ニュース
» 2009年12月08日 16時03分 UPDATE

クラウドコンピューティングに潜むセキュリティの“陰”と“陽”

ラックは2009年に見られた情報セキュリティのインシデントから、クラウドコンピューティングに関するセキュリティの問題点とメリットを解説している。

[國谷武史,ITmedia]
1208lac_1.jpg 新井所長

 セキュリティ企業のラックは12月8日、2009年に発生した情報セキュリティインシデントを解説する記者説明会を開催した。同社サイバーリスク研究所の新井悠所長がクラウドコンピューティングをキーワードに、セキュリティの問題点とメリットを取り上げた。

 2009年のセキュリティインシデントには、Webサイト改ざんや偽セキュリティソフトによる詐欺など、2009年よりも前に出現した脅威が世界的に横行する傾向が見られた。2009年に顕在化した脅威が、企業を中心に導入や利用が広がるクラウドコンピューティングに関係するものである。

 冒頭、新井氏はクラウドコンピューティングがサイバー攻撃者にとっても魅力的な手段になるという幾つかの事例を紹介した。例えば、米セキュリティ研究者がパスワードの総当たりで認証を突破する方法をAmazon EC2で試したところ、アルファベット8文字を使うパスワードをわずか3ドルで検証できたという。数字を含めた場合でも45ドル程度であり、クラウドコンピューティングのリソースを使えば、安価にサイバー攻撃ができる可能性を示唆した。

 ラックが実際に対処した企業でのインシデント対応でも、クラウドサービスの関与が目立っている。同社のセキュリティ監視センターJ-SOCでは、Amazon AWSのドメインによる攻撃が11月末時点で約250件観測され、2008年通期の5倍になった。この数値はほかのISPからのものと同等規模になる。「現状では突出したものではないが、顕著な増加を見せているので、2010年も注意深く観察する必要がある」(新井氏)

 ある企業での対応事例では、PCを遠隔操作したり、マルウェアを作成したりできる中国語の不正プログラムが見つかった。この不正プログラムはGoogleのAppEngine上に構築された指令サーバと連係するボットネットが配信している可能性があったという。

1208lac_2.jpg クラウドインフラを悪用したサイバー攻撃の仕組み

 新井氏は、こうした事例からクラウドサービス事業者にはユーザーの利用目的を適切に把握する努力が求められると指摘する。「いつ、誰が、どのような操作をしたか、また、具体的にサービス内のどのリソースが使われたかをトレースできることが望ましい。その状況を外部からも確認できるのが望ましいが、そうした事業者は現状では皆無だ」(同氏)

 一方、クラウドコンピューティングがセキュリティ上のメリットになる可能性を感じさせたのが、7月に発生した米韓の主要サイトに対するDDoS(大規模サービス妨害)攻撃だという。

 この事件では、「Webハード事業者」というオンライン共有ストレージのサービスなどを提供する事業者が踏み台にされたという。この種のサービスではユーザーがさまざまなファイルをアップロードでき、ほかのユーザーがダウンロードできるが、共有するデータには違法ソフトや不正な動画像なども数多く流通している。攻撃者は何らかの方法でサービスサイトのダウンロードリンクを改ざんし、DDoS攻撃を仕掛けるボットがダウンロードさせるようにしたとみられる。サービスを通じて十数万台のマシンがボットに感染し、米韓の政府や主要メディア、ポータルのサイトに膨大な数のリクエストを送信して、サイトを利用できない状態にした。

 ラックの観測では、実際に被害があったのは韓国のサイトに集中し、米国のサイトはほとんど影響を受けなかったという。新井氏の分析によれば、米国のサイトの多くがコンテンツ配信ネットワーク(CDN)などの仕組みを利用した分散型のインフラでサービスを提供しているため、特定のサーバが狙われてもほかのサーバでサービスを継続できた。

 「DDoSの中にはポータルサイトにリンクが張られてアクセスが集中するといった場合もある。重要なのは、悪意を持った攻撃を含めたDDoS対策には分散型のクラウドの仕組みが有効であり、また、コスト面からもビジネス上のメリットが大きいことだ」(新井氏)

1208lac_3.jpg 企業がDDoSに対処するためのアプローチ

 特にWebをビジネスにするような企業では、経営戦略上からクラウドコンピューティングの利用がますます進むと、同氏は予測している。

 2009年はクラウドコンピューティングが企業のビジネスシーンに存在感を示すようになったが、特にセキュリティ面では今後、ユーザーとサービス事業が適切なサービス環境を実現していくための取り組みに目を向ける必要があるようだ。

過去のセキュリティニュース一覧はこちら

企業向け情報を集約した「ITmedia エンタープライズ」も併せてチェック

Copyright© 2017 ITmedia, Inc. All Rights Reserved.

ピックアップコンテンツ

- PR -

注目のテーマ

マーケット解説

- PR -