Amazon Web Services (AWS)は、2024年時点で市場シェアの50%を獲得しています。AWSは、規模の大小を問わずあらゆる業界の組織で利用されています。AWSは、インフラストラクチャのニーズに対応するため、多数のツール、プラクティス、ポリシーを提供し、顧客がデータ、アプリケーション、インフラストラクチャを保護できるよう支援しています。
現時点で、組織は自社資産のクラウドセキュリティの重要性を理解する必要があります。Cybersecurity Venturesはさらに先を見据え、2025年までに世界全体で年間10.5兆ドルの損失がサイバー犯罪によって発生すると推定しています。AWSの場合、セキュリティは共有責任モデルに基づいており、AWS自体がクラウドのセキュリティを管理し、顧客自身がクラウド内のセキュリティを維持します。この区別は重要です。
本ブログでは、AWSセキュリティの基本概念、主なセキュリティ課題とその解決策、そしてSentinelOneのような高度なセキュリティソリューションがこれらのAWSセキュリティ課題にどのように対応できるかを解説します。最後に、AWS環境を保護するための最適なAWSセキュリティ実装方法について説明します。
AWSセキュリティとは？
AWSセキュリティは、コントロール、サービス、機能の組み合わせです。クラウド上に存在する企業のデータ、アプリケーション、インフラストラクチャの保護に役立ちます。AWSセキュリティフレームワークは、AWSプラットフォームの機密性、完全性、可用性を確保するためのツールとプラクティスの組み合わせです。この多層的なセキュリティフレームワークにより、組織はネットワークセキュリティ、アクセス管理、データ暗号化、監視、コンプライアンスを保護できます。
AWSセキュリティは、共有責任モデルに基づいています。これにより、AWSとその利用者である顧客の責任範囲が明確に定義されます。AWSは「クラウドのセキュリティ」に責任を持ち、AWSクラウド上で稼働するすべてのサービスのインフラストラクチャを保護します。これには、AWSクラウドサービスを支えるすべてのハードウェア、ソフトウェア、ネットワーク、施設が含まれます。一方、顧客は「クラウド内のセキュリティ」を担当し、さまざまなAWSセキュリティ課題への対応や、AWSサービスに関するセキュリティコントロールの設定・実装が求められます。
AWSセキュリティの必要性
組織がAWSセキュリティを必要とする理由は複数あります。その一部を以下に示します。
- 進化する脅威の状況：技術の進歩に伴い、サイバー脅威も増加しています。時間の経過とともに、これらの脅威は高度化・頻発化し、従来の手法では追跡が困難になります。AWSセキュリティは、進化する脅威に対応し、新たなAWSセキュリティ課題に対処するのに役立ちます。
- データ保護：多くの組織や個人ユーザーがクラウドにデータを保存しています。そのため、クラウド上のデータ量は指数関数的に増加しています。こうした機密情報の保護は最優先事項となります。
- コンプライアンス要件：業界ごとに異なるコンプライアンス基準が存在し、場所によっても規則が異なる場合があります。AWSセキュリティは、これらの要件に対応し、組織が規制当局の基準を満たすためのツールや機能を提供します。
- 事業継続性：DDoS攻撃やその他のセキュリティインシデントが発生すると、サービスが妨害され、アプリケーションのダウンタイムが発生する可能性があります。これにより、ビジネス機能が中断されることもあります。しかし、AWSを利用することで、脅威の自動的かつリアルタイムな防止、検知、対応が可能となり、こうしたインシデントを回避できます。
- スケーラビリティと柔軟性：ビジネスの成長に応じて、AWSは要件に合わせてスケーラブルかつ柔軟なソリューションを提供できます。
CNAPPバイヤーズ・ガイド主なAWSセキュリティ課題10選
AWSセキュリティは、さまざまな脅威やAWSセキュリティ課題の解決に役立ちます。本セクションでは、その一部について説明します。
#1. S3バケットの設定ミス
データ漏洩につながる最も一般的な問題は、Amazon S3（Simple Storage Service）バケットの設定ミスです。多くの場合、バケットポリシーやアクセスコントロールリスト（ACL）の誤った設定により、バケットへの読み取りや書き込みのパブリックアクセスなど、過剰な権限が付与されてしまいます。2017年には、パブリックS3バケットの設定ミスにより、約1億9800万人の米国有権者のデータが保存され、機密データが漏洩した事例が報告されています。
#2. 不十分なアイデンティティおよびアクセス管理（IAM）
最小権限の原則が守られていない場合、攻撃者がリソースへ不正アクセスする可能性があります。また、IAMポリシーの適切な設定が行われていない場合、脅威アクターや内部従業員に必要以上の権限が与えられることがあります。さらに、ルートアカウントが日常業務（例：VMの作成）に使用され、マルチファクター認証が実装されていない場合、最適な運用が行われていないことになります。
#3. 安全でないAPIおよびAPIゲートウェイ設定の不備
API（アプリケーションプログラミングインターフェース）は、AWS内のさまざまなサービス間の通信に使用されます。攻撃に対して脆弱となる一般的な問題には、不適切な認証、データ転送時の暗号化の欠如、APIアクセス時のレート制限の不備などがあります。
#4. ログ記録および監視の不十分さ
組織がAWS環境で最も重要な監視要素の一つである適切なログ記録を実装し忘れることがあります。AWS CloudTrailの有効化を怠ると、すべてのAPIコールやAWSセキュリティで発生するアクティビティの追跡ができません。適切なアラート機構の設定や定期的なログ監査が行われていない場合、セキュリティインシデントが見逃され、最終的にデータ漏洩につながる可能性があります。
#5. データ保存および転送時の暗号化不足
AWS環境で最も重大な問題の一つは、暗号化されていないデータです。データは2つの段階で暗号化する必要があります。1つは保存時（データの静止時）、もう1つは転送時（ネットワーク経由で送信される場合）です。適切な暗号化技術が採用されていない場合、攻撃者がこのデータに不正アクセスし、データ漏洩やデータ保護規制違反につながり、深刻な財務的・評判的損害をもたらす可能性があります。
#6. 脆弱なEC2インスタンス
古いソフトウェア、未適用のパッチ、または設定ミス（例：広範囲なIPレンジのインバウンドトラフィック許可）により、EC2インスタンスが脆弱となり、マルウェアを含む攻撃の対象となることがあります。他にも、オープンポート、SSH設定ミス、定期的な脆弱性評価の未実施などが悪用される可能性があります。
#7. 不十分なネットワークセキュリティ
ネットワークインフラストラクチャは、Virtual Private Cloud（VPC）やネットワークアクセスコントロールリスト（NACL）の適切な設定が行われていない場合、インターネット経由で直接アクセス可能となるため、クラウドの中で最も脆弱なコンポーネントです。
ネットワークベースの攻撃には、インバウンドおよびアウトバウンドトラフィックへの無制限アクセスが含まれます。また、ネットワークの適切なセグメンテーションが行われていない場合、インフラストラクチャの異なる部分が相互に、あるいはパブリックインターネットに対して露出することになります。
このような安全でない接続性は、転送中の機密データが傍受・改ざんされるリスクを高め、全体的なリスクを増大させます。
#8. 秘密情報管理の不備
APIキー、アクセストークン、パスワードなどの機密情報が適切に管理されていない場合、攻撃者がこれらの機密情報にアクセスするリスクがあります。開発者がこれらの認証情報をコードリポジトリ、設定ファイル、環境変数内に平文で保存することが多く、攻撃者が平文の秘密情報にアクセスした場合、深刻なセキュリティ侵害につながります。
KMSソリューションで安全に保存するだけでなく、これらの認証情報を定期的にローテーションし、侵害時の長期的な露出リスクを回避することが重要です。
#9. サーバーレスおよびLambda関数の脆弱性
AWS Lambdaなどのサーバーレスコンピューティングには独自の課題があります。関数の権限設定が不適切な場合、攻撃者が不正アクセスする可能性があります。関数がAPIキーやシークレットを使用し、適切に管理されていない場合、攻撃者がサーバーレス関数を悪用する恐れがあります。
#10. コンテナおよびKubernetesのセキュリティ課題
組織がECSやEKSなどのサービスを利用してAWS上でコンテナ化やKubernetesを導入することで、コンテナエスケープの脆弱性、不十分なネットワークセグメンテーション、リソース分離の不備など新たなセキュリティ課題が浮上しています。これには、安全でないコンテナイメージ、過度に許可されたPodセキュリティポリシー、Kubernetes RBAC（ロールベースアクセス制御）の設定ミスが含まれます。コンテナ化環境の動的な性質により、可視性の維持や一貫したセキュリティポリシーの実装が困難となり、脆弱性が検出されず攻撃者に悪用されるリスクがあります。
AWSセキュリティのベストプラクティス
組織がAWSセキュリティの有効性を確保し、これらのAWSセキュリティ課題から自社を守るためには、ベストプラクティスの遵守が不可欠です。以下に、これらのAWSセキュリティ課題に対応するための主なベストプラクティスを示します。
#1. 強力なアイデンティティおよびアクセス管理（IAM）の実装
AWS環境を安全に構築する唯一の正しい方法は、強力なアイデンティティおよびアクセス管理ポリシーを実装することです。組織は常に最小権限の原則を遵守すべきです。つまり、実際の業務に必要なユーザーやサービスのみに権限を付与します。特に権限の多いユーザー（特にルートユーザー）にはMFAの有効化も有効です。
アクセスキーや非アクティブアカウントの定期的な監査も必要です。不要な権限は削除してください。また、AWS Organizationsを利用することで、単一のルートアカウントから複数アカウントを管理する際に多様なコントロールオプションが利用可能となります。
#2. データの保存時および転送時の暗号化
データの転送時および保存時の暗号化も重要な対策です。AWS Key Management Service（AWS KMS）を利用することで、開発者は暗号化キーを作成・管理し、さまざまなAWSサービスのデータ暗号化に利用できます。ただし、KMSを利用してもS3、EBS、RDSのデータが自動的に暗号化されるわけではなく、これらのサービスはKMSで管理されるキーを使って手動で暗号化設定を行う必要があります。APIコールやサービス間のデータ転送を含め、すべてのデータ通信にはSSL/TLSの利用が推奨されます。
さらに、暗号化キーの定期的なローテーションポリシーを実装し、常にキーが更新されるようにしてください。
AWS Certificate ManagerはSSL/TLS証明書の管理に有用ですが、保存データの暗号化キーを直接管理するものではありません。キーのローテーションにはKMSの自動ローテーション機能やカスタムローテーション戦略を利用してください。
#3. ネットワークセキュリティの強化
ネットワークセキュリティの強化も不可欠な対策です。企業は、リソースの最大限の分離を可能にする適切な設定のVirtual Private Cloudを利用すべきです。セキュリティグループやネットワークACLを活用し、インバウンド・アウトバウンドトラフィックの制御を行い、第一の防御線としてください。
また、AWS WAFを利用することで、SQLインジェクションやXSSなどの一般的な脆弱性からWebアプリケーションを保護する追加のセキュリティレイヤーを設けることができます。オンプレミスネットワークとAWSリソース間の安全な通信には、VPNやAWS Direct Connectを利用してください。これらの技術は、暗号化された専用接続を提供し、ハイブリッドクラウドアーキテクチャのセキュリティを強化します。さらに、ネットワークやネットワーク設定は定期的に見直し、新たな脅威や脆弱性を特定・排除してください。
#4. 包括的なログ記録および監視の実装
包括的なログ記録および監視の実装は、AWS環境の可視性を維持し、潜在的な脅威を特定するために不可欠です。まず、AWS CloudTrailを有効化し、インフラストラクチャ全体のすべてのAPIコールを記録してください。この機能は標準で利用可能なため、利用しない理由はありません。AWSアカウント内で発生したアクションの詳細な監査証跡を生成できます。脅威やポリシー違反に即時対応するため、Amazon CloudWatchでアラームを設定してください。
同時に、AWS ConfigはAWSリソースの設定を評価・監査・評価し、組織のポリシー遵守を確保するのに有用です。すべてのログは定期的にレビューし、異常が検出された場合は自動アラームを設定してください。また、Amazon GuardDutyのすべての機能を活用し、インテリジェントな脅威検出と継続的な監視で環境をさらに保護してください。
#5. 定期的なセキュリティ評価の実施
最後に、定期的なセキュリティ評価とアップデートは、AWS環境の安全性維持に不可欠です。AWS環境の脆弱性評価やペネトレーションテストを実施し、インフラストラクチャの弱点を特定してください。同時に、既知のエクスプロイトから環境を保護するため、すべてのシステムやアプリケーションを最新のパッチで常に更新してください。
AWS Trusted Advisorを利用することで、環境のセキュリティ、最適なパフォーマンス、コスト状態を常に維持するためのリアルタイムガイダンスが得られます。また、インシデント対応計画も定期的に更新し、環境固有の脅威に対する対応戦略を網羅してください。
さらに、組織がHIPAAやPCI DSSなどの特定の規制対象である場合は、定期的なセキュリティ監査やコンプライアンスチェックの実施も忘れないでください。
AWSセキュリティ課題へのSentinelOneの活用
SentinelOneは、現代において最も堅牢なセキュリティソリューションの一つとして登場したインテリジェントなツールです。AWS環境とのスムーズな統合を実現し、組織が脅威から自社を守り、インシデントに対応するのを支援します。本プラットフォームは、さまざまなAWSセキュリティ課題に対応するために設計されています。インテリジェントと呼ばれる理由は、人工知能や機械学習を活用し、組織の検知・防御・対応能力をより高いレベルに引き上げる点にあります。
深いAWS統合
SentinelOneの主な強みの一つは、AWSサービスとの深い統合です。Amazon Security Lake、AppFabric、GuardDutyなど20以上の統合により、可視性を高め、脅威ハンティングプロセスを効率化します。この密接な統合により、セキュリティの全体的なアプローチが可能となり、脆弱性の見落としを防ぎます。
SentinelOneは最近、AWS Security Hubとの新たな統合を発表しました。これはSentinelOne Singularity Marketplaceから利用可能です。この新しい統合により、Amazon Web Services（AWS）上で稼働するSentinelOneエージェントからの高精度な脅威情報がAWS Security Hubにフィルタリングされます。統合は、SentinelOneコンソールからメタデータを含むファインディングを取得し、AWS Security Hubに送信することで、AWS Security Hubから直接インシデント調査が可能となります。SentinelOneのインシデントはAWS Security Finding Format（ASFF）に正規化され、セキュリティデータの変換や解析が不要となります。
完全な可視性
SentinelOneは、組織のAWS環境全体の完全な可視性を提供します。この可視性には、ネットワークトラフィック、ファイルシステムアクティビティ、プロセスの挙動に関する情報が含まれます。セキュリティチームは、これらの情報を活用して潜在的な脅威を迅速に特定・調査できます。
自動修復
SentinelOneがセキュリティチームに選ばれる理由は、セキュリティ監視だけでなく、自動修復などの機能も備えている点です。これにより、脅威への自動対応が可能となります。プロセスには、影響を受けたリソースの隔離、悪意のあるリソースの停止、安全な状態へのシステムのロールバックが含まれます。自動化により、セキュリティインシデントへの平均対応時間（MTTR）が短縮され、データ漏洩による被害も軽減されます。
コンプライアンス支援
厳格な基準のため、コンプライアンス要件は組織にとって頭痛の種となることが多いです。本プラットフォームはコンプライアンス支援を提供し、組織の負担を軽減します。GDPR、HIPAA、PCI DSSなどの基準への準拠を支援します。監査目的のために詳細なレポートも生成します。また、プラットフォームはスケーラブルであり、小規模から大規模な組織まで幅広く適合します。
まとめ
本ブログを通じて、AWSセキュリティが多層的なアーキテクチャであり、クラウドコンピューティング上で事業を展開する企業にとって非常に重要であることが理解できました。
AWSセキュリティは共有責任モデルに基づいており、AWSと組織自身が担うべき異なる役割と責任が強調されています。本ブログでは、さまざまなAWSセキュリティ課題を取り上げました。組織が直面しうる最も重大なAWSセキュリティ課題は、S3バケットの設定ミス、不適切なIAMポリシー、安全でないAPI、暗号化されていないデータ、脆弱なEC2インスタンス、ネットワークセキュリティの弱点、不十分な秘密情報管理、サーバーレスの脆弱性、コンテナセキュリティの課題です。
組織は、強力なアイデンティティおよびアクセス管理、データの各段階での暗号化などのベストプラクティスを実施することで、上記のセキュリティ課題から自社を守ることができます。これらのプラクティスは、組織を保護するだけでなく、AWSセキュリティ機能を最大限に活用するのにも役立ちます。
SentinelOneプラットフォームは、進化し続ける脅威から組織を守るために有効です。本プラットフォームは追加のセキュリティレイヤーとして機能します。ツールは人工知能と機械学習を活用し、ほぼリアルタイムで脅威を検出・解決します。SentinelOneはAWSセキュリティ機能と統合することで、組織の堅牢な防御体制を構築できます。
よくある質問
AWSの利用に関連する主なリスクには、データ漏洩を引き起こすS3バケットの設定ミス、不適切に構成されたIDおよびアクセス管理ポリシーによる不正アクセス、ハッカーによる脆弱なAPIの悪用、不十分なログ記録と監視、暗号化されていない機密データの保存および送信、古いソフトウェアや不適切な設定によるEC2インスタンスのセキュリティ不備などがあります。
SentinelOneは、AWSとの統合に最適化されたクラウドベース環境向けの高度で多機能なセキュリティソリューションです。AI駆動型プラットフォームは、EC2、コンテナ、Kubernetesクラウドソフトウェアなど、さまざまなサービスにわたって自律的なAWSセキュリティソリューションを提供します。本ソリューションの利点には、フルスタックの可視化、脅威への対応自動化、最も詳細なフォレンジック分析の実施能力、脅威対応に必要な時間の大幅な短縮が含まれます。
