様々な業界におけるクラウドネイティブアプリケーション開発の急速な成長に伴い、サイバーセキュリティはデジタル時代における重要な要素となっています。ここで疑問が生じる。「クラウド上で動作するアプリケーションは、サイバー攻撃に対してどれほど安全なのか？」拡大するサイバーセキュリティ攻撃対象領域は、数多くのサイバー脅威に直面しており、クラウド環境におけるサイバー攻撃インシデント防止のため、クラウドベースのセキュリティソリューションが必要不可欠となっている。
エージェントレススキャンは、クラウドネイティブのセキュリティリスクを軽減する現代的なアプローチの一つです。クラウドインフラ内にコードやエージェントを配置することなく、クラウド資産を監視する迅速で導入容易なセキュリティソリューションです。さらに、インスタンスの実行を妨げることなく、クラウドワークロードの脆弱性やセキュリティリスクを検査します。これにより、エージェントレススキャンはセキュリティチームがクラウド環境を保護するために必要な柔軟性と完全なカバレッジを実現します。
エージェントレススキャンの重要性について、クラウドセキュリティの観点から学ぶには、この記事を読み進めてください。
エージェントレススキャンとは？
エージェントレススキャンとは、エージェントをインストールすることなくクラウドワークロード全体にわたる脆弱性リスクを可視化するために、クラウドワークロードを監視するプロセスです。エージェントとは、情報収集、スキャン、パッチ適用などのセキュリティ関連機能を実行するためにワークロードにインストールされるソフトウェアです。エージェントレススキャンでは、組織に外部APIの完全なインベントリとそのセキュリティ態勢を提供する集中型APIセキュリティソリューションを活用することで、これらの機能をすべて実現し、脆弱性スキャンを容易にします。エージェントレススキャンは、見えないマントをまとった人間のスパイのようなものと考えてください。スパイはあなたのあらゆる動きを監視・観察していますが、それを証明する物理的な証拠は存在しません。あるいは、クラウド向けの監視カメラと表現してもよいでしょう。
エージェントレススキャンは、あらゆるクラウドプロバイダーで機能するためにプラットフォーム非依存性を必要とするクラウドネイティブワークロードに最適です。その目的は、セキュリティチームがクラウド環境全体にわたるクラウド関連のリスクや誤った設定を特定し、優先順位付けし、修正することを支援することにあります。
クラウドセキュリティにおけるエージェントレススキャンの仕組みとは？
エージェントレススキャンの基盤はプッシュ技術と集中型設計です。仮想マシン、サーバーレス、コンテナ、アプライアンスなどのクラウドワークロード全体で脆弱性を検出するには、システムプロファイルとセキュリティ状態に関するデータを収集する必要があります。これは、各種クラウド資産のAPIやメソッドを活用し、データを定期的に集中型リモートシステムにプッシュすることで実現されます。セキュリティチームは、収集したデータを用いてワークロードを継続的に評価し、クラウドネイティブAPIデプロイメントを活用することで、死角や脆弱性リスクを特定できます。
実行を開始するため、大半のエージェントレススキャンソリューションは、クラウド資産間でセキュアなネットワーク接続を確立するエージェントレスプロキシを採用します。このプロキシは、クラウドサービスプロバイダーのアカウントレベルにおいて、対象ワークロードのネイティブAPIエンドポイントとサービスを利用します。これにより、すべてのクラウド資産に対する100%の可視性、クラウドインフラ内の異常スキャン機能、環境や物理的な場所に関係なくパフォーマンス低下のない運用を実現します。エージェントレススキャンはリアルタイム環境で動作し、様々なクラウドサーバープラットフォームを横断し、クラウド資産ネットワーク全体にわたる脅威検知とシステム対応を提供します。
エージェントレススキャンソリューションは、特に組織が動的かつマルチクラウドネイティブ環境を増加させるにつれ、人気が高まっています。これは、クラウドセキュリティ向けエージェントレススキャンソリューションが提供するセキュリティ脆弱性およびパフォーマンス指標の精度向上によるもので、これにより脆弱性の積極的な特定と修正の勢いが増しています。
エージェントレススキャンの利点
エージェントレススキャンは、ワークロードに関するすべての関連データを取り込むのに役立つクラウド API 接続を利用するため、特に効率的な クラウドセキュリティソリューション であることが証明されています。エージェントレススキャンでは、オンプレミス環境では不可能な、エージェントを使用しないクラウドのフルスタック可視化のメリットをユーザーが享受できます。
以下では、エージェントレススキャンのメリットについて詳しく説明します。
1.エージェントレススキャンはプラットフォームに依存しない
エージェントレススキャンを使用して資産を検索およびスキャンする場合、OS の互換性の要件や懸念事項はありません。これにより、ルーター、スイッチ、その他のネットワークベースのIoT（モノのインターネット）デバイスを、その動作を妨げることなくスキャンできます。
2. 管理コストの削減
エージェントレススキャンシステムは、ワークロードに迅速かつ容易に導入できるほどポータブルです。したがって、数十万台の仮想マシンを管理する組織にとって、管理オーバーヘッドを削減する点で非常に有益です。
3. スケーラビリティ
エージェントレススキャンは、単一サーバーから大規模データセンターまで、スケーリングが簡単です。通常、重要なコンテキストに対してスケーラブルで軽量なプロトコルを利用し、包括的なエージェントレススキャンを行うためのクラウド資産のネットワーク接続の確立を支援します。
4.環境に悪影響を与えません。
エージェントレススキャンは各スキャンでリソースのスナップショットを取得するため、エージェントベースのアプローチとは異なり、リソース自体に変更を加えません。セキュリティチームがリソースのメンテナンスを行う必要がないため、エージェントレススキャナーへの変更は環境に一切影響を与えません。エージェントレスのディープスキャンにおけるボリュームスナップショット技術は、コネクタが単に API 経由でデータを読み取り、クラウド環境の CPU リソースに依存せずに帯域外でスキャンを行うため、環境のパフォーマンスに影響を与えません。
5.ネットワークスキャンカバレッジ
エージェントレススキャンは、多数のエンドポイントを防御しながら、クラウドネットワークを完全に可視化します。これにより、すべてのホスト資産、接続デバイス、アクティブなアプリケーション、およびそれらの依存関係を含むワークロードの正確な脆弱性スキャンが可能になります。その結果、資産の識別とスキャンに死角がなく、これらは継続的に自動的に更新されます。
CNAPPマーケットガイド結論
マルチクラウドと動的インフラストラクチャの採用が進む中、エージェントレススキャンは、現在利用可能なクラウドネイティブセキュリティソリューションの中で最も優れたもののひとつです。APIの力を活用してクラウド環境の可視性を向上させ、パフォーマンスを低下させることなくクラウドワークロード全体の脆弱性をスキャンします。
エージェントレススキャンに関するよくある質問
エージェントレススキャンは、各ホストにソフトウェアエージェントをインストールすることなく、システムの脆弱性やリスクを検査します。代わりに、ネイティブAPI、ネットワークプロトコル、またはディスクスナップショットを使用して、メタデータやインベントリの詳細をリモートで取得します。これにより、セキュリティチームは、対象のパフォーマンスや構成を変更することなく、マルチクラウド環境全体のマシン、コンテナ、または機能を評価できます。
エージェントレス型クラウドスキャナーは、プロバイダーAPIを呼び出したりVMディスクのスナップショットを取得したりして、OSメタデータをコピーします。ツールはそのスナップショットをホスト外で分析し、完了後に削除します。AWS EC2、Azure VM、GCP ComputeなどのサービスをAPI経由でクエリすることで、ソフトウェアインベントリ、パッチレベル、構成データを収集します。ワークロード内部でコードが実行されることはなく、スキャン中も稼働中のシステムは影響を受けません。
ホストごとのエージェントインストールが不要なため、数千のクラウドリソースに数分でスキャン範囲を展開できます。スキャンはホスト外で実行されるためパフォーマンスは安定し、本番ワークロードのCPUやメモリを消費しません。プラットフォームに依存しないため、標準APIを使用してAzure、AWS、GCP、コンテナ、サーバーレス関数をスキャンできます。全体として、導入時間と管理オーバーヘッドを大幅に削減します。
エージェントレスソリューションは、アクティブな脅威や実行時動作が発生した瞬間を捕捉できません。定期的なスナップショットやAPI呼び出しに依存するため、プロセスやネットワーク活動のリアルタイム監視は不可能です。カバレッジはAPIの可用性と権限に依存します。APIの設定ミスや欠落がある場合、そのリソースはスキャンされません。詳細度は、オンホストエージェントによる直接的なシステムフックと比較して低くなります。
エージェントレススキャンは、エージェントをインストールできない環境（イミュータブルインフラストラクチャ、レガシーワークロード、サードパーティ管理システムなど）に適しています。新しいクラウドアカウントでの迅速なセキュリティスキャン、一時的またはバースト規模の仮想マシン、マルチクラウド展開全体で効果を発揮します。
Azure Defender for Cloud、CloudFormationスタック経由のAWS、オンボーディングスクリプト経由のGCPで有効化でき、各仮想マシンのOSに触れる必要はありません。
エージェントレススキャンは、スキャン時点における既知の脆弱性、設定ミス、およびシークレットの特定に重点を置いています。ライブプロセス、ネットワーク接続、ファイル活動をリアルタイムで監視しないため、実行中のアクティブなマルウェアの動作やゼロデイ攻撃を検出することはできません。
実行時脅威の検出には、オンホストエージェントまたはEDRツールがエージェントレススキャンを補完し、ライブ攻撃や異常な動作を捕捉する必要があります。