2021年に入り今もなお、コロナ禍の影響により個人や企業の日常業務に大きな支障が生じています。多くの組織において、業務継続のためにテレワークが不可欠なものとなると同時に、「クラウドコンピューティング」の重要度も増しています 。実際、クラウドコンピューティングへの依存度は昨年から急上昇しており 、今後も続くに違いありません。クラウドコンピューティングがデジタルトランスフォーメーション（DX）の中心となる中、攻撃者もこの状況に注目しクラウドインフラストラクチャを悪用しています。特にクラウド技術を利用する攻撃経路の中でも、クラウドのメールサービスは最もシンプルかつ最もわかりやすい存在であることから、逆に最も悪用されやすい存在ともなっています。フィッシングメール、不正スパムメール、ソーシャルエンジニアリング攻撃など、サイバー犯罪の歴史と共に洗練されてきた攻撃手法がクラウドメール経由でも猛威を振るっています。
世界中の企業組織は、現在使用できる多種多様なクラウド技術基盤の利用、クラウド環境への移行、あるいはクラウドに関する知識やスキルの習得を開始することで、いわゆるデジタルトランスフォーメーション（DX）市場への取り組みを進めています。クラウドサービスは使いやすく柔軟性に富んでおり、構成や環境設定の変更も任意で行えることが利点です。
しかし、最高セキュリティ責任者（CSO）やクラウドITチーム、あるいは管理者にとって、特定の展開モデルにおけるクラウドコンピューティング環境のセキュリティ管理は、実は骨の折れる作業です。実際、クラウドへの攻撃や設定ミスによる情報漏えいなどの事例は後を絶たず、クラウド利用を進めたい組織に対し、大きな不安を与える要因となっています。
続きを読むトレンドマイクロは、シェルスクリプトを使用して不正な活動を行う攻撃を再び確認しました。これらのシェルスクリプトは、公開されているコンテナリポジトリ上のランダムなイメージとして作成されていました。このようなシェルスクリプトにはバックドアなどの不正要素が含まれている可能性があるため、実行することによるセキュリティ上のリスクがあることを認識する必要があります。過去の攻撃では、そのような不正なシェルスクリプトの多くはコインマイナーを展開するために使用されていました。しかし、新しいサンプルを利用した最近の事例では、シェルスクリプトがコインマイナーのダウンローダとしてではなく別の目的を果たしており、どのように開発されているかを明確にしています。トレンドマイクロでは今回の調査により判明したコマンド＆コントロール（C＆C）サーバのURL、文字列、暗号鍵、サンプルで使用されている言語などの特徴から、この最新の攻撃はハッキング集団「TeamTNT」によるものと推測しています。
「DX（デジタルトランスフォーメーション）」や「2025年の崖」など新たなデジタル世界への対応と変革の必要性が叫ばれる中、そのシンプルさと柔軟性の高さからマイクロサービスアーキテクチャを採用する企業や組織が増えています。実際、2019年に行われた調査では、大企業のITリーダの89％は「進化し続けるデジタル世界で企業が競争力を維持するためにはマイクロサービスが不可欠」と考えていることが報告されており、今後より多くの開発者がオンプレミスやクラウドサービス内にコンテナを展開することが予想されます。しかしクラウド上のコンテナではセキュリティ管理の不備により重要データが不用意に露出する可能性があり、攻撃者にとって格好の的となる恐れがあります。具体的には露出したRedisインスタンス内に暗号資産採掘ツール（コインマイナー）が展開されたり、Docker Hub上でコミュニティが共有するコンテナイメージを悪用して不正コンテナが展開されたりするなど、設定に不備のあるサービスを狙った攻撃が継続的に確認されています。また別の事例ではコインマイナーが感染したLinuxシステム内に既存する別のコインマイナーを検索して削除し自身の計算能力を最大化させる動きも確認しました。このコインマイナーはDockerやRedisのプラットフォーム内で露出したアプリケーションプログラミングインターフェース（API）を検索していたことから、攻撃者がこれらのプラットフォームに精通していることが示唆されます。
そして今回トレンドマイクロでは、さらに上記とは異なる攻撃手口を確認しました。この攻撃はいわゆる「コンテナエスケープ」の攻撃手法となっており、ルート権限のすべてを備えたホストマシン上のPrivileged（特権）コンテナからホスト側に「脱出」できるよう特別に作成されたペイロードが利用されました。注意すべき点は、Dockerを利用しているからといって、ユーザが使用するコンテナすべてが自動的に特権コンテナとなるわけではないことです。事実、Dockerユーザの多くは特権コンテナを使用していません。これはすなわち、適切なセキュリティを確保する方法を知らずに特権コンテナを使用することはリスクが高いことを示します。
企業は未来を見据えたアプリケーション構築のため、マイクロサービスアーキテクチャに注目しています。マイクロサービスは企業のインフラストラクチャ管理を効率化し、アップデート・改善点を容易に展開できるようにするほか、ITチームを革新し、失敗から早く見識が得られるよう支援します。さらに企業はマイクロサービスを利用することで、要求に応じて拡張性の高いアプリケーションを簡単に作成できるようになります。これらの利点がある一方で、企業が、1つのモジュールで構成される従来のモノリシック型アプリケーションからコンテナ化によって分割構成されるマイクロサービスアーキテクチャに移行した場合、マイクロサービス間の効率的かつ堅牢な通信を確立する必要性が生じます。クライアントアプリケーションとサーバアプリケーション間で行われる重要かつ複雑な通信は、gRPCによって処理することができます。gRPCは、接続されたシステム間での通信を簡単に透過化・効率化するユニバーサルリモートプロシージャコール（RPC）フレームワークです。gRPCは2015年にGoogleが開発した比較的新しいRPCフレームワークですが、人気と需要が急速に高まっています。
セキュアなRPC APIはアプリケーションセキュリティにおいて極めて重要な役割を果たします。本ブログ記事では、開発者がgRPCに移行し、プロジェクト内でgRPCを実装する際に懸念されるセキュリティの穴について解説します。また、脅威からgRPC実装を保護してリスク軽減するための推奨事項についてもご紹介します。
続きを読む仮想化技術「コンテナ」は、ホストOS上に他のプロセスとは隔離されたアプリケーション実行環境をコンテナ内に構築する技術です。この技術は、開発部門と運用部門が連携してシステムを開発するDevOpsを実施する企業内での「開発者体験（Developer Experience、DX）」を最適化します。アプリケーションをコンテナ内にビルドすることで、コンピュータ内のハードウェアやインフラストラクチャ、クラウド環境のいずれにおいても開発者は円滑にアプリを実行できるようになります。仮想マシン（VM）を用いて構築された仮想的な実行環境では、オペレーティングシステム（OS）、または、システム基盤となる設備や施設であるインフラストラクチャ環境の違いによって互換性に課題が生じていました。一方、コンテナはホストOS上で構築可能なプロセスであり、各コンテナ毎にOSをエミュレートする「コンテナランタイム」によってこれらの課題は仮想化されます。ただし、他のテクノロジー同様、コンテナを使用する上でもトレードオフの法則が成り立ちます。これらのコンテナ環境のインフラストラクチャの複雑さについて適切に考慮されていない場合、深刻なセキュリティリスクをもたらす可能性があります。コンテナ環境に被害を与える可能性のある脅威は、開発パイプラインの各段階に存在します。
コンテナ内でのビルド作業時に生じるリスクを最小限に抑えるために開発者が順守すべき6つのステップを以下に示します。
続きを読む世界のパブリッククラウドサービス市場は、2020年に17％拡大すると予測されています。多くの企業や組織は自身の立場を、クラウドを第一に検討する「クラウドファースト」としていますが、すべてをクラウド化する「クラウドオンリー」ではないとしているようです。
クラウドサービスを新しく導入することは、機動性の向上や他社との差別化など、組織の改善に大いに役立ちます。しかし、技術が進歩すればリスクも同時に発生するのと同様に、クラウドサービスの採用にもサイバーセキュリティ上のリスクが伴います。つまり、IT責任者にとって、包括的で簡素化された方法でセキュリティを管理する必要性がこれまで以上に高まっていると言えます。
多くの組織がクラウドを利用する理由に、従業員の生産性向上や、顧客中心としたサービスを機敏に提供できるようDevOpsを強化する目的があります。しかし、クラウド移行に伴う課題はさまざまな場面で発生することが多く、一貫した方法で組織全体を見渡しセキュリティを管理することを困難にしています。 (さらに…)
続きを読むこのブログ記事は、クラウド特有の脅威とリスクについて解説したTrend Micro Researchによる「Untangling the Web of Cloud Security Threats（英語情報）」に基づいて書かれたものです。
クラウドに不安がありますか？
近年、クラウドインフラへの支出が非クラウドインフラへの支出を上回っていることが報じられています。 これはITにとって一つの転換点であり、クラウドを基本とした運用はもはや例外ではなく、一般的なものになったと言えます。しかし、多くのセキュリティベンダー、そしてセキュリティソリューションにおいては、いまだにクラウドを例外として扱うか、あるいは少なくとも主要なユースケースとして扱っていません。つまり、クラウドはまだ必要条件ではなく、オプションとして扱われていることになります。
一方、サイバー犯罪者側は、すでにこのクラウドへの移行に適応しています。彼らは、企業や組織のクラウドのセキュリティ対策が全般的に追いついていないことを認識しており、新しく導入されたクラウド環境周辺のセキュリティギャップに目を付け、利用します。そうしてクラウド環境を標的として、ランサムウェアや暗号通貨の発掘、データ窃取その他の攻撃を仕掛けます。 (さらに…)
続きを読むクラウドベースの「統合開発環境（Integrated Development Environment、IDE）」が利用可能になる以前は、開発者は通常、必要なツールすべてを自身のローカル環境にダウンロードしておく必要がありました。しかし、DevOpsが浸透し、クラウドの利用が拡大するとともに、今ではIDEによるオンラインでのコーディングが可能になりました。大変便利であるIDEですが、セキュリティ上の懸念はないでしょうか。この質問に回答するために、人気の高い2つのクラウドベースのIDE「AWS Cloud9」と「Visual Studio Online」に焦点を当て考察します。
クラウド市場が急速に成長し、企業のサーバ環境が次々とクラウド環境へ移行してきています。企業がクラウド環境を利用する場合、クラウド事業者とユーザそれぞれの責任範囲を理解し、クラウド事業者がどういったセキュリティ機能を提供しているかを確認することが重要です。例えば、市場シェアを大きく占めている「アマゾン ウェブ サービス（AWS）」では、「責任共有モデル」によってユーザが対応すべき箇所を明確にしており、セキュリティ機能についても複数提供しています。ここでは、企業がこうした AWS環境を利用して公開サーバを構築する際に検討すべき対策について紹介します。
■ AWS が提供する責任共有モデルとは？
AWSの「責任共有モデル」を分かりやすく学ぶため、AWS環境に公開サーバを1台構築した場合を例に見ていきましょう。AWS の責任共有モデルでは、AWS から公開サーバを構築するために必要なインフラが提供されており、インフラのレイヤについては AWS の責任範囲です。
