cloud-2812970_1280

3大クラウドAWS・Azure・GCPの特徴や違いについて比較

by ブログ

需要が高まっているクラウドサービスにはさまざまな種類があり、どのサービスを導入すべきか迷っている方も多いのではないでしょうか。本稿では、大手3大クラウドのAWS、Azure、GCPそれぞれの概要や特徴を解説しつつ、Linodeとの比較も行っています。クラウドサーバ選びの参考にしてみてください。

 

クラウドサービスとは

クラウドサービスとはクラウド上に作られたサーバで、インターネットを通じてITリソースを利用する仕組みです。物理的なサーバ購入し運用する場合に比べ、初期費用が無料であることが多く管理やメンテナンスの必要がありません。インタネットに接続できる環境であれば、いつでもどこからでもサーバにアクセスでき、データの共有も離れた場所から行えます。月額費用が固定ではなく従量課金制を採用しているところが多く、必要なときに使った分だけ利用ができるのが特徴です。代表的な大手クラウドサービスにはAWS（Amazon Web Service）、Azure（Microsoft Azure）、GCP（Google Cloud Platform）などがあります。

 

AWS（Amazon Web Service）

AWSはAmazon.com社が提供しているクラウドサービスです。2006年7月からと、早くからサービスの提供を開始しました。世界中で数百万人以上とクラウドサービスの中では最も多く利用されており、日本でもユーザは10万人を超えています。クラウドサービスを選択する際の基準となり、初めに検討する場合も多いでしょう。

特徴
歴史が長いため実績が多く、ユーザや利用事例が豊富で情報も出回っています。分からない点やこういうことはできないか、などは比較的簡単に情報を見つけることが可能です。また管理画面などを数クリック、数分で環境の構築ができ、ビジネス機会を逃さないタイムリーなシステム構築ができます。IaaSには豊富な種類があり、制限が少ないのも特徴です。インターフェースをデータセンターで統一しているため、海外展開の視察や契約の手間を省けます。セキュリティ・コンプライアンスの統制を実施しており、安全性が高く第三者監査による検証も行われています。インターフェースとAPIで多くの標準技術を持っており、ベースにアプリケーション開発が可能です。導入の初期費用は無料、従量課金制のため必要な分だけリソースを使うことができます。過去10年間で何度も値下げを実施し、コストダウンを図っています。

難易度
AWSは個人でも契約が可能で、クラウドを上手に活用できるよう支援の提供を行っています。書籍やセミナーなども豊富で、専門的な知識があまりない方でも始めやすいといえるでしょう。

 

Azure（Microsoft Azure）

AzureはWindowsを手掛けるMicrosoft社が提供するクラウドサービスです。Microsoft社製品との相性が良く、Windowsを使用している企業にとって使いやすいといえます。2010年にサービスを開始して以来、機能の追加やアップデートを行い200以上の機能を実装しています。

特徴
最大の特徴は、Windowsに対する親和性の高さです。Windows Serverを利用していた企業にとって、クラウドに移行しても容易に利用できるため、導入や移行をスムーズに行えます。Office365やActive Directoryのような、ツールとの連携もしやすいです。また好きなフレームワークやツールを使用し、アプリケーションをの構築、管理ができます。クラウド・エッジ・オンプレミス全てに対応し、ビルドの方法やデプロイ先を選びません。AWSと同じく初期費用は無料、従量課金制で費用は使用した分だけです。

難易度
利用者向けに支援の提供を行っていますが、AWSよりもユーザ数は少なく情報が豊富とはいえません。そのためある程度の専門的な知識を備えた経験者向けといえるでしょう。

 

GCP（Google Cloud Platform）

GCPはGoogleが提供するクラウドサービスです。GmailやYouTubeなど、確かな運用実績があります。Google社内で使用されている技術やインフラを利用でき、データ解析や機械学習系のサービスを用いて開発を行うことが可能です。

特徴
検索エンジンを運用するGoogleは、ビッグデータの解析が強く、高速処理の技術があるのが特徴です。GCPデータ解析の技術を利用できるため、データ分析を簡単に行えるインフラが備わっています。またGoogle Cloudサービスには豊富なサービスが掲載され、現在でも増加し続けています。急激なアクセス集中による高負荷にも耐えられるよう設計されており、すぐにトラフィックに対応可能です。

難易度
Googleのサービス利用経験がない方は少なく、同社サービスに慣れ親しんだ点では優位性があります。またトレーニングしやすい環境も整っており、初心者でも使いやすいといえるでしょう。

 

Linodeと3大クラウドを比較

機能 Linode AWS Azure  GCP
クラウドファイアウォール(無料) ○ ○ ○ ○
DDoS対策(無料) ○ ○ ○ ○
ベアメタルクラウドサーバー ○ ○ ○ ○
マネージドKubernetes ○ ○ ○ ○
ローカルSSD ○ ○ ○ ○
ハイメモリVM ○ ○ ○ ○
アプリマーケットプレイス ○ ○ ○ ○
ヒューマンサポート(無料) ○ X X X
ドキュメントライブラリ(100%以上) ○ ○ ○ ○
シンプルなAPI・CLI・クラウドインターフェース ○ X X X
フラットな価格設定(予測可能) ○ X X X
無料バンドル転送 ○ X X X
すべてのデータセンターで同価格 ○ X X X
提供年数 18年 14年 11年 13年
データセンター地域 11 24 60 24
クラウド製品数 ～20 ～200 ～200 ～200
対象顧客
  • 開発者
  • スタートアップ
  • 中小企業
 大企業 大企業 大企業

(出典：https://www.linode.com/ja/compare/）

Linodeの提供開始はAWSよりも早く2003年からで、18年の長い歴史を持っています。データセンターの数は3大クラウドよりも少ないですが、対象となる顧客が開発者・スタートアップ・中小企業のため、大企業向けのデータセンター数より劣るのは普通でしょう。また価格設定もわかりやすく、必要な分だけ支払うことが可能です。スケールアップ、スケールダウンともに違約金も発生しません。料金が低いことでセキュリティ面の不安点が出ることもなく、信頼性・セキュリティ面ともに犠牲にせずに他社よりも低い価格設定を行っています。特定リージョンに対しての追加課金もなく、すべてのデータセンターで同一料金です。

 

クラウドサーバの導入はLinodeにお任せを

本稿では、3大クラウドの概要や特徴を解説しつつ、Linodeとの比較を行いました。Linodeは開発者・スタートアップ・中小企業を対象とした、クラウドサービスです。見やすく操作しやすいインターフェースを用いており、クラウドのコンピューティング、ストレージ、ネットワーキングをほんの数秒で導入できます。CPU専用で2vCPU・4GB RAM・80GB SSDの場合、Linodeでは月30ドルと他社サービスより40ドル以上も低い価格で利用が可能です。Linodeはアメリカに本社がありグローバル事業の展開をしています。クラウド型セキュリティサービスを日本で展開するクラウドブリック株式会社がLinodeの日本公式パートナーであり、24時間365日のサポートもあるため、わからない点はすぐに聞いて解決できるでしょう。今ならLinodeへの新規登録で、100ドルのプレゼントを行っています。開発者やスタートアップ・中小企業でクラウドサーバの導入を検討している方は、Linodeをぜひチェックしてみてください。

https://www.cloudbric.jp/linode-vps/

不動産、賃貸情報サイトになぜWebセキュリティ対策が必要なのかについて

不動産、賃貸情報サイトになぜWebセキュリティ対策が必要なのかについて

by ブログ

不動産情報サイト事業者連絡協議会（RSA）が発表した「2020不動産情報サイト利用者意識アンケート」調査結果によると、不動産情報を調べる際に利用したものでは、スマートフォンの利用率が92％で2014年以来最高となっています。PC利用率も昨年より増加し約50%と増加傾向にあることから、不動産・賃貸情報サイトを運営する企業において、WAFのようなWebセキュリティ対策がますます重要となっています。しかし、不動産や賃貸物件の防犯対策はしっかりしていても、自社のWebサイトのセキュリティ対策をしていないケースも少なくありません。

Webサイトは、現代ビジネスにおいて必須のツールとして積極的に活用されていますが、現在多くのWebサイトがサイバー攻撃のターゲットとなっています。そんなサイバー攻撃から自社の不動産・賃貸情報サイトを守るためにも、WebサーバやWebサイトを保護してくれるWAFを導入するなど、Webセキュリティ対策は重要です。本記事では、動産・賃貸情報サイトでのWebセキュリティ対策をテーマに解説しています。ぜひ、最後までご覧ください

 

不動産・賃貸情報サイトの特徴とは？Webセキュリティ対策の重要性について考える

ここでは、不動産・賃貸情報サイトでのWebセキュリティ対策の重要性について解説しています。まずは、不動産・賃貸情報サイトの特徴から、詳しくみていきましょう。

不動産・賃貸情報サイトの特徴

近年、サイバー攻撃のターゲットとなるのは、大企業のWebサイトだけに留まりません。また、セキュリティ対策が不十分なWebサイトはターゲットにされやすく、不動産・賃貸情報サイトが標的となるケースも数多く報告されています。不動産関連の会社の営業は、不動産や賃貸物件を見つけたユーザからお問い合わせを頂くことから始まります。そのきっかけに、Webサイトを活用している企業もあることでしょう。不動産・賃貸情報サイトを利用するメリットには、「物件を探す人の利用率が高い」「物件情報を簡単に紹介できる」などが挙げられますが、実はサイバー攻撃から狙われやすい特徴もみられます。不動産・賃貸情報サイトは、下記のような特徴から金銭目的のサイバー攻撃を受ける可能性があります。

  • 入力フォームで個人情報を入力する
  • 高額な物件を取り扱っている
  • 不特定多数の方がWebサイトに訪問する
  • 個人たけでなく法人との取引がある

もし、不動産・賃貸情報サイトがサイバー攻撃を受けセキュリティ対策が不十分であった場合、顧客情報や取引相手の情報が漏洩してしまう危険性があるため注意しましょう。

Webセキュリティ対策の重要性

Webサイトへのサイバー攻撃は以前からありましたが、最近はシステムやアプリケーション脆弱性など、Webセキュリティの弱点を狙った攻撃が増えています。IPA（情報処理推進機構）が2021年1月に発表した「ソフトウェア等の脆弱性情報に関する届出状況」によると、2020年第4四半期 における脆弱性の届け出件数は303件。そのうち、Webサイトの脆弱性を狙われたことによる被害の届け出件数は、全体の約7割超を占めています。

また、最近のWebサイト制作には、Webアプリケーションが使用されているケースがみられますが、データ被害を受けた約5割がWebアプリケーションの脆弱性を狙った攻撃に由来。そのため、不動産・賃貸情報サイトを狙った攻撃は、今後さらに増えることが予想されます。

Webサイトによる集客を継続するのであれば、システム上の脆弱性を常にチェックしておくだけでなく、いつ起こるか分からないWeb攻撃にた対し常にWebサイトを保護するWAFを導入するなど、セキュリティ対策も強固にしておくことが重要といえるでしょう。

 

不動産・賃貸情報サイトでWebセキュリティ対策が必要な理由とは

不動産・賃貸情報サイトでWebセキュリティ対策が必要な理由には、下記の3つが挙げられます。

  • 個人情報の漏洩リスクの防止
  • フィッシング詐欺対策
  • ITリテラシーを向上させるため

理由①｜個人情報の漏洩リスクの防止

Webセキュリティ対策が不十分だと、不動産・賃貸情報サイトから個人情報が漏洩してしまう危険性があります。個人情報は、個人情報保護法において下記のように定義されています。個人情報とは、生存する個人に関する情報であって、当該情報に含まれる以下の情報のこととなります。

  • 氏名
  • 生年月日
  • 特定の個人を識別できる内容
  • 個人識別符号が含まれる媒体

顧客や取引先の個人情報が漏洩した場合、相手から損害賠償を求められる可能性があります。そのようなリスクを防止するためも、Webセキュリティ対策が必要です。

理由②｜フィッシング詐欺対策

不動産・賃貸情報サイトでメールでの「お問い合わせ」をしている場合は、フィッシング詐欺のリスクも発生します。フィッシング詐欺とは、送信者を詐称した電子メールを送りつけたり、偽の電子メールから偽のホームページに接続させたりするなどの方法のこと。つまり、クレジットカード番号やアカウント情報（ユーザID、パスワードなど）といった、重要な個人情報を盗み出す詐欺行為を指します。

自身が被害にあうだけでなく、顧客にWebサイトを詐称したフィッシングメールが送信されて被害にあう可能性もあります。本物の不動産・賃貸情報サイトとほとんど区別がつかない偽造サイトを作るなど、フィッシング詐欺は手口が巧妙になっています。そのため、フィッシング詐欺対策のためにも、Webセキュリティ対策はしっかりしておきましょう。

理由③｜ITリテラシーを向上させるため

ITリテラシーとは、通信・ネットワーク・セキュリティなど、ITに紐付く要素を理解する能力や操作する能力という意味。IT業界では、インターネットの正しい使い方やインターネットを利用するうえでのモラルといった意味でも用いられています。

不動産業界でも、不動産・賃貸情報サイトのインターネットを利用したサービスを提供しているのであれば、モラルとしてITリテラシーの向上に努める必要があります。

 

不動産テックの導入が加速化！Webセキュリティの増強が不可欠

Webセキュリティ対策強化は、不動産テックの導入が加速化している業界内全体として必要なものとなっています。そもそも不動産テックとは、近年のITの発達や規制緩和の動きとともに、IT技術を不動産分野に応用した新しい技術・サービスが導入が増えたことで作られた造語のことで、「不動産」と「Technology（技術）」が掛け合わさってできた言葉です。不動産テックの先進国であるアメリカをはじめ、イギリスやインド、中国などのアジア諸国でも不動産テックを活用した事業やサービスが活発に行われています。しかし、日本の不動産テック化はそれらの国々より大幅に遅れています。

そんな日本では、遅れを取り戻す動きや新型コロナウイルス感染症の発生による影響から、不動産業界でも業務のオンライン化などのデジタル化が進み、現代では日本国内の不動産テック化が急加速しています。しかし、不動産テックの導入が進むほど、不動産・賃貸情報サイトがサイバー攻撃を受ける可能性も高まります。

他の業種に比べて不動産業界は特にIT化が遅れていたため、不動産・賃貸情報サイトのセキュリティ対策に疎かった企業も多いでしょう。しかし、不動産テックの導入は今後ますます加速することが予想されます。もしそうなれば、ITリテラシーが業界により一層求められるでしょう。また、高いレベルでの個人情報保護やWebセキュリティ対策が求められます。将来的にみても、不動産・賃貸情報サイトにおいてWebセキュリティ対策の重要性はますます高まることから、セキュリティ対策の強化は今からでも意識しておくことが大切です。

 

さいごに

今回は、不動産・賃貸情報サイトのWebセキュリティ対策が必要な理由について解説してきました。不動産・賃貸情報サイトは、もともとサイバー攻撃に狙われやすい特徴が揃っていますが、不動産テックの加速が予想される日本の不動産業界において、Webセキュリティ対策は必須です。Webセキュリティに関して、早めの対策を心掛けましょう。

 

Webセキュリティ・プラットフォーム・サービス

Cloudbric WAF+

クラウドサーバ

クラウドサーバーとは？共用・専用との違いやメリット・デメリットを解説

by ブログ

クラウドサーバはクラウド上に作られたサーバです。物理的にサーバを購入し運用する方法とは違い、利用したいと思ったときにすぐ利用できる、初期費用を抑えられるなどのメリットがあります。

本稿では、クラウドサーバについての基礎知識と専用サーバとの違い、利用するメリット・デメリットについてお伝えします。

 

クラウドサーバとは

クラウドサーバとはクラウド環境に作られたサーバで、インターネット上での使用を前提としたサービスを指します。リソースを所有および保持しているサードパーティのプロバイダーが、利用ベースの料金で使用できるようにするコンピューティングリソースです。ネットワーク環境があればどこでもサーバにアクセスでき、離れた場所からでもデータの共有が可能です。自社でサーバを保有しないため、導入の手間や初期費用を抑えられます。低価格で始められることから、急速に広まっています。クラウドサーバという用語は、IaaSまたはPaaSと密接に関連付けられる傾向がありますが、クラウドサーバはSaaSを実現するインフラも提供しているのです。

 

クラウドサービスの種類

クラウドサービスには、3種類あります。

SaaS

インターネットを経由して、アプリケーションなどのソフトウェアを提供するサービスです。利用するソフトウェアを都度パソコンにインストールする必要がなく、ID・パスワードがあればタブレットやパソコンなど端末を問わずにどこからでも利用できます。代表的な例はGoogle Appsなどです。データの保存・共有ができるDropboxも、Saasに分類される場合があります。

IaaS

インターネットを経由して、回線のようなITインフラ基盤を提供するサービスです。仮想サーバやストレージ、CPUメモリなどハードウェアの性能を自由に選択・利用できます。代表的な例はAWSなどです。

PaaS

インターネットを経由して、アプリケーション開発のための基盤を提供するサービスです。IaaSがインフラ基盤のみの提供であるのに対し、開発に必要なプラットフォームも利用できます。データベースやネットワークの設定が整っており、開発コストの削減が可能です。一般的にはあまり馴染みがないかもしれません。代表的な例は、Google App EngineやWindows Azureなどです。

 

共用サーバ・専用サーバとの違い

共用サーバや専用サーバとの違いについて解説します。

共用サーバ

共用サーバはサーバ提供事業者が所有する1つのサーバを、複数のユーザーで共有して使うレンタルサーバです。すでに存在するリソースを共有する仕組みのため、低コストかつ短期間で利用開始できます。サーバの管理事業者が管理やメンテナンスを行うため、自社でメンテナンスを行う必要がありません。同じ共有サーバ上でほかのユーザーのサーバにアクセスが集中すると、サーバが重くなり自社サービスにアクセスしにくくなるデメリットがあります。またサーバの設定は、基本的にカスタマイズできません。クラウドサーバでは、設定やスペックをアクセス数などに応じてカスタマイズできる点が異なります。

専用サーバ

専用サーバは、サーバ1台のリソースを占有して使用するレンタルサーバです。同じサーバをほかのユーザーが利用しないため、安定して高速なサイトを運営できます。管理者権限が付与されるため、自社のサイトに適したソフトウェアをインストールしたり自由に設定にカスタマイズしたりすることが可能です。共用サーバに比べ初期費用や月額料金が高く、高いランニングコストがかかるため導入しにくいデメリットがあります。さらに専用サーバでは自社でメンテナンスを行わなければならず、専門的な知識が必要です。サーバの管理を代行するサービスを提供している会社もあるため、経験が浅く不安な方は検討してみるのもいいでしょう。

 

クラウドサーバのメリット

クラウドサーバの利用は、共用サーバと専用サーバのメリットを両立できます。クラウドサーバのメリットを3つご紹介します。

初期費用を抑えられる

クラウドサーバの導入は初期費用が無料であることが多く、導入のためのコストを削減できるのがメリットです。自社でサーバを用意して運用する場合、高額なサーバの調達や通信回線を整えるなど、初期費用が高額です。さらに環境構築やサーバの設定にも、追加でコストがかかります。レンタルサーバの場合では初期費用はかかるものの、専用サーバのように数十万円を超えるようなことはありません。専用サーバ・レンタルサーバは双方とも少なからず初期費用が発生するため、初期費用を抑えたい方には、クラウドサーバがおすすめです。

運用コストを削減できる

クラウドサーバでは自社でメンテナンスを行う必要がないため、運用コストの削減が可能です。専用サーバの場合には管理者権限が付与されているため、管理やメンテナンスを自社で行う必要があります。専門的な知識がなければ難しい上に、見えない人的コストも発生します。クラウドサーバであればメンテナンスの心配がいらず、運用に注力できるのが利点です。

バックアップや復元対策になる

クラウドサーバはクラウド上にサーバが存在しているため、災害時などのリスクに備えることも可能です。自社でサーバを用意して運用する場合、データセンターへ被害があれば稼働できず業務が停止する可能性があります。クラウドサーバは複数のデータセンターに分散させているため、緊急事態に強いです。それぞれのデータセンターも停電対策や地震対策などが施されており、稼働停止になりにくいです。万が一データが消失した場合にも、バックアップを取っていれば容易に復元できます。災害時やデータ消失時の対策にも役立ちます。

 

クラウドサーバのデメリット

多くのメリットがあるクラウドサーバにも、デメリットは存在します。ランニングコストがかかる、セキュリティリスクがある点です。導入した後で「こんなはずではなかった」とならないよう、確認しておきましょう。

継続的な利用にはコストがかかる

クラウドサーバの料金体系は、月額制であることが多いです。小規模なものでは月数千円と安く済みますが、規模が大きくなると数十万円ほどの月額料金がかかる場合もあります。サーバ会社によっては、使用したリソースの量に応じて金額が変わる従量制を採用していることもあります。従量制には必要な分だけ利用できるメリットもあります。運用している間払い続けなければならない点は、デメリットといえるでしょう。

情報セキュリティに注意が必要

ネットワークを経由しアクセスすることから、情報漏洩のリスクがあります。そのためセキュリティ対策に力を入れているサーバ会社を選ぶようにしましょう。クライアント側のセキュリティも暗号化するなど対策が必要です。サーバ側・クライアント側双方のセキュリティがどのようになっているか、安全性をきちんと確認することをおすすめします。

 

Linodeの特徴

クラウドサーバのLinodeは11のデータセンターを構え、利用者数は80万人を超えています。料金体系は従量制を採用し、必要な分だけ使った量に応じて料金が決まるため、コストの削減にもつながるでしょう。共用プランの場合月2$から利用でき、リーズナブルな価格設定も選ばれている理由の一つです。料金設定が豊富にあるため、自社に合ったプランを選択できます。また11のすべてのデータセンターで24時間365日オンサイトセキュリティ診断を実施しており、セキュリティ対策も万全です。

 

今なら新規登録で$100プレゼント

クラウドサーバについて、共用・専用サーバとの違い、メリット、デメリットについてご紹介しました。初期費用を抑えられる、復元対策が可能など多くのメリットがあります。Linodeでは従量制の料金体系を採用し、料金は使った分だけとリーズナブルでさらにしっかりとしたセキュリティ対策を実施しています。期間限定でLinodeに新規登録すると、$100のクレジットをプレゼント中です。クラウドサーバの導入を検討している方は、ぜひチェックしてみてください。

https://www.cloudbric.jp/linode-vps/

クラウドサーバ

クラウドサービスの日本での利用実態と必要性

by ブログ

現在、クラウドサービスの市場は急速に成長していて、AWSやiCloud、Dropboxなどのサービスは企業での利用はもちろん、個人での利用においても年々増加傾向にあり、生活の上で当たり前の存在となってきています。今後ビジネスはもちろんのこと、個人のスマホやPCのデータの保存や、ゲームを初めとするエンターテイメントの世界においても、ローカルな環境ではなく、クラウド環境での作業と、データの保存がますます当たり前となってくることでしょう。今回はクラウドサービスの日本での利用実態や、なぜクラウドサービスが必要とされているのか、詳しく説明していきたいと思います。

 

クラウドサービスの利用率とは？

引用：企業におけるクラウドサービスの利用動向

総務省が令和2年に発表した、令和元年における「企業におけるクラウドサービスの利用動向」によると、一部でもクラウドサービスを利用している企業の割合は56.9%と全体の過半数を上回っており、前年の46.9%から10%も高くなっていることが分かります。コロナウイルスによるテレワーク化、巣篭もり需要の影響を考えると、来年の発表では利用率はより高くなっているであろうことは想像に難くありません。また、クラウドサービスに対する企業からの評判はとても高く、総務省の同データにおいてクラウドサービスの効果は「非常に効果があった」は30.9パーセント、ある程度効果があった」は54.3%と、全体の85%以上の企業がクラウドサービスを肯定的に捉え、歓迎しているようです。

利用している企業の規模が大企業に近いほどクラウドサービスは利用される傾向にあり、資本金が50億円以上であれば、過半数を超える52.8%の企業がクラウドサービスを使っています。中小企業においては資本金が一億円未満の企業の利用率は30%以下となっており、社員の人数が多いなどの理由から、あらゆる立場、環境下においても利便性の高いクラウドサービスの利用が必要となってくることが分かります。業界別に見た場合、金融・保険業がもっとも多くクラウドサービスを導入していて、それに次いで卸売・小売業、建設業、製造業が積極的に導入しています。

 

クラウドサービスの利用方法、導入利用は？

クラウドサービスの利用方法として、ファイルの保管や、データ共有を目的とした使い方が過半数を超えてもっとも多く、次にサーバー利用、電子メール、社内情報共有、データバックアップと続いていきます。クラウドサービスを導入した理由としては、「資産、保守体制を社内に持つ必要がないから」がもっとも高く、そのほかでは「どこでもサービスを利用できるから」、「安定運用・可用性が高くなるから」、「災害時のバックアップとして利用できるから」などの理由が挙げられています。基本的にはデータのバックアップ・共有を目的とした使い方が多いことになります。

逆にクラウドサービスを利用しない企業からは、使わない理由として「仕事に必要がないから」「情報漏洩などのセキュリティ面において不安がある」「クラウドを導入する際の自社の既存システムの改修コストが高い」「メリットが分からない、判断ができない」「ネットワークの安定性に不安がある」といった意見が挙げられています。
この導入利用をもとに、クラウドサービスを利用するメリット、必要性と不安面についてを、より掘り下げて見ていきましょう。

クラウドサービスは安価で利用することができる

企業がクラウドサービス最大のメリットは、「自社で保守・運営をおこなうよりも、安価で利用することができる」ことがまず挙げられます。クラウドサービスが一般的に普及するまでは、何かしらシステムを導入する場合、自社内にサーバールームを作り、システムを最新の状態に維持し、メンテナンスをおこなうことのできる専属のエンジニアを雇い、オンプレミス型の運営を構築していく必要がありました。このオンプレミス型の環境は当然サーバーの維持費も掛かりますし、正社員としてエンジニアを雇えば、運営費用も膨大な額となります。しかし、クラウドサーバーであれば社内のサーバーをいちから構築していく必要はまったくありません。専門の業者のサーバーをクラウド下で借りるだけなので、初期費用は圧倒的に安くなります。そして、クラウドサービスをおこなっているほぼすべての業者には専門のエンジニアが在中していて、メンテナンスも彼らに一任することができます。何か困ったことがあれば彼らにすべて任せればいいので、企業がみずから雇う必要はありません。

このように導入コストと運営コストを大きく軽減できるのが、クラウドサービスが普及した最大の理由となります。低コストで自前でシステムを用意する必要がないのなら、導入する際のハードルは非常に下がりますし、自社にとって効果がないと分かった場合、すぐにサービスの利用を辞めることができるため、非常に低リスクで利用することができます。コスト削減は中小企業から特に評価されている事柄であり、現在大企業と比べ中小企業のクラウドサービス導入率が低いことを鑑みると、今後ますます中小企業のクラウドサービス利用率の増加が高くなっていくと予想されます。

どこにいても利用することができる

 突然起きたコロナ禍の影響によって、多くの企業は仕事環境をテレワークへと変化せざるを得なくなりました。テレワークで仕事をおこなう際、困るのは社内と同等の環境で仕事をおこないにくいことにあります。このコロナ禍の状況にクラウドサービスは非常にマッチし、多くの企業がクラウドサービスを新たに導入する様になりました。

クラウドサービスを使えば社内のデータの共有だけではなく、遠隔操作でタブレットや低スペックのPCからでも社内環境と同等のスペックのPCとソフトウェアを扱うことができます。遠隔地でも仕事をおこなうことができることによって、本社のほかにいくつもの支部を持つ企業はオンプレミス環境よりも強い連携を作ることができ、場所や時間を選ばない様々な働き方ができる様になったため、育児や介護などを初めとする事情を抱えた人も仕事に参加しやすい環境を作ることができる様になりました。

クラウドサービスによる恩恵はデスクワークのみに留まらず、外出先からでも受発注の手続きをおこなうことができ、会議の資料の添付なども手軽にでき、だれかが資料に書き込めば、それをリアルタイムで共有することも可能となっています。

 

セキュリティ面での心配は？

 気軽にどこからでも情報にアクセスできる様になった反面、企業が一番に不安に感じるのは、セキュリティ面についてのことです。機密情報を狙うハッカー達の手口が年々巧妙化していて、現在多くの企業で情報漏洩の不祥事が起きていることを踏まえると、自社で情報を管理することのないクラウドサービスにデータやシステムをまるごと預けてしまうのは、確かに不安な面もあるでしょう。

しかし、実際にクラウドサービスを利用している企業の大部分が「役に立っている」と答えた結果を見ても分かる様に、クラウドサービスはセキュリティ面においても確かな結果を出しています。クラウドサービスを運営している会社にとって、情報漏洩のアクシデントはまさに会社の信頼に関わる命綱とも言える存在です。そのため最新のセキュリティ環境を維持することは当然、常駐しているスタッフも熟練のプロが担当しています。テレワークによる急な変化に対応するために、下手に自社でセキュリテイ環境を作り保守するエンジニアを雇うよりも、遥かに信頼できる環境を作ることができます。ただし、セキュリティの質は提供している会社によって異なりますので、くれぐれも契約する相手は慎重に選ぶ様にしましょう。

 

さいごに

日本のクラウドサービスの利用率は欧米に比べ低い傾向にありますが、今後ますます増えていく傾向であることは間違いありません。現在大企業の利用率が大きいですが、コスト面やセキュリティの質の高さを考えると、中小企業が利用した時の恩恵が高いため、今後中小企業を中心としてクラウドサービスの利用が増加していくと考えられます。

196ヵ国800,000ユーザに愛用されている最大の独立オープンクラウドプロバイダーのLinodeクラウドサーバ・サービスは、リーズナブルな料金体系と競争力の高いインフラを実現します。そして、クラウドブリックは「Linode」の日本公式パートナーとして、Linodeクラウドサーバーの利用を希望する日本のお客様に手厚いサポート及びコンサルティングなどを提供致します。
Linodeへ新規登録だけで$100のクレジットをプレゼントするキャンペーンも行っておりますので、是非チェックしてみてください。

Linodeクラウドサーバ・サービスの詳細はこちら

https://www.cloudbric.jp/linode-vps/

クラウドセキュリティリスク

オンプレミス環境とは違うクラウド環境に適切なセキュリティ対策とは？ まずクラウド環境向けWAFを導入すべき

by ブログ


総務省調査の令和得元年通信利用動向の「クラウドサービス利用状況」からみると、国内企業の64.7％がクラウドサービスを利用していると答え、導入効果については「非常に効果があった」又は「ある程度効果があった」のような応答が8割を超えています。企業システムのクラウドシフトによって変化しつつあるIT環境に必要とされるセキュリティ対策にも変化があるはずです。そのため、クラウド中心に変化したIT環境に最も適切なセキュリティ対策は何かを把握することが、クラウド導入の前後を問わず解決すべき課題だと言えるでしょう。そこで今回は、従来のIT環境とは違うクラウド環境の特殊性を理解し、クラウド環境に適切なセキュリティとは何かをお伝えしたいと思います。

 

クラウド環境の特殊性を理解したセキュリティ

Accenture の調査によると企業のクラウド移行を妨げる障壁として「セキュリティ」が挙げられています。

 企業はクラウド導入の際、新たなIT環境がサイバー攻撃者の浸透経路にならないよう、クラウド環境に適切なセキュリティ対策に取る組む必要があります。そのためには、まず従来のIT環境とは違う「クラウド環境のみの特殊性」を理解しなければりません。

責任共有モデル

AWS、Azure等のCSP（Cloud Service Provider、クラウドサービス企業）は安全なクラウド環境のために、様々なセキュリティポリシーやサービスをビルトインさせました。

しかしそれだけでセキュリティが担保できるとは言い切れません。CSPの提供するセキュリティサービスはクラウドセンター自体を守ることに限定され、クラウドにて仮想的に結合された顧客のシステムやデータまで保護するものではありません。

AWSをはじめとしたCSPは、クラウドの情報セキュリティに関して一般的に「責任共有モデル」という考え方を採用しています。これは、CSPとユーザ(顧客)で責任範囲を明確にし、全体のセキュリティを担保しようという考え方です。こちらのイメージをご覧ください。


引用：AWS 責任共有モデル

こちらのイメージは、AWSの「責任共有モデル」を示した図であります。イメージの上半分はユーザ(顧客)が担う責任部分、下半分のオレンジ色の範囲はクラウド提供企業(AWS)が責任を負うクラウドのセキュリティ分担です。ネットワークやコンピューティングなどクラウドプラットフォームに対するセキュリティの責任はCSPにあり、クラウド内部のデータ、OS、トラフィックなどに対するセキュリティの責任は顧客にあります。

つまり、クラウドにて結合されたシステムやデータなどにおけるセキュリティの主導権はユーザ側にあるため、ユーザ自らセキュリティ対策を厳重に点検し、どのようなセキュリティ対策を導入するかを決定する義務があるとのことです。

仮想化と分散処理技術

クラウド環境もオンプレミス環境と同じくアプリケーション、システム、ネットワークレベルに分けられます。そして、クラウドといっても実は、クラウド環境にて使用されているデータは最終的に物理的サーバ上に保存されます。このように、クラウドの基本的な構造はオンプレミスと類似ていますが、「仮想化と分散処理技術」によってユーザビリティを高め、更に柔軟性の高い環境にてデータを活用できるというクラウドならではの特殊性もあります。

つまり、クラウド環境は従来のオンプレミス環境に仮想化・分散処理技術を加えたもので、セキュルティ対策もクラウド環境の特殊性に対応できる形態が求められます。WAF導入の例を挙げて

簡単に言いますと、「仮想化と分散処理」ができるWAFが、クラウド環境に最も適切なWAFであることです。
WAFの他にも、クラウド環境のために考慮すべきセキュリティ要素は多い、これらもまたクラウド環境のみの特殊性を理解してからセキュリティ対策構築に取り組む必要があります。

 

クラウド環境に必ず必要なクラウド型WAFサービス

それでは、クラウド導入の際に、どのような領域のセキュリティを優先すべきでしょうか。こちらはクラウドをアプリケーション、システム、ネットワーク3つのレベルで分類し、レベルごとにセキュルティ重要度のランクをつけた表です。

この表をみると、アプリケーションレベルは最も脆弱で、最も攻撃されやすい領域であることが分かります。そのため、アプリケーションレベルのセキュリティを最優先し、クラウド環境の基本的な安全性を確保しなければなりません。

情報セキュリティ専門企業ペンタセキュリティはクラウド環境の特殊性に対する理解を基にクラウドセキュリティを実現する「Cloudbric WAF+」を提供しております。

Cloudbric WAF + : 5つの必須セキュリティサービスをクラウド環境にて提供

安全なクラウドシフトのために、多くの企業がクラウド環境のセキュリティに投資していますが、セキュリティ担当者不在、コスト、クラウドに対する理解不足などによって対策に踏み切れない問題を抱えています。このようなセキュリティ課題を解決できる簡単かつ安全なセキュリティ対策がCloudbric WAF+です。

Cloudbric WAF + はクラウド型でWAFサービスを提供するSaaS型WAFサービスであります。該当サービスにはWAF機能のみならず、DDoS保護、SSL証明書、脅威IP遮断、悪性ボット遮断まで、必須的なセキュリティサービスを1つのクラウドプラットフォームにて統合し、ユーザのクラウドセキュリティをサポートします。特に全ての要素がクラウドにて起動するため、別途の設置や、メインテナンス過程の必要なく、簡単に利用できるというメリットがあります。

 

最後に

企業のクラウドシフトは、今までより拡大していくと見込められますが、セキュリティに対する十分な理解のないITシステムシフトは、サイバー攻撃者らの浸透を簡単に許すリスクを抱えています。クラウドセキュリティのリスクをカバーするためには、クラウド導入に先立ち従来のIT環境とは違うクラウド環境の特殊性への理解を基に、必要なセキュリティ要素は何かを把握することが最重要ポイントだと言えるでしょう。

Cloudbric WAF+

クラウド型WAF

企業における現在のWebセキュリティ問題と、クラウド型WAFによる対策

by ブログ

現在はクラウドサービスをはじめとしたWeb上のサービス・セキュリティの進化が目覚しく、多くの企業がそれらのサービスを利用しています。一方で、企業の機密情報を狙うハッカー達によるサイバー攻撃も同じように巧妙・複雑化し、セキュリティとのいたちごっこが続いていて、情報漏洩をはじめとする多くの被害が、企業の規模を問わず発生しています。

本記事では、2020年に起きたサイバー攻撃の傾向と、国内企業のWebセキュリティが脅かされた実際の事例を紹介し、その対策となるWebセキュリティ対策についても見ていきたいと思います。

 

2020年のサイバー攻撃の傾向

2020年上半期にはコロナウイルスの世界的な流行があり、ハッカー達はそれに便乗して、各国の政府や医療機関をはじめ、膨大な個人情報や機密情報を持つ企業などを標的にサイバー攻撃を行うケースが急増しました。不特定多数にばらまくスパムメールだけでなく、特定の企業を標的としたランサムウェアによる計画的な攻撃が急増し、より戦略的で高額の身代金を要求する事件が多発する結果となりました。

特定の法人企業を対象としたサイバー攻撃の特徴として「侵入経路の多様化」、「クラウド環境特有の脅威」、「侵入後の内部活動の常套化」の3つが挙げられます。メールによる攻撃はもちろん、テレワーク環境への移行に伴い、VPNによる通信の際、正規のユーザのアカウント情報を入手して本人になりすまして侵入したり、VPN装置の脆弱性を悪用する方法で攻撃がおこなわれたり、Zoomのインストーラーにバックドア型マルウェアとボットが含まれたものなどが確認されています。Zoom自体は正規の物を利用して正常に使用できるだけに、サイバー攻撃であることに気付くのが難しいという特徴を持っています。

以上のように、コロナ禍によるテレワーク環境の弱点をついた、「末端である従業員のモバイル端末を狙った攻撃」と、「クラウドサービスを狙った攻撃」が激化しているのが現在のサイバー攻撃の特徴だと言えるでしょう。

 

国内企業のWebセキュリティが脅かされた最新の事例

2020年はコロナ禍によってテレワークでの仕事が広く普及しましたが、それと同時に多くの企業が自社のセキュリティ面を見直し、強化していくことを余儀なくされました。現在の企業の機密情報を守るセキュリティは、自社内のみのクローズドな環境で完結するわけではなく、会社から離れた遠隔地からでも仕事をおこなえる、オープンな環境作りが必要となっています。しかし、テレワークで仕事を行うという試みは、日本ではまだまだ始まったばかりであり、末端の従業員のセキュリティに対する意識も含め、日本のセキュリティ対策はまだまだハッカーのサイバー攻撃に狙われやすい、多数の穴が空いている状態だといって良いでしょう。実際に2020年は数多くのサイバー攻撃が日本企業を襲い、多数の被害が出てしまう結果となりました。ここでそれぞれの被害の具体例を紹介していきますので、今後の為の参考にしてみましょう。

・電子決済サービスの不正利用

2020年もっとも被害が大きかったのは、電子決済サービスの不正利用です。2020年9月、銀行口座の情報を不正に入手した犯人がドコモ口座を開設しその銀行口座と連携し、被害者を装うことによって銀行からドコモ口座にお金を不正に出金するという、セキュリティの穴を突いた方法で多額のお金を騙し取った事件です。

最初にこの手口が露見したのはドコモ口座ですが、その後PayPay、Kyash、LINE Payにおいても同様の不正出金が確認されました。この事件による被害総額は2,800万円以上と言われています。

・ゲームメーカーの顧客情報流出

2020年11月には大手ゲームメーカーであるカプコンが「Ragnar Locker」と呼ばれるランサムウェアによってサイバー攻撃を受け、およそ35万件もの顧客情報が流出したとされています。

ハッカー達は盗んだデータを暗号化し使えなくさせ、データの復旧と引き換えに多額の金銭を要求し、さらには内部の機密情報をインターネット上で暴露するという脅迫でもお金を要求するという、「二重搾取型」の攻撃であった点がこの事件の特徴です。

コロナ禍によってオンラインゲームの需要が高まってる中、ゲームメーカーはサイバー攻撃に狙われた際のダメージが大きいと踏んで、カプコンがハッカー達の標的にされたと考えられています。

・特別定額給付金を装ったフィッシング詐欺

2020年5月に10万円の特別定額給付金が給付され始める中、自治体を装ったメール、ホームページによるフィッシング詐欺が大量に発生しました。

フィッシング詐欺によってアカウントIDやパスワードといった個人情報から、クレジットカードの番号や口座番号などの情報まで引出そうとしたり、ATMを用いて手数料を騙しとろうとするなど、悪質な手口での詐欺が横行することとなりました。

 

クラウド型WAFとは

現在、上記したサイバー攻撃に対するWebセキュリティ対策として、「クラウド型WAF」のサービスが注目されています。軽くクラウド型WAFの説明を行うと、まずはじめに「WAF（Web Application Firewall）」とは、Webサイト上のアプリケーションに特化したファイアウォールのことを指します。ユーザーからの入力を受け付けや、動的なページを生成したりするタイプのWebサイトを、不正な攻撃から守ることが WAFの役割となります。

通常のファイアウォールと違い、アプリケーションレベルでデータの中身を解析することができ、アプリケーションにセキュリティ上の問題があったとしても、それを無害化でき、ISMS（組織内の情報の機密性、完全性、可用性の3つすべてをバランスよく管理するための枠組み）の実現や、PCIDSS（クレジットカード情報保護を目的として定められた、情報セキュリティ基準のこと）に準拠しているため企業の情報戦略面としても需要が高く、注目されていました。

そして、クラウド型WAFとは、その名の通りクラウド上に設置するセキュリティ対策ツールとなります。現在ではWAFといえば、このクラウド型WAFが主流となっています。それでは何故現在クラウド型WAFに大きな需要があるのか、クラウド型WAFのメリットと、利用する上での注意点を交えて紹介していきましょう。

・クラウド型WAFのメリット

クラウド型WAFはクラウドサービスであるため、通常のWAFよりも安価で導入することが可能となっています。またサービス契約後日を待たずして利用できるため、トラブルに巻き込まれた際すぐに問題に対処することが可能になっています。

そしてクラウドサービスの特徴として、運用をベンダーに任せることができます。社内でセキュリティの専門家を直接雇用する必要がなく、メンテナンスも一任できるため、運用面でも大きくコストカットすることが可能となっています。

・クラウド型WAFを導入する際に注意すること

コスト面と利便性において大きなメリットを持つクラウド型WAFですが、導入する際に注意することがあります。まず先述したようにベンダー側に運営を一任できることがメリットのひとつと書きましたが、裏を返せば自社が運営に干渉することはほとんどできないため、サービスの質はすべて契約したベンダー次第ということになります。ベンダーに運営を一任する以上、トラブル発生の際すぐに対処できる専門家の人数や対応範囲など、そのサポートの質がどれくらいなのかが選定の際に重要となります。

またクラウド型であるため、自社のシステムに合わせたカスタマイズを行うことが非常に困難となります。そのため少しでも自社のシステムに沿った形のクラウド型WAFサービスを選んで、契約することが求められます。

他にクラウド型WAFはベンダーごとに料金形態が異なります。トラフィック量に合わせて料金が増減するものや、固定料金の場合もあるので、性能やサービスの質などと合わせて考慮しましょう。

 

さいごに

2020年以降、コロナ禍とクラウドサービスの増加による、セキュリティ環境の変化を突いたサイバー攻撃の特徴と、その対策となるクラウド型WAFのメリット・デメリットと注意点を見ていきました。

クラウド型WAFは安価で導入のしやすいことから、これからのセキュリティ対策として非常に利用されるようになるサービスですが、その特徴をきちんと踏まえた上で、自社に最適なベンダー選びを行うことが求められます。今回紹介した事例と特徴を踏まえて、より最適なセキュリティ環境を構築できたら幸いです。

Cloudbric WAF+は企業向けにカスタマイズされたセキュリティサービスを提供します。クラウドから仮想専用サーバー、オンプレミスまでお客様のシステム環境に合わせて提供できます。

Cloudbric WAF+の詳細はこちら

Cloudbric WAF+

VPNのデメリットとゼロトラスト

VPN脆弱性を狙ったサイバー脅威急増！VPNを代替するゼロトラストとは？

by ブログ

新型コロナウイルスの感染拡大を受けてテレワークの推進が進む中、多くの企業で社外に持ち出したPCや自宅のPC等を組織内部のネットワークに安全に接続させるための手段としてVPNが利用されています。それに伴い、VPNを実現するための装置を狙ったサイバー攻撃が増加しています。テレワークの動きが広がる一方、企業の安全対策が急務となっています。企業には、利用するVPN機器などの脆弱性情報の収集や、設定の見直しなどの迅速な対応が求められています。今回はVPNの安全性を検証すると共に、よりセキュアな代替手段についても解説していきます。

 

VPNのメリットとデメリット

VPN(Virtual Private Network）とは仮想の専用ネットワークのことであり、本来は広く公に開かれているインターネット上にまたがる形で仮想空間を作り、個人専用のネットワークのような機能、セキュリティを実現して通信をおこなうことを指しています。VPNは互いの拠点に専用のルーターを設置することにより、その拠点間上に仮想の専用ネットワークを構成、直接的な接続を可能にしています。利用している回線はごく普通の公衆インターネット回線ですが、外部から中でやり取りされている内容が読み取れないよう、暗号化が施されています。あくまでも「仮想」の専用回線を公衆のインターネット上に作り上げていますので、実際のLAN接続による社内ネットワークとは違い、セキュリティ面などいくつかの問題点も抱えています。

メリット

・低コストで通信可能

パブリックネットワークを利用したVPNは専用回線が不要で、運用に必要なルーターも安い製品が多いので低コストで通信できます。携帯端末からのアクセスも無料Wi-Fiを安全に利用できるので、出先からのアクセスに通信費を気にしなくても大丈夫です。

・通信内容の暗号化で安全な通信ができる

VPNは暗号化技術とトンネリングを併用しているので、通信内容の盗み見や不正アクセスに対する安全が高いメリットがあります。通信内容の暗号化は、専用のソフトを会社と利用者双方が導入して安全を保ちます。トンネリングで専用回線に近い環境を整え、社外からのアクセスが繋がらない設定もできます。

・遠隔でもアクセス可能

全国各地や海外に拠点がある場合でも、VPNは遠隔操作でアクセスできます。距離を気にすることなくネットワークを構築できることはメリットの一つです。新型コロナウイルス対策としてのテレワーク（リモートワーク）にも活用が可能です。

・専用線ではない複数の拠点でも接続可能

拠点が複数であっても、VPNを利用することでスムーズにデータ通信を行えます。また、自社と拠点間のみの通信しかできない専用線と違って、拠点間同士でもセキュアな環境下で通信することができます。

デメリット

・情報漏えいの可能性

さまざまなセキュリティ機能を搭載しているVPNでも、万能というわけではありません。ネット環境を利用すれば情報漏えいのリスクもゼロではありませんし、VPNの設定を適切におこなえず、IP漏えいを助長してしまう可能性もあります。初期設定の誤りは、IPアドレスや通信ログ流出に繋がります。サービス提供者によるマルウエア感染のリスクもあります。安全性が絶対的に確保されているものではないことを、理解しておく必要があります。

・通信速度が遅い場合がある

VPNで一般回線を利用すると、混雑時には通信速度が遅いこともあります。接続するサーバーが日本にない時は、海外のサーバーを利用するので通信速度が国内とは異なる場合もあります。セキュリティ機能のためにルーター側のCPUに負担がかかり、速度に影響を及ぼすことも原因です。

・機能によってコストがかかる場合がある

VPNは機能によってコストが異なるので、価格に見合った価値があることを確認する必要があります。SSLはグループウェアやウェブブラウザに搭載されているので、導入コストを下げられますが、社内システムによっては専用クライアントソフトが必要になることもあります。IPsecは独自のクライアントサーバシステムにも導入可能で、社内ネットワークに適していますが、出先からのリモートアクセスが多い場合はSSLが有効です。

・管理面からみた非効率性

VPNはエンタープライズセキュリティにきわめて現実的な脅威を及ぼします。VPN はその特性から、ネットワークファイアウォールに穴を開け、ネットワークへ自由にアクセスできるのが一般的です。また、VPN はインテリジェンスも欠如していて、ネットワークにアクセスしようとしているユーザーの本人確認を正確に行うことはできず、多要素認証（MFA）に応じて承認と却下の判断が常に変わります。さらに、VPN はベテランの IT スタッフを独占することになります。接続を提供し、日常のオンボーディング、オフボーディング、および一般監査の複雑さを容易にするために、VPN のサポートだけに費やされる時間数や、それに関連した過剰なシステムをユーザーが目にすることはほとんどありません。

 

VPNの脆弱性を狙ったサイバー攻撃

Citrix社製品の攻撃

2019年12月にCitrix社の一部の製品に関する任意のコードを実行可能な脆弱性（CVE-2019-19781）が公開されました。攻撃手法の詳細が公開され誰でも試せる状態になりました。この脆弱性が悪用された場合、データ改ざんや流出などの被害が発生する恐れがあり非常に危険だと報じられました。「複数の Citrix 製品の脆弱性 (CVE-2019-19781) に関する注意喚起」も2020年1月にJPCERT/CCより出されています。
この攻撃で、検証コードを使って製品のパスワードファイル/etc/passwdの取得ができることが示されています。対象はCitrix Application Delivery Controller（旧称Citrix NetScaler ADC）、Citrix Gateway（旧称NetScaler Gateway）、Citrix SD-WAN WANOP を利用するユーザー、サービス、サポートされている製品バージョンと全てのプラットフォームです。これにより該当製品、サービスを利用している企業は必要外（インターネット等）の環境からの接続制限、Citrix社の公開する緩和策の適用、FWやIPS/IDSによるExploitコードの遮断等が求められました。

Pulse Secure社製品の攻撃

2020年8月下旬、米Pulse Secure社（パルスセキュア）のVPN機器から、テレワークに欠かせない社外接続の認証情報などが流出したと報じられました。パルスセキュアのVPN機器（Pulse Connect Secure）を使用する複数の国内大手企業が不正アクセスを受け、テレワークに利用されるVPNの認証情報などが流出したとの内容です。
同社ではこの機器について2019年4月に脆弱性を公表、修正プログラムも公開しており、JPCERT/CCからも注意喚起が公開されていました。情報が流出した企業では、この修正プログラムを反映していなかったとみられています。脆弱なVPN機器は、組織への侵入経路として標的型攻撃やランサムウェア感染などで悪用されるおそれがあります。第三者が機密情報を抜き取ったりウイルスをばらまいたりするなどの被害の拡大も予想されます。

英外貨両替大手Travelexのランサムウエア攻撃

上記で説明した脆弱性のあるPulse Secure社製品を未修整のまま使用していたとされる外貨両替大手Travelexが、ランサムウエア攻撃を受け、ビットコイン2億5000万円相当を支払いました。Travelexは2019年12月31日にランサムウェア「Sodinokibi」の攻撃を受けていました。Travelexはコメントを出していませんが、9月にパッチが出ていた脆弱性（CVE-2019-11510)に対して11月までパッチを適用してなかった可能性が指摘されています。

 

より高速、シンプル、安全なVPNの代替手段、ゼロトラスト・ネットワーク・アクセス（ZTNA）

VPNは、ユーザが正当なユーザであることを確認したり、デバイスの状態を確認したりすることなく、ファイアウォールを通過させるため、セキュリティホールが生まれリスクが増大します。またリモートユーザが VPNでネットワークにトンネリングされると、そのユーザは「信頼済み」と見なされる。本当に信頼できるかどうかは不明であるにも関わらず、 そのユーザに水平方向のネットワークアクセスが許可されてしまいます。そこで近年PNの代替として注目を集めるのがゼロトラスト・ネットワーク・アクセス（ZTNA）です。

ゼロトラスト・ネットワークでは、ネットワークの境界は防御線としての意味をなさず、すべての通信アクセスを信頼しないという考え方に基づき、対策を講じます。守るべき情報そのものにアプローチし、そこにアクセスするユーザー、端末、アプリケーションなどの信頼性を常にチェックするアーキテクチャとなります。社内からのアクセスであっても、ある企業情報に対しアクセスしようと、常にユーユーザは本人なのか、アクセスする権限を持っているか、利用している端末は安全性があるのかといったことを確認します。正しいアクセス権を持ったユーザが本人だと認められた場合のみアクセスが許可されるシステムです。

ゼロトラストのアプローチ

  • 境界を改めて定義し、「外部」だけでなく「内部」からの攻撃も防御
  • 境界をソフトウェアで構築し、集中制御
  • 社内／社外の境界を定義せず、デバイスごとに管理
  • 通信アクセスをすべて可視化/検証する
  • すべての記録（ログ）を残す
  • 必要最低限の認可をユーザーに与える

ゼロトラスト・ネットワークを検討するうえで欠かせないのが、エンドポイント(PCなどの端末)におけるセキュリティです。以前まで、エンドポイントは境界の内側（内部ネットワーク）にあるものだとされていましたが、境界がなくなったゼロトラストネットワークモデルにおいては、エンドポイントの挙動を可視化し、保護／管理することが重要となります。

 

さいごに

今回実際に被害にあった事例としてご紹介したTravelexは全世界26か国に1000を超える店舗とATMを持ち、業界大手の企業です。Travelexでは一定水準以上のセキュリティ体制が取られていたかと思いますが、ランサム攻撃者は、そんなグローバル企業ですら被害を受けてしまいます。この事に、日本企業ももっと注意を払う必要があるのかと思います。自社が利用しているVPN機器の脆弱性について企業は常に把握しておかないと、大きな代償を払う事になります。はっきり言いますとVPNの利用は時代遅れになりつつあり、サイバー攻撃だけでなく、内部犯行による情報漏えいも見据えるなら、今回ご紹介したようなゼロトラストのアプローチが必要になってきます。データを暗号化してアクセスコントロールを行うことはもちろん、誰がどこでどのようなデバイスやツールを使用して企業のシステムにアクセスするのかの可視化するソリューションが重要になってくるでしょう。

弊社は ゼロトラストを実現するセキュリティ・ソリューション、Cloudbric RASをご提供しております。暗号化、適切な2要素認証、モニタリング、不正侵入識別および遮断など、企業システムにアクセスしようとする全てのユーザを徹底的に識別し、VPNでは防御しきれない内部侵入者の攻撃を未然に防げます。

ゼロトラストに基づいたエンタープライズセキュリティ導入をお考えの方は、是非こちらの詳細をご確認ください。

Cloudbric RAS

パブリッククラウド

セキュリティ・サポート・コストパフォーマンス全てに優れたパブリッククラウドとは

by ブログ

「パブリッククラウド（クラウドコンピューティング）」とは、クラウドサービスプラットフォームからインターネット経由でコンピューティング、データベース、ストレージ、アプリケーションをはじめとした、さまざまな IT リソースをオンデマンドで利用することができるサービスの総称です。IoTの浸透にも伴い、日本国内のクラウド市場は近い将来1兆円を超える規模になると言われており、現在急速に普及しています。世界的規模でみると、Amazon Web Services (AWS)、 Microsoft Azure、Google Cloud Platform (GCP) 、IBM Cloudといったメジャーサービスが現在シェアの半数以上を締めていますが、どんどん新しいサービスも登場しています。今回はクラウドコンピューティング時代に求められる本当に良質なクラウドサービスの選び方や、セキュリティソリューションについて解説していきたいと思います。

 

クラウドとは

クラウドは大きく分けて「パブリッククラウド」と「プライベートクラウド」の2つに分けられます。パブリッククラウドとは、企業や個人など不特定多数のユーザに対し、インターネットを通じて、サーバやストレージ、データベース、ソフトウェアなどのクラウドコンピューティング環境を提供するサービスのことを言い、AWS等もパブリッククラウドに含まれます。特定ユーザにのみ向けたプライベートクラウドと異なり、パブリッククラウドは高額のハードウェアや通信回線を自社で購入・保守する必要がなく、必要なときに必要な量のクラウド環境を、素早く利用することが可能となります。

プライベートクラウドとは、ひとつの企業のためだけに構築された環境を提供するサービスのことです。企業がクラウドコンピューティングのシステムを自社で構築し、企業内の部署やグループ会社のみでクラウドサービスを利用します。パブリッククラウドが誰でも使えるサービスであるのに対し、より利用者が限られたクラウドサービスと言えます。企業内でシステムを構築・管理できるので、より柔軟に運用できます。プライベートクラウドは、「オンプレミス型」と「ホスティング型」の2つがあり、オンプレミス型は独自のサーバを所有し、独自のクラウド環境が構築できます。ホスティング型は、サーバや設置場所はクラウドのプロバイダーが提供し、システムの一部を企業が占有して利用する方法です。

 

代表的なパブリッククラウド

・AWS

AWSは2006年からサービスを開始しており、世界では売上でトップシェアクラスのユーザ数を誇ります（米調査会社のガートナー2020年8月発表、2019年の世界シェア45％）。AWSはAmazonが自社商品の在庫管理やデータ分析を行うため、インフラやアプリケーションを一般利用者に公開したのが始まりです。クラウドコンピューティングを利用して、ストレージやデータベース、サーバなど、さまざまなサービスを貸し出しています。

AWSはサーバやストレージなどのインフラを提供するIaaS（Infrastructure as a Service）の種類が豊富なため、パブリッククラウドによるシステムの構築では、OSやミドルウェアの制限が少ないのが特徴です。その点では、利用者側でOSを含めたソフトウェアのセキュリティ管理などまで行う必要があります。

・Microsoft Azure

Microsoft Azureとは、2008年10月にマイクロソフト社のデベロッパーカンファレンスで発表され、2010年10月に「Windows Azure」としてサービスを開始しました。クラウドだけでなくオンプレミスでもMicrosoft Azureと同様の機能を利用することのできる「Azure Stack」が提供されていることも特長の一つです。さらに、アプリケーションとサービスのオンライン上のマーケットであるAzure Marketplaceでは、Microsoftやそのパートナーから提供されるサービスやツールを利用することができます。

・GCP

Google Cloud Platform（GCP） とは、Google がクラウド上で提供するサービス群の総称です。Google 社内で使われているものと同じテクノロジーやインフラを使用して、お客様のインフラ環境をクラウド化できます。

基本的な構成要素が初めから各種サービスとして用意されているため、それらを使用してすばやく開発を行うことができます。日本では2016年の11月から提供開始しています。

 

パブリッククラウドベンダーの選び方

メジャーなパブリッククラウドはそれまでの実績や規模から安心を覚え導入する企業も多いですが、パブリッククラウドベンダーを選ぶ場合は「メジャーである」という以外にも、きちんとサービスの質や信頼性をチェックする必要があります。パブリッククラウドを提供する事業者の信頼性は一つの重要な指標となります。会社の経営規模、事業としての安定性、そしてサービス利用者の数や、過去の事故情報の有無や安定性、そして何よりコストパフォーマンスが重要になってきます。

大規模な障害の影響

大きくなったデータセンターに障害や災害による被害があるとその影響は大きく、昨年、日本時間2019年8月23日に業界トップのAWSのサーバに数時間の障害があり、アクセス不能となっただけでも、その障害の影響力の大きさは大々的に報じられました。しかも障害発生中リアルタイムでサポートが受けられないことに不満の声も噴出しました。

メジャークラウド以外にも長い実績とクオリティの面優れたベンダーもあります。「Linodeクラウドコンピューティング」はアマゾンのAWSの3年前の2003年に設立されたクラウドプロバイダーです。Linodeには、「専門家によるリアルタイムサポート体制」「コストとパフォーマンスの最適化」「クラウド料金のコスト削減を実現」「オープンクラウド (ベンダーロックインなし)」といったAWSと異なるアドバンテージが存在します。

コストパフォーマンス

クラウドコンピューティングを導入するメリットの一つに、オンプレミスに比較し、通産でのコストパフォーマンスがよいというのがあげられます。しかし、メジャーに代表されるAWSはそのコスト試算が非常に分かりにくいという声がしばしば聞かれます。実際本当に安いの？というのに疑問があるのです。

信頼性コストパフォーマンスから選ぶならLinode

AWSの代替としてお勧めしたいのがLinodeクラウドコンピューティングです。LinodeはアマゾンのAWSの3年前の2003年に設立されたクラウドプロバイダーです。

  • コストとパフォーマンスの最適化
  • クラウド料金のコスト削減を実現
  • オープンクラウド (ベンダーロックインなし)
  • リアルカスタマーサービス
  • 100%独立したオープンクラウド
  • シンプル
  •  非競合

LinodeではAWSとは異なるこれらのアドバンテージを掲げ、現在世界中で800000人の利用者と開発者に選ばれています。

Web脅威を可視化し、遮断するクラウド型WAFを提供するクラウドブリックは、Linodeの日本パートナーです。詳細はこちらの記事をご覧ください。

 

進化するパブリッククラウドのセキュリティ

パブリッククラウドとプライベートクラウドはどちらにもメリットとデメリットがあります。パブリッククラウド多くは初期費用が無料なため、低コストで導入できるのがメリットです。ただしセキュリティ面では、専有環境を持てるプライベートクラウドの方が優れているとも言われてきました。そのため、セキュリティを含め、自社が必要とする要件や規模に合わせてプライベートクラウドを導入する企業も多かったのです。

CASB（Cloud Access Security Broker）

「CASB（Cloud Access Security Broker）」は2012年に米ガートナーが最初に提唱したクラウドサービスに対する情報セキュリティコンセプトです。一般的に「キャスビー」と呼ばれます。CASBのコンセプトは、「ユーザー（企業）と複数のクラウドプロバイダーの間に単一のコントロールポイントを設けて、クラウドサービスの利用状況を可視化/制御することで、一貫性のあるセキュリティポリシーを適用する」ことです。サービス利用においてインターネットを経由する際にCASBを経由させることでセキュリティを担保することができるようになります。CASBの機能には可視化・分析、コンプライアンス、データセキュリティ、脅威防御といったものがあります。

  • 従業員や部署単位でのクラウドサービス利用を可視化し、把握できる
  • 自社のコンプライアンスに合致したクラウドサービスを利用できる
  • 複数のデータ保護対策を、クラウドサービスに上げる際に適用できる
  • マルウェア対策や、内部不正を検知して迅速に対処できる
  • セキュリティ対策における多層防御を強化できる

こうしたセキュリティが導入されているパブリッククラウドは安心して利用することが可能です。もちろんLinodeのすべてのデータセンターは、24時間365日のオンサイトセキュリティ診断、アクセス制御など、最新の設備を維持されています。

Webアプリケーションセキュリティ

2021年 企業が注目すべきWebアプリケーション・セキュリティ・トレンド 　その2

by ブログ

ベライゾン（Verizon）の2020 DBIR Reportによると、昨今のデータ侵害の約5割がWebアプリケーションの脆弱性を狙った攻撃によって発生すると報告されています。Webアプリケーションに対する攻撃は益々増加し、関連規制も強化しつつあります。このような状況で企業が顧客の信頼を失わずにビジネスの持続性を保っていくためには、Webアプリケーション・セキュリティに対する最新情報を踏まえ、セキュリティ対策を強固にする必要があります。前回にご紹介した5つのセキュリティ・トレンドに続いて、今回も企業の信頼性とビジネス継続性を守れる最新のWebアプリケーション・セキュリティ・トレンドをまとめてお伝えします。

 

1. 個人情報保護強化

データ侵害による個人情報漏えいや個人情報不正利用など個人情報と関わるセキュリティ事故と被害が急増し、個人情報保護の重要性は年々高まっている現状です。

東京京商工リサーチによると2020年日本国内における個人情報漏えい被害の件数はおよそ2515万件に達するといいます。
また、外部からのサイバー攻撃による個人情報漏えいや不正利用等の他にも、企業が顧客の情報を無断収集・配布する行為によって顧客の個人情報が侵害された場合もあります。例を挙げると、2019年就職情報サイト「リクナビ」が、学生への説明が不十分なまま「内定辞退率」を企業に有償提供していた事件が代表的です。

被害拡大と共に個人情報保護法の改正により企業の個人情報収集・使用などに関する規制も強化され、2020年6月改正個人情報保護法は個人データを利用する企業の責任を重くした内容となっています。

顧客の個人情報侵害による信頼性の低下は長期的な観点からみると企業のビジネスに悪影響を与える可能性が高いです。したがって企業は顧客の信頼を失わないために個人情報と関わる規制に厳重に準拠するなど、個人情報保護に関するあらゆるイシューをWebアプリケーション・セキュリティに反映する必要があります。

 

2. ビルトインセキュリティbuilt-in security

ソフトウェア、サービスなどITシステムの企画·開発·運営のライフサイクルの全段階でセキュリティをビルトインすることの重要性が高まっています。

ビルトインセキュリティのメリットは、セキュリティを内蔵することを前提にソフトウェアやサービスを設計・開発する過程で、開発者が脆弱性を早期に識別し、対策を立てることが可能であることです。何よりもセキュリティ事故を未然に防ぐ事前対策を備えられることから、Webアプリケーション・セキュリティのトレンドとして注目されています。

 

3. アプリケーション・モニタリング Application Monitoring

アプリケーション・モニタリングは多様化しながら急増するサイバー攻撃を早期に発見し、被害拡大を抑えるために必需的に実装すべきのセキュリティ・ソリューションとして注目されています。

広くなるIT環境の中、いつどこから攻撃してくるか把握しきれないサイバー攻撃を人が直接毎分毎秒監視することはかなり時間と手数がかかる作業になります。そのためWebアプリケーションをリアルタイムでモニタリングする機能を企業システム内に搭載し、24時間サイバー攻撃を警戒・監視することが重要なセキュリティ・トレンドになっています。

  • アプリケーション・モニタリングによるメリット
  • 様々なソースからデータを収集
  • Webアプリケーションから脅威を検知・対応
  • 検知及び対応機能の拡張は脅威検知機能の正確さを向上
  • エンドユーザに影響する前にエラーを把握・処理

上記のようなメリットによってアプリケーションのセキュリティ性能と効率性が高まり、顧客の満足度まで確保できます。

 

4. Web攻撃の変化

Webアプリケーション・セキュリティの全般的な向上によってサイバー攻撃者も更なる進化を重ねて、Webアプリケーションを攻撃するための新しい手口を模索しています。そのため安全なWebアプリケーション・セキュリティ実現をためには、Web攻撃動向の変化を注意深く分析し、最も危険度高い攻撃を把握することを通じて、根本的な解決に繋げる対策に取り組むことが重要です。

ペンタセキュリティがリリースしたWebアプリケーション脅威分析レポート「WATTレポート」によると、2020年上半期Web攻撃Top5は次のようになっております。

  1. Extension Filtering（32.71%）
  2. Request Header Filtering（16.73%）
  3. SQL Injection（15.21%）
  4. Error Handling（7.46%）
  5. URL Access Control（5.71%）

Request Header Filteringの場合、2018年6.27%だった発生率は2020年上半期に16.73％まで上がり、その頻度が極めて増加したことが分かりました。また、Extension FilteringやSQL Injectionの場合、毎年のように発生していますが、URL Access Controlは2020年に新しくTop5に登場したWeb攻撃であります。このようなWeb攻撃動向の変化が2021年にも起こらないとは断言できませんので、一般的に知られているWeb攻撃への対策はもちろん、知られていない新しいWeb攻撃の登場を常に警戒する必要があります。

 

5. 2要素認証　Two-Factor Authentication

2要素認証とは、1つの要素だけで認証していた過程にもう1つの要素を加えてセキュリティの強化を図る手法のことです。例えば、一般的なIDとパスワードのような認証は「ID＋パスワード」という1つだけの要素で認証を行います。それに対し2要素認証は、ユーザが知っているもの（パスワード、暗証番号、秘密の質問への回答など）、ユーザが持っているもの（トークン、携帯電話、USBなど）、ユーザの身体的な要素（顔または音声認識、指紋など）、この3つの認証要素のうち2つを組み合わせた認証プロセスです。

2要素認証は他人の個人情報と権限を奪取して企業のシステムに潜入したり、不正利用したりするサイバー攻撃が増えていることから企業のビジネスを守るセキュリティ・トレンドとして注目されています。

実際、2020年「ドコモ口座不正」事件の根本的な原因は本人確認の甘さでありました。ドコモ口座の開設に厳格な本人確認はなく、ドコモメールアドレスを用意するだけで登録が済んでしまいます。この単純な本人確認の過程によって、犯人は何らかの方法で預金者の名義や口座番号などを盗み出し、名義人に成り済ましてドコモ口座を開くことが可能であったため、不正引き出しの被害が発生したと分析できます。

このような被害に遭わないために2要素認証を導入して本人かどうかを徹底的に確認する厳重な本人確認が企業のWebアプリケーションに必需的なものとなっています。

 

さいごに

信頼できない企業にビジネス継続性があるとは言えません。なら、信頼できる企業になるっためには何が必要でしょうか？信頼を守る最も基本的な方法は、サイバー脅威からビジネスに関する情報はもちろん、顧客の情報まできちんと保護することです。
特にWebアプリケーションはコロナ禍につれ非対面生活が持続している今、更に注目すべきのセキュリティ領域であります。Webアプリケーションを基づいて行われる非対面活動が増加しており、サイバー攻撃者は急速に利用度が高まって成長しつつあるWebアプリケーションでユーザは見え切れなかったセキュリティの四角を見抜くためにその目を光らせているからです。

したがって、変化の流れを止めないIT環境でWebアプリケーションセキュリティを発展させるために、企業は昨今のIT環境で狙われやすい脆弱性、セキュリティ脅威の動向、最新セキュリティソリューションなどを把握し、これらをセキュリティ対策を立てる意思決定に反映する必要があります。

Webアプリケーションセキュリティ

2021年 企業が注目すべきWebアプリケーション・セキュリティ・トレンド 　その1

by ブログ

サイバー攻撃者の主な標的になっているWebアプリケーションエリアは企業の核心情報に近接しています。そのため徹底したセキュルティ対策を立てることが何よりも重要です。急激に変化しつつある昨今のIT環境において、「果たしてどのようなセキュリティ対策をとるべきなのか」という問題を解くことはそう簡単ではありません。しかし企業はキュリティトレンドへ常に注目し、あらゆるサイバー攻撃に対抗できる対策について考え続ける必要があります。

そこで今回は、2021年企業が注目すべきWebアプリケーションセキュリティトレンドを２回にわたって説明したいと思います。

 

1. マシンラーニング・AI

医療・金融・製造等、様々な産業で使われているマシンラーニングとAI技術がもはやセキュリティ分野にも積極的に活用されており、この傾向は2021年以降にも堅調な推移が見込まれます。現在、セキュリティ分野ではAIが人の代わりに悪性コードの判明・分析を行い、誤検知率を低減させ、管理者の管理負担を軽減させる役割を果たしています。

2021年には以下の目標を目指して取り組みを続けていくと思われます。今後もAI・マシンラーニングによるセキュリティパフォーマンスは益々向上すると推測できるでしょう。

  • セキュリティ脅威検知技術の柔軟性向上
  • Webアプリケーションでの作業をモニタリングし、不正プログラムを検知
  • データの処理及び分析機能の向上
  • Webアプリケーションに発生できる脅威を予測

一方、これらの技術はセキュリティ分野だけでなく、サイバー攻撃を行う側にも利用されています。企業はIT技術の進歩がサイバー攻撃者に逆手に取られる可能性にも常に警戒し、対応策を講じておく必要があります。

 

2. クラウドコンピューティング・サーバレース環境

クラウドへ移行する企業と組織が多くなっている現在、急速に進むクラウドシフトと共にサーバレース環境も成長し続けています。
サーバレース環境とは、サーバの構築やメンテナンスの必要なく、アプリケーション機能を開発、実行、管理できるクラウドコンピューティングモデルの1つです。体表的にはFaaS (Function as a Service) があります。

サーバレース環境の導入におけるメリット

  • サーバー管理はサーバレスプロバイダーがすべてやってくれる
  • サーバー導入や管理などが一切不要になるため、開発の際プログラムを書く作業に集中できる
  • 使用時間と容量に合わせて費用が発生するため、費用対効果が高い

しかし、サーバレス環境ではさまざまなイベントソース（HTTP　API、クラウドストレージ、IoTのデバイス間通信など）によって攻撃範囲が拡張されます。また、サーバレスは新規プラットフォームであるため、現在サーバレースを標的とした攻撃パターン等の情報は少ない状況です。企業はWebアプリケーションが見知らぬ脅威に遭わないために新しい技術導入にも注意を深める必要があります。

 

3. API統合

API(Application Programming Interface、アプリケーション・プログラミング・インターフェイス)は、異なるアプリケーション間の相互作用を可能にするために標準化されたツール、定義、プロトコルを意味します。このAPIを統合するということは、「2つ以上のアプリケーションがAPIを通じて互いにデータを交換できるようにする結び付き」だといえます。 このAPI統合によるメリットを簡単にご紹介すると以下の通りです。

  • ビジネスサービスの速度や生産性が向上
  • ユーザとパートナーにAPIを提供することによって、関連データが円滑に共有され顧客の満足度を向上

それぞれのアプリケーションがすべてつながるIT環境において、API統合の重要性は更に高まるはずです。しかし、API統合によって共用・個人ネットワークまたはクラウドネットワーク上でAPIが露出される可能性も高くなっており、これがサイバー攻撃者にとっては新たな機会になるかもしれません。 安全が保証できないAPIエンドポイントが深刻なデータ侵害のきっかけになりうることに注意を深める必要があります。

 

4. 企業のデータサイエンス

データサイエンスとはデータの中で有意義な情報と知識を探索・解析し、データの新たな価値を発見する学問分野のことです。データに基づいた合理的な意思決定を助けるデータサイエンスは、企業の経営活動に欠かせない学問分野となっています。セキュリティ分野においても、数えきれないIT環境の情報を収集·分析してこそ、より安全で徹底したセキュリティ対策を立てられるため、データサイエンスの重要度は高くなっております。

なお、データサイエンスがWebアプリケーションのセキュリティに提供するメリットは次の通りです。

  • セキュリティ脅威検知機能向上
  • 膨大なデータを分析し、攻撃者の行動を分析
  • データ保護(データサイエンスがマシンラーニングと結合する場合)

データサイエンスを踏まえた意思決定により、企業はサイバー攻撃を予測し、重要情報を守るセキュリティを実現できます。

 

5. 浸透テスト

企業は浸透テストを通じて「攻撃者の手口」や「攻撃者に狙われやすいセキュリティ脆弱性」を調べられます。浸透テストとは、ホワイトハッカーを通じて、実際の攻撃行為のシミュレーションを行うことです。浸透テストは情報セキュリティレベルを能動的に評価できる次のような情報を提供するため、Webアプリケーションのセキュリティのトレンドとなっています。

浸透テストが提供する情報

  • アプリケーションの脆弱性
  • アクセスされた重要データ
  • テスターがシステム内で検知されなかった時間

「敵を知り、己を知れば百戦危うからず」という諺のように、ハッカーが侵入した状況を意図的につくって、そこから攻撃者の手口や保護対象のセキュルティ脆弱性、敏感なデータなどを識別したら、実際の攻撃にも対応できるセキュアな環境を構成することができるでしょう。

 

さいごに

企業は、サイバー攻撃者の手口を用いる浸透テストや有意義な情報を収集・分析するデータサイエンスに基づいて先制的防御システムを構築できます。しかし、クラウド、サーバレス環境やAPI などのビズネス活動の利便性を増進させる技術が、サイバー攻撃に利用される場合もあることに警戒する必要があります。また、セキュリティ強化に使われるAI•マシンラーニングなどのIT技術が、サイバー攻撃者にとっても攻撃を高度化させる材料として使われる可能性も考えておくべきです。

次回のWebアプリケーションのセキュリティトレンドでも、注目すべきのセキュリティトレンドをご紹介いたしますので、一読をお願いいたします。