クラウドの攻撃対象領域

クラウドでは、プロバイダーがインフラストラクチャを保護し、顧客が設定、ID、データを保護します。侵害の大半は、この境界の顧客側で発生します。

• プロバイダーはハイパーバイザーと物理セキュリティにパッチを適用します。
• 顧客はIAMポリシー、ストレージ権限、ネットワークルールを管理します。
• 支配的なリスクは、プロバイダーの侵害ではなく設定ミスです。

クラウドには従来のネットワーク境界がありません。アクセスはIAM（ユーザー、ロール、ポリシー、キー）によって管理されます。漏えいしたアクセスキーは、窃取されたドメイン管理者のパスワードと同じくらい深刻な被害をもたらす可能性があります。

• IAMポリシーによって、リソースに対するアクションが許可されます。
• ロールによって、サービスやユーザーが一時的な認証情報を引き受けられます。
• 過剰な権限を持つIDが、主な権限昇格経路です。

クラウドの認証情報は絶えず漏えいしています。一般的な原因には次のようなものがあります。

• 公開Gitリポジトリにコミットされたアクセスキー
• モバイルアプリ、CIログ、コンテナイメージにハードコードされたキー
• メタデータサービスに到達するServer-Side Request Forgery (SSRF)
• 短期間のロールではなく、長期間有効なキーを過度に共有すること

すべてのクラウドインスタンスは、一時的なロール認証情報を払い出すメタデータエンドポイントを公開しています。そこに到達できる VM 上で SSRF や RCE が発生すると、インスタンスロールを取得できることがよくあります。

• AWS IMDS は 169.254.169.254 で稼働しています。
• IMDSv1 はリクエストだけで利用できるため、SSRF によって簡単に悪用されます。
• IMDSv2 はセッショントークン（PUT の後に GET）を要求するため、多くの SSRF 攻撃を抑止できます。

オブジェクトストレージ（S3、GCS、Azure Blob）は、データ漏えいの原因になりやすい領域です。

• パブリック読み取りバケットでは、機密ファイルが漏えいします。
• パブリック書き込みバケットでは、改ざんやマルウェアのホスティングが可能になります。
• 範囲が広すぎるバケットポリシーや ACL によって、認証済みユーザーにアクセス権が付与されます。
• 有効期限が長い事前署名 URL によって、永続的なアクセスが漏えいします。

クラウドのネットワーク制御（Security Groups、NSGs、ファイアウォールルール）は、簡単に過剰公開につながります。

• データベースや管理ポートが 0.0.0.0/0 に公開されています。
• 管理プレーン（Kubernetes API、RDP、SSH）にインターネットから到達できます。
• 内部サービスが認証なしで VPC を暗黙的に信頼しています。

サーバーレスによってリスクの形は変わりますが、リスクがなくなるわけではありません。関数、キュー、マネージドデータベースには、それぞれ実行 ID があります。

• Lambda の実行ロールに過剰な権限が付与されている可能性があります。
• 環境変数には、侵害時に読み取られる可能性があるシークレットが保存されていることがよくあります。
• イベントソースの設定ミスによって、信頼できない入力から特権関数を実行できる場合があります。

2 つの攻撃対象領域を区別してください。

• コントロールプレーン：クラウド API（リソースの作成、IAM の変更、設定の読み取り）です。ここを侵害されると、アカウント全体に影響します。
• データプレーン：アプリケーション、VM、コンテナなどのワークロード自体です。

データプレーンへの足がかりからコントロールプレーンの認証情報を取得することが、典型的なクラウド権限昇格です。

大規模な組織では、ワークロードを多数のアカウント、サブスクリプション、プロジェクトに分割しています。

• 信頼ポリシーが弱いクロスアカウントロールによって、ピボットが可能になります。
• サードパーティ統合ロールにおける混乱した代理人（confused deputy）が悪用される可能性があります。
• 組織レベルのロール（例：OrganizationAccountAccessRole）は価値の高い標的です。

防御側はクラウドネイティブなログに依存しています。攻撃者はそれを無効化しようとします。

• CloudTrail、Activity Log、Audit Logs はコントロールプレーンの呼び出しを記録します。
• 攻撃者はトレイルを無効化したり、ログの配信を停止したりする可能性があります。
• GuardDuty、Security Command Center、Defender は異常を検知します。

ログ記録の無効化自体が、アラート対象にする価値のある高シグナルイベントです。

クラウドのペネトレーションテストには、プロバイダーへの配慮と承認が必要です。サービス拒否や特定のスキャンなど、一部の行為はプロバイダーの利用規約に違反します。必ずアカウントの所有権を確認し、影響範囲について合意したうえで、まずは読み取り専用の列挙を優先してください。

専用のテストアカウントまたは明確なタグを付けたリソースを使用し、文書化されたスコープ外のリソースには決して触れないでください。

クラウドの攻撃対象領域を理解できているか確認してください。

クラウドの攻撃対象領域を整理しました。

• クラウドリスクの大部分は、顧客側の設定ミスが占めています。
• 境界となるのは ID であり、漏えいしたキーとロールが主要な攻撃経路です。
• メタデータサービスは、データプレーンのバグとクラウド認証情報を橋渡しします。
• ストレージ、ネットワーク、ログ記録の設定ミスも、この攻撃対象領域を構成します。

次は、これらの問題を見つけるためにクラウドリソースを列挙します。