クラウドセキュリティポスチャ管理（CSPM）

クラウド環境は急速に拡大し、多数のアカウント、数千のリソース、数百万の設定項目にまたがることがよくあります。手作業によるセキュリティレビューでは、こうした規模に対応し続けることができません。Cloud Security Posture Management (CSPM) は、クラウドリソースの設定をセキュリティのベストプラクティスやコンプライアンスベンチマークに照らして、継続的かつ自動的に評価することで、この問題に対処します。CSPM は、攻撃者が発見して悪用する前に、パブリックな S3 バケット、開放されたセキュリティグループ、暗号化されていないデータベースなどの設定ミスを検出します。

CSPM ツールは、クラウド環境全体の設定を評価します。一般的なチェック項目には、ネットワーク（機密性の高いポートへのインバウンド通信で 0.0.0.0/0 を許可するセキュリティグループ、制限のないエグレス通信）、ストレージ（パブリックなバケット、暗号化されていないオブジェクト）、ID（ルートアカウントの使用、MFA が適用されていない状態、過度に許可範囲の広いロール）、コンピューティング（インターネットからアクセス可能なインスタンス、パッチ未適用の AMI）、ロギング（CloudTrail の無効化、VPC Flow Logs の欠落）、暗号化（保存時暗号化が設定されていないデータベース）などがあります。

従来の脆弱性スキャナーは、稼働中のシステムを調査して、既知のソフトウェア CVE を探します。一方、CSPM は別の方法を取り、リソース自体にトラフィックを送信せず、クラウドプロバイダーの API を通じて設定状態を分析します。CSPM は設定ミスによる脆弱性（誤った設定）を検出し、従来のスキャナーはソフトウェアの脆弱性（既知の CVE）を検出します。完全なクラウドセキュリティプログラムには両方が必要ですが、CSPM は特にクラウド環境特有のリスクプロファイルに対処します。

CSPM ツールは、業界標準のベンチマークに照らして設定を評価します。AWS、Azure、GCP 向けのCIS (Center for Internet Security) Benchmarksには、テスト可能な具体的なセキュリティ要件が数百件含まれています。たとえば CIS AWS Benchmark では、すべてのリージョンで CloudTrail を有効にすること、ルートアカウントで MFA を有効にすること、ルートアカウントにアクセスキーを設定しないこと、セキュリティグループで制限のない SSH/RDP を許可しないこと、不正な API 呼び出しに対する CloudWatch アラームを設定することなどが求められます。CSPM ツールは、検出結果を CIS Benchmark のコントロールに対応付けてレポートします。

主要なクラウドプロバイダーは、ネイティブの CSPM 機能を提供しています。AWS Security Hubは GuardDuty、Inspector、Macie の検出結果を集約し、CIS と PCI-DSS のコンプライアンスを評価します。Microsoft Defender for Cloud（旧称 Azure Security Center）は、Azure、AWS、GCP 全体に対して Secure Score と推奨事項を提供します。GCP Security Command Centerは、GCP リソースを継続的に監視します。ネイティブツールは、特に単一クラウド環境において、導入の出発点として適しています。

マルチクラウド環境や高度な機能が必要な場合、サードパーティ製 CSPM ソリューションによって、すべてのクラウドプラットフォームを横断した統合可視化が可能になります。主なソリューションには、Palo Alto Prisma Cloud（包括的で、CWPP を含む）、Wiz（エージェントレスで、グラフベースの攻撃経路分析を提供）、Orca Security（エージェントを使わないサイドスキャン）、Lacework（振る舞い分析）などがあります。これらのツールは、AWS、Azure、GCP の検出結果を一つのコンソールに集約し、一貫したリスクスコアリングモデルで表示します。

設定ドリフトは、時間の経過に伴ってクラウドリソースが承認済みの安全なベースラインから逸脱した状態です。承認された変更管理プロセスを経ない、その場限りの手動変更によって発生することがよくあります。CSPM ツールは、現在の状態を保存されたベースラインまたは望ましい状態の定義（Terraform や CloudFormation で記述）と比較することで、ドリフトを検出します。ドリフトアラートにより、セキュリティチームはセキュリティ上の欠陥につながる前に、承認されていない変更を調査して修正できます。

CSPM の検出結果には、3 つの方法で対応できます。手動修正：セキュリティチームが検出結果を受け取り、クラウドコンソールまたは CLI から修正します。ガイド付き修正：CSPM が手順やランブックを提供します。自動修正：CSPM が自動応答を実行します。たとえば、パブリックな S3 バケットを自動的にブロックしたり、検出時に過度に許可範囲の広いセキュリティグループルールを削除したりします。自動修正により、修正までの平均時間を数日から数秒に短縮できますが、正当なワークロードを中断しないよう、入念なテストが必要です。

CSPM ツールは、PCI-DSS、HIPAA、SOC 2、ISO 27001、GDPR、NIST CSF などの規制フレームワークに検出結果を対応付けたコンプライアンスレポートを生成します。これらのレポートには、合格したコントロール、失敗したコントロール、その推移が示されます。監査人は、継続的なセキュリティ監視の証拠として、CSPM のコンプライアンスレポートを受け入れるケースが増えています。組織はコンプライアンスレポートを自動作成して監査人に届けるようスケジュールでき、監査時の証跡収集にかかる手作業を減らせます。

CSPM は設定セキュリティ（コントロールプレーン）に重点を置きます。CWPP（Cloud Workload Protection Platform）は、ワークロード自体のランタイムセキュリティに重点を置き、VM、コンテナ、サーバーレス関数の内部におけるマルウェア、不正なプロセス、ファイル整合性の変更、ネットワーク異常を検出します。Prisma Cloud のような最新のプラットフォームは、CSPM と CWPP を単一のCNAPP（Cloud-Native Application Protection Platform）に統合し、設定からランタイムまでエンドツーエンドの可視化を提供します。

CSPM の検出結果は、組織のセキュリティ運用ワークフローに組み込む必要があります。重大度の高い検出結果（パブリックなデータベース、ルートアカウントのアクティビティ）は、SIEM アラートとチケット管理システムのインシデントを生成し、直ちに対応できるようにします。中程度の検出結果は、通常のパッチ適用およびハードニングのサイクルに組み込みます。CSPM ダッシュボードは週次のセキュリティ会議で確認し、CSPM の検出結果は、ソフトウェア CVE に対して使用する脆弱性管理プロセスと同じプロセスで、担当者、SLA、修正確認を含めて追跡する必要があります。

このレッスンで扱った CompTIA Security+ (SY0-701) の概念について、理解度を確認します。

このレッスンでは、CSPM は CIS コントロールなどのセキュリティベンチマークに照らして、クラウドリソースの設定を継続的に評価すること、設定ドリフトの検出によって、リソースが承認済みのベースラインから逸脱したときにアラートを出せること、そして自動修正によって、一般的な設定ミスの修正にかかる時間を数日から数秒に短縮できることを学びました。次は、IR 計画、プレイブック、チームを用いたインシデント対応の準備について学びます。