AI悪用の脅威からAWS環境を守る スマートな調達でゼロトラストを実現するヒント：複数製品の契約管理や請求書を「AWS Marketplace」に一本化する利点

生成AIを悪用した攻撃が巧妙化した今、AWS環境のセキュリティ再構築は急務だ。ゼロトラストの実現に伴う運用負荷や、複数製品の調達・管理の課題をどう解消すべきか。AWS、CrowdStrike、Okta、Zscalerの製品を扱うネットワールドが導く「解決のヒント」とは。

PR／ITmedia

PR

　主要な社内システムをクラウドに配置し、社外ネットワークからアクセスする使い方が一般化した今、守るべき「境界」はどこにあるのか――この課題の解決策としてゼロトラストセキュリティの意義が語られて久しい。エンドポイント保護、アイデンティティー管理、ネットワークなど領域が多岐にわたるため、IT担当者は各システムの役割や相互関係の理解に苦労しがちだ。

　近年は生成AIの急速な普及に伴って攻撃側がAI技術を悪用し始めており、防御側はセキュリティ設計の再構築が喫緊の課題になっている。本稿は、ネットワールドが2026年7月22日に開催したセミナー「CrowdStrike／Okta／Zscalerで世界水準のゼロトラスト×AIセキュリティをあなたのAWS環境に！」の内容を基に、AI技術を悪用した攻撃の動向と有効な対策、そしてセキュリティ製品の調達と運用を効率化する仕組みを紹介する。

攻撃者が生成AIを使い始めている

飯田祐基氏（アマゾン ウェブ サービス ジャパン パートナー技術統括本部 テクノロジーソリューション本部 パートナーソリューションアーキテクト）

　アマゾン ウェブ サービス ジャパンの飯田祐基氏は、社内システムをAmazon Web Services（AWS）で運用する際に、端末や開発環境がサイバー攻撃の侵入起点となるリスクを整理した。オンプレミスデータセンターと接続する専用線「AWS Direct Connect」や拠点間IPsec VPNに加えて、業務用端末が「AWS Client VPN」を介してAWSのプライベートネットワークに接続する構成では、端末自体がネットワーク侵入の足場となり得る構造がある。

　こうした端末を標的とする攻撃に生成AIが悪用されている。飯田氏は具体例として、開発者が利用するライブラリを標的に自己増殖する「Shai-Hulud」や、外部接続規格「MCP」を悪用してAIコーディングエージェントを攻撃者のサーバに誘導する「SymJack」を挙げた。

　攻撃側のAI利用に対抗するため、防御側にも同様の処理速度が求められる。飯田氏は「エンドポイント保護は『CrowdStrike』、アイデンティティー管理は『Okta』、ネットワーク接続は『Zscaler』が担う構成で、ゼロトラストに必要な主要領域を包含できます」と、多層防御の観点から統合的な対策の重要性を説く。CrowdStrike、Okta、Zscalerの3製品は連携して動作する。認証前はCrowdStrikeが判定した端末のセキュリティ状態をOktaへ共有し、リスクが高い場合はアクセスを遮断する。認証後はZscalerが検知した脅威情報を基にOktaがセッションを即座に切断する。

VPNはなぜ狙われ続けるのか

井上智也氏（ゼットスケーラー テクノロジーパートナー営業本部 シニアマネージャー）

　ネットワーク接続の観点からゼロトラストの必要性を解説したのは、ゼットスケーラーの井上智也氏だ。ファイアウォールとVPNによる境界型防御が30年近く運用される一方、社内システムはSaaSやIaaSに移行している。情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2026」では、ランサムウェア（身代金要求型マルウェア）攻撃が6年連続で1位となった他、「AIの利用をめぐるリスク」が新たに3位に入った。

　井上氏は「攻撃の手口自体は、インターネットの脆弱（ぜいじゃく）な箇所を探索して侵入し、特権IDや機密データを特定して奪取するという流れで一貫しています。特にVPN機器はグローバルIPアドレスで外部に公開される構造上、攻撃対象領域（アタックサーフェス）として検知されやすいと言えます」と説明した。

　Zscalerが提唱するゼロトラストアーキテクチャは、インターネットで自社インフラを非公開化（隠蔽〔いんぺい〕）し、攻撃対象領域を最小化するアプローチを採る。アクセス経路にZscalerを挟むことで、外部から確認できるIPアドレスはZscalerのデータセンターのもののみとなり、その背後にある顧客の内部ネットワーク環境は可視化されなくなる。

　このアプローチはAWSへの接続構成にも適用できる。オンプレミス環境からAWSに接続する際、専用線をデータセンター経由で配線する構成は一般的だが、全トラフィックがデータセンターに集中するため通信のボトルネックや遅延の原因となりがちだ。井上氏は「ZTNA（Zero Trust Network Access）を適用して、AWSを専用線の延伸先ではなくパブリッククラウドとして直接接続すれば、データセンターの迂回（うかい）が可能となり、通信遅延の解消と柔軟な拡張性を両立させられます」と語る。

AIエージェントのアイデンティティー管理の重要性

スロワー紗代子氏（Okta Japan、Senior Alliances Solutions Engineer）

　認証管理の観点からゼロトラストの必要性を説明したのは、Okta Japanのスロワー紗代子氏だ。ネットワーク層で侵入を防いでも、正規の認証情報（クレデンシャル）が悪用された場合はアクセスを制限できない。同社の調査によると、グローバル企業の91％が何らかのAIエージェントを既に業務で利用しているが、APIキーや特権アカウントなどのNHI（Non-Human Identity）をコード内に埋め込んだまま運用することによる、制御やガバナンスの欠如といったリスクを指摘する。

　スロワー氏は「AIエージェントも人間と同様にアイデンティティー管理が必要です。可視化されていないだけで、過剰な特権を割り当てられたエージェントが存在する可能性があり、放置することはリスクにつながります」と話す。

　OktaはAIエージェント保護の重要な要件として「どこにいるのか」「何に接続できるのか」「何ができるのか」の3点を挙げる。同社が提供するAIエージェント向けアイデンティティー管理製品「Okta for AI Agents」は、これらを実現するものだ。

　Webブラウザ経由やEDR（Endpoint Detection and Response）・SASE連携（ロードマップ）によるシャドーAIエージェントの検知、そしてAIプラットフォームを基にしたAIエージェントの検出を行い、AIエージェントがどんなリソースにどんなスコープでアクセスしているのかを可視化する。検出されたAIエージェントは、リソースに対する適切なスコープが付与された上で登録・管理され、定期的な棚卸しによって適切なリソースや権限が付与されているかがチェックされる。

エンドポイント防御とセキュリティ運用の自動化

菅村優哉氏（クラウドストライク パートナー技術統括本部 シニア・チャネル・ソリューション・アーキテクト）

　ガバナンスを強化した後でも、サイバー攻撃の最終標的がエンドポイントであることに変わりはない。クラウドストライクの菅村優哉氏は、同社の統合セキュリティ基盤「Falconプラットフォーム」による防御構造を3段階の階層で解説した。第1の階層である次世代型アンチウイルス（NGAV）で既知・未知のマルウェアをブロックし、それをすり抜けた脅威に対しては第2の階層であるEDRでアクティビティを可視化して修復する。さらにEDRの回避を狙う攻撃への対抗策として、専門チームが24時間365日体制で追跡する第3の階層「Falcon OverWatch」を組み合わせて対処する。

　セキュリティ製品の運用負荷軽減に向けて、同社は外部委託と内製化の双方に対応するアプローチを提供。監視運用を外部化するサービスとして、完全管理型MDR（Managed Detection and Response）の「Falcon Complete」を展開している。これはアラートの精査から端末のファイル隔離、レジストリ修復、ホワイトリスト登録までを同社の専門チームが代行する。菅村氏は「監視だけでなく、抑止や修復の運用作業まで完全に委ねられる点が特徴です」と説明する。

　運用の内製化を支援する機能が「Charlotte AI」だ。日本語による自然言語の指示でアラートや脆弱性情報を収集し、EDRやSIEM（Security Information and Event Management）が検知したインシデントの初期調査を自動実行する。

3社連携の実装と効率的な製品調達

嶋田悟氏（ネットワールド マーケティング本部クラウド推進部 クラウドビジネス課）

　複数ベンダーの製品を組み合わせる場合、契約や請求管理の手間が課題となる。その解決策が「AWS Marketplace」の活用だ。

　調達の経路を広げる仕組みもある。AWS Marketplaceで認定ディストリビューターがISV（独立系ソフトウェアベンダー）製品をパートナー経由（多段商流）で再々販できる仕組みが「DSOR」（Designated Seller of Record）プログラムだ。ネットワールドは国内で初めてDSOR認定を取得した企業であり、AWS、CrowdStrike、Okta、Zscalerの登壇4社全てから認定を受けているディストリビューターでもある。同社の嶋田悟氏は「AWS Marketplaceを利用することで製品ごとに分かれていた調達フローを統一でき、複数製品の契約管理や請求書を一本化できます。この点はITパートナー企業とユーザー企業の双方にメリットがあります」と説明した。

AWS Marketplaceの利用メリット（提供：ネットワールド）《クリックで拡大》

　ネットワールドはAWS Marketplace経由で、CrowdStrike、Okta、Zscalerのセキュリティライセンスと自社の技術支援（実装サポート）サービスを組み合わせた「Networld Security Solution Package」を提供している。「AWSアカウントの再販とAWS Marketplaceの多段商流、この2つの認定を持つのが当社の強みです。請求の仕組みを理解した上で、会計面の考慮や経理担当者との調整といった立て付けの部分までサポートできます」（嶋田氏）

Amazonギフトカードが当たる！アンケート実施中

本記事に関連して「ゼロトラストとAWS Marketplace活用に関する」についてのアンケートを実施しています。回答された方の中から抽選で10名様に、Amazonギフトカード（Eメールタイプ）3000円分をプレゼントいたします。当選者には、アイティメディアIDにご登録のメールアドレス宛にギフトをお送りします。当選者発表はギフトの送付をもってご連絡とさせていただきます。ぜひ下記アンケートフォームよりご回答ください。

ログイン または 会員登録（無料）いただくとアンケートフォームが表示されます。オレンジ色の「アンケートに回答する」ボタンからアンケート回答をお願いいたします。