AWS活用で実現する多層防御 中堅・中小企業よセキュリティ対策をあきらめるな：セキュリティ対策としてのAWS移行のススメ（1/2 ページ）

巧妙化するサイバー攻撃に対応するために、多層防御の重要性が増している。一方、リソースや資金が限られる中堅・中小企業では実現困難だとされてきた。これを解決する方法として、AWSの活用が有効そうだ。

[濱田一成，ITmedia]

　本連載「セキュリティ対策としてのAWS移行のススメ」は、「オンプレミス環境でセキュリティ面に課題を持っている」「セキュリティ面の不安からクラウド移行に踏み切れない」「クラウドに移行したいが経営層を説得できない」といった悩みを持つ中堅・中小企業に向けて、クラウド移行がもたらすセキュリティメリットを解説している。

　前回（第3回）では、米国国立標準技術研究所（以下、NIST）の「サイバーセキュリティフレームワーク」（以下、NIST CSF）に基づいた「防御」機能の紹介と、パブリッククラウドのデファクトスタンダードである「Amazon Web Services」（以下、AWS）に移行することで「防御」機能がどのように変わるのかについて解説した。

　第4回となる本稿では、NIST CSFで定義された5つの機能のうち「検知」に分類されるセキュリティ対策に基づいて、AWS移行で得られるセキュリティメリットを解説する。

NIST CSFによるセキュリティ機能の分類（出典：ソニービズネットワークス作成）

この連載について

本連載は、クラウドのセキュリティに不安を感じている中堅・中小企業に向けて、全5回にわたってクラウドのセキュリティメリットや注意点を紹介する。クラウド移行を考える際に参考にしてほしい。

筆者紹介：濱田一成　ソニービズネットワークス株式会社

【開発本部　インテグレーション部　クラウドインテグレーション課　開発グループ　リーダー】

　2019年にソニービズネットワークス株式会社へ入社し、AWSエンジニアとして設計・構築業務に従事。AWSセキュリティを得意領域とし、ソニービズネットワークスのセキュリティコンピテンシー認定取得に貢献。2023年にソニーグループ初となる「2023 Japan AWS Ambassadors」に選出。

セキュリティインシデントを“タイムリーに”検知する必要性

　「検知」機能の役割は、サイバーセキュリティイベントの発生をタイムリーに検知することだ。

　第3回で解説した「防御」機能は「インシデントを発生させないこと」に注力していたが、残念ながら"完璧な防御"というものは存在しない。

　どのような防御対策を講じていても、「インシデントが発生した場合の対策」を考えることは必須だ。今回の「検知」機能は、万が一インシデントが発生した場合にそれを迅速に検知するための対策が分類されている。具体的には、以下の対策が「検知」機能に該当する。

• 異常とイベント：　異常なアクティビティーを的確なタイミングで検知し、影響を把握する
• モニタリング：　情報システムと資産を監視し、サイバーセキュリティイベントを洗い出す
• 検知プロセス：　検知のプロセスおよび手順を維持管理・検査する

　「検知」機能について、Webサーバへの「ブルートフォースアタック」（パスワードの組み合わせを総当たりする手法）を例に解説しよう。

　この手法は正解のパスワードを引き当てるまで繰り返しログインを試行するため、Webサーバ側で大量のログインエラーが発生する。つまり、ログインエラーの増加を検知できれば、ブルートフォースアタックに対策できると考えられる。このログインエラーが大量に発生している状態を「異常」と定義することが「異常とイベント」にあたる対策だ。

　次に、この「異常」な状態を検知する方法を検討する。

　基本的にログインアクションは特定のログファイルに記録されるため、定期的にログファイルを確認し、エラーの回数をカウントすることで検出できるだろう。この検知方法を定義することが「検知プロセス」であり、実際に監視することが「モニタリング」だ。

　今回はブルートフォースアタックを例に考えたが、検知の仕組みは対策対象によって異なる。「検知」機能の対策は、実装した「防御」機能に対応する数だけ必要だ。

オンプレミスでの「検知」機能におけるボトルネックとは

　オンプレミスで「検知」機能の対策を検討する際、問題になるのが「データ量の多さ」だ。異常なアクティビティーを検出するには可能な限り大量のログやイベントを取得し分析する必要がある。

　例えば、自社で運用する通販サイトのセキュリティを高めたいとする。この場合、不正アクセス対策はもちろん、サーバのファイアウォール設定の監視やサイトで利用するコードの脆弱（ぜいじゃく）性の監視など、さまざまな対策が必要だ。

　これらはそれぞれ必要な機器や手法が異なり、対策の数だけコスト（機器を置くためのデータセンターの費用や人手、学習コストなど）が増加する。オンプレミスのシステム基盤ではこれらがボトルネックとなるため、ある程度セキュリティインシデントを想定して「検知」機能の対策を導入する必要がある。