純0パブリッククラウドサービス利用時には、サービス事業者と利用者の相互が、セキュリティの確保に責任を持ち、安全な環境を維持する必要があります。役立つヒントを紹介します。20の重大なセキュリティコントロール)をフレームワークとしてマッピングした解説を行いました。この解説を参考にすることで、サービス事業者と利用者の相互で確保すべきパブリッククラウド上のセキュリティをより深く理解することができます。2回に分けて取り上げます。Administrator)アカウントが最重要の管理対象でした。仮想化やクラウド環境では、管理対象の全インスタンスに対してフルアクセス権限を持つ、サービス全体の管理者アカウントがより重要なコントロール対象となります。アクセスできるAWS上の管理者(root)アカウントを指します。AWS上のフルアクセス権限を持つアカウントの利用をやめましょう。2つのタイプのアカウントを作るところからはじめます。アクセスするためにプログラムが利用する専用アカウントどちらの場合も、該当のアカウントには、そのアカウントが実施する業務やタスクに応じ最低限必要なアクセス権のみをグループ経由で付与することで、適切な管理(監査を含む)、運用を実現することができるでしょう。万一、アカウントが侵害された場合も、被害の範囲を最小限に抑えることができます。■#2:パスワードポリシーと多要素認証に注目重要なアカウントに対して、パスワードの複雑性を保つことや適切な頻度で変更を行うことの重要性は、みなさんの中でも既知の事実でしょう。「CC12:管理者権限のコントロールされた使用」内においても、管理者アカウントは長くて推測されにくいものを設定し、頻繁に変更することが推奨されています。IAM機能では、パスワードの複雑性についてのポリシー強制機能が提供されています。パスワードにもう一つの認証要素を組み合わせた多要素認証の利用も検討しましょう。ワンタイムパスワードのトークンやスマートカード、生体認証などがそれにあたります。Authentication、多要素認証)デバイスが提供されています。MFAデバイスを保持する人物を分けて運用することを検討してもよいでしょう。AWS上でインスタンスを構成する際にベースとなるマシンイメージ(テンプレート)です。AWS内のマーケットプレースから入手することができます。LAMP環境まで構築済みのもの、もしくは利用するアプリケーションが完全にインストール済みのものなど、さまざまな構築状態で保持することができます。仮想化やクラウド環境において、インスタンスのコピー元となるテンプレートでは、セキュアな環境を維持することが必須です。3ステップを確認します。信頼出来るベースのイメージを利用して構築を始める最初の、そして最も重要なステップです。Amazonから公式提供されているものはもちろん、信頼出来るコミュニティやマーケットプレースを選別した上で、ベースのイメージを入手すべきです。サービスやOSの初期設定をチェックし、セキュアな状態に更新するデフォルトパスワードの変更や、利用しないサービスの停止、rootのリモートログイン禁止など、不要なオプションやデフォルトの設定に注意を払うべきです。用いれば、環境毎の固有設定を容易に守ることができるでしょう。Linux環境の場合は、SSH認証部分などいくつか追加のセットアップが必要です。使わずに一からインスタンスを構成するという選択肢もあります。テンプレートを使うよりも、構築に時間がかかりますが、常に最新のソフトウェアを使って構成できるという、セキュリティ上の大きなメリットがあります。Practices」で紹介されている3つの推奨事項を実践するためのポイントを解説します。ゲストOSをセキュアな状態で維持するには、これらの推奨事項を継続して実施することが、非常に重要です。パッチを安全に適用してゲストOSを最新の状態に保つことIT運用において当たり前の話ですが、ゲストOSは可能な限り短いタイムラグで最新パッチが適用されている状態に保つ必要があります。仮想化やクラウド環境ならば、本番環境と同じテンプレート(AWSであればAMI)で展開用の環境を新たに構築し、そこにパッチを適用してテストを実施します。問題がなければその環境を新たなAMIとして保持し、本番環境でアプリケーションが停止できるタイミングでの置き換えを計画しましょう。正規のパッチを適用するまでのタイムラグを補完するための仮想パッチの活用も有効な対処策の一つです。推奨セキュリティ設定を適用することOSや各種サービスベンダが公開している推奨設定のリストを参照すると同時に、それらの設定に対する評価の高い調査結果も参照すべきです。両者の情報をあわせた上で、自身のアプリケーションにおける要求事項を満たせることを確認しましょう。最小限の特権付与や、本当に必要なサービスしか起動させないという大原則は忘れないことです。OSや主要なサービスで推奨されるべき設定を自動展開できるツールの利用も検討しましょう。テストを繰り返し、設定やオペレーションの不備による脆弱性を解消することセキュリティ上の脆弱性につながる設定ミスやオペレーションミスなどの不備を防ぐためには、システムに変更を加える度に、意図した範囲外への影響がないかをテストすることが必要です。AWS上のリソースは、全てAPI経由でのアクセスが可能なため、これらのテストを自動化することができるでしょう。インスタンスの展開状況の確認、パッチの適用状態の確認、セキュリティ設定の適用状況の確認といったテストを自動化することで、テストを省力化し、繰り返し実行できるようになります。単純なテストであっても、設定変更の度、変更箇所以外への影響が無いことを確認するのは、セキュリティの強化に役立ちます。■#5:ファイアウォールによる保護は、多階層、多段のアプローチでもっともシンプルで強力な対策であるファイアウォールについて言及します。AWS上では、セキュリティグループの指定によりポートを制御します。CIDR単位にポート/プロトコルを許可します。443ポートでのアクセスのみを受け付ける。アクセスのみを許可する。同期を行うアプリケーションのポートのみのアクセスを実現するといった階層ごとに異なる設定を実装できます。このような多階層でのファイアウォール機能をテンプレート化して容易に実装することができる点もメリットの一つです。認証情報に基づいて制御されています。侵害されるようなことがあってもこれらの基本的なファイアウォール機能は影響を受けずに機能します。Processes」では、これらに加えて、ホスト型(インスタンス単位)ファイアウォールでのフィルタ機能の実装についても推奨しています。このフィルタ機能は、以下のような場合に役立つことが想定されます。万が一、インスタンス外で実装されているファイアウォールのポリシーが侵害されるようなことがあった場合に、多段のファイアウォールとして、補完的な役割を果たすことができるでしょう。制御することが可能になります。