What is a Cloud Security Misconfiguration?

アプリケーションには、SQLインジェクションやクロスサイトスクリプティング(XSS)などの脆弱なコードパターンにより、攻撃に対する本質的な脆弱性が存在する可能性があります。ただし、これらの一般的な脆弱性がないアプリケーションでも、正しくデプロイおよび構成されていない場合、脆弱になる可能性があります。 OWASPによるとでは、アプリケーションの約4.5%が攻撃に対して脆弱な方法で構成またはデプロイされています。

これは一般的なアプリケーションに当てはまりますが、クラウドベースのアプリケーションは、セキュリティの設定ミスに対して特に脆弱です。で、最近のクラウドセキュリティ調査では、回答者の4分の1以上(27%)がパブリッククラウドセキュリティインシデントを経験しています。このうち23%は設定ミスによるもので、他よりもはるかに多くなっていますクラウドセキュリティの一般的な問題.これも前年比10%増となりました。

クラウドセキュリティの設定ミスは、今後数年間にわたって大きな問題になると予想されます。ガートナー社によるとでは、2025年までのクラウドセキュリティ障害の99%はお客様の責任であり、これらは多くの場合、セキュリティの設定ミスが原因です。セキュリティの設定ミスを迅速に防止、検出、修正する能力は、企業にとって不可欠ですクラウドセキュリティ戦略。

詳細はこちらデモをリクエストする

クラウドセキュリティの設定ミスの一般的な原因

クラウドセキュリティの責任共有モデルの下でクラウドのお客様は、独自のクラウドベースのリソースをセキュリティで保護する責任があります。しかし、多くの組織は、クラウドベースのインフラストラクチャのセキュリティ確保に苦労しています。

企業を危険にさらすこれらのセキュリティ設定ミスの一般的な原因には、次のようなものがあります。

マルチクラウドの複雑さ: ほとんどの組織では、複数の異なるクラウドプロバイダーのプラットフォームにまたがるマルチクラウドデプロイメントを使用しています。これらの各プラットフォームには独自のセキュリティ設定があるため、環境全体でこれらの設定を適切に構成および監視することは困難な場合があります。さらに、さまざまなセキュリティ設定間の一貫性の欠如は、組織へのリスクを高めます。
変更されていないデフォルト: 新しいアプリケーションをデプロイしたり、新しいクラウド環境に拡張したりする場合、組織の新しいクラウドインフラストラクチャには、セキュリティ構成設定のデフォルト値が付属しています。これらの設定が既定でセキュリティで保護されていない場合、これらの設定の再構成に失敗すると、組織が脆弱なままになる可能性があります。
安全でないDevOps: 俊敏性は、クラウドインフラストラクチャの主なセールスポイントの1つです。新しい機能を迅速に展開するために、管理者はテスト中に "一時的な" セキュリティ構成を設定する場合があります。これらの構成がリリース後に変更されない場合、組織は危険にさらされます。
スキルギャップ: 多くの組織は最近になってようやくクラウドに移行し、複雑なマルチクラウド環境を採用しています。これらの環境を保護するには、各プラットフォームのセキュリティ設定に関する深い経験が必要ですが、既存のサイバーセキュリティスキルのギャップにより、取得が困難な場合があります。
シャドーIT: クラウドプラットフォームはユーザーフレンドリーに設計されており、アプリケーション、データストレージ、その他のクラウドサービスを簡単に立ち上げることができます。その結果、従業員は、適切な承認や適切に構成されたセキュリティ制御なしにクラウド資産をデプロイする可能性があります。

クラウドセキュリティの設定ミスの例

企業のクラウド環境には、さまざまなセキュリティ設定ミスが存在する可能性があります。クラウドセキュリティの設定ミスの最も一般的な例には、次のようなものがあります。

デフォルトのアカウントとパスワード: さまざまなアプリケーションやサービスで使用される既定のアカウントとパスワードは、一般に知られています。デフォルトアカウントの無効化やパスワードの変更を怠ると、クラウドインフラがクレデンシャルスタッフィング攻撃に対して脆弱になる可能性があります。
パブリックにアクセス可能な資産: 多くのクラウドプラットフォームでは、ファイルやフォルダなどをパブリックにアクセス可能なリンクを使用して共有できます。このリンク共有により、リンクを知っている、または推測するすべてのユーザーが、機密性の高い企業データにアクセスできるようになります。
過剰なアクセス: クラウド環境では、ユーザーやアプリケーションに不要なアクセスや権限が付与されることがよくあります。この過剰なアクセスにより、資格情報の侵害、アクセス許可の誤用、または従業員の過失によって引き起こされるセキュリティインシデントの可能性と影響が高まります。
不要な機能: クラウドサービス、クラウドベースのアプリケーションまた、クラウド環境には不要な機能が付属している可能性があります。組織が使用していない機能を無効にしないと、デジタル攻撃対象領域が拡大します。
暗号化されていないストレージ: クラウドのデータストレージが増加しており、大量のデータがサードパーティのプラットフォームに保存され、他のクラウド顧客と共有されることがよくあります。このデータが暗号化されずに保存されている場合、権限のないユーザーがアクセスできる可能性があります。
不足しているアップデートとパッチ: 一方、クラウドプロバイダー基盤となるインフラストラクチャを維持し、クラウドのお客様は、アプリケーションと基盤となるソフトウェアコンポーネントに更新プログラムを適用する責任があります。これを怠ると、アプリケーションはパッチが適用されていない脆弱性の悪用にさらされる可能性があります。

CloudGuardでクラウドセキュリティの設定ミスを防ぐ方法

クラウド環境では、構成管理が複雑になる場合があります。クラウドアーキテクチャの性質とクラウドセキュリティの責任共有モデルにより、組織のクラウドインフラストラクチャを詳細に可視化することが困難になる場合があります。クラウドのお客様は、基盤となるインフラストラクチャへのアクセスや完全な制御ができず、このアクセスがなければ、従来のセキュリティソリューションの一部はクラウドで使用できません。

マルチクラウド環境の複雑さは、企業が複数のベンダー固有のセキュリティ設定を適切に構成する必要があるため、構成管理の課題を増幅させます。リーンセキュリティチームは、急速に進化するクラウドデプロイメントに追いつくのに苦労するかもしれません。

このようなクラウドセキュリティの設定ミスは、クラウドセキュリティに対する重大な脅威ですが、企業が直面するクラウドセキュリティのリスクはそれだけではありません。クラウドセキュリティの現状については、チェック・ポイントの 2022 Cloud Security Report.

クラウドセキュリティポスチャー管理の自動化は、急速に拡大するマルチクラウド環境においてセキュリティ構成を効果的かつスケーラブルに管理する唯一の方法です。チェック・ポイント CloudGuardが組織のクラウドデプロイメントにおけるクラウドセキュリティの設定ミスのリスクを最小限に抑えるのにどのように役立つかを確認するには、無料デモに申し込む.