Red Hat Training

A Red Hat training course is available for Red Hat OpenStack Platform

1.4. 脅威の分類、アクター、および攻撃ベクター

パブリック、プライベート、ハイブリッドを問わず、ほとんどのタイプのクラウドデプロイメントは、何らかの形で攻撃を受けます。このセクションでは、攻撃者を分類し、各セキュリティーゾーンで起こりうる攻撃の種類をまとめています。

1.4.1. 脅威アクター

脅威アクターは、防御を試みる可能性のある敵のクラスを指す抽象的な方法です。アクターの能力が高いほど、攻撃の軽減と防止を成功させるために必要なセキュリティー制御が厳しくなります。セキュリティーは、要件に基づいて、利便性、防御、およびコストのバランスを取ることです。場合によっては、ここで説明したすべての脅威主体に対してクラウドのデプロイメントを保護することができないこともあります。OpenStack クラウドをデプロイする場合は、デプロイメントと使用方法のバランスを判断する必要があります。

リスク評価の一環として、保存するデータの種類やアクセス可能なリソースも考慮する必要があります。これは、特定のアクターにも影響するためです。しかし、お客様のデータが脅威アクターにとって魅力的でなくても、ボットネットに参加したり、不正な暗号通貨のマイニングを実行したりと、単純にお客様のコンピューティングリソースに惹かれる可能性があります。

  • ネーションステートアクター - これは最も有能な敵です。国民国家の攻撃者は、ターゲットに対して莫大なリソースをもたらす可能性があります。彼らは他のどの攻撃者よりも優れた能力を持っています。人間と技術の両方で非常に厳格な管理が行われていなければ、これらの攻撃者から身を守ることは非常に困難です。
  • 深刻な組織犯罪 - このクラスは、非常に有能で経済的に主導された攻撃者のグループを説明します。彼らは、社内のエクスプロイト開発とターゲット研究に資金を提供することができます。近年、大規模なサイバー犯罪企業である Russian Business Network などの組織の台頭により、サイバー攻撃がどのように商品になったかが実証されています。産業スパイは、深刻な組織犯罪グループに分類されます。
  • 非常に有能なグループ - これは、通常は商業的には資金提供されていませんが、サービスプロバイダーやクラウドオペレーターに重大な脅威を招く可能性がるハクティビストタイプの組織を指します。
  • 一人で行動するやる気のある個人 - この攻撃者は、不正または悪意のある従業員、不満を持った顧客、小規模な産業スパイなど、さまざまな形で登場します。
  • 幼稚なクラッカー - この攻撃者は特定の組織をターゲットとしませんが、自動化された脆弱性スキャンと不正使用を実行します。多くの場合、これらは厄介なものにすぎませんが、これらの攻撃者の 1 人による侵害は、組織の評判に対する大きなリスクです。

次の方法は、上記で特定されたリスクの一部を軽減するのに役立ちます。

  • セキュリティー更新 - ネットワーク、ストレージ、サーバーハードウェアなど、基礎となる物理インフラストラクチャーのエンドツーエンドのセキュリティーポジションを考慮する必要があります。このようなシステムには、独自のセキュリティー強化プラクティスが必要です。Red Hat OpenStack Platform のデプロイメントでは、セキュリティー更新を定期的にテストしてデプロイする計画を立てる必要があります。
  • アクセス管理 - システムへのアクセスを個人に許可する際には、最小特権の原則 を適用し、実際に必要な粒度のシステム特権のみを許可する必要があります。AAA (access、authorization、および accounting) という手法を用いて、このポリシーを実施することができます。このアプローチは、システム管理者からの悪意のあるアクターと誤字エラーのリスクを軽減するのに役立ちます。
  • インサイダーの管理 - ロールベースのアクセス制御 (最低限必要なアクセス) を慎重に割り当て、内部インターフェイスで暗号化を使用し、認証/認可セキュリティー (集中管理など) を使用することで、悪意のあるインサイダーの脅威を軽減できます。また、職務の分離や不規則な職務のローテーションなど、技術以外の追加オプションを検討することもできます。

1.4.2. アウトバウンド攻撃と風評被害の危険

クラウドデプロイメントでは、アウトバウンドの不正使用の可能性を慎重に検討する必要があります。クラウドデプロイメントでは、多くのリソースが利用できる傾向にあります。ハッキングや不正を行う従業員などによる権限のあるアクセスによってクラウド内に存在感を示した攻撃者は、悪意のある目的のためにこれらのリソースを使用することができます。Compute サービスを備えたクラウドは、DDoS やブルートフォースエンジンに最適です。特にパブリッククラウドでは、ユーザーが責任を負うことがほとんどできず、アウトバウンド攻撃のために多数の使い捨てインスタンスをすぐに立ち上げることができるため、この問題は切実です。防止策としては、出口のセキュリティーグループ、トラフィック検査、侵入検知システム、お客様への教育啓発、詐欺不正行為の緩和策などがあります。インターネットなどのパブリックネットワークからアクセスできる、またはパブリックネットワークにアクセスできる環境では、理想的にアウトバウンドの不正使用を検出し、またそれに対処するためのプロセスとインフラストラクチャーを整備する必要があります。