動く標的を、静止した一枚の画像だけを見て守ろうとする——今日の多くのクラウドセキュリティ戦略は、まさにそのような状態に陥っています。設定ミスをスキャンしたり、ポリシー整合性をチェックしたりするツールは確かに役立ちますが、リアルタイムで起きていることまでは見えません。そしてクラウドの世界では、リアルタイムこそがすべてです。
セキュリティチームはしばしば、過去を振り返るツールを使って未来志向の防御を構築するよう求められます。しかし今こそ発想を転換すべき時です。まずはランタイムセキュリティから始めましょう。
ランタイムセキュリティがなぜレジリエントなクラウド防御戦略の土台となるのか、詳しく知りたい方はホワイトペーパー全文をダウンロードしてご確認ください。
クラウドは変わった、セキュリティスタックも変わるべき時
クラウドネイティブなアプリケーションは、インフラのルールを根本から書き換えました。コンテナは数秒で立ち上がり、Kubernetesは1日に数百万件もの変更をオーケストレーションし、サーバーレスのコンピューティングリソースはミリ秒単位で消滅することもあります。こうした俊敏性はイノベーションを後押しする一方で、盲点も生み出します。
従来のエンドポイント検知・対応(EDR)ツールは物理マシン向けに設計されたものであり、クラウドセキュリティポスチャー管理(CSPM)ツールは基本的なクラウド可視化のために作られたものです。どちらも、動的かつ短命な環境をリアルタイムで監視するようには設計されていません。
変化した点を整理すると、次のようになります。
- 短命なワークロード: コンテナやサーバーレス関数はスキャンされるのを悠長に待ってはくれません。
- 自動化された攻撃: 脅威アクターはAIと自動化を駆使し、かつてないスピードで攻撃を仕掛けてきます。
- 拡大する攻撃対象領域: API、マイクロサービス、マルチクラウド環境が複雑性とリスクを増大させています。
脅威アクターが偵察を自動化し、10分足らずで脆弱性を悪用してくる時代においては、セキュリティ戦略も静的スキャンより速く動く必要があります。
静的なポスチャー管理が不十分な理由
多くの組織は、CSPMや「シフトレフト」の取り組みからクラウドセキュリティの取り組みを始め、基本的な設定ミスをスキャンし、コンプライアンスを徹底しようとします。これらは欠かせない取り組みではありますが、あくまで「何が起こり得るか」に焦点を当てたものであり、「今まさに何が起きているか」には対応できません。
ポスチャー主導の戦略が実際の脅威を止めきれない理由を整理してみましょう。
- CSPMはリアルタイムの挙動を捉えられない。 リスクのある設定は検出できても、進行中の攻撃や横展開までは検知できません。
- EDRはクラウドに適合しない。 従来型のEDRは、短命なコンテナや分散型サービスへの可視性を欠いています。
- シフトレフトはあくまで早期段階の対策にすぎない。 サービスが稼働を始めた後には、元のコードとは無関係な新たなリスクが数多く出現します。
ランタイムセキュリティこそ、欠けていたピース
ランタイムセキュリティの本質は、「今まさに何が起きているか」を可視化することにあります。進行中の攻撃を検知し、異常な挙動にフラグを立て、迅速な対応を発動できるのは、この手法だけです。
クラウドネイティブな文脈における「ランタイム」とは、具体的に何を意味するのでしょうか。
- 継続的な監視: あらゆるワークロード、あらゆるユーザー操作、あらゆるシステム変更などを、すべてリアルタイムで捕捉します。
- 脅威の相関分析: ID、ワークロード、ネットワークの各シグナルを組み合わせ、不審なパターンをあぶり出します。
- 自動対応: 悪意ある挙動を、事後ではなく発生した瞬間にブロックします。
潜在的な失策をスキャンするのではなく、ランタイムセキュリティは攻撃者が実際に何をしているのかを映し出します——それがコンテナ内での権限昇格であろうと、クラウドアカウント間の横展開であろうと同じです。
進行中の攻撃を止める
例えば、攻撃者がゼロデイ脆弱性を悪用し、Kubernetesのポッドへのアクセス権を得たとしましょう。従来型のツールでは、この侵害は何時間も検知されないまま放置される可能性があります。そもそも気づかれないことすらあり得ます。
ランタイムセキュリティが導入されていれば、代わりに次のような流れになります。
- 初期検知: 攻撃者による異常なコマンドが即座にフラグ付けされます。
- コンテキストを踏まえた調査: セキュリティチームは、ユーザーIDや影響を受けたリソース、攻撃経路を把握します。
- 自動対応: 侵害されたコンテナが隔離され、認証情報がローテーションされます。
これは仮定の話ではありません。実際に、最新のクラウドネイティブアプリケーション保護プラットフォーム(CNAPP)はこうした形でリアルタイムに攻撃を食い止め、平均検知時間(MTTD)や平均対応時間(MTTR)を、数時間・数日単位から数分単位にまで短縮しています。
ランタイムセキュリティのROI
機能するセキュリティこそ、投資に見合うセキュリティです。ランタイムセキュリティを軸に据えれば、ビジネス上のメリットは明確に現れます。
- より迅速な検知: 脅威は週次スキャンの際にではなく、発生した瞬間に特定されます。
- コスト削減: 数分でインシデントを解決できれば、高くつくダウンタイムや侵害後の復旧コストを回避できます。
- リソース配分の最適化: ノイズよりも実際の脅威が優先され、チームは本当に重要な業務に集中できます。
実際、ランタイム駆動型のCNAPPを導入した企業では、検知時間が数秒にまで短縮され、侵害関連コストを数十万ドル単位で削減できた事例もあります。
エージェント型クラウドセキュリティの正しい形
AIが攻撃者の自動化をさらに後押しする中、ポスチャー管理の隙間をすり抜けることは以前より容易になっています。セキュリティチームがランタイムにおける信頼できるセーフティネットを必要としている今こそ、クラウドセキュリティにエージェント型AIを活用することが次なる進化の一歩となります。
真に有効なエージェント型AIソリューションには、次の要件が求められます。
- 環境を理解すること: 脅威と誤検知を正確に見分けられること。
- リスクのトリアージと優先順位付けを支援すること: 無駄な時間や従業員の疲弊を減らせること。
- 明確で実行可能な対応策を示すこと: チームによるクラウドリスクへの対応を迅速化できること。
すべてのLLMが認知的な負担を軽減してくれるわけではありません。意味のあるものにするためには、AIはチームの一員として機能する必要があります。
過去を振り返るのはもうやめて、「今」を守る
はっきりさせておきましょう。ポスチャー管理や予防的対策がなくなるわけではありませんし、なくなるべきでもありません。しかし、それらはもはや強固なセキュリティプログラムの中心ではなく、あくまで脇役に位置づけられるべきものです。
クラウドを真に防御するには、戦略そのものが「クラウドとは実際どのような環境なのか」を反映していなければなりません。すなわち、高速で、動的で、絶えず進化し続ける環境である、ということです。
まずランタイムから始め、その上にポスチャー管理を積み重ねましょう。
この、ランタイムを起点とする多層的なアプローチは、単に攻撃を止めるだけにとどまりません。クラウドの歩みに合わせて拡張できる、レジリエントで未来志向のセキュリティプログラムを生み出します。
クラウドの世界では、一秒一秒が重要です。静的なスキャンや後手に回るセキュリティ対策では、待ったなしで迫る脅威に対して組織は無防備なままです。ランタイムセキュリティは、リアルタイムの可視性と制御を手にすることでこの状況を一変させ、被害が発生する前に検知・対応できるようにしてくれます。
ランタイムファーストの戦略をどう実装すべきか、さらに詳しく知りたいですか?
翻訳元: https://webflow.sysdig.com/blog/runtime-is-the-real-defense-not-just-posture
