クラウドネイティブ時代が到来すると、クラウドセキュリティテクノロジーはどこに向かうのでしょうか?

数年にわたる実装を経て、クラウドネイティブのコンセプトはエンタープライズ市場で広く認知され、エンタープライズのデジタル変革にとって不可欠な選択肢となりました。クラウドネイティブテクノロジーアーキテクチャに基づいて開発されたソフトウェア製品やツールも、企業の日常業務で徐々に使用され始めています。クラウドネイティブ時代が正式に到来し、CWPP、CSPM、CIEM、CNAPP に代表される主流のクラウドセキュリティテクノロジーはどのように発展し、進化していくのでしょうか。

1. CWPP: クラウドワークロード保護プラットフォーム

2010 年に、ガートナーは、仮想マシンとコンテナの早期導入に対する保護を提供することを目的とした「クラウドワークロード保護プラットフォーム」(CWPP) の概念を正式に提案しました。ガートナーの定義によると、CWPP は「オンプレミス、物理マシンと仮想マシン (VM)、複数のパブリッククラウドの Infrastructure as a Service (IaaS) 環境にまたがる最新のハイブリッドデータセンターアーキテクチャにおけるサーバーワークロード保護の固有の要件に対応する、ワークロード中心のセキュリティソリューション」です。 CWPP の展開では、コンテナベースのアプリケーションアーキテクチャもサポートされます。

CWPP テクノロジーの目的は、パブリッククラウド内のサーバーワークロードを保護することです。 CWPP ソリューションは、組織のクラウドベースの展開とオンプレミスインフラストラクチャ全体に存在するワークロードを検出し、クラウドリソースの可視性を拡張する集中型ソリューションを提供し、クラウドワークロードを保護します。

CWPP の主な特徴:

クラウドとオンプレミスのワークロードの保護: CWPP は、組織のクラウドベースの展開とオンプレミスのインフラストラクチャに存在するワークロードを検出し、クラウドリソースと安全なワークロードの可視性を提供します。
きめ細かな可視性: CWPP は、脆弱性、機密情報、マルウェアスキャン、資産バージョンなどの詳細な情報を収集するのに非常に優れており、ワークロードを拡張するときに役立ちます。
ランタイム保護: CWPP は、ランタイムを保護するために必要なファイル整合性監視 (FIM)、マルウェアスキャン、ログ検査、アプリケーション制御、および権限リスト機能も提供できます。
アイデンティティベースの分離: CWPP は、アプリケーション/ワークロードアイデンティティに基づいてポリシーを適用するテクノロジを提供できます。
ワークロードコンプライアンス: CWPP は、検出されたリスクを選択したコンプライアンスフレームワークに分類し、容易かつ継続的なレポート作成と監査を可能にします。

CWPP が直面している課題:

個別のエージェントのメンテナンスが必要: CWPP では、保護対象の資産ごとに個別のエージェントのインストールとメンテナンスが必要であり、これにより、展開時間が遅くなり、継続的なメンテナンスコストが増加し、資産のパフォーマンスにも影響が出る可能性があります。
クラウドコントロールプレーンに関する洞察なし: CWPP はワークロードのみをカバーし、コントロールプレーンに関する洞察は提供しません。これを行うには、ユーザーは CSPM ソリューションを使用する必要があります。
アラートの優先順位付けが困難: CWPP には、セキュリティ問題の全体的な影響を理解するために必要な可視性とコンテキスト情報が欠けています。クラウドインフラストラクチャの可視性がなければ、CWPP だけではクラウド資産全体を把握できず、環境コンテキストに基づいてアラートに優先順位を付けることができません。
資産のカバー範囲が不十分: あらゆる場所にエージェントを展開できる可能性は低く、展開できたとしてもすべてのオペレーティングシステムと互換性がある可能性は低く、エージェントのメンテナンスコストも高いため、CWPP には必然的に盲点があります。 Orca Security の調査によると、平均的なクラウドホストセキュリティソリューションは資産の 50% 未満しかカバーしていません。さらに、エージェントベースの CWPP では、停止、一時停止、またはアイドル状態のマシンを認識できないため、攻撃に対して脆弱になります。
横方向の移動リスク検出の欠如: 攻撃者は多くの場合、クラウド環境で最初の足がかりを得てから、実際のターゲットまで横方向に移動しようとします。 CWPP だけでは、どのキーが攻撃者に他の資産へのアクセスを提供する可能性があるかを特定できず、重大な攻撃ベクトルが公開されることになります。

全体として、CWPP テクノロジーはパブリッククラウドワークロードのセキュリティを確保できますが、すべてのクラウドセキュリティ要件をカバーしているわけではありません。 CWPP ソリューションは、ワークロード内で何が起こっているかについての詳細な可視性を提供しますが、ワークロード間の接続とそれらが存在するインフラストラクチャの構成に関するコンテキスト情報と可視性が欠けています。

2. CSPM: クラウドセキュリティプラットフォーム管理

2014 年頃、AWS、Microsoft Azure、Google Cloud などのパブリッククラウドサービスが普及した際、ガートナーはクラウドセキュリティ管理の新しい定義「クラウドセキュリティプラットフォーム管理 (CSPM)」を作成し、企業組織がクラウドサービスの正しい構成を維持し、パブリッククラウド上でのビジネスのコンプライアンスを確保できるように支援しました。 CSPM ソリューションの重要な目標は、クラウドインフラストラクチャを継続的に監視して、セキュリティポリシーの適用におけるギャップを特定することです。

CSPM は、組織にクラウドインフラストラクチャ全体の一元的な可視性とリスク評価を提供します。クラウドインフラストラクチャ全体のリスクを自動的に識別し、場合によっては修正することができます。クラウドインフラストラクチャの監視は、セキュリティポリシーやベストプラクティス違反に関する一連のアラートを返す定期的なクエリを通じて実行できます。

CSPM ソリューションはクラウド環境をカバーし、クラウド環境をセキュリティリスクや運用の非効率性にさらす可能性のある誤った構成について従業員に警告します。 CSPM は、組織がコストを節約し、重要なセキュリティリスクを特定し、そのようにチームをトレーニングするのにも役立ちます。

CSPMの主な機能:

セキュリティポリシーの適用: CSPM は、構成ミスの問題とコンプライアンスリスクを監視し、クラウド環境でセキュリティポリシーを適用します。
マルチクラウド構成管理: CSPM は、クラウド構成の可視性を通じて複数のクラウドサービスの集中管理を可能にします。
クラウドコントロールプレーンの監査: CSPM は API 経由で接続し、マルチクラウド環境全体のコントロールプレーン構成全体に即座にアクセスして監査できます。
クラウドインフラストラクチャのコンプライアンスレポートを提供します。CSPM はクラウド環境を継続的にレビューし、正しい構成と誤って構成された構成の検出結果をコンプライアンスフレームワークにグループ化して、組織がクラウドインフラストラクチャの適切な管理を監査できるようにします。
サードパーティの脅威インテリジェンスとの統合: ほとんどの CSPM はネイティブのクラウドサービスプロバイダーの脅威ツールと統合できるため、組織はリスクや構成ミスのリスクをさらに特定して優先順位を付けるのに役立ちます。

CSPM が直面している課題:

ワークロードに対する詳細な可視性がない: CSPM ソリューションでは、ワークロードに対する詳細な可視性は提供されません。たとえば、脆弱な Web サーバーや感染したワークロードがある場合、アラートは提供されません。これを行うには、ユーザーは CWPP または CNAPP ソリューションも必要とします。
横方向の移動リスク検出の欠如: 攻撃者は多くの場合、クラウド環境で最初の足がかりを得てから、実際のターゲットまで横方向に移動しようとします。 CSPM は、どのキーが攻撃者に他の資産へのアクセスを提供する可能性があるかを特定できないため、重要な攻撃ベクトルが公開されたり、特定できなかったりする可能性があります。

全体として、CSPM ソリューションは、パブリッククラウドサービスとマルチクラウドインフラストラクチャが適切に構成されることを保証します。 CSPM ソリューションは、監査用のクラウドガバナンスおよびクラウドコンプライアンスサービスを提供するのに適していますが、クラウドインフラストラクチャ外部のリスクと脅威に対する詳細な可視性が欠けており、カバー範囲にギャップが残ります。

3. CIEM: クラウドインフラストラクチャ認証管理

CIEM (正式名称は Cloud Infrastructure Entitlements Management) は、クラウドアカウントの動作の異常を効果的に監視および特定できます。企業の IT チームとセキュリティチームは、CIEM ソリューションを使用して、パブリッククラウドとマルチクラウド環境で ID とアクセス権限を管理できます。 CIEM ソリューションは、クラウドインフラストラクチャとサービスに「最小権限」の原則を適用し、組織が権限に関する混乱によって生じるデータ侵害のリスクを軽減するのに役立ちます。

企業のクラウド環境では、従業員、ビジネスシステム、エンドポイントデバイスに膨大な数のアクセス権限を付与する必要がありますが、その多くには未使用の権限、期限切れのアカウント、デフォルト権限や誤って構成された権限などが含まれる可能性があります。これらの権限を未チェックのままにしておくと、攻撃者がクラウド展開に侵入するための容易な経路になる可能性があります。 CIEM ソリューションを使用すると、組織のセキュリティチームは、どのユーザー (ビジネス担当者およびアプリケーションシステム) がどのリソースにアクセスできるかなどを管理できます。

CIEM の主な機能:

ID およびアクセス管理 (IAM): CIEM は、クラウドリソースに対する過剰な権限を持つ特権 ID を管理し、クラウド環境で最小限の権限を適用できます。
マルチクラウドのアクセス権限を監査: CIEM は、複数のクラウドサービスプロバイダーにわたるすべてのアクセス権限を継続的に監視および確認します。
IDP (アイデンティティプロバイダー) ソリューションとの統合: CIEM はアイデンティティプロバイダーと緊密に連携して、システムとクラウドサービスから管理されたデジタル ID を持つすべてのユーザーまでの範囲を拡張できます。
承認リスクとコンプライアンスのレポート: CIEM は、リスクのあるクラウド承認やコンプライアンス違反のクラウド承認を可視化し、組織のクラウドインフラストラクチャ全体で ID が実行できるタスクとアクセスできるリソースを決定します。
承認の推奨事項を提供する: CIEM は、クラウド ID 環境全体を理解し、アクセスを削減して最小権限を実現するためのポリシーと修復に関するベストプラクティスの推奨事項を提供する機能も備えています。
最小権限分析: CIEM は、最小権限のアクセス許可を有効にするだけでなく、アクセス許可が過剰に管理されないようにもします。

CIEM が直面している課題:

不完全な IAM: CIEM は、ディスク上の SSH キーや AWS キーなどの「代替」 IAM メカニズムや横方向の移動リスクを識別できません。
完全なコンテキストと可視性におけるギャップ: CIEM ソリューションは主にクラウドの「新しい境界」、つまり ID アクセス管理の保護に重点を置いているため、CSPM によって提供されるコントロールプレーンと実際のワークロードで実行されているものに対する可視性が一般的に欠如しています。

一般に、CIEM ソリューションは、主に IAM、承認リスク、コンプライアンスに重点を置いた機能であるため、アイデンティティおよびアクセス管理 (IAM) がクラウドインフラストラクチャおよびサービスへの最小権限アクセスの原則に従うことを保証できます。しかし、IAM は「クラウドコンピューティングの新たな領域」と考えられているものの、IAM および CIEM ソリューションには、クラウドインフラストラクチャとワークロードに対する包括的なセキュリティカバレッジがまだ欠けています。

4. CNAPP: クラウドネイティブアプリケーション保護プラットフォーム

CNAPP は、ガートナーが提案した新しいクラウドセキュリティ技術コンセプトであり、「Cloud-Native Application Protection Platform」の略です。 CNAPP は、革新的なクラウドセキュリティテクノロジーとして、複数のセキュリティ機能をネイティブな方法で統合クラウドセキュリティプラットフォームに統合するため、幅広い注目を集めています。

CNAPP は、システムコードからビジネス開発まで、アプリケーション開発ライフサイクル全体を保護できます。将来的には、クラウドセキュリティ状態管理 (CSPM)、クラウドワークロード保護プラットフォーム (CWPP)、クラウドインフラストラクチャ認証管理 (CIEM) などのクラウドセキュリティ技術などの従来の保護モードに大きく取って代わることになります。

適切な CNAPP ソリューションは、サイロ化されたビューではなく、クラウド資産に対する包括的なカバレッジと可視性を提供し、クラウドの誤った構成、安全でないワークロード、不適切な ID アクセスなど、テクノロジースタック全体のリスクを検出できます。

さらに、CNAPP には、開発ライフサイクルの早い段階でリスクを特定するための「シフトレフト」機能も含まれています。一部の CNAPP は、脆弱性、コンテキスト、相関関係を組み合わせることで、クラウド攻撃パス分析を実行し、一見無関係に見える「重大度の低い」リスクがどのように組み合わさって危険な攻撃ベクトルを生み出すかを特定できます。

CNAPPの主な機能:

誤った構成のリスクを管理する: クラウドネイティブアプリケーションの構成ミスやセキュリティ管理ミスの可能性を減らします。
セキュリティ投資を統合する: ツールとベンダーの数を削減します。
ガバナンスとコンプライアンスを簡素化: 安全でコンプライアンスに準拠したクラウドネイティブアプリケーションの作成に関連する複雑さとコストを削減します。
重要なアラートを優先する: セキュリティ担当者が関係性 (セキュリティの脆弱性、構成ミス、権限、公開された秘密) に基づいて攻撃パスを把握できるようにします。
DevSecOps の可視性を向上: 開発と運用の可視性と洞察をリスク分析に双方向でリンクすることで、企業全体のセキュリティ体制を向上させます。

CNAPPが直面している課題:

重複する機能: 組織には、削除できない従来のクラウドセキュリティシステムが存在している場合があります。セキュリティリーダーは、時間の経過とともに、クラウド戦略を更新し、契約の期限が切れるたびに冗長なテクノロジーを削除することで、これらの障壁を排除できます。

全体的に、CNAPP は多くの点で優れており、主な利点はクラウドの可視性が向上することです。ガートナーは、「クラウドネイティブアプリケーション保護プラットフォームイノベーションインサイトレポート」で、「CNAPP アプローチの最大の利点は、クラウドネイティブアプリケーションのリスクをより適切に理解し、制御できることです」と指摘しています。

クラウドネイティブセキュリティの進化により、組織はセキュリティとコンプライアンスを犠牲にすることなく成長を加速し、収益を生み出す新たな機会が生まれました。複数のポイントソリューションを導入、分析、相関させる代わりに、集中型の CNAPP ソリューションでのみ可能なリスクと攻撃パスに関する詳細な洞察を得ることで時間を節約します。

参考リンク: https://cloudsecurityalliance.org/blog/2022/05/20/know-your-cloud-security-acronyms-cwpp-cspm-ciem-and-cnapp/

<<: Amazon Web Services は、新しい Amazon Graviton3 を搭載した Amazon EC2 C7g インスタンスの一般提供を発表

>>: ガートナー: 中国におけるパブリッククラウド導入のベストプラクティス