AWSにおけるクラウドセキュリティとは

クラウドのセキュリティ確保は、データセンターを守ることとは異なります。AWSでは、セキュリティは設定とアイデンティティの問題になります。つまり、インストールするハードウェアではなく、自分で定義するソフトウェアが中心です。

従来のセキュリティでは境界を信頼していました。クラウドではそれが逆転し、真の境界は誰が何を実行できるかです。壁を破られるよりも、漏えいした認証情報から侵入されるのが一般的です。

AWSでは、ほとんどすべてがAPI呼び出しです。1つの誤った権限によって、短時間で広範囲が公開される可能性があります。しかし、すべての操作がログに記録されるため、監査や自動修正が可能です。

数分で何千ものリソースを起動できますが、ミスも同じ速さで広がります。設定ミスはクラウドにおける最大のリスクであり、自動化されたガードレールが重要になる理由です。

クラウドリソースは一時的なもので、必要に応じて出現し、消滅します。そのため、セキュリティは後から追加するのではなく、リソースの作成方法に組み込む必要があります。

万能な単一の対策はありません。ネットワーク、アイデンティティ、暗号化、ログ、検知といった保護を重ねます。1つが失敗しても、ほかの対策が被害を封じ込められるようにするためです。

AWSはアクティビティを記録してくれます。CloudTrailはAPI呼び出しを記録し、Configは状態を追跡し、CloudWatchはメトリクスを収集します。課題は、それらすべてのデータを意味のある形で理解することです。

すべての制御がソフトウェアであるため、セキュリティは自動的に対応できます。イベントをきっかけに関数を実行し、侵害されたサーバーを数秒で隔離できます。人間よりも速い対応です。

クラウドでは、コンプライアンスの証拠は設定やログから取得し、継続的に確認します。証明は迅速になりますが、1つの設定が意図せず変わるだけで、制御がひそかに機能しなくなる可能性があります。

最大の変化は考え方です。壁について考えるのをやめ、最小権限、全面的な暗号化、継続的な監視を考え始めましょう。何でも調査される可能性があると想定してください。

クラウドセキュリティは独立した専門分野です。境界よりもアイデンティティ、ハードウェアよりも設定を重視します。次はAWSで最も重要な考え方、責任共有モデルを学びます。

クラウドセキュリティの考え方を理解できているか確認しましょう。

クラウドセキュリティでは、境界からアイデンティティへ、ハードウェアから設定へと重点が移ります。主なリスクは設定ミスと認証情報の漏えいであり、多層防御によって対策します。