UNISYS TECHNOLOGY REVIEW 第 141 号，SEP. 2019

クラウド事業者が提供するセキュリティ機能の活用
Utilization of Security Functions Provided by Cloud Service Provider
石要約川政朝パブリッククラウドを活用するシステムでは，セキュリティ対策の考え方がオンプレミスとは異なり「責任共有モデル」が一般的である．責任共有モデルとは，クラウド事業者（CSP）と，クラウド利用者のセキュリティに対する責任分担の考え方である．クラウド利用者の責任範囲におけるセキュリティ対策不足や対策不備が，多くのセキュリティ事故の原因になっている．クラウド利用者の責任範囲におけるセキュリティ対策には，CSP が提供するセキュリティ機能の活用，他ベンダーが提供している SaaS の活用と，クラウド向けの他ベンダー製品の活用がある．パブリッククラウドや他ベンダーの SaaS は日々進化している
ため，クラウド利用者は，最新の情報を調査した上でセキュリティ対策を検討すべきである．
Abstract

In systems that use public clouds, the concept of security measures is different from on-premises,

and a “responsibility sharing model” is common. The responsibility sharing model is the concept of sharing
responsibility for security between cloud service provider (CSP) and cloud users. Many security incidents
are caused by lack of security measures or inadequate measures within the responsibility of cloud users.
Security measures in the responsibilities of cloud users include the use of security functions provided byCSP, the use of SaaS provided by other vendors, and the use of other vendor products for the cloud.
Because public clouds and SaaS from other vendors are evolving daily, cloud users should consider security measures after investigating the latest information.

1.

はじめに「クラウドファースト」という言葉が浸透し，IaaS，PaaS および SaaS 等のクラウドサー＊1

ビスの利用が拡大している．社内システムなどを SaaS に置き換える企業や，システム開発やシステム更改において，IaaS や PaaS を活用する企業も増えている．
Microsoft Azure（以降，Azure）や Amazon Web Services（以降，AWS）に代表されるパブリッククラウドが提供する IaaS や PaaS は，CPU やメモリ，ディスクなどリソースの割り当てや変更を容易に行うことができ，利用した分だけの料金を支払う従量課金システムを採用している．コンピュータリソースを所有せず利用することができるので，クラウド利用者はインフラストラクチャのコストを最適化することができる．システム構築後のリソースの見直しも容易なため，従来のインフラ設計と比べ厳格なリソース見積もりが不要である．また，クラウド利用者の責任範囲におけるセキュリティ対策には，クラウド事業者（Cloud ServiceProvider：以降，CSP）が提供するセキュリティ機能の活用，他ベンダーが提供しているSaaS の活用と，クラウド向けの他ベンダー製品の活用がある．
本稿では，このようなパブリッククラウドが提供する IaaS および PaaS を活用したシステ
ムにおけるセキュリティ対策の考え方を，パブリッククラウド特有の脅威も踏まえて解説し，（111）6162（112）

CSP が提供するセキュリティ機能を中心に正しくセキュリティ対策を行うことの利点を述べる．2 章でパブリッククラウドのセキュリティの考え方，3 章でセキュリティ事故の事例，4章でクラウド利用者のセキュリティ対策，5 章でシステムモデル別の具体的な対策について述べる．
2.

パブリッククラウドにおけるセキュリティの考え方
Azure や AWS が提供するパブリッククラウドを活用するシステムでは，セキュリティ対策の考え方がオンプレミスとは異なる．本章ではパブリッククラウドのセキュリティの考え方を確認する．
2. 1

責任共有モデルパブリッククラウドにおけるセキュリティの考え方として「責任共有モデル」と言われているものが一般的である．責任共有モデルとは，クラウドサービスを提供しているクラウド事業者（CSP）と，クラウド利用者のセキュリティに対する責任分担の考え方であり，Microsoftや Amazon など多くの CSP が採用している．
CSP は，この責任共有モデルに従って，物理的なデータセンター，物理ネットワーク，仮想サーバを稼働させるハイパーバイザーなどに関する責任を負っている．クラウド利用者は，
IaaS では仮想サーバで稼働する OS 以上のセキュリティ対策の責任を負う．責任分界点は，
IaaS や PaaS など利用するサービスによって異なり，一般的に図 1 のように説明されている．

図1

責任共有モデル イメージ

IaaS を利用したシステムより，PaaS や SaaS を活用したシステムの方が，クラウド利用者の責任範囲は少なくなる．但し，PaaS が提供しているセキュリティ機能（データバックアップ機能や認証/認可機能，データ暗号化機能，ファイアウォール機能，ログ管理機能など）を，クラウド利用者が正しく理解し，設定することが重要となる．

クラウド事業者が提供するセキュリティ機能の活用

2. 2（113）63

CSP のセキュリティ対策

前節の責任共有モデルにおける CSP の責任範囲では，CSP 側でセキュリティ対策，維持運用を行っている．CSP は，その実態や状況をクラウド利用者に示すため，認証制度を利用している．ISO/IEC27001 や ISO/IEC27017 ，PCI DSS など多くの国際認証を取得し，その＊2＊3＊4

認証情報を公開している．Azure や AWS では，認証制度の無い NIST サイバーセキュリティ
フレームワーク に対しても独自に準拠性を確認し公開している．さらに，日本独自の金融機＊5

関向けのセキュリティガイドライン FISC 安全対策基準 を始め，各国のガイドラインやフ＊6レームワークへの対応も行い，全世界へ情報公開，サービス提供を行っている．
さらに Azure と AWS は，CSP として実施しているセキュリティ対策や維持運用の概要をホワイトペーパーの形で外部へ公開することで，CSP の責任範囲における説明責任を果たしている．
2. 3

クラウド利用者のセキュリティ対策

クラウド利用者の責任範囲では，クラウド利用者側でセキュリティ対策を検討し実施しなければならない．但し，パブリッククラウドは仮想化技術を活用し，複数のクラウド利用者を共通の物理環境上で稼働させているため，物理サーバやネットワーク機器，アプライアンスなどの物理機器をパブリッククラウド上に展開することはできない．そのためクラウド上の展開を想定した仮想アプライアンス型のセキュリティ製品 などを活用する．パブリッククラウドで＊7のセキュリティ対策方法は 4 章で述べる．
パブリッククラウドでは，各クラウドサービスを操作するための「管理コンソール」と呼ばれる機能が提供されている．クラウド利用者は，管理コンソールを利用して仮想サーバやデータベース，ファイアウォールなどを構築したり，それらの設定を変更することができる．それゆえ，管理コンソールに対するセキュリティは，パブリッククラウドを利用する際の考慮点として絶対に見落としてはならない．
3.

パブリッククラウドを活用したシステムでの事故事例
パブリッククラウドを活用したシステムは，インターネットを介したサイバー攻撃の標的になることが多い．セキュリティ事故の原因の多くは，クラウド利用者の責任範囲におけるセキュリティ対策不足や対策不備であり，正しくパブリッククラウドを活用していれば防止できていたものである．本章で実際に発生した事故事例を挙げ，5 章にてセキュリティ対策を考察する．
3. 1

事故事例 1：管理コンソールへの不正アクセス

パブリッククラウドの管理コンソールのアカウント情報が漏えいし，クラウドリソースが悪用される事故が多く発生している．攻撃者は，管理コンソールへのパスワードクラック だけ＊8でなく，アクセスキーの不正入手も試みている．アクセスキーとは，管理コンソールの操作をプログラム等から行う際の認証情報であり，アクセスキーの漏えいは，管理コンソールの不正アクセスと同じ意味を持つ．GitHub にアクセスキーを記載したプログラムを不用意に登録＊9したことで，アクセスキーが漏えいし，クラウドリソースを悪用された事故事例が多くみられる．

64（114）

攻撃者は，不正入手したアクセスキーを使って確保したクラウドリソースを，仮想通貨のマイニングや，他のシステムへの攻撃などに利用する．CSP からの多額の請求連絡を受けるまで，リソースの悪用を認識できていないクラウド利用者も多い．
3. 2

事故事例 2：クラウド環境からの情報漏えい

CSP が提供する IaaS や PaaS の各機能を正しく利用できていないことで事故に繋がるケースが多い．IaaS や PaaS には各種アクセス制御機能が提供されている．しかし，このアクセス制御機能を認知していなかったり，誤った設定をすることで，外部からの不正アクセスを許し情報漏えいに繋がる．攻撃者は，このようなアクセス制御が行われていない箇所を常に検索し続けている．
CSP が提供しているストレージサービスに付属されているアクセス制御機能の未設定や設定不備により不正アクセスされ，機密情報が漏えいした事例が多く報告されている．この被害は長期間，認識できないことで大量の情報漏えいに繋がり，発覚した際には被害額が高額になっているケースも見受けられる．
3. 3

事故事例 3：仮想サーバへの不正アクセス

最後の事故事例として，パブリッククラウド上の仮想サーバへの不正アクセスが挙げられる．パブリッククラウドによっては，仮想サーバをデプロイした際，ファイアウォールのデフォルト設定がインターネットからのリモート接続（RDP や SSH 接続）を許可している場合がある．安易な仮想サーバへのログインパスワードが設定されていると，簡単に不正アクセスを許す．
開発や検証目的で仮想サーバをデプロイした際に簡易パスワードを設定し，不正アクセスされる事故が後を絶たない．不正アクセスされた仮想サーバは，他システムへの攻撃に利用されることが多く，意図せず攻撃に加担していることになる．
4.

パブリッククラウドでのセキュリティ対策方法
パブリッククラウドを活用する場合，責任共有モデルで示されたクラウド利用者の責任範囲におけるセキュリティ対策は，クラウド利用者側で検討し，実装，運用しなければならない．
パブリッククラウドでのセキュリティ対策は，オンプレミスで実施する方法とは異なる部分がある．本章では，パブリッククラウドを活用したシステムにおけるセキュリティ対策の方法について解説する．
4. 1

CSP が提供するセキュリティ機能を活用する

パブリッククラウドにおけるセキュリティ対策において，まず優先的に活用すべきは CSPが提供するセキュリティ機能である．CSP はセキュリティ機能を IaaS や PaaS に付属させたり，単体としてサービス提供もしている．付属する機能の中には無料で利用できるものも多い．他のセキュリティ機能（次節以降で述べる他ベンダーが提供する SaaS や仮想アプライアンス製品など）を多く活用した場合，セキュリティ運用がそれぞれで独立しているため運用負荷が高くなる場合がある．そのため，CSP が提供するセキュリティ機能を優先して活用し，運用のサイロ化を防ぐことが推奨される．

クラウド事業者が提供するセキュリティ機能の活用（115）65

無料で利用できるセキュリティ機能としては，ネットワーク分割機能やファイアウォール機能などが代表的なものとして挙げられる．PaaS に付属する機能では，アクセス制御機能や透過暗号機能，ログ取得機能などが無料で提供されており，どのシステムにおいても利用できるセキュリティ機能であるため，これらは積極的に活用すべきである．
有料で提供されているセキュリティ機能としては，WAF（Web Application Firewall）やDDoS（Distributed Denial of Service）対策＊10など，システム毎に必要性が異なる機能や，高度なセキュリティ対策などがある．これらも PaaS のオプションや付属機能として提供されている．CSP が提供するセキュリティ機能の一部を表 1 に示す．
表1

CSP が提供する代表的なセキュリティ機能

Azure や AWS では，IaaS や PaaS を利用したシステム向けにセキュリティに関するベストプラクティスをホワイトペーパー＊11で公開している．また，CIS （Center for Internet＊12Security）は，CIS Benchmark と呼ばれる Azure や AWS などのパブリッククラウド向けのセキュリティ設定に関する確認リストを公開している．パブリッククラウドを活用するシステ
ム設計では，セキュリティ要件からの実装検討だけではなく，活用する PaaS が提供している機能や，ホワイトペーパー，CIS Benchmark で推奨されている事項を参考にして検討し，設計および設定することが重要である．
CSP のベストプラクティスや CIS Benchmark の確認リスト内容が設定されているか否かを確認するためのサービスを提供しているベンダーがある．このようなサービスを用いて，パブリッククラウドの設定を確認することは非常に有用である．ファイアウォールなどの設定は，リリース運用や保守における作業で一時的に変更されることもあり，サービスによる設定値確認を定期的に実行し，見直し運用を行うことで，保守作業の戻し漏れや設定誤りなどを検出し，セキュアな環境が維持できる．
4. 2

他ベンダーが提供している SaaS を活用する

CSP 以外の他ベンダーがセキュリティ機能を SaaS としてサービス提供しているものがあり，これらを活用することで運用負荷を減らすことができる．4.1 節で説明した CSP の提供機能を利用した場合，シグネチャ更新などの運用や保守作業を要する部分があるが，他ベンダーが提供する SaaS はそれらまで含めてサービス提供されているものが多い．
他ベンダーが提供するセキュリティ機能の SaaS は，WAF や不正侵入対策（IPS/IDS），DDoS 対策，ゲートウェイ型ウイルス対策など主にネットワークセキュリティ対策であり，シ66（116）

ステムの特性に合致するサービスを選んで活用することができる．他ベンダーが提供する主なSaaS を表 2 に示す．
表2

他ベンダーが提供する代表的な SaaS

他ベンダーの SaaS を活用した場合，通信経路は SaaS 環境を経由してパブリッククラウド環境に到達する．複数の SaaS を活用したシステムでは通信経路が各 SaaS を経由することになり，ネットワークの遅延に繋がる．そのため，複数の SaaS を活用するのではなく，CSP が提供するセキュリティ機能や，次節以降で述べるセキュリティ対策方法と併せた対策を検討するべきである．なお，活用する SaaS によっては HTTPS 通信で必要なサーバ証明書の登録が前提＊13であったり，活用する SaaS のサービスレベルがシステム設計と異なるため全体のサービスレベルが低下したりする場合があるため，事前にサービス仕様の確認を要する．
4. 3

クラウド向けの他ベンダー製品を活用するアプライアンス製品を提供している各ベンダーは，自社製品をパブリッククラウド向けに仮想アプライアンスとして提供している場合があり，この仮想アプライアンスを利用することで，オンプレミス環境で活用しているアプライアンス製品と同様の機能をパブリッククラウド上で継続して利用することができる．Azure や AWS では，パートナーベンダーが提供している仮想アプライアンスをマーケットプレイス＊14と呼ばれる機能でデプロイできるようにしており，次世代ファイアウォールや不正侵入対策（IPS/IDS），WAF，ゲートウェイ型ウイルス対策などのセキュリティ対策が仮想アプライアンスを活用することで実装できる．マーケット
プレイスから提供されている各製品は，BYOL （Bring Your Own License）での利用や，＊15ライセンス料金をパブリッククラウドの利用料金に含めることができる製品もある．既に購入済のライセンスを再活用したり，ライセンス料金を従量課金として支払ったり，状況に応じて選択できる．
WAF など一部のセキュリティ対策は，CSP が提供するセキュリティ機能や，他ベンダーのSaaS，仮想アプライアンスなど実装の選択肢が多い．全ての製品に共通する特徴ではないが，一般的に表 3 のような特徴がある．これらの特徴を理解し，システムによってどれを活用すべきか検討することを推奨する．

クラウド事業者が提供するセキュリティ機能の活用
表3

4. 4

（117）67

同じセキュリティ対策の実装形態による特徴

仮想サーバに対して従来と同様のセキュリティ対策を行う

仮想サーバにおけるセキュリティ対策は，オンプレミスで構築した物理サーバと同様にウイルス対策や改ざん検知，セキュリティパッチ適用運用などの実施を検討する．また，WAF やIPS/IDS などネットワークにおけるセキュリティ対策もホスト型として製品化され提供されているものがある．ホスト型のセキュリティ対策製品は，仮想サーバに導入して利用するソフトウェアであり，仮想サーバ単位に導入可否を判断できるため，サーバの用途や重要度別に検討することができる．
複数の仮想サーバを構築してセキュリティ対策を行う場合は，オンプレミス環境と同様に統合管理することが望ましい．しかし，統合管理機能を利用するために，管理サーバを別途構築しなければならない製品は多く，システム構成の変更や，仮想サーバの追加を要する．パブリッ
ククラウドでは，管理サーバを容易に構築できるよう，マーケットプレイスからデプロイ可能な製品も存在するが，仮想サーバの追加となることには変わりない．この統合管理機能をSaaS としてサービス提供している製品もある．システムの特性や求められるセキュリティ要件，保護対象となる仮想サーバの台数などに応じて，採用する製品を検討することを推奨する．
管理サーバを IaaS で構築（マーケットプレイスからのデプロイを含む）した場合と，SaaS で提供された統合管理機能を利用する場合の一般的な視点での特徴を表 4 に示す．
表4

5.

管理サーバを IaaS で構築と SaaS 活用の特徴

パブリッククラウドを活用したシステムの具体的なセキュリティ対策
本章では，パブリッククラウドを活用したシステムのモデル別に具体的なセキュリティ対策を示す．3 章の事故事例を防ぐためのセキュリティ対策も含まれる．なお，本章で解説しているセキュリティ対策は，2019 年 6 月執筆時点において CSP が提供している機能や他ベンダーの SaaS を活用した対策である．パブリッククラウドや他ベンダーの SaaS は日々進化してい68（118）るため，システム設計の際は，本章の内容を参考として最新の情報を調査した上でセキュリティ対策を検討しなければならない．
5. 1

全システム共通のセキュリティ対策

まず，パブリッククラウドを活用した場合，インターネットに公開しているか否かに関係なく，共通して求められるセキュリティ対策がある．3 章の事故事例でも挙げられているパブリッ
ククラウドの不正利用に備えたセキュリティ対策である．
3. 1 節にて記載したような不正アクセスや不正利用に備え，管理コンソールの認証を強化する機能の利用や，管理コンソールへ接続するアカウントに付与する権限の最小化，不正利用を検知できるよう設定変更時の通知設定，利用料金の閾値超過時の通知設定などを施す．また，内部不正も視野に入れ，アカウントを個人に割り当て，各アカウントの操作記録を採取することも有効な対策である．運用や保守作業において一時的にパブリッククラウドの設定を変更することがあるが，作業後の戻し漏れや戻し忘れを検出するため，パブリッククラウドの設定値を定期的に確認する運用も効果がある．その他も含め，パブリッククラウドを活用するシステ
ムに共通して求められるセキュリティ対策を表 5 に示す．多くの機能は，CSP が提供するものを活用できるが，一部他ベンダーが提供しているサービスで補うものもある．
表55. 2

全てのシステムに求められるセキュリティ対策

システムモデル別のセキュリティ対策例

前節で示したシステム共通のセキュリティ対策に加え，システムの特性によって個別のセキュリティ対策を施す．本節では，パブリッククラウドを活用したシステムモデルを想定し，そのシステムにおけるセキュリティ対策例を示す．セキュリティ対策例では，セキュリティ対策を解説し，4 章で示したどの対策方法が推奨されるかを表形式で示す．システムモデルとして，大量コンテンツの効率的な配信システム，不特定向けの大規模 EC サイト，パブリッククラウドと専用線接続利用の 3 パターンを示す．
5. 2. 1

システムモデル 1：大量コンテンツの効率的な配信システム

ファイルや動画，静的コンテンツなどを大量にインターネット経由で利用者に配信するシス
テムをパブリッククラウド上に構築する場合，CSP が提供する CDN サービス （Azure＊16クラウド事業者が提供するセキュリティ機能の活用（119）69

CDN や Amazon CloudFront）を活用するシステム構成となる．このような効率的にコンテンツ配信するシステムの構成を図 2 と想定し，求められるセキュリティ対策を表 6 に示す．

図2

大量コンテンツの効率的な配信システムのシステム構成例

このような配信システムの場合，全てを PaaS で実装することで，クラウド利用者の責任範囲を少なくすることができる．CDN サービスが外部からのサイバー攻撃への対策（DDoS 対策など）を実施している＊17ので，クラウド利用者は不正利用や不正アクセスのためのアクセス制御を中心に検討することができる．
CDN へのアクセス制御として，CDN サービスが提供する機能を活用できる．コンテンツを配信する時間帯や配信対象者が限定されている場合は，それらのアクセス制限機能を活用する．さらに，コンテンツが保管されているストレージへの直接アクセスを CDN サービスからのアクセスに限定することで，CDN を回避して接続しようとする不正アクセスも防ぐことができる．
なお，本システムから配信されるコンテンツは，運用者がコンテンツをアップロードする際にウイルスチェックすることを想定しているため，本システム中ではウイルス対策を行っていない．
表6

5. 2. 2

大量コンテンツの効率的な配信システムでのセキュリティ対策例

システムモデル 2：不特定向けの大規模 EC サイト

パブリッククラウドを活用したシステムで最も多いのは，不特定向けにインターネット公開するシステムである．不特定向けの大規模 EC サイトなどは，最も攻撃を受けやすいシステム

70（120）である．パブリッククラウドを活用した不特定向け大規模 EC サイトのシステム構成を図 3 と想定し，求められるセキュリティ対策を表 7 に示す．

図3

不特定向け大規模 EC サイトのシステム構成例

不特定向けにインターネット公開しているシステムは，サイバー攻撃のリスクに常に晒されている．セキュリティベンダーが提供している製品や SaaS を活用し，新しい攻撃にも素早く対応できるようにする．
新しい脆弱性を突いた攻撃に対応できるようアプリケーションの前段には WAF を設置し（図 3 の a）
，サービス妨害への対策として DDoS 対策も利用する（同 b）．SSL/TLS 通信の復号処理はパフォーマンスへの影響を考慮し CSP サービスを活用する（同 c）．IPS/IDS はネッ
トワーク型もしくはホスト型での実装が可能だが，本例では不正プログラムのシステムへの侵入を事前に防ぐことを目的に，ゲートウェイ型ウイルス対策機能を有した仮想アプライアンスを設置する（同 d）．
仮想サーバへのセキュリティ対策は従来のウイルス対策だけではなく，振る舞い検知などもできる製品を活用する（同 e）．本例では 2 台構成で図示しているため統合管理は不要との判断もできるが，大規模 EC サイトを想定しているため，仮想サーバの増減を考慮し統合管理機
能が SaaS 提供されている製品を選定する（同 f）．
データベースサービスやキャッシュサービス等の PaaS は仮想ネットワーク＊18に接続できる機能を提供しているものがある．設定誤りなどでインターネット公開されるリスクが減るた
め，提供機能を調査し，可能な限り仮想ネットワークに接続すべきである（同 g）．また，デー
タベースサービスなど一部の PaaS には，セキュリティ監視機能（監査機能など）が提供されている．本機能は有料サービスとなる場合もあるが，重要データを保管する PaaS であれば利用の検討を推奨する（同 h）．
CSP はクラウド環境全体に対するセキュリティの管理機能，監視機能をサービスとして提供している．CSP によって提供されている機能が異なる．Azure が提供するサービスではIaaS や PaaS への脅威の検出，および各設定状況を確認し，対応した方が良い箇所を通知する．
AWS が提供するサービスでは IaaS や PaaS への脅威検出，および AWS 上で採取された各種ログを分析し，悪意ある操作の可能性を検出して通知する．パブリッククラウドでは，クラウクラウド事業者が提供するセキュリティ機能の活用（121）71

ド利用者には対策が難しいものも多く，このようなセキュリティ管理，監視機能は，有料であっても CSP が提供する機能を活用すべきである．
表75. 2. 3

不特定多数向け大規模 EC サイトでのセキュリティ対策例

システムモデル 3：パブリッククラウドと専用線接続利用

CSP が提供するアクセス制御機能を利用してインターネットからの接続を全て制限し，専用線接続サービスでイントラネットと接続することで，パブリッククラウドをプライベートクラウドとして利用することができる．既にオンプレミス環境で稼働している社内向けシステム
を Lift&Shift＊19方式にてパブリッククラウドへ移行する場合，本モデルが該当する．

このような利用の場合，外部からのサイバー攻撃を受けるリスクは少ないが，アクセス制御機能を正しく設定しなければ想定外のリスクに晒されることになる．パブリッククラウドと専用線接続利用として，社内向けシステムを想定したシステム構成を図 4 と想定し，求められるセキュリティ対策を表 8 に示す．
社内向けシステムを構築する場合，まずパブリッククラウド上に仮想ネットワークを作成し，アクセス制御機能を利用してインターネットから仮想ネットワークへの通信を全て制限する．その上で，イントラネット（オンプレミス環境）と専用線で接続する．
PaaS を利用する場合，PaaS も全て仮想ネットワークに接続することを推奨する．仮想ネッ
トワークに接続することができない PaaS の場合は，グローバル IP アドレス単位でのアクセス制限と，暗号化通信を必須とする設定を行う．
IaaS を利用するシステム構成の場合，エンドポイントセキュリティはイントラネットで利用している製品を利用することで，オンプレミスとクラウドの統合管理が可能になる．管理
サーバの移行については，クラウド環境への移行計画として検討し，影響の少ないタイミング

72（122）で移行すべきである．管理サーバは，移行前であっても移行後であっても，オンプレミス環境とクラウド環境の両方を統合管理することが可能である ．
＊20

社内向けシステムであり，インターネットからの接続を制限することで，WAF や IPS/IDS，DDoS 対策などは不要である．

図4

表8

6.

おわり

パブリッククラウドと専用線接続利用のシステム構成例

パブリッククラウドと専用線接続利用でのセキュリティ対策例に

パブリッククラウドは，低コストで耐障害性の高いシステム構築を可能にし，従来の調達速度よりはるかに速くリソースを確保できるなど，ビジネスの発展を下支えできるインフラであるため，今後更なる利用拡大が想定される．IaaS だけに注目すると，オンプレミスと同様 OS（Windows や Linux）が稼働しているため，セキュリティ対策なども同様に考えがちだが，パブリッククラウド上では実装方法が異なる．本稿で解説したように，CSP が提供するセキュクラウド事業者が提供するセキュリティ機能の活用（123）73

リティ機能を中心に正しくセキュリティ対策を行うことを強く推奨する．
クラウドサービスは成長が速く，様々なサービスや機能が続々とリリースされている．その中にはセキュリティ機能も含まれているため，常に動向を確認し新しい機能の活用を検討するべきである．パブリッククラウドは利用者のコミュニティが形成されており，ブログなどで有識者が解説を公開している．従量課金であり，新機能を検証するだけであれば，数千円程度で利用することもできるため，システム設計をする際には，調査と検証を組み合わせてセキュリティ対策を検討することが望ましい．
なお，システム開発においては，本稿に記載されたインフラ関係のセキュリティ対策以外にも，アプリケーションのセキュアコーディング，セキュリティ対策を維持するための運用などは重要なセキュリティ対策の要素である．セキュリティ対策はシステム全般においてバランス良く実施すべきであることを補足しておく．
最後に，本稿執筆にあたりご協力，ご指導いただいた全ての皆様に深く感謝し，お礼申し上げます．
─────────
＊ 1 IaaS（Infrastructure as a Service）とは，仮想サーバやストレージ，ネットワークなどのリソースをインターネット経由で提供するサービスを指す．また，PaaS（Platform as aService）は，データベースやアプリケーションサーバ等のミドルウェアレイヤまでをサービスとして提供するサービスであり，SaaS（Software as a Service）は，ソフトウェアやアプリケーションの機能を提供するサービスである．
＊ 2 ISO/IEC27001 とは，情報セキュリティマネジメントシステム（Information Security Management System 以降，ISMS）を構築・運用し，継続的に改善するための国際規格であり，準拠しているかを認定機関が審査する制度がある．
＊ 3 ISO/IEC27017 とは，クラウドサービスの提供および利用に関する情報セキュリティ管理策であり，ISO/IEC27001 を補完する国際規格の一つである．
＊ 4 PCI DSS（Payment Card Industry Data Security Standard）とは，クレジットカード情報および取り引き情報を保護するために国際ペイメントブランド 5 社が共同で策定したクレジット業界における国際的なセキュリティ基準であり，準拠しているかを認定機関が審査する制度がある．
＊ 5 NIST サイバーセキュリティフレームワークとは，米国の政府機関である NIST（米国国立標準技術研究所）が発行した「重要インフラのサイバーセキュリティを向上させるためのフレームワーク」のこと．
＊ 6 FISC 安全対策基準とは，FISC（公益財団法人金融情報システムセンター）が発行した日本の金融機関システム向けのセキュリティ基準である．
＊ 7 仮想アプライアンスとは，機能を実現するために必要となる全てのものをプリインストール，設定した OS イメージを保持した仮想サーバのことであり，ネットワーク機器やセキュリティ機器などを仮想化技術の上で動作するように設計されたもの．
＊ 8 パスワードクラック（パスワードクラッキング）とは，他人のパスワードを不正に暴く行為であり，総当たり攻撃（ブルートフォース攻撃）や辞書攻撃（ディクショナリ攻撃），パスワードリスト攻撃など複数の攻撃手法が存在する．
＊ 9 GitHub とは，ソースコードのバージョン管理システムである Git の仕組みを利用して世界中の人々とソースコードを共有することができるサービスである．設定によりプライベートでの利用も可能である．
＊10 DDoS 対策は，CSP は標準機能として提供している．さらに，PaaS などにオプションとして高機能が付加されている場合もある．
＊11 Azure や AWS では，パブリッククラウドを活用する際のセキュリティのベストプラクティ［5］
スをホワイトペーパーとして公開している［4］．
＊12 CIS（国際インターネット・セキュリティ組織）とは，米国の政府機関と企業，学術機関などが協力して，インターネット・セキュリティ標準化に取り組む団体である．
＊13 WAF や IPS/IDS などの機能を適用する SaaS では，通信の内容のチェックが行われる．
SSL/TLS にて暗号化された状態では通信の内容がチェックできないため，復号するためにサーバ証明書を SaaS に登録しなければならない．
＊14 マーケットプレイスとは，CSP が提供する管理コンソール上から，そのパブリッククラウド向けのサービスや製品を販売する場であり，CSP だけではなくパートナーベンダーも様々74（124）な製品を販売している．
＊15 BYOL（Bring Your Own License）とは，既に持っている，もしくは別途購入したライセンスをクラウド環境に持ち込んで利用する形態のこと．
＊16 CDN サービスとは，コンテンツを多くの配布先に対して効率的に配布するための仕組み（Content Delivery Network：CDN）であり，Azure では「Azure CDN」というサービス，
AWS では「Amazon CloudFront」というサービスを提供している．
＊17 CSP が提供する CDN サービスなどが実装しているセキュリティ対策については，CSP が公開しているドキュメントを確認することを推奨する．
＊18 仮想ネットワークとは，仮想的に構築されたネットワークのことだが，本稿では CSP が提供する機能を用いてクラウド内に利用者独自に構築したネットワークを指す．
＊19 Lift&Shift とは，オンプレミス環境等で稼働しているシステムをパブリッククラウド環境に移行する方式の一つである．Lift&Shift 方式で移行する場合，まず Lift として IaaS を活用したシステム構成となる．その後，Shift として PaaS を活用していくことで，運用負荷を減らし，セキュリティの責任範囲を縮小していくことができる．
＊20 一部，複数の仮想ネットワークで構成されたクラウド環境の場合，直接通信が行えず，統合管理できない場合がある．

参考文献 ［ 1 ］ 日本マイクロソフト株式会社，「Azure 定番システム設計・実装・運用ガイド〜オンプレミス資産をクラウド化するためのベストプラクティス」，日経 BP 社，2018 年 9月，初版［ 2 ］ エディフィストラーニング株式会社 竹島 有理，「ひと目でわかる Azure Active
Directory 第 2 版」，日経 BP 社，2018 年 10 月，初版第 3 刷［ 3 ］ NRI ネットコム株式会社 佐々木拓郎 林晋一朗 小西秀和 佐藤瞬，「Amazon WebServices パターン別構築・運用ガイド」，SB クリエイティブ株式会社，2016 年 5 月，
初版第 4 刷［ 4 ］ Azure セキュリティ ホワイト ペーパー，日本マイクロソフト株式会社，2018 年
11 月 https://docs.microsoft.com/ja-jp/azure/security/security-white-papers［ 5 ］ AWS ホワイト ペーパー，Amazon Web Services, Inc., 2019https://aws.amazon.com/jp/whitepapers/※
執筆者紹介

上記参考文献に含まれる URL のリンク先は，2019 年 6 月 26 日時点での存在を確認．

石 川 政 朝（Masatomo Ishikawa）
ソフトウェア開発会社にて開発業務に従事した後，2004 年に日本ユニシス（株）入社．入社後，大規模金融システムにおけるインフラセキュリティ対策，EC サイトのインフラセキュリティ対策，大規模流通システムのセキュリティ対策などを担当し，2014 年からメガクラウドを活用した複数の案件にセキュリティ対策担当として従事．情報セキュリティ・プロフェッショナル（CISSP）