CSPM: クラウドセキュリティポスチャ管理

CSPM がクラウド環境の設定ミスをどのように特定し修正してコンプライアンスを確保し、攻撃対象領域を削減するかを理解しましょう。

CSPM: クラウドセキュリティポスチャ管理

Cloud Security Posture Management (CSPM) は、クラウドインフラにおけるセキュリティリスクの特定と修正を自動化するセキュリティツールのカテゴリであり、組織が直面する重大な課題に対処します。すなわち、開発者がセルフサービスでリソースをプロビジョニングすることでクラウド環境は絶えず変化し、デフォルト設定はしばしば安全ではなく（S3 バケットは、AWS が数え切れないほどの漏洩を受けて 2018 年に変更するまで、デフォルトで公開読み取り可能でした）、クラウドの規模はすべての設定を手動でレビューすることを非現実的にします。その結果がクラウド設定ミスの蔓延であり、これはクラウドにおけるデータ侵害の主要原因です（Gartner は、クラウドセキュリティ障害の 95 パーセントがクラウドプロバイダーの脆弱性ではなく、顧客の設定ミスに起因すると推定しています）。攻撃者に悪用される一般的なクラウド設定ミスには次のものがあります。公開読み取り/書き込みアクセスを持つ S3 バケットまたは Azure Blob コンテナが機密データをインターネットに公開する（2019 年の Capital One の侵害は、メタデータサービスへのアクセスを許可する設定ミスのある WAF に起因しました）、管理ポート（SSH、RDP、データベース）への 0.0.0.0/0 からのインバウンドアクセスを許可する過度に寛容な security groups または Network Security Groups、最小権限に違反するワイルドカード権限 (Action: "*", Resource: "*") を持つ IAM ロール、マネージドシークレットサービスではなくコードや環境変数にハードコードされたシークレットと認証情報、データベースとストレージで保存時の暗号化が有効になっていない、ロギングと監視が無効になっており不審なアクティビティの検出を妨げる、本番データを含むボリュームの公開スナップショットが誰でもアクセス可能、そして特権アカウントに MFA が強制されていない、などです。CSPM ツールはクラウド環境（AWS、Azure、GCP、multi-cloud）を継続的にスキャンし、設定をセキュリティのベストプラクティスおよびコンプライアンスフレームワーク（CIS Benchmarks、PCI-DSS、HIPAA、SOC 2）と比較し、逸脱を特定して深刻度評価と修正ガイダンスを伴う検出項目として報告し、セキュリティポスチャとコンプライアンス状況をリアルタイムで可視化するダッシュボードを提供し、デプロイ前に infrastructure-as-code（Terraform、CloudFormation）を検証する shift-left セキュリティのために CI/CD パイプラインと統合します。主要な CSPM ソリューションには、それぞれのプラットフォームと深く統合されるが単一クラウドに限定されるクラウドネイティブのオプション（AWS Security Hub、Azure Security Center、Google Cloud Security Command Center）と、クラウドプロバイダー間の統合ビュー、高度な相関分析、より豊富な分析を提供するサードパーティの multi-cloud プラットフォーム（Palo Alto の Prisma Cloud、Check Point CloudGuard、Wiz、Orca Security）があります。

継続的検出と設定評価

CSPM の中核機能は、クラウドリソースの継続的検出と、セキュリティベースラインに対する設定の評価です。クラウドプロバイダー API を介した資産検出は、クラウドアカウント内のすべてのリソースを自動的に棚卸しします。コンピュートインスタンス（EC2、Azure VMs、GCE インスタンス）、ストレージ（S3 バケット、Blob コンテナ、Cloud Storage バケット）、データベース（RDS、Azure SQL、Cloud SQL）、ネットワークコンポーネント（VPCs、サブネット、security groups、ルートテーブル、ロードバランサー）、IAM エンティティ（ユーザー、ロール、ポリシー）、サーバーレス関数（Lambda、Azure Functions、Cloud Functions）です。検出は継続的に（数分ごとに）行われ、作成、変更、削除されたリソースをほぼリアルタイムで捕捉します。これは、クラウド環境が非常に動的で、インフラの変更が自動化によって絶えず発生するため、極めて重要です。設定の抽出は、describe/get API を使用して各リソースの詳細設定を取得します。EC2 インスタンスの場合：アタッチされた security groups、IAM ロール、暗号化ステータス、監視の有効化、パブリック IP の割り当て、サブネットの配置。S3 バケットの場合：ACLs、バケットポリシー、バージョニング、暗号化、ロギング、パブリックアクセスブロック設定。ポリシーエンジンは、抽出された設定を事前定義されたセキュリティポリシーに対して評価します。ポリシーは通常、宣言型言語（Open Policy Agent 用の Rego、YAML ベースのルール）で記述され、望ましい状態（「S3 バケットは暗号化が有効でなければならない」、「security groups はポート 22 で 0.0.0.0/0 のイングレスを許可してはならない」、「IAM ユーザーは MFA が有効でなければならない」）とフラグを立てるべき望ましくない設定を定義します。CSPM プラットフォームには、次のものをカバーする数百のすぐに使えるポリシーが付属しています。AWS、Azure、GCP の業界標準の設定ベースラインを提供する CIS Benchmarks（レベル 1 はベースラインセキュリティ用、レベル 2 はより高いセキュリティ用）、規制要件を技術的コントロールに変換するコンプライアンスフレームワーク（PCI-DSS、HIPAA、SOC 2、GDPR、ISO 27001）、公式ドキュメントに基づくクラウドプロバイダーのベストプラクティス、そして組織のセキュリティ標準に固有のカスタムポリシーです。深刻度スコアリングは、悪用可能性（リソースは公開アクセス可能か？）、機密性（機密データを含むか？）、潜在的影響（データ侵害、権限昇格、サービス中断につながる可能性があるか？）に基づいて、検出項目にリスク評価を割り当てます。重大な検出項目（PII を含む公開 S3 バケット）は即時の修正が必要であり、高/中の検出項目はリスク評価に基づいて優先順位付けされ、低の検出項目は許容可能なリスクである場合があります。

コンプライアンスフレームワークと継続的コンプライアンス

CSPM プラットフォームは、規制フレームワークおよび業界標準への準拠を実証することに優れています。従来のコンプライアンス監査は、特定時点の評価（特定の日付におけるコンプライアンス状況のスナップショットを提供する年次監査）であり、インフラが変化するにつれてすぐに古くなりますが、CSPM はコンプライアンスポスチャをリアルタイムで追跡し、設定ドリフトが非準拠を引き起こした際にアラートを発する継続的コンプライアンス監視を提供します。フレームワークマッピング - CSPM ツールはクラウド設定をコンプライアンスフレームワーク内の特定のコントロールにマッピングします。PCI-DSS 要件 1（ファイアウォールのインストールと維持）は、制限のないインバウンドアクセスがないことを保証する security group ルールにマッピングされ、要件 3（保存されたカード会員データの保護）は、データベースとストレージの保存時の暗号化チェックにマッピングされ、要件 8（アクセスの識別と認証）は、MFA の強制とパスワードポリシーにマッピングされます。同様に、HIPAA セキュリティ規則の技術的保護措置は、暗号化、アクセス制御、監査ロギングの設定にマッピングされます。コンプライアンスダッシュボードは、コンプライアンス状況の経営層向けビューを提供します。全体的なコンプライアンススコア（PCI-DSS 準拠 83 パーセント）、コントロールドメイン別の内訳（アクセス制御 95 パーセント、監査ロギング 70 パーセント）、経時的な傾向（コンプライアンスの改善または低下）、そして修正が必要な特定の非準拠リソースへのドリルダウンです。監査人向けの証拠収集 - CSPM は、設定証拠（スクリーンショット、設定エクスポート、コンプライアンスの履歴追跡）を通じてコントロールの有効性を実証するコンプライアンスレポートを自動生成し、監査準備の負担を数週間から数時間に削減し、特定時点のコンプライアンスではなく継続的監視の証明を提供し、デューデリジェンスを実証する設定変更と修正アクションの監査証跡を維持します。Policy-as-Code 統合 - コンプライアンス要件を CI/CD を介してデプロイされる自動化ポリシーとしてコード化し、新たにプロビジョニングされたリソースがデプロイ後の修正を必要とするのではなくデフォルトで準拠することを保証し、修正がより安価かつ迅速な開発フェーズへコンプライアンスを左方移動させます。組織は一般的に、各フレームワークごとに個別の評価を管理するのではなく、複数のコンプライアンス要件を同時に満たすセキュリティポスチャの単一の信頼できる情報源を維持するマルチフレームワークコンプライアンスのために CSPM を使用します（同じ暗号化コントロールが PCI、HIPAA、GDPR を満たします）。

自動修正と Infrastructure-as-Code 統合

特定を超えて、高度な CSPM 機能には設定ミスの自動修正と防止が含まれます。自動修正は、クラウド API を介して特定の種類の設定ミスを自動的に修正します。「S3 バケットのバージョニングが無効」のような低リスクで高信頼度の検出項目については、CSPM は人間の承認なしにバージョニングを自動的に有効化でき、公開アクセス可能なバケットについては、パブリックアクセスを拒否するバケットポリシーを自動的に適用し、暗号化されていない EBS ボリュームについては、暗号化されたスナップショットを作成してボリュームを置き換えます（サービス中断の可能性があるためより慎重さが必要です）。自動修正ポリシーは次を定義します。どの検出項目が自動修正の対象となるか（深刻度、リソースタイプ、ビジネスへの影響に基づく）、承認ワークフロー（即時自動修正、承認の要求、通知のみ）、ロールバック手順（自動修正が問題を引き起こした場合の元に戻す方法）、そして除外（ビジネス要件により自動修正からオプトアウトされた特定のリソース）です。ガードレールと予防的コントロール - デプロイ後に修正するのではなく、設定ミスがデプロイされるのを防ぎます。AWS Organizations の Service Control Policies (SCPs) は、組織全体で非準拠リソースの作成をブロックし、Azure Policy は基準を満たさないリソースのデプロイを拒否し、Kubernetes の admission controllers は、セキュリティポリシーに違反する pod 仕様を拒否します。IaC スキャン - CSPM を CI/CD パイプラインに統合し、デプロイ前に Terraform、CloudFormation、ARM テンプレートをスキャンします。開発者が IaC をコミットし、パイプラインが CSPM スキャンをトリガーし、検出された違反（0.0.0.0/0:22 を許可する security group）が特定のエラーメッセージとともにビルドを失敗させ、開発者が IaC を修正し、再スキャンが通過し、デプロイが進行します。これによりセキュリティが左方移動し、本番ではなく開発段階で問題を捕捉します。Checkov、Terrascan、Bridgecrew のようなツールは、IaC ファイルをローカルまたは CI でスキャンし、リアルタイムのフィードバックを提供します。修正プレイブック - 手動修正が必要な検出項目について、CSPM は段階的な修正ガイダンスを提供します。実行する特定の AWS CLI コマンド、スクリーンショット付きのコンソールナビゲーション手順、対処されるセキュリティリスクの説明、そして修正が成功したことを確認する検証ステップです。修正メトリクスを追跡します。深刻度レベル別の平均修正時間 (MTTR)、自動修正された検出項目と手動修正された検出項目の割合、常習者（繰り返し設定ミスが発生し、プロセス変更を必要とする系統的問題を示すリソース）です。

Multi-Cloud および Hybrid Cloud セキュリティ

組織はますます multi-cloud（AWS + Azure + GCP）およびハイブリッド環境（cloud + on-premises）を運用しており、CSPM は異種混在のインフラ全体にわたって統一されたセキュリティビューを提供しなければなりません。Multi-cloud の課題：各クラウドプロバイダーは異なる用語（AWS security groups 対 Azure NSGs 対 GCP ファイアウォールルール）、個別の統合を必要とする異なる API、共通フレームワークへの変換を必要とする異なるネイティブセキュリティサービス、そして異なるベストプラクティスとコンプライアンス benchmarks を持ちます。統一ポリシーフレームワーク - CSPM はプロバイダー間の差異を抽象化します。単一のポリシー「データベースへのパブリックインターネットアクセスをブロック」は、プロバイダー固有のチェック（AWS RDS の publicly_accessible フラグ、0.0.0.0-255.255.255.255 を許可する Azure SQL ファイアウォールルール、0.0.0.0/0 を含む GCP Cloud SQL の承認済みネットワーク）に変換され、基盤となるプロバイダーに関係なく「データベースにパブリックアクセスがあります」と報告する正規化された検出項目、そしてプロバイダー間で一貫した修正ワークフローが得られます。クラウド横断的な相関 - 複数のクラウドにまたがるセキュリティリスクを検出します。弱いパスワードを使用して AWS と Azure の両方のアカウントにアクセスできる IAM ユーザー（multi-cloud 環境に影響を与える単一障害点）、転送中の暗号化なしのクラウド間データレプリケーション、各部門が中央管理外で未承認のクラウドアカウントをプロビジョニングする shadow IT などです。クラウドサービスメッシュセキュリティ - 組織がワークロードをプロバイダー間に分散させる multi-cloud アーキテクチャを採用するにつれて、CSPM はクラウド間ネットワーキング（VPN トンネル、direct connects、インターネットベースの接続）のセキュリティ、クラウド境界を越えたサービス間の認証と認可、そしてデータ主権コンプライアンス（地理的リージョン間でレプリケーションする際にデータレジデンシー要件が満たされることを保証する）を評価しなければなりません。ハイブリッドクラウド統合 - エージェントまたはエージェントレススキャンを使用して、CSPM のカバレッジを on-premises インフラに拡張します。VM 設定、ネットワーク ACLs、ハイパーバイザーのセキュリティ設定を評価し、クラウドとデータセンターにまたがる統一ビューを提供します。主要なプラットフォーム（Prisma Cloud、Wiz）は、AWS、Azure、GCP、Kubernetes、on-prem VMs にわたってセキュリティポスチャを統合する単一のダッシュボードを提供し、環境ごとに断片化されたポイントソリューションではなく、CISO にインフラ全体のセキュリティの全体的なビューを提供します。