AWS環境のセキュリティ対策を見直そう（AWS Identity and Access Management / 特権ID編）

皆さん、アマゾン ウェブ サービス（以降、AWS）環境のセキュリティ対策は万全ですか？

近年、クラウド環境をはじめとしたセキュリティ事故のニュースも増えており、ITインフラにおけるセキュリティ対策の注目度が非常に高まっています。
例えば、自社内でアクセス権限の適切な設定管理ができていますか？慣習的な手作業の運用は、重大なセキュリティインシデントになりかねません。

そこで本記事では、AWS環境におけるセキュリティの基本と、その考え方に即したセキュリティ対策について、全2回にわたり解説します。ぜひ自社環境を改めて見直すきっかけにしてみてください。

まずは、AWSのセキュリティを知るうえで重要となる『責任共有モデル』『予防的統制』『発見的統制』について紹介します。

責任共有モデルとはセキュリティにおける「クラウドサービスプロバイダー（CSP）と利用者の責任分界点」を示したモデルです。

オンプレミス環境の場合、インフラレイヤーからアプリケーションレイヤーまでの全てのレイヤーのセキュリティ対策を自分たちで実施する必要がありました。

一方、クラウドではインフラレイヤーの責任はAWSやAzureなどのCSPが担当し、インフラレイヤーより上位のレイヤーはユーザーで担当します。この考え方を『責任共有モデル』と呼びます。

「クラウドではセキュリティは全部CSPが考えてくれる」と思われている方もたまにいらっしゃいますが、この様にユーザーで検討が必要な領域があることをまずは抑える必要があります。

【責任共有モデル 図】

続いて、セキュリティ対策の考え方です。これには『予防的統制』と『発見的統制』の2つの考え方があります。

『予防的統制』は問題やリスクが発生する前に、未然に防ぐための対策です。アクセス権限の制限やデータの暗号化など、リスク発生自体を抑えられます。これにより、問題発生後に対応する場合に生じる想定外のコストや手間を削減できます。

『発見的統制』は問題やリスクが発生した後に、早期に発見して対応するための対策です。例えば、異常なアクセスや不正操作が検知された際に、即時対応できる仕組みを整えておきます。これにより、重大な損害や業務への影響を未然に防止できます。

前章では、セキュリティを考えるうえで、問題が起きないようにする（予防的統制）ことと、問題が起こった後に素早く対応する（発見的統制）こと、すなわち「被害の前後対応」が重要だとお伝えしました。

では、具体的にどんな対策を取っていけばよいのでしょうか。まずはアイデンティティ管理から見ていきましょう。

アイデンティティ管理とは、「誰がどのリソースにアクセスし、どんな操作ができるのか」を適切にコントロールする仕組みです。これにより、不正アクセスや誤操作などのリスクを軽減し、システム全体の安全性を確保できます。

ここからは具体的な対応策をご紹介します。

システムやクラウド環境におけるリソースへのアクセスや操作を適切に管理・制限します。オンプレミス環境でも実施されているかと思いますが、クラウド環境ではそれに加えて、クラウド特有の仕組みを活用した権限管理が求められます。

特にクラウド環境は複数ユーザーやアプリケーションがリソースを共有するため、アクセスできる人や操作できる内容を厳密に管理する必要があります。

こうした権限管理を担う仕組みがAWS Identity and Access Management（以降、IAM）です。

まずは、IAMを適切に設定・管理するための基本事項をまとめます。

IAMを利用する上で重要となるのが、『IAMの設計を正しく行う』です。言葉で言うのは簡単なものの、この点が非常に難しく多くのお客様からご相談を頂くポイントでもあります。

検討の進め方のベストプラクティスを以下に記載します。もし、具体的にお困りの方がいらっしゃいましたら、是非アシストにご相談頂ければと思います。

◆ベストプラクティス

続いては『特権ID』と呼ばれる、AWSアカウントのルートユーザーや、Administrator系の権限ポリシーを持つIDに関する運用・管理です。

特権IDは重要な操作を行えるため、悪用されると組織全体のシステムに重大な影響を及ぼします。そのため、適切に管理を行いシステムの安全性を確保することが重要です。

特権IDを適切に管理するためのベストプラクティスについて説明します。

◆ベストプラクティス

AWS環境だけではなく、オンプレミス環境等の複数環境における特権ID管理を実施する場合、サードパーティ製品の利用もご検討ください。

サードパーティ製品を利用することで、承認フローの確立や操作内容のログ管理/動画管理、レポート活用なども含めての特権IDの管理が可能となります。

【サードパーティツール（iDoperation）を利用した特権IDの払い出し イメージ】

アクセス制御を適切に行うためには、最小権限の原則に基づいて設計することが重要とお伝えしましたが、業務の中で適切な付与がされているかのチェックを行うことも合わせて重要です。

◆利用機能

【IAM Access Analyzer 外部アクセスに関する検出結果 イメージ】

IAM権限は「設計及び設定」だけではなく、「付与状況を定期的にチェックする」ことも非常に重要です。

そのため、こういった便利なAWSサービスも活用しながら、適切なIAM権限の付与を進めてみてください。

いかがでしたか？

本コラムでは、AWSセキュリティの考え方と、予防的統制の観点から具体的な対策の一部をご紹介しました。これを機に、自社のIAM設計・特権ID管理の見直しと強化を進めてみてはいかがでしょうか。

次回はログ管理及びサイバー攻撃編として、AWS環境で取り得る対策をご紹介します。