クラウドストレージのセキュリティとデータ漏えいリスク

クラウドオブジェクトストレージであるAWS S3、Azure Blob Storage、Google Cloud Storage (GCS)は、ファイルをオブジェクトとして、バケットまたはコンテナと呼ばれるフラットな名前空間に保存します。従来のファイルシステムとは異なり、権限はファイルシステムのACLではなく、バケットとオブジェクトに関連付けられたポリシーによって制御されます。オブジェクトストレージは大規模なデータに適していますが、1つのバケットの設定ミスによってテラバイト単位の機密データがパブリックインターネットに公開される可能性があるため、権限を慎重に設定する必要があります。

クラウドストレージで最も一般的な脆弱性は、パブリックにアクセス可能なバケットです。これは、アクセスが匿名の読み取り（または書き込み）を許可するストレージバケットを指します。この設定ミスは、Verizon（1,400万件の顧客レコード）、FedEx（119,000件のパスポート）、Capital One（1億件のクレジットカード申請）など、数十件の大規模な侵害を引き起こしてきました。攻撃者は、自動スキャナーを使って、既知のAWSアカウント命名パターン全体から公開バケットを探します。そのため、設定ミスが存在すれば、発見は容易です。

クラウドストレージでは、競合する可能性のある2種類のアクセス制御を使用します。バケットポリシーはバケットに関連付けられたJSONドキュメントで、どのプリンシパルがどのアクションを実行できるかを定義します。Access Control Lists (ACLs)は、オブジェクト単位で権限を付与する従来の仕組みです。AWSは、一貫性を保つためにACLを無効にしてバケットポリシーを使用することを推奨しています。両方が存在する場合は、最も許容範囲の広いポリシーが優先されます。つまり、バケットポリシーがアクセスを制限していても、過度に許容的なACLによってパブリックアクセスが許可される可能性があります。

クラウドストレージプロバイダーは、保存中のオブジェクトに対してサーバーサイド暗号化を提供します。SSE-S3（AWS）は、AWSが管理する鍵を自動的に使用します。SSE-KMSはAWS Key Management Serviceで顧客が管理する鍵を使用し、より詳細な監査証跡（復号はすべてCloudTrailに記録されます）と鍵のローテーション制御を提供します。SSE-Cは顧客が提供する鍵を使用し、その鍵をAWSの完全な管理外で顧客自身が管理します。機密データには、顧客管理キーを使用するSSE-KMSが最も強力な制御とコンプライアンスの証拠を提供します。

保存時に適切に暗号化されたデータでも、暗号化されていないチャネルで転送すると公開される可能性があります。すべてのクラウドストレージAPIには、HTTPS/TLS経由でのみアクセスしてください。S3では、バケットポリシーでaws:SecureTransport: falseのリクエストを拒否することにより、HTTPSを強制できます。事前署名付きURL（一時的な認証済みURLで、オブジェクトへの期間限定アクセスを許可するもの）は、必ずHTTPSを使用し、傍受された場合の公開期間を最小限にするため、有効期限を短く設定してください。

すべてのデータに同じレベルの保護が必要なわけではありません。機密データ（PII、PHI、財務記録）は、暗号化し、アクセスを制限したうえで、監査ログを有効にしたバケットに保存する必要があります。機密性の低いデータには、より広範なアクセスを許可してもかまいません。データ分類ラベルはオブジェクトの作成時に適用し、適切に設定されたストレージへデータを自動的に振り分けるために使用します。分類タグに基づいてデータをより安全なストレージへ自動的に移動するポリシーにより、機密データがセキュリティレベルの低いバケットに入る可能性を減らせます。

アクセスログは、事後に不正アクセスを検出し、コンプライアンス監査を行ううえで重要です。AWS S3 access logsとCloudTrail data event loggingは、オブジェクトレベルのAPI呼び出しをすべて記録します。つまり、誰がどのオブジェクトを、どのIPアドレスから、いつ要求したかを記録します。Azure Blobの診断ログとGCSの監査ログも同様の機能を提供します。これらのログがなければ、データ侵害が発覚した際にフォレンジック調査の証拠がなく、公開範囲を特定できません。

クラウドストレージは、アカウント間（開発、ステージング、本番、第三者パートナー）で共有されることがよくあります。慎重に設定されていないアカウント間アクセスは、過剰な権限を付与する可能性があります。ベストプラクティスには、ワイルドカードのプリンシパルではなく、バケットポリシーで明示的なアカウントIDを使用すること、どの外部アカウントにもアクセスを付与できないようAWS Organizations SCPsで制限すること、アカウント間の権限付与を定期的に監査すること、アカウント間のデータ転送にはパブリックインターネットアクセスよりAWS PrivateLinkを優先することが含まれます。

オブジェクトのバージョニングは、削除されたバージョンを含め、オブジェクトのすべてのバージョンを保持します。これにより、誤削除、ランサムウェアによるオブジェクトの暗号化、内部脅威から保護できます。重要なデータには、バージョニングとObject Lock（S3 Glacier Vault Lock相当）を組み合わせてください。これは、定義した保持期間中の削除や変更を防ぐWORM（Write Once, Read Many）ポリシーです。Object Lockは、金融業界や医療業界で、変更不可能な記録に関する規制要件を満たすために利用できます。

Cloud Security Posture Management (CSPM)ツールは、セキュリティベンチマークに照らしてクラウドストレージの設定を自動的にスキャンします。CSPMのチェック項目には、バケットがパブリックにアクセス可能になっていないか、保存時の暗号化が有効か、ログ記録が有効か、重要なバケットでバージョニングが有効か、バケットポリシーが過度に許容的でないか、といったものがあります。Prisma Cloud、Wiz、AWS Security HubなどのCSPMツールは、継続的なコンプライアンス監視を行い、攻撃者に先に発見される前に設定ドリフトを検知して警告します。

事前署名付きURLは、受信者がAWSの認証情報を持っていなくても、特定のオブジェクトへの期間限定アクセスを許可します。外部関係者とのファイル共有に便利です。セキュリティリスクには、意図した共有期間を超えて有効な、過度に長い有効期限のURL、受信者によって意図した対象者以外に転送されるURL、サーバーログにURL内のトークンが記録されることなどがあります。実用上可能な最短の有効期限を設定し、事前署名付きURLをログに記録しないようにしてください。

このレッスンで扱ったCompTIA Security+ (SY0-701)の概念について、理解度を確認しましょう。

このレッスンでは、パブリックバケットの設定ミスが、クラウドストレージにおけるデータ侵害の最も一般的な原因であること、SSE-KMSがCloudTrailによる監査ログを備えた最も強力な暗号化制御を提供すること、そしてオブジェクトのバージョニングとObject Lockの組み合わせが、重要なデータをランサムウェアや内部関係者による削除から保護することを学びました。次は、IAMロールとサービスアカウントを使ったクラウドIDについて学びます。