コンプライアンス
クラウドコンピューティング時代におけるサプライチェーン攻撃：バックエンドサーバや内部システムの保護について提言
トレンドマイクロは、クラウドベースソリューションをバックエンドサーバや内部システムとして活用する企業に対し、想定される脅威とその対策について提言をまとめました。
トレンドマイクロは、クラウドベースソリューションをバックエンドサーバや内部システムとして活用する企業に対し、想定される脅威とその対策について提言をまとめました。2020年に発生した「SolarWinds」事件のように、サプライチェーンが侵害される重大な被害が表面化しています。このような侵害発生の背景には、クラウドサービスがデジタルトランスフォーメーションやビジネストランスフォーメーションにおいて重要な役割を果たしてきたDevOpsの世界に関連する複数のセキュリティギャップやリスクが存在しています。
さまざまな業界の異なるセグメントを標的とする多数の不正プログラムや、その他のサイバー攻撃がもたらすセキュリティリスクは、標的となる企業や組織の事業継続に重大な影響を及ぼします。継続的インテグレーション/継続的デリバリ（CI/CD）ソフトウェアであるJenkinsの例では、特権の低いユーザによるフルリモートコード実行（RCE）と、意図せぬデータ漏えいにつながる「既知の」設計の問題に注目。さらに、サンドボックスエスケープやプレーンテキストで保存されている認証情報など、Jenkinsに見られる特定の脆弱性について取り上げ、それらを悪用された場合についても明らかにしています。
また、バックエンドタイプのサービスの保護の重要性とともに、DevOpsとコンテナの世界の双方で人気のあるDockerとKubernetesに関連するセキュリティリスクについても説明。さらに、2019年に発見し、調査したDockerを標的としたマルウェアや、クラウドベースの統合開発環境（IDE）の使用に関するセキュリティリスクについても解説します。
ソフトウェアの複雑さや設定の選択肢の数が増えると、設定ミスのリスクも増加します。とりわけ、クラウドのセキュリティリスクのほとんどはユーザの設定ミスに由来するものです。コンテナにより、すぐ使用可能なソフトウェアが数多く見られるようになりました。しかし、これらのソフトウェアが、セキュリティが不十分である可能性があることをユーザは認識し、適切に保護する必要があります。
また、安全な環境というものは存在せず、内外の攻撃者が常に悪意を向けている可能性があることを考慮する必要があります。「侵害があるものと考える」というパラダイムに従い、多層的なセキュリティを採用し、侵害があった場合の損害を限定的なものにするようなセキュリティポリシーの導入が求められています。詳細は以下のレポートをご一読ください。
「クラウドコンピューティング時代におけるサプライチェーン攻撃」