を毀損 したりといった結 果 をもたらす恐 れがある。
例 え、ある組 織 がこれら行 為 を一 切 行 っていないとしても、クラウドサービスの共 同 利 用 という性 質
上 、その組 織 にとって、データやサービスが失 われるという脅 威 となって迫 ってくる。

10.3.

文献と具 体例

インターネットを破 壊 しかねなかった DDoS 攻 撃－「攻 撃 側 は、自 分 たち自 身 は恐 らくその 100

分の 1 のアクセス幅 しかないネットワークを使って、300Gbps 以 上 というトラフィックを発 生 することに成 功 した。」
ハッカーは DDoS 攻 撃 の発 信 元 ハブとして利 用 するべく AWS に侵 入 した－

「アマゾンの EC2 部

門 は、特 定 されていないハッカー集 団 の非 常 に巧 妙 な攻 撃 に悩 まされていた。ハッカーは、
proof-of-concept のコードをリバースエンジニアリングすることによって、アクセスが容 易 なバックド
アを仕 掛 け、アマゾンの提 供 する膨 大 な処 理 能 力に侵 入 した。」

10.4. CCM V3.0.1 記載の管理策
HRS-01: 人 事 － 資 産 返 却
HRS-02: 人 事 － 経 歴 スクリーニング
HRS-03: 人 事 － 雇 用 契 約HRS-04: 人 事 － 雇 用 の終 了
HRS-07: 人 事 － ロール／責 任
HRS-08: 人 事 － 技 術 的 に受 け入 れられる使 用
HRS-10: 人 事 － ユーザ責 任
SEF-01: セキュリティインシデント管 理 、E ディスカバリ、クラウドフォレンジックス － 管 轄 当 局 との
接 点 の維 持SEF-02: セキュリティインシデント管 理 、E ディスカバリ、クラウドフォレンジックス － インシデント
管理
SEF-03: セキュリティインシデント管 理 、E ディスカバリ、クラウドフォレンジックス － インシデントレ
ポーティングSEF-04: セキュリティインシデント管 理 、E ディスカバリ、クラウドフォレンジックス － インシデントレ
スポンスの法 的 準 備

10.5. リンク集
1.

The DDoS That Almost Broke the Internet
https://blog.cloudflare.com/the -ddos-that-almost-broke-the-internet/

2.

Password Cracking in the Cloud
http://www.networkworld.com/article/2194881/cloud -computing/password-cracking-in-the-cloud.html

3.

Hackers Sneak Back into AW S for DDoS Launch Hub© 2017, Cloud Security Alliance. All rights reserved37

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

https://vpncreative.net/2014/07/29/hackers -sneak-back-aws-ddos-launch-hub/4.

Praetorian Launches Cloud-based Password Cracking Service
http://www.securityweek.com/praetorian -launches-cloud-based-password-cracking-servic
e© 2017, Cloud Security Alliance. All rights reserved38

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

11.

サービス妨害攻撃
サービスモデル

11.1.

説明サービス妨 害 （Denial-of-service (DoS)）攻 撃 とは、サービスの利 用 者が自 らのデータやアプリケーションにアクセスできることを妨 げる攻 撃 である。標 的 となるクラウドサービス に、プロセッサ、メモリ、ディスクスペー
ス、ネットワーク帯 域 といった有 限 の資 源 を異 常 な度 合 いで消 費 させることで、攻 撃 者 または攻 撃 者 集 団 は、分 散 DoS（DDoS）攻 撃 の場 合 のよ
うに、耐 え難 いシステムシャットダウンを引 き起 こし、正 規 のサービス利 用
者 全 てを混 乱 させ、サービスが反 応 しないことに憤 らせる。
DDoS 攻 撃 は、特に犯 人 が政 治 的 ハクティビズムの発 想 で行 為 に及ぶ場
合 には、恐 怖 を呼 びメディアの関 心 を引 き付 けるが、それが DoS 攻 撃 のやり方の全 てではない。非 同 期 型 のアプリケーションレベルの DDoS 攻 撃

IaaS PaaS SaaS
セキュリティガイダ
ンスの対応ドメイン
Domain 8: データセンタ
運用
Domain 9: インシデント
レスポンス
Domain 10: アプリケー
ションセキュリティ
Domain 13: 仮想化
Domain 14: Security as aService

STRIDE脅威分析

は、Web サーバやデータベースやその他 のクラウドリソースの脆 弱 性 を悪
用 し、悪 意 を持 った人 間 が、単 純 な極 小 サイズ-場 合 によっては 100 バイ

×IDの詐称(S)ト未 満 -の攻 撃 コードでアプリケーションを取 り去 ることを許 してしまう。

×

データの改ざん(T)他 の種 類 の攻 撃 は、同 様 に限 りある資 源 を標 的 にする。エコノミック DoS×

事後否認(R)

攻 撃 は、クラウドのダイナミックな特 性 を利 用 して、企 業 のキャッシュフロ×

情報漏えい(I)✔

サービス妨害(D)×

特権の奪取(E)ーを危 機 にさらし、スタートアップの支 払 い能 力 を麻 痺 させてしまう。別の形 態 では、組 織 の人 的 資 源 が官 僚 主 義 的 DoS 攻 撃 * のための法 務 対
応 でひっ迫 させられ、企 業 は同 様 に、サービス提 供 ができなくなる 状 態に陥 らされる。

［*訳 注 ：原 語 は bureaucratic DoS。意 味 は定 かでないながら、文 脈 からは、IT 以 外 のクレーム等 をDoS 的 に仕 掛 けることで、法 務 などの人 的 資 源 を浪 費 させる攻 撃 と推 量 される。］

11.2.

ビジネス インパ クト

DoS 攻 撃 に遭 うことは、ラッシュアワーの交 通 渋 滞に巻 き込 まれるのと似 ている。目 的 地 に到 達 する
手 段 はなく、ただじっと座 って待 つこと以 外 にできることもない。利 用 者 の立 場 からは、 サービスの停 止 はフラストレーションを引 き起 こすだけでなく、インフラコスト削 減 のために重 要 データをクラウドに移 行 したことは、本 当 に熟 慮 すべきことだったと考 えこませてしまう。さらにひどいことには、クラウド事 業 者 は顧 客 に、コンピューティング回 数 とディスクスペースをベースに課 金 するので、攻 撃 が
完 全 に自 社 のサービスをインターネットから締 め出 すに至 らなくても、処 理 時 間 を大 量 に消 費 させられ、付 けを回されることになる。

© 2017, Cloud Security Alliance. All rights reserved

39

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

場 合 によっては、DDoS 攻 撃 は、防 御 側 を DDoS への防 戦に忙 殺 させることで、環 境 のどこかに仕 掛
けている攻 撃に対 する煙 幕 として用 いられる。リスクの観 点 からは、DoS 攻 撃 は、他 のテナントも巻 き
込 めるので、クラウドにおける方 が起 きやすい。しかし、クラウド事 業 者 は一 般 的 に DoS 攻 撃 への対応により優 れている。
DDoS 攻 撃 は、まずもって見 えなければならない。故に検 知 が必 要 である。例 えば Web サイトの反 応が遅 いということは企 業 にとって十 分 な検 知 方 法 とは言 えない。検 知 した後に関 して言 えば DDoS
攻 撃 に対 応 するカギとなるのは、発 生 前 に備 えを整 えておくことである。システムアドミニストレー
タは、DDoS 対 策 として活 用 できるリソースに直 ちにアクセスできることが必 須 である。

11.3.

文献と具 体例

クラウドの利 用 が増 えるに連 れて、DDoS 攻 撃 の頻 度 も増 す－「クラウド事 業 者 は DDoS 攻 撃 の

増 加 に直 面 している。プライベートなデータセンターはすでに直 面 している問 題［状 況 は似 通 っている］ではあるが。」
Evernote や Deezer への攻 撃に続 いて、Feedly も DDoS 攻 撃 を受 け、オフラインに追 い込 まれた。
－

「犯 罪 集 団 による一 連 の連 携 型 サイバー攻 撃 と同 様 の事 象 により、最 近 、3 つの主 要 なクラウドベースのサービスがオフラインに追 い込 まれた。ニュースまとめ事 業 者 の Feedly、ノート機 能 アプリの Evernote、音 楽 ストリーミングサービスの Deezer は、この数 日 の間に相 次 いで犯 罪 集 団 からの攻 撃 に遭 い、3 社 ともサービス停 止 に追 い込 まれた。」

11.4. CCM V3.0.1 記載の管理策
AIS-01: アプリケーションとインターフェースセキュリティ － アプリケーションセキュリティ
BCR-08: 事 業 継 続 管 理 と運 用 レジリエンス － 機 器の停 電
GRM-01: ガバナンスとリスク管 理 － ベースライン要 求
IVS-04: インフラと仮 想 化 のセキュリティ － 情 報 システム文 書11.5. リンク集
1.

As Cloud Use Grows, So W ill Rate of DDoS Attacks
http://www.infoworld.com/article/2613310/cloud -security/as-cloud-use-grows--so-will-rate-ofddos-attacks.html

2.

Computerworld: DDoS is Cloud’s security Achilles heel (September 15, 2011)
http://www.computerworld.com.au/article/401127/ddos_cloud_security_achilles_heel

3.

OWASP: Application Denial of Service
https://www.owasp.org/index.php/Application_Denial_of_Service

4.

Radware DDoSpedia
http://security.radware.com/knowledge -center/DDoSPedia/© 2017, Cloud Security Alliance. All rights reserved40

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

5.

DDoS Attacks, The Necessity of Multi -Layered Defense
https://blog.arbornetworks.com/ddos -attacks-the-necessity-of-multi-layered-defense/

6.

Wave Of DDoS Attacks Down Cloud-Based Services
http://www.darkreading.com/attacks -breaches/wave-of-ddos-attacks-down-cloud-based-servi
ces/d/d-id/1269614

7.

How New Types of DDoS Affect the Cloud
http://www.datacenterknowledge.com/a rchives/2014/10/22/as-apps-move-to-the-cloud-ddosattacks-take-new-shape/

8.

Feedly Knocked Offline by DDoS Attack Following Evernote and Deezer Attacks
http://www.ibtimes.co.uk/feedly-knocked-offline-by-ddos-attack-following-evernote-deezer-att
acks-1452237© 2017, Cloud Security Alliance. All rights reserved

41

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

12.

共用技術の脆弱性
サービスモデル

12.1.

説明

IaaS PaaS SaaS

クラウド事 業 者 は、インフラストラクチャ、プラットフォーム、アプリケーショ
ンを共 用 にすることで、そのサービスを伸 縮 自 在 に提 供 している。クラウ
ド技 術 は、”as a Service”の機 能を、既 製 品 のハードウェア・ソフトウェアに
大 幅 な変 更 を加 えることなく分 割 している。－時 としてセキュリティを犠牲にして。クラウドサービスの配 備 を担 うインフラストラクチャを構 成 する
仮 想 レイヤのコンポーネント（例 ：CPU、キャッシュ、GPU 等 ）は、必 ずしも強力 な隔 離 －IaaS ではマルチテナントアーキテクチャ、PaaS では再 配 備 可
能 なプラットフォーム、SaaS では複 数 利 用 のアプリケーション－の特 性 を
示 すようには設 計 されていない。このことは、共 用 技 術 の脆 弱 性 につながる可 能 性 があり、全 ての配 備モデルにおいて、悪 用 される可 能 性 を秘めている。サービスモデルが IaaS であれ PaaS であれ SaaS であれ、多 層
防 御 の戦 略 が望 ましく、その対 象にはコンピュート機 能 、ストレージ、ネット

セキュリティガイダ
ンスの対応ドメイン
Domain 1: クラウドコン
ピューティングのアー
キテクチャフレームワーク
Domain 5: 情報管理とデータセキュリティ
Domain 11: 暗号化と鍵管理
Domain 12: アイデンティ
ティ、権限付与、アクセス管理
Domain 13: 仮想化

ワーク、アプリケーション、ユーザへのセキュリティ強 化 およびモニタリン
グを含 めるべきである。大 事 なことは、単 発 の脆 弱 性 や設 定 のミスでも、
事 業 者 のクラウド全 体に害 を及 ぼす可 能 性 があることである。

STRIDE脅威分析
×

IDの詐称(S)×

データの改ざん(T)全 てのホストに多 要 素 認 証 を適 用 、内 部 ネットワークに HIDS（ホストベー×

事後否認(R)ス IDS）と NIDS（ネットワークベース IDS）を導 入 、最 小 権 限 と職 務 の分 離 を✔

情報漏えい(I)

リンクさせるコンセプト、共 用 リソースのパッチの維 持 などである。

×

サービス妨害(D)✔

特権の奪取(E)共 用 リソースにおける侵 害 を阻 止 する対 策 を実 装 すべきである。例 えば

12.2.

ビジネス インパ クト

ハイパーバイザー、共 用 プラットフォームのコンポーネント、SaaS 環 境 のアプリケーションといった共
用 技 術 に不 可 欠 の要 素 が攻 略されると、侵 害 に遭 った顧 客 を危 険 にさらすだけでなく、むしろ全 体の環 境が攻 略 され侵 害 を受ける可 能 性 に曝 される。この脆 弱 性 は危 険 であり、時 にクラウド全 体 に影 響 を及 ぼす恐 れがある。

12.3.

文献と具 体例

VM 間 サイドチャネル攻 撃 とそれを利 用 した秘 密 鍵 の抜 き出 し－「・・・アクセスドリブン型 のサイドチャネル攻 撃 が組 み込 まれ、同 一 の物 理 コンピュータ上 で走 る標 的 の仮 想 マシンから、攻 撃 側 の仮© 2017, Cloud Security Alliance. All rights reserved42

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

想 マシンが精 度 の高 い情 報 を抜 き出し。。。」
VENOM 脆 弱 性 を知 ること－「QEMU の仮 想 フロッピーディスクコントローラのコードにはバッファチ

ェック欠 落 脆 弱 性 （CVE-2015-3456）がある。この脆 弱 性 を衝 くバッファオーバーフロー攻 撃 が成 功
すると、攻 撃 者 はそのコードをハイパーバイザーのセキュリティ環 境 内 で実 行 でき、 ゲスト OS を躱 してホスト全 体 を乗 っ取ることが可 能 になる。」

12.4. CCM V3.0.1 記載の管理策
DSI-04: データセキュリティと情 報 ライフサイクル管 理 － 処 理 / ラベル付 / セキュリティポリシー
EKM-03: 暗 号 化 と鍵 管 理 － 機 微 データの保 護
GRM-01: ガバナンスとリスク管 理 － ベースライン要 求
IAM-02: アイデンティティとアクセス管 理 － 資 格 証 明 のライフサイクル / プロビジョニング管理
IAM-05: アイデンティティとアクセス管 理 － 職 務 の分 離IAM-12: アイデンティティとアクセス管 理 － ユーザ ID 認 証
IVS-01: インフラと仮 想 化 のセキュリティ － 監 査 ログ / 侵 入 検 知
IVS-09: インフラと仮 想 化 のセキュリティ － 区 分
TVM-02: 脅 威 と脆 弱 性 の管 理 － 脆 弱 性 / パッチ管 理

12.5. リンク集
仮 想 化 の隔 離 とベアメタルの実 行のための共 用 技 術 の例 ：1.

EC2 Maintenance Update
https://aws.amazon.com/blogs/aws/ec2 -maintenance-update/

2.

The VENOM “virtual machine escape” bug – what you need to know
https://nakedsecurity.sophos.com/2015/05/14/the -venom-virtual-machine-escape-bug-what-you-need-to-know/

3.

Escaping VMWare Workstation through COM1
https://docs.google.com/document/d/1sIYgqrytPK -CFW fqDntraA_Fwi2Ov-YBgMtl5hdrYd4/pre
view

4.

Seriously, get off my cloud! Cross -VM RSA Key Recovery in a Public Cloud
https://eprint.iacr.org/2015/898.pdf© 2017, Cloud Security Alliance. All rights reserved

43

2017 年版
インシデント事例集
危険な 12 の落し穴– クラウドの重大セキュリティ脅威

2017 Edition:
Industry Insights
The Treacherous 12 – Top Threats to Cloud Computing© 2017, Cloud Security Alliance. All rights reserved

44

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

謝辞
共 同 リーダ

Jon-Michael C. Brook
Scott Field
Dave Shackleford
文 献 と具 体 例 の執 筆 ・寄 稿 者

Fitzgerald BarthVictor Chin
Moshe FerberSean Hittel
Laurie Jameson
Nathaniel Mason
Hardeep Mehrotara
Ashish Mehta
Mihir Mohanty
Krishna Narayanaswamy
Michael Roza
CSA グローバルスタッフ
Victor ChinFrank Guanco
John Yeoh
特別協力

Dan Hiestand© 2017, Cloud Security Alliance. All rights reserved45

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

Executive Summary
この付 録 は、Cloud Security Alliance (CSA)の Top Threats ワーキンググループが 2016 年に発 行した「危 険 な 12 の落し穴 －クラウドの重 大 セキュリティ脅 威 2016」と題 する調 査に盛 り込まれた事 例の改 訂 版 である。この 2017 年 版 の産 業 界 事 例 集 では、2016 年 版 で取 り上 げた 12 のセキュリティ問 題のカテゴリに関 連 する最 近 の事 故 や事 象 21 件 を取 り上 げている。
本 書 で取 り上 げた産 業 界 の事 例 は以 下 の通 りである：






















BOX の招 待 リンクの管 理 不 備 － データ侵 害
ヤフーの漏 えい問 題 － データ侵 害
LinkedIn のパスワードハッシュ化 に際 しての保 全 策 の失 敗 － ID、認 証 情 報 、アクセス管 理の不 備
インスタグラムにおけるアカウント復 旧 機 能 の悪 用 － ID、認 証 情 報 、アクセス管 理 の不 備
OAuth のセキュアでない実 装 － アカウントハイジャック
Zynga 元 従 業 員 のデータ窃 盗 疑 惑 － 悪 意 のある内 部 者
ヤフーの漏 えい問 題 － 不 十 分 なデューディリジェンス
MongoDB におけるメキシコの有 権 者 情 報 の漏 えい － ID、認 証 情 報 、アクセス管 理 の不 備
Ｄｙｎ DDoS 攻 撃 － サービス妨 害
Dirty Cow Linux の特 権 奪 取 に関する脆 弱 性 － システムの脆 弱 性
T-Mobile における顧 客 情 報 盗 難 － 悪 意 のある内 部 者
MongoDB の無 防 備 に対 するランサムウェアの攻 撃 － ID、認 証 情 報 、アクセス管 理 の不 備
クラウドサービスを利 用 するマルウェアによるデータ抜 き取 りと検 知 逃 れ － クラウドサー
ビスの悪 用 ・乱 用 ・不 正 使 用
オーストラリア統 計 局 に対 するサービス妨 害 － サービス妨 害 攻 撃
Virlock ランサムウェア － データの喪 失Zepto ランサムウェアのクラウドストレージサービスをホストとした拡 散 － クラウドサービ
スの悪 用 ・乱 用 ・不 正 使 用CloudSquirrel マルウェアによる Dropbox の C&C サーバのホスト利 用 － クラウドサービスの悪 用 ・乱 用 ・不 正 使 用CloudFanta マルウェアによるクラウドストレージを利 用 したマルウェア拡 散 － クラウドサービスの悪 用 ・乱 用 ・不 正 使 用
Moonpig モバイルアプリのセキュリティ欠 陥 － インタフェースと API のセキュリティ欠 陥
Cloudflare/Cloudbleed バッファオーバーフロー脆 弱 性 － 共 用 技 術 の脆 弱 性
NetTraveler 標 的 型 攻 撃 脅 威 － 標 的 型 攻 撃 の脅 威

Top Threats ワーキンググループは、2016 年 版 で取り上 げた 12 のセキュリティ問 題 に関する実 事 例を更 新 することで、読 む人 たちに、類 似 の内 容 を持 った最 新 事 例 を知 ってもらうと共 に、セキュリティの世 界で今 何 が起 きているかを届 けられればと考 えている。

CSA Top Threats Working Group© 2017, Cloud Security Alliance. All rights reserved

46

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

BOX の招待リンクの管理不備
データ侵害

オリジナルの情 報

The Treacherous 12: Cloud Computing Top Threats in 2016 – Pg. 9

文 献 と具 体 例

セキュリティの研 究 者 がサーチエンジンを使 っていて、数 多 くの個 人 や企 業のアカウントに帰 属 するプライベートなデータに協 同 作 業 のリンクが張 られているのを発 見 した。協 同 作 業 のリンクは、ユーザにファイルとフォルダへの共 有 アクセスを許 可 しており、それはファイルのダウンロード、アップロード、閲
覧 、編 集 、名 前 変 更 の許 可 を伴 っていた。デフォルトでは、協 同 作 業 のリンク
は編 集 者 の許 可 に基 づいて発 行 される。Box.com はユーザが共 有 範 囲 を広げすぎ、招 待 リンクを公 開 していることが原 因 だとした。だが同 時 に手 当 てを行 い、以 後 、公 開 の協 同 作 業 のリンクがサーチエンジンで検 索 されないよう措 置 を取った。

リンク

https://threatpost.com/box -com-plugs-account-data-leakage-flaw/122810/

日2017 年 1 月 3 日付© 2017, Cloud Security Alliance. All rights reserved

47

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

ヤフーの漏えい問題
データ侵害

オリジナルの情 報

The Treacherous 12: Cloud Computing Top Threats in 2016 – Pg. 9

文 献 と具 体 例2016 年 9 月 、ヤフーは 10 億 人 以 上 のユーザアカウントが 2013 年 8 月 に被害 に遭 っていたと認 めた。さらに続 いて、5 億 人 のユーザアカウントが 2014
年 に侵 害 に遭 っている。二 つを合 わせると、これらのセキュリティ上 の失 策 は
史 上 最 大 のデータ侵 害 となる。同 社 はデータに対 する複 数 のハッキングは
相 互 に連 携 しており、侵 害 は「国 家 の後 ろ盾 で行 われた」、と考 えている。ヤ
フーの CISO である Bob Lord は、ハッカーは”forged cookie”すなわちユー
ザのブラウザ内のキャッシュにとどまっているコードにより、web サイトへのアクセスに際 して都 度 ログインを求 められなくするやり方 を利 用 したとしている。こうしたクッキーにより、侵 入 者 はユーザアカウントにパスワードなしでアクセスできていた。
ヤフーが侵 害 を疑 いだしたのは、捜 査 当 局 者 が同 社 に接 触 し、ヤフーのユー
ザのアカウント名とパスワードが、ダークネット上のマーケットサイ
ト”TheRealDeal”で売 られていることを確 認 したと告 げたことによってだった。
売 りに出していたのは”Peace of Mind”と呼 ばれる者 で、VICE 誌 と WIRED 誌の秘 密 インタビューに答 え、彼 はある時 にそのデータを手 に入 れ、２０１５年 後
半 から個 人 的 に売 っていたと語 った。ヤフーは、盗 まれたユーザアカウント情報 には、名 前 、e メールアドレス、電 話 番 号 、生 年 月 日 、パスワードハッシュと、
一 部 のケースでは秘 密 の質 問 と答 えが暗 号 化 または平 文 で 含 まれていたことを確 認 している。
ヤフーの、本 件 侵 害 に関 する発 見 と報 告 の遅 れは、セキュリティ対 策 の改 善の実 装 と合 わせて、同 社 に対 する批 判 の対 象 となっている。

リンク
http://www.cnbc.com/2016/09/22/yahoo -data-breach-is-among-the-bigges
t-in-history.html

日付

2016 年 9 月 22 日

© 2017, Cloud Security Alliance. All rights reserved48

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

LinkedIn のパスワードハッシュ化に際しての保全策の失敗－

ID、認証情報、アクセス管理の不備

オリジナルの情 報

The Treacherous 12: Cloud Computing Top Threats in 2016 – Pg. 12

文 献 と具 体 例

報 道 によれば、 2012 年 に、LinkedIn は、1 億 6700 万アカウントの認 証 情 報 をデータ侵 害により紛 失 した。ハッカーがサイトから暗 号 化 されたパスワードを
盗 み出 し、侵 入 し、盗 み出 したものを翌 日 にロシアの犯 罪 集 団 に売 り渡した。”Peace_of_Mind”の名 で知 られるハッカー集 団 は、e メールとパスワードの組 み合 わせがダークウェブのマーケットプレイスで売 られていることを確 認している。
インターネットセキュリティの専 門 家 は、パスワードの解 読は容 易 だったと指摘 している。なぜならば、LinkedIn は、ハッシュ化に際 してソルトを使っていなかったからである。これは攻 撃 者 に容 易 に乱 数 化 のプロセスを遡 ることを許すため、セキュアでないやり方 だとされている。攻 撃 者 は既 存 の標 準 的 なレ
インボーテーブルを利 用 したり、予 め作 っておいた乱 数 化 前 と後 の照 合 リス
トを用 いたりする。
この LinkedIn への侵 害 は、Citrix Systems など他 の組 織におけるデータ盗難 の数 多 くの事 案 につながった。
2016 年 6 月 18 日 、Citrix は、事 故 により、同 社 が全 顧 客 のパスワードをリセ
ットせざるを得 なくなったことを告 げる警 告 を発 した。Citrix の製 品 ラインの責 任 者 である John Bennett は、Threatpost に掲 載 した記 事 の中 で、問 題 について以 下 のように説 明 している。
「Citrix は、最 近 起 きた事 故 はパスワード再 利 用 攻 撃 であったと確 認 した。攻撃 者 は、ユーザ名 とパスワードを他の web サイトから盗 み出し、”GoToMyPC”のアカウントにアクセスするのに利 用した。」
セキュリティの研 究 者 は、LinkedIn のリストを入 手 した攻 撃 者 は、ある人 物 の
名 前 、職 歴 、パスワードを知ることができ、攻 撃 可 能 な標 的 のリストと、出 発点になるベースのパスワードをいくつか得ることができたとこを確 認 している。

リンク© 2017, Cloud Security Alliance. All rights reserved49

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

http://arstechnica.com/security/2016/05/then -there-were-117-million-linke
din-password-breach-much-bigger-than-thought/

日付2016 年 5 月 18 日

© 2017, Cloud Security Alliance. All rights reserved50

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

インスタグラムにおけるアカウント復旧機能の悪用－

ID、認証情報、アクセス管理の不備

オリジナルの情 報

The Treacherous 12: Cloud Computing Top Threats in 2016 – Pg. 12

文 献 と具 体 例

セキュリティの研 究 者 は、インスタグラムのパスワードリセットプロセスは、攻撃 者 が認 証 情 報 の入 力 をせずにパスワードリセットページに容 易 にアクセスできるようにしてしまうと結 論 付 けた。ハッカーがアカウント ID の名 前 を知 っ
ていさえすれば攻 撃 は成 功 できるが、その情 報 は容 易 に推 測 できるものだ
ったと研 究 者 は推 測 している。パスワードリセットページから、攻 撃 者 は一 時
的にロックされているアカウントの e メールアドレスと電 話 番 号 を書 き換 え、eメール経 由 でパスワードリセットを行 い、アクセス権 の全 てを得 ることができる。
おおよそ 4%に相 当 する、2 千 万 アカウントが、そうした攻 撃 に対 して脆 弱 であった。しかし、この方 法 で侵 害 を受 けたインスタグラムのアカウントの報 告は今までのところない。

リンク
http://www.infosecurity-magazine.com/news/20m-instagram-accounts-vul
nerable/日付

2016 年 5 月 23 日

© 2017, Cloud Security Alliance. All rights reserved51

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

MongoDB におけるメキシコの有権者情報の漏えい－

ID、認証情報、アクセス管理の不備

オリジナルの情 報

The Treacherous 12: Cloud Computing Top Threats in 2016 – Pg. 12

文 献 と具 体 例2016 年 4 月 、MacKeeper 社のセキュリティ研 究 者 である Chris Vickery は、MongoDB のオープンポート（ポート 27017）に向 けて Shodan 検 索 エンジンを働 かせていた。検 索 過 程 で、Vickery は偶 然 に、AWS にホストされた MongoDBの生 きているインスタンスに、サービスを保 護 するための認 証 やアクセスコン
トロールが伴 っていないことを発 見 した。彼 はまた、メキシコ人 の個 人 識 別 情
報 と思 われる大 量 の情 報 を発 見 した。この情 報 は後 に、メキシコ選 挙 管 理 委
員 会 が所 管 する 9300 万 人 のメキシコの有 権 者 の投 票 記 録 であることが判
明 した。

リンク
http://www.informationweek.com/cloud/infrastructure -as-a-service/93-milli
on-mexican-voter-database-exposed-on-amazon-cloud/d/d-id/1325259
http:/www.csoonline.com/article/3060204/security/mongodb -configuration-error-exposed-93-million-mexican-voter-records.html
https://www.theregister.co.uk/2016/04/25/mexico_voter_data_breach/日付2016 年 4 月 26 日

© 2017, Cloud Security Alliance. All rights reserved52

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

MongoDB の無防備に対するランサムウェアの攻撃－

ID、認証情報、アクセス管理の不備

オリジナルの情 報

The Treacherous 12: Cloud Computing Top Threats in 2016 – Pg. 12

文 献 と具 体 例

ハッカーがランサムウェアを用 いてユーザデータの全 部 または一 部 を暗 号化 した典 型 例 。身 代 金 の支 払 い要 求 は、通 常 足 がつかないビットコインという暗 号 通 貨 を使 うよう要 求 される。最 近 起 きたランサムウェアの攻 撃 はやはり、オンラインの MongoDB のインスタンスを狙 い、そのインターネットからのア
クセスが可 能 なデータベースのインストールにおける設 定 の脆 弱 性 を衝 いたものだった。
その手 法 とは：インターネットから直 接 アクセスが可 能 なデータベースは、特定 のポートでクエリーリクエストを受 け付 けるようになっていた。クエリーリク
エストが到 着 すると、実 行 の前 に認 証 が行 われる。しかしこのケースでは、データベースがインターネットからアクセス可 能 であるため、ポートを 盗 聴 することで容 易 にその情 報 を入 手 できる。アドミニストレータにパスワードが設 定
されていない結 果 、どんな変 更 もアドミン権 限 でパスワードなしで実 行 できてしまう。すべてのデータを移 動 させて代 わりに身 代 金 要 求 書 を置 いてくることまで。データベースの所 管 者 は、データを取 り戻 すために身 代 金 を払 わ
ざるを得 なかった。
他 のランサムウェアの攻 撃 とは違 い、このケースでは、予 めマルウェアを感染 させたり攻 撃 を仕 掛 けたりする必 要 がなかった。最 も単 純 な実 践 規 範 すら怠 っていたので、このデータベースは脆 弱 だった。攻 撃 を防 ぐには、データ
ベースはインターネットから見 えるようにすべきでなく、むしろセットアップ段
階 ではローカルホストからのみアクセス可 能 にすべきである。更 に、その他 の防 御 策 、例 えばパスワードやその他 のアクセス制 御 で適 切 に設 定 を行 い、イ
ンターネット接 続 を可 能 にする前に認 証 の仕 組 みを備 えるべきである。

リンク
http://www.networkworld.com/article/3154536/security/hacker -wiping-unpr
otected-mongodb-installs-and-holding-data-for-ransom.html#tk.twt_nww

日付

2016 年 1 月 4 日© 2017, Cloud Security Alliance. All rights reserved53

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

Moonpig モバイルアプリのセキュリティ欠陥－

インタフェースと API のセキュリティ欠陥

オリジナルの情 報

The Treacherous 12: Cloud Computing Top Threats in 2016 – Pg. 15

文 献 と具 体 例2015 年 、ヨーロッパのオンライン挨 拶 カードベンダーで、e カードを送 ることができるモバイルアプリを開 発した Moonpig 社 は、API のセキュリティの不 備の結 果 生 じたデータ侵 害 の被 害 者 となった。Moonpig のモバイルアプリは固定 的 な認 証 方 法 を取 っていて、全 てのユーザに同 一 の証 明 書 セットしか提供 していなかった。さらに加 えて、顧 客 ID はシーケンシャルに番 号 が振 られており、実 践 規 範 であるランダムシードやパディングを組 み入 れていなかった。
攻 撃 者 は Moonpig の顧 客 情 報 を、順 番 に顧 客 番 号 を試すだけで簡 単 に収 集できた。盗 み出 されたイギリス、アメリカ、オーストラリアの Moonpig の顧 客
360 万 人 は、クレジットカード番 号 を全 部 入 れてはいなかったが、それでも、
氏 名 、カードの番 号 下 4 桁 と有 効 期 限 の情 報 を盗まれた。

リンク
http://computerworld.com/article/2865794/moonpig-jeopardizes-data-of-m
illions-of-customers-through-insecure-api.html

日付

2015 年 1 月 6 日© 2017, Cloud Security Alliance. All rights reserved54

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

Dirty Cow Linux の特権奪取に関する脆弱性－

システムの脆弱性

オリジナルの情 報

The Treacherous 12: Cloud Computing Top Threats in 2016 – Pg. 17

文 献 と具 体 例

Dirty Cow Linux の脆 弱 性 は、2016 年 11 月 にパッチが提 供 されるまで、少 な
くとも 8 年 間 存 在 していた。
この脆 弱 性 は、カーネル内 の競 合 状 態 を引 き起 こすことを利 用 して、ゲスト
ユーザに Linux マシンに対 するルート/アドミン権 限 レベルのアクセスを許 してしまうものである。ゲストユーザのアクセスを回 避 するには多 層 防 御 のアプローチが有 効 である。
この脆 弱 性 を衝 かれると、サーバレベル（特 にデフォルトで自 動 パッチを設 定
していないサーバや安 全 でないインターネットアクセスが可 能 なサーバ）と、アンドロイドマシンからのアクセスによるクライアントレベルが影 響 を受 ける。しかも、この脆 弱 性 へのパッチは、アンドロイドのバージョン 7.0 以 降 しか提 供 されない。
この脆 弱 性 は可 能 性 として 3 つのレベルでクラウドコンピューティングに影 響を与 える： (1)クラウド事 業 者 は下 層 にあるインフラストラクチャを防 御 しなければならない; (2)IaaS (Infrastructure as a Service) 方 式 を利 用 しているシステムは保 護 しなければならない； (3)アドミニストレータが使 うデ
バイスもまた、防 衛 が必 要 である。世 界 で使 われる全 アンドロイドマシンの 2%
しか最 新 バージョンの 7.0 にアップデートされていない現 状 からすると、10 億
台 以 上 という巨 大 なインストールベースが攻 撃 される膨 大 な可 能 性 を抱 え
ている。

リンク

https://www.linux.com/blog/how-bad-dirty-cow
https://threatpost.com/dirty-cow-vulnerability-patched-in-android-securitybulletin/122266/
https://threatpost.com/google-releases-supplemental-patch-for-dirty-cowvulnerability/121843/
https://source.android.com/security/bulletin/2016 -12-01.html
https://developer.android.com/about/dashboards/index.html
https://www.statista.com/statistics/271774/share-of-android-platforms-onmobile-devices-with-android-os/© 2017, Cloud Security Alliance. All rights reserved55

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

https://www.statista.com/statistics/385001/smartphone -worldwide-installed-base-operating-systems/

日付2016 年 10 月 24 日

© 2017, Cloud Security Alliance. All rights reserved56

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

OAuth のセキュアでない実装－

アカウントハイジャック

オリジナルの情 報

The Treacherous 12: Cloud Computing Top Threats in 2016 – Pg. 19

文 献 と具 体 例

研 究 者 たちは、市 場 に出 回 っているモバイルアプリの 40%以 上 は、テストしてみれば、マンインザミドル攻 撃 に対 して脆 弱 であることを明 らかにした。これは OAuth2.0 の実 装 がセキュアでないためであり、攻 撃 者 はユーザアカウント
を攻 略 できてしまう。根 本 原 因 は、モバイルアプリから受 け取 る認 証 情 報 を誤 って信 頼 することにある。

リンク
https://threatpost.com/oauth-2-0-hack-exposes-1-billion-mobile-apps-to-a
ccount-hijacking/121889/

日付

2016 年 11 月 10 日

© 2017, Cloud Security Alliance. All rights reserved57

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

Zynga 元従業員のデータ窃盗疑惑－

悪意のある内部者

オリジナルの情 報

The Treacherous 12: Cloud Computing Top Threats in 2016 – Pg. 21

文 献 と具 体 例

ゲーム企 業 の Zynga において、機 密 性 の高 いファイルにアクセスできる権 利を持った複 数 の従 業 員 が、同 社 の Google Drive アカウントから、大 量 の知 的
財 産 価 値 のあるデータを、ローカルの USB ドライブにコピーして退 職 し、ライバルのゲームメーカーに就 職 していた。

リンク
http://arstechnica.com/tech-policy/2016/11/zynga-sues-2-former-employe
es-over-alleged-massive-data-heist/

日付2016 年 11 月 29 日

© 2017, Cloud Security Alliance. All rights reserved58

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

T-Mobile における顧客情報盗難－

悪意のある内部者

オリジナルの情 報

The Treacherous 12: Cloud Computing Top Threats in 2016 – Pg. 21

文 献 と具 体 例

チェコ共 和 国 にある T-Mobile の子 会 社 では、防 ぐのが極 めて難しい悪 意 ある内 部 者 の犯 行 が見 つかった。2016 年 6 月 に報 じられた複 数 のニュース配
信 によれば、「顧 客 情 報 を取 り扱 う小 さなチーム」の一 員 だったある従 業 員
は、闇 市 場 で 150 万 人 分 の顧 客 情 報 を売 ろうとして逮 捕 された。

リンク

http://thehackernews.com/2016/06/t -mobile-hacked.html

日2016 年 6 月 20 日付

© 2017, Cloud Security Alliance. All rights reserved59

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

NetTraveler 標的型攻撃脅威－

標的型攻撃の脅威

オリジナルの情 報

The Treacherous 12: Cloud Computing Top Threats in 2016 – Pg. 23

文 献 と具 体 例2016 年 以 降 一 連 のサイバー攻 撃 使 われている NetTraveler という標 的 型
攻 撃 脅 威 は、標 的 型 フィッシングによってロシア、モンゴル、ベラルーシその他のヨーロッパの国々を標的にする集団によってばらまかれている。
NetTraveler は CVE-2012-0158 脆 弱 性 を衝 くトロイの木 馬 で、MNKit により
ビ ル ド さ れ た も の で 、 URL (Uniform Resource Locator) を RAR (Roshal
Archive)形 式 の実 行 型 圧 縮 ファイルとマイクロソフト Office の添 付 ファイルに変 換 する。
2016 年 1 月 、Palo Alto Networks のブログは以 下 のように報 じた：「2015 年
12 月 12 日 、1 本 の標 的 型 フィッシングメールが、ウズベキスタン大 使 館 の外 交
官 に送 られた。e メールのタイトルと中 身 は偽 装 されており、そのメールはロ
シアの外 相 から送 られたように見 え、添 付 ファイルは上 海 協 力 機 構 を構 成 する加 盟 国 首 脳 会 議 (CHS Council of Heads of Member States) の公 式 年
次 報 告 と想 定 できるものであった。」
この添 付 ファイルは MNKiT ツールキットにより作 成 されたものと判 明 した。
このメールで送 られた文 書 を開 くと、 ユーザのシステムに実 行 ファイルが搭
載 さ れ 、 マ イ ク ロ ソ フ ト メ デ ィ ア サ ー バ (MMS) の MSCOMCTLOCX(Windows
Common Controls ActiveX control)にある脆 弱 性 を衝 くもので、遠 隔 からの
攻 撃 者 に、被 害 者 レベルの権 限 でシステム上 任 意 のコードの実 行 を許 すものである。
NetTraveler で使われた CVE (Common Vulnerability and Exposures) であるＣＶＥ-2012-0158 は、MS Office の現 バージョンでは対 応 済 みである。しかし、この標 的 型 攻 撃 は現 存 しており、武 器 製 造 業 者 、人 権 主 義 活 動 家 や、プロ外 交 官 のグループなどの組 織を攻 撃 するのに使 われている。

リンク
https://www.proofpoint.com/sites/default/files/proofpoint_q4_threat_repor t-a4.pdf- Page 18 – NetTraveler APT Targets Russian, European Interests
https://www.proofpoint.com/us/threat -insight/post/nettraveler-apt-targets-r
ussian-european-interests© 2017, Cloud Security Alliance. All rights reserved60

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

http://researchcenter.paloaltonetworks.com/2016/01/nettraveler-spear-phi
shing-email-targets-diplomat-of-uzbekistan/://thehackernews.com/2016/0
6/t-mobile-hacked.html

日付

2016 年 7 月 7 日© 2017, Cloud Security Alliance. All rights reserved61

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

Virlock ランサムウェア－

データの喪失オリジナルの情 報

The Treacherous 12: Cloud Computing Top Threats in 2016 – Pg. 25

文 献 と具 体 例

Virlock はランサムウェアの特 異なケースで、ファイルを暗 号 化 すると共に、そのファイルに感 染 し、それをポリモーフィック型 ファイル生 成 ランサムウェアにしてしまうものである。その結 果 、次 にその感 染 したファイルを開 いたユーザ
は感 染 し、そのユーザのシステムの全 てのファイルがやられて暗 号 化 されてしまう。Virlock ランサムウェアは、ランサムウェア型 とファイル感 染 型 の組 合せという新 しいタイプの活 動 を示 すもので、企 業 組 織 に害 をもたらすものとなろう。これの感 染 拡 大 に対しては、全 てのリソースを、クラウド上 の共 有 リソースも含 め、適 切 なセキュリティスキャンすることが必 要 となる。

リンク
https://resources.netskope.com/h/i/290799411 -cloud-malware-fan-out-wit
h-virlock-ransomware

日付2016 年 9 月 27 日

© 2017, Cloud Security Alliance. All rights reserved62

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

ヤフーの漏えい問題－

不十分なデューディリジェンス

オリジナルの情 報

The Treacherous 12: Cloud Computing Top Threats in 2016 – Pg. 27

文 献 と具 体 例2016 年 7 月 、Verizon は Yahoo の中 核 のインターネット事 業 を 48 億 ドルで買収 することに合 意 したが、最 終 の買 収 はペンディングとなっている。この合意 以 降 、Yahoo のセキュリティに関 する 2 つの重 大 な侵 害 が明 らかになっている。最 初 の問 題 －2013 年 8 月 に発 生 したもの－は、2016 年 12 月 に報 告 された。この攻 撃 では、約 10 億 人 のユーザアカウントが影 響 を受 けた。最 近 の事 案 －2014 年 の遅 くに発 生 し 2016 年 9 月 に報 告 された－は 5 億 人 のアカ
ウントが被 害 に遭った。
開 示 の問 題 、セキュリティポリシー、セキュリティ対 策 、そして明 らかにシステ
ム全 体 にわたるセキュリティインフラ投 資 が不 十 分 であったこと 、に対 して
問 題 視 する声 が上 がっている。なぜ、報 告 までそれほど長 期 を要 したのか？
なぜ旧 式 の暗 号 技 術 が使 われていたのか？なぜ秘 密 の質 問 と答 えは暗 号
化 されずに保 存 されていたのか？
最 も重 要 なコメントが Verizon の法 務 責 任 者 である Craig Silliman によって出 されている：「当 社 は現 時 点 で影 響 が重 大 であると信 じる合 理 的 な根 拠を有している。そして Yahoo が問 題 の全 体 像 を示 すことを求 めている。もしYahoo が重 要 性 を否 定 するなら、それを実 証 する必 要 がある。」
攻 撃 の結 果 として、両 社 は 2017 年 2 月 17 日 、当 初 の価 格 から 3 億 5 千 万 ド
ル引 き下 げるという修 正 後 の合 意 を発 表 した。新 たな条 件 の下 では、 Yahooはこれに加 えて、株 主 訴 訟 および連 邦 証 券 取 引 委 員 会 (SEC)の調 査 に伴 う
負 債 に責 任 を負 うとしている。さらに、買 収 が完 了 した後も、Yahoo は引 き続き、SEC 以 外 の調 査 に関 するもの並 びに当 該 侵 害 に関 して提 起 される第 三者 の訴 訟 に伴 って負 担 する負 債 の 50%を引 き受 けることになる。本 件 買 収は、依 然 、2017 年 第 2 四 半 期 のどこかで完 了 するものと見 られている。

リンク

https://en.wikipedia.org/wiki/Yahoo!_data_breaches
https://www.leahy.senate.gov/imo/media/doc/9 -27-16%20Yahoo%20Breac
h%20Letter.pdf
http://fortune.com/2016/12/19/yahoo-hack-cyber-security/
http://www.nbcnews.com/tech/tech -news/your-yahoo-account-was-probab
ly-hacked-company-set-confirm-massive-n652586
http://www.reuters.com/article/us -verizon-yahoo-cyber-idUSKCN12D2PW© 2017, Cloud Security Alliance. All rights reserved63

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

http://www.verizon.com/about/news/verizon -and-yahoo-amend-terms-defi
nitive-agreement

日付2016 年 7 月 1 日© 2017, Cloud Security Alliance. All rights reserved64

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

クラウドサービスを利用するマルウェアによるデータ抜き取りと検知逃れ－

クラウドサービスの悪用・乱用・不正使用

オリジナルの情 報

The Treacherous 12: Cloud Computing Top Threats in 2016 – Pg. 30

文 献 と具 体 例

クラウドサービスは、アプリケーションを作 成 するための素 晴 らしいインフラス
トラクチャやプラットフォームを提 供 する。正 しく設 計 すれば、クラウドサービ
スは、堅 固 で、アクセスが容 易 で、コストメリットが多 くあるものである。しかしながら、その利 点 がそのまま、ハッカーにとっても魅 力 的 である。なぜならば、クラウドのインフラストラクチャは、ボットネットの C&C(Command and Control)
をホストするにも魅 力 的 な場 所 なのである。組 織 は大 規 模 クラウド事 業 者 へのアクセスをブロックすることはほとんどなく、つまりクラウドサービスは常 にアクセス可 能 であることを意 味 する。なぜならば、正 規 のトラフィックも不 正のトラフィックと同 時 に使 われており、不 正 のトラフィックだけを検 知 することは困 難 だからである。
2015 年 12 月 、FireEye 社 のレポートは一 連 の標 的 型 フィッシング－香 港 のメ
ディア企 業 に仕 向 けられたもの－を報 じたが、それは内 部 ネットワークを狙 って LOWBALL マルウェアの亜 種 を使 ったものだった。マルウェアは HTTPS プロ
トコルを使 い、Dropbox の API にアクセスし、Dropbox の共 有 フォルダにあるコ
ンフィグレーションファイルをダウンロードする。このような一 般 の API を商 用
サービスの正 規 のポートで使 うやり方 は、「群 衆 に紛 れる」ために攻 撃 者 に
利 用 される手 口 で、ネットワーク上 のある種 の検 出 ツールを逃 れることが可
能になる。

リンク
http://www.securityweek.com/malware -used-china-apt-group-abuses-drop
box

日

付

2015 年 12 月 1 日© 2017, Cloud Security Alliance. All rights reserved65Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

Zepto ランサムウェアのクラウド
ストレージサービスをホストとした拡散－

クラウドサービスの悪用・乱用・不正使用

オリジナルの情 報

The Treacherous 12: Cloud Computing Top Threats in 2016 – Pg. 30

文 献 と具 体 例2016 年 7 月 、セキュリティ研 究 者 たちは、クラウドユーザの間に Zepto ランサ
ムウェアの新 種 が広 がっていることを発 見 した。この Zepto ランサムウェアの新 種 はスパムメールによって運 ばれるが、メールには気 を引 くようなメッセージ内 容 とファイル名 が付 けられ、受 け取 った者 にメールを開 けさせて感染 したファイルをダウンロードする気 にさせる。そのファイルは拡 張 子 .wsf を付 しており、ウィンドウズにスプレッドシートと似 た外 見 のアイコンをアサインするようにさせる。このアイコン(ファイル名 spreadsheet_286.wsf)は注 意 深
い受 信 者 でもほとんど添 付 ファイルを正 規 のものと見 るようにする力 がある。
その結 果 、送 られたファイルやメッセージは、マイクロソフトワンドライブ、グー
グルドライブ、BOX、Dropbox といったクラウドの SaaS アプリケーションを利 用する仲 間たちに広 まってしまう。

リンク
https://resources.netskope.com/h/i/2734576 17-zepto-variant-of-locky-ran
somware-delivered-via-popular-cloud-storage-apps

日付

2016 年 7 月 19 日

© 2017, Cloud Security Alliance. All rights reserved66Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

CloudSquirrel マルウェアによる Dropbox の C&C サーバのホスト利
用－

クラウドサービスの悪用・乱用・不正使用

オリジナルの情 報

The Treacherous 12: Cloud Computing Top Threats in 2016 – Pg. 30

文 献 と具 体 例

CloudSquirrel はブラジル製と見 られる（名 前 とパラメータから）が、Java で書 かれ、ServInt 社の Jelastic という PaaS を利 用 して拡 散 する。Jelastic はCloudApp という協 同 作 業 プラットフォームにリダイレクトするが、このプラット
フォームは一 方 で、バックエンドのクラウドサービスとして AWS を使っている。
こ の ク ラ ウ ド 上 の マ ル ウ ェ ア は そ の C&C (Command and Control) 通 信 にDropbox を多 く使 う。
CloudSquirrel の攻 撃 はフィッシングメール攻 撃 により届 く。この攻 撃 メール
は、受 信 者 をだまして、納 税 通 知 書 またはその他 の公 的 な感 じのするリンク
を使って開 封 させようとする。メールを開 封 すると、CloudSquirrel は、JAR ファイルによって別 の暗 号 化 されたマルウェアのペイロードをダウンロードしてユーザを感 染 させる。クラウドマルウェアが Dropbox 上 の C&C サーバと接 続を完 了すると、そのコマンドは.mp4、.wmv、.png、.dta、.wma といった偽 の拡 張子 を伴ったプレインテキストファイルを偽 装 する。

リンクhttps://resources.netskope.com/h/i/272453388 -cloudsquirrel-malware-squirrels-away-sensitive-user-data-using-popular-cloud-apps

日付

2016 年 7 月 15 日

© 2017, Cloud Security Alliance. All rights reserved67

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

CloudFanta マルウェアによるクラウド
ストレージを利用したマルウェア拡散－

クラウドサービスの悪用・乱用・不正使用

オリジナルの情 報

The Treacherous 12: Cloud Computing Top Threats in 2016 – Pg. 30

文 献 と具 体 例

CloudFanta は標 的 型 フィッシングメールの添 付 ファイルまたはリンクの形 で送 りつけられ、受 信 者 を騙 してファイルの実 行 かリンクのクリックをさせるように仕 向 ける。CloudFanta マルウェアは SugarSync というクラウドストレージア
プリを利 用 して、ダウンローダーとして働 く JAR ファイルを拡 散 する。JAR ファ
イルのダウンローダーは再 び SugarSync を用 いて”.png”拡 張 子 を持 つ DLL
ファイルをダウンロードする。この DLL ファイルは、その後 ”.twerk”という拡 張子に変 更 され、受 信 者 の e メールの認 証 情 報 を盗 み、受 信 者 に成りすまして
マルウェア e メールを送 信 し、また同 時 に、受 信 者 のオンラインバンキングの動 きをモニターする。

リンク
https://resources.netskope.com/h/i/295875750 -cloudfanta-pops-with-thecloud-using-sugarsync

日付2016 年 10 月 18 日

© 2017, Cloud Security Alliance. All rights reserved

68Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

Dyn DDoS 攻撃－

サービス妨害オリジナルの情 報

The Treacherous 12: Cloud Computing Top Threats in 2016 – Pg. 32

文 献 と具 体 例

この攻 撃 は、侵 害 された IoT デバイスを利 用 するもので、それらの IoT デバイ
スはパスワード保 護 なしかデフォルトパスワードが有 効 なものであった。攻 撃者 は著 名 なセキュリティジャーナリスト Brian Krebs 氏 を攻 撃 した後 、DNS 業者 である Dyn 社 を標 的 とした。
この攻 撃 は、同 社 の顧 客 が主 要なクラウドベース企 業 の多 くにアクセスする
際に障 害 となった。そのアクセス先には Twitter や Spotify や、その他の認 証や暗 号 化 といった各 種 のクラウドベースのサービスを提 供しているクラウド
サービス事 業 者 が含まれる。これら企 業 のほとんどはドメインネームサービ
スに Dyn 社 だけを使 用 しており、攻 撃 を避 けることができなかった。
この攻 撃の対 策 には、インハウスで第 2DNS を用 意 するか、第 三 者 の DNS 業
者 をバックアップとして起 用 するかがある。
攻 撃 は最 終 的 に感 染 した IoT デバイスを全 てインターネットからブロックすることで収 束 した。IoT デバイスのメーカーがデフォルトパスワードやレガシーな
ネットワークプロトコル(ｔｅｌｎｅｔ)を使 い続 ける限 り、このような攻 撃 は将 来 も
起 こり続 けるだろう。

リンク
http://www.darkreading.com/attacks -breaches/ddos-attack-on-dns-provid
er-disrupts-okta-twitter-pinterest-reddit-cnn-others/d/d-id/1327252
https://www.nanog.org/sites/default/files/20161016_Madory_Backconnect_S_Suspicious_Bgp_v2.pdf
https://krebsonsecurity.com/2016/09/krebsonsecurity -hit-with-record-ddos/
https://krebsonsecurity.com/2016/10/ddos -on-dyn-impacts-twitter-spotifyreddit/
http://dyn.com/blog/dyn-statement-on-10212016-ddos-attack/http://dyn.com/blog/dyn-analysis-summary-of-friday-october-21-attack/https://blog.cloudmark.com/2016/10/21/circumventing-the-dyn-ddos-attac
k-and-preventing-others-like-it/
http://searchsecurity.techtarget.com/news/450401962/Details-emerging-o© 2017, Cloud Security Alliance. All rights reserved69

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

n-Dyn-DNS-DDoS-attack-Mirai-IoT-botnet

日付

2016 年 10 月 21 日

© 2017, Cloud Security Alliance. All rights reserved70

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

オーストラリア統計局に対するサービス妨害
サービス妨害オリジナルの情 報

The Treacherous 12: Cloud Computing Top Threats in 2016 – Pg. 32

文 献 と具 体 例2016 年 8 月 9 日 、オーストラリア統 計 局 (ABS)は国 勢 調 査 を初 めて完 全 オン
ラインで実 施 する試 みをしようとしていた。予 想 される負 荷 に伴 う問 題 への対 応 計 画 と事 前 のシステムテストにも拘 らず、調 査 の当 夜、調 査 用 Web サイ
トはクラッシュしオフラインになった。結 果 として、誰 も国 勢 調 査 のフォームを埋 めること（法 的 義 務 ）ができなかった。
ABS は 8 月 10 日 以 下 の声 明 を発 表 した：「2016 年オンライン国 勢 調 査 フォームは、4 種 類 の性 質 と激 しさの異 なるサービス妨 害 攻 撃 を受 けた。最 初 の
3 つは小 規 模 な障 害 をもたらした。。。4 番 目 の攻 撃 の後、午 後 7 時 30 分 過
ぎに、ABS は、データの完 全 性 を確 保 するために、予 防 的 なシステムの閉 鎖を行った。」
その後 行 われた上 院 の査 問 で、責 任 者 は、Web サイト閉 鎖 をもたらした DDoS
攻 撃 のトラフィックの主なものはシンガポール経 由 でルーティングされていたと報 告 した。IBM の経 営 層 は、同 社 が同 社 のルーターを「切って入 れる」操作 をしていれば、システム停 止は起 きなかっただろうことを認 めた。

リンクhttp://www.cso.com.au/article/604910/attack -australian-census-site-didn-t-register-global-ddos-sensors/
http://www.abs.gov.au/ausstats/abs@.nsf/mediareleasesbyReleaseDate/6
17D51FA32D27BF9CA25800A0077B7BD?
http://www.abc.net.au/news/2016-10-25/abs-officials-face-parliamentarygrilling-over-census/7960480

日付

2016 年 8 月 11 日

© 2017, Cloud Security Alliance. All rights reserved71

Industry Insights
CLOUD SECURITY ALLIANCE The Treacherous 12 - Top Threats to Cloud Computing + Industry Insights

Cloudflare/Cloudbleed バッファオーバーフロー脆弱性－

共用技術の脆弱性

オリジナルの情 報

The Treacherous 12: Cloud Computing Top Threats in 2016 – Pg. 34

文 献 と具 体 例

Cloudflare はよく知 られた web ベースのオンラインセキュリティアズアサービ
スである。同 サービスは、コンテンツの送 り込 み、サービス妨 害 攻 撃 やその他の Web ベースの攻 撃 に対 する防 御 を提 供 する。2017 年 2 月 、Google のProject Zero セキュリティチームの Tavis Ormandy は Cloudflare の 3 つの機 能 には、メモリリークを引 き起 こすバッファオーバーフロー脆 弱 性 が含 まれていることを発 見 した。この脆 弱 性 は、ページ内 のバランスの取 れていない
HTML タグによって引 き起 こされる。Cloudflare の複 数の顧 客 のパスワードや、
API キーや、秘 密 のチャットがリークしたデータに含 まれており、検 索 エンジンにキャッシュされた可 能 性 がある。この脆 弱 性 はその後 ”Cloudbleed”と名 付
けられ、3,438 のドメインと 150 件の顧 客 が影 響 を受けたと報 じられている。

リンク
https://www.theregister.co.uk/2017/02/24/cloudbleed_buffer_overflow_bu
g_spaffs_personal_data/
https://blog.cloudflare.com/incident -report-on-memory-leak-caused-by-clo
udflare-parser-bug/

日付2017 年 2 月 23 日

© 2017, Cloud Security Alliance. All rights reserved72