クラウド環境を旅客機に例えて考えてみましょう。飛行機は離陸前に、安全規制を遵守するため厳格な整備スケジュール、テスト、そして事前点検を受けます。これは、クラウド環境が適切に設定され、既知の脆弱性がなく、ベストプラクティスに準拠していることを確認する、ポスチャベースのセキュリティ対策とよく似ています。
しかし、航空の安全対策は滑走路で終わるわけではありません。パイロットは、指をくわえて飛行機が目的地まで無事にたどり着くことを祈っているわけではないのです。気象条件、他の航空機の交通状況、飛行経路、機体の性能を監視するシステムが常に稼働しています。これに相当するのが、何か問題が起きた際にリアルタイムで空から見張る役割を担うランタイム制御です。同様に、クラウド資産におけるランタイムセキュリティは、防御の網をすり抜けてしまった脅威を検知し、対応担当者が行動を起こせるようにします。
セキュリティポスチャ管理のような従来型のアプローチは、長らくクラウドセキュリティの礎石であり、強固なクラウドセキュリティ戦略を確立する上での典型的な第一歩とされてきました。しかし、常に急速な拡大と複雑化を続けるクラウド環境の性質を考えると、予防のみのアプローチでは安全性を保証できません。
攻撃者がギャップを突いて攻撃を仕掛けてきた際に、それを軽減する手段がセキュリティチームには必要です。
セキュリティポスチャ管理の課題
セキュリティポスチャツールは、環境内に存在しうる数多くの設定ミスや脆弱性を可視化する上で、非常に価値のある手段です。
とはいえ、これですべての問題が解決するような万能ボタンではありません。複数のチーム(DevOps、セキュリティ、プロダクト)間の連携と、成熟したシフトレフトのガードレールの確立が必要になります。こうしたガードレールは重要である一方、チームがそれに適応する過程で大きな複雑さをもたらし、往々にして開発サイクルを遅らせる要因にもなります。
こうしたガードレールの導入には、綿密な連携、責任範囲の共有に関する明確な理解、そして何より全体的な合意形成が求められます。
成功するセキュリティプログラムを構築する上で最も難しい側面の一つが、しばしば優先事項が相反する各チームの足並みを揃え、行動を促すことです。セキュリティは単なる技術的な課題ではなく、文化的な課題でもあります。強力なリーダーシップの支援、トレーニングへの時間投資、そして開発者に過度な負担をかけることなくセキュリティを既存のプロセスに組み込み続ける継続的な努力が求められます。
特にコードのデプロイ前に作業手順を調整したり、新たなステップを追加したりすることを意味する場合、各チームに新たなセキュリティのベストプラクティスへの当事者意識を持たせることは、繊細なバランス調整が必要な作業です。
Sysdigのようなソリューションは、開発者にとって使いやすい形で優先順位付けされた修復ガイダンスを提供し、チームが既に使用しているツールやワークフローにシームレスに統合することで、この負担を軽減する助けとなります。こうした支援は単に摩擦を減らすだけでなく、セキュリティを足かせではなく協働の取り組みへと変えてくれます。
ポスチャ管理のみに依存するリスク
どれほど強力であっても、ポスチャ管理のみに頼っていては、たった一つの設定ミスや脆弱性によってリスクにさらされる状態が残ります。誤ったアクセス制御の設定、適切にスコープ設定されていないAPIキー、安全に管理されていない共有認証情報などが、それ以外は堅牢なシステムの中で弱点となりかねません。攻撃者は多くの場合、たった一つの欠陥を見つけるだけで足がかりを得て、堅牢な防御網をすり抜けながら環境内を横方向に移動できてしまいます。
セキュリティポスチャツールでは対処できないギャップ
ほぼ完璧なセキュリティポスチャを実現している組織であっても、このアプローチには依然として限界があります。既知の設定ミスや脆弱性がすべて対処されていたとしても、こうした事前対策をすり抜けてしまう種類の攻撃が存在するのです。以下の脅威は、従来型のポスチャベースのセキュリティチェックを回避し、環境内に見えないギャップを生み出す可能性があります。
- ゼロデイ脆弱性: 未知の欠陥を狙うエクスプロイトは、ポスチャベースのシステムでは検知できません(Log4Shell、IngressNightmare、Leaky Vesselsなど)。
- サプライチェーン攻撃: サードパーティ製コードや依存関係に由来するリスクは、ポスチャ管理では見逃されることがあります。コードの大部分がオープンソースであることを踏まえると、サプライチェーン攻撃は重大なリスクとなります(tj-actions/changed-files)。
- パッチ適用不可能な脆弱性: サードパーティ製コードやレガシーコードに起因し、パッチを適用できない欠陥です。Vulncheckの最新のエクスプロイトレポートによれば、悪用された脆弱性全体の24%をこれが占めています。
- 侵害されたIDとインサイダー脅威: 認証情報の窃取や悪意あるインサイダーに起因するリスクです。IDがクラウドにおける新たな境界線となっている現在、こうした脅威はクラウドベースの攻撃における初期アクセス経路のほぼ半数を占めています。
これらの脅威が悪用されると、その影響は深刻なものとなりかねず、ポスチャベースのセキュリティだけではそれを食い止めるには不十分な場合が多くあります。Log4ShellやLeaky Vesselsのようなゼロデイ脆弱性は、ポスチャチェックを完全にすり抜け、防御側が何を警戒すべきか把握する前に攻撃者が静かにシステムへ侵入することを許してしまいました。
サプライチェーン攻撃は、信頼されたコードを通じてリスクを拡散させ、パイプライン全体を侵害する可能性があります。パッチ適用不可能な脆弱性は従来の手段では解決できず、防御に持続的な穴を残し続けます。
一方、侵害されたIDとインサイダー脅威は、正規の認証情報を悪用することでポスチャ管理をすり抜ける可能性があります。これらすべてのケースにおいて、可視化だけでは不十分です。組織は、進化し続けるこうしたリスクに真に対抗するため、ランタイム保護とリアルタイム検知を必要としています。
さらに悪いことに、攻撃者がAIの支援を受け、侵入速度を速め、被害者のインフラへより深く侵入する事例も確認されています。こうした攻撃は、これまで見られてきた通常の自動化攻撃とは異なり、やや個別最適化されている点が特徴です。これにより予測不可能性がさらに増し、ポスチャベースのセキュリティだけではカバーしきれなくなっています。
ランタイムセキュリティの利点
ランタイムセキュリティは、脅威の発生を未然に防ぐことのみに頼るのではなく、脅威が発生した時点で検知し軽減する、動的でリアルタイムなアプローチです。
このセキュリティアプローチは、システムがどのように設定されているかを報告するだけでなく、システム上で実際に実行されているアクションに対するきめ細かな可視性を提供します。ポスチャベースのセキュリティが何かを見逃した場合、ランタイムセキュリティは攻撃が進行中のシステムを守る最後の防衛線として機能し、データ侵害や不正アクセスへの懸念を和らげます。
クラウドセキュリティへの取り組みがまだ発展途上にある組織にとって、ランタイムセキュリティは環境を保護するための最も効果的な最初のステップとなることが多いです。クラウドセキュリティプラットフォームの他の要素とは異なり、ランタイムセキュリティは追加の作業を生み出すことなく、積極的に環境を保護してくれます。
修復を開発者やエンジニアリングチームに頼る必要がないため、セキュリティチームにとって即座に導入・運用しやすいという特長もあります。これにより、シフトレフトの実践の導入や脆弱性の未対応案件の解消といった他のプロセスがまだ整備途上であっても、ランタイムセキュリティは即座に包括的な保護を提供できます。ランタイムセキュリティは、初日から強固なセキュリティ基盤を確立してくれるのです。
成熟した企業にとってのランタイムセキュリティのメリット
より成熟したセキュリティポスチャを持つ組織も、ランタイムセキュリティを追加することで大きな恩恵を得られます。ゼロデイ脆弱性、侵害されたID、サプライチェーン攻撃など、ポスチャベースのチェックをすり抜けてしまう既存の防御のギャップに対処する助けとなる一方で、新たな脆弱性や設定ミスが修正されるまでの間、基本的な保護レベルを提供してくれます。
ランタイムセキュリティは攻撃に対する完全な可視性を提供し、組織が攻撃の影響範囲を評価し、攻撃が現在も進行中かどうかを判断し、将来のインシデントを防ぐための是正措置を講じることを可能にします。
セキュリティポスチャとランタイムセキュリティの組み合わせ
包括的なクラウドセキュリティ戦略は、ポスチャベースのセキュリティとランタイムセキュリティの両方を組み合わせることで、多層的な防御を構築します。ポスチャベースのセキュリティは、適切な設定を確保し、既知の脆弱性を軽減し、ベストプラクティスを遵守することで、強固な基盤を築きます。
ランタイムセキュリティはこれを補完し、セーフティネットとして機能します。網をすり抜けてしまった脅威を迅速に封じ込め、攻撃による潜在的な影響を最小限に抑えます。この組み合わせによるアプローチは、即座に包括的な保護を提供するだけでなく、セキュリティプロセスを新たに出現する脅威とともに進化させ、クラウド環境の安全性を維持し続けることを可能にします。
この多層的なコンテキストを適切な形でAIエージェントに与えれば、セキュリティチームを支援し、その能力を引き上げるクラウドセキュリティアナリストを作り出すことも可能になります。こうしたツールは環境を理解しているため、脅威と誤検知を正確に区別できます。ポスチャの面では、リスクのトリアージと優先順位付けを支援し、インフラ内に存在する脆弱性の範囲を測定し、チームが修復措置を取るための明確で実行可能なステップを提示します。ランタイム時には、セキュリティイベントへの対応を迅速化するため、チームによるデータの相関分析を支援します。
Sysdig:ランタイムセキュリティの先駆者
Sysdigは、高度でリアルタイムなランタイムセキュリティを核とする包括的なCNAPPプラットフォームにより、ランタイム保護の分野を牽引しています。SysdigはFalcoのオープンソース基盤の上に構築されており、これは世界のフォーチュン500企業の60%以上がクラウド環境を保護する際に利用しています。
Sysdigがどのようにクラウド環境のセキュリティを強化できるかをぜひご確認ください。本日、個別デモをリクエストいただき、当社のソリューションが皆様の具体的なニーズにどう応えられるかをお確かめください。
翻訳元: https://webflow.sysdig.com/blog/closing-the-cloud-security-gap-with-runtime-security
