クラウドセキュリティポスチャ管理 (CSPM) は、サービスとしてのインフラストラクチャ (IaaS)、サービスとしてのソフトウェア (SaaS)、サービスとしてのプラットフォーム (PaaS) など、クラウドインフラストラクチャ全体のリスクの特定と修復を自動化します。CSPMは、リスクの可視化と評価、インシデント対応、コンプライアンス監視、DevOps統合に使用され、クラウドセキュリティのベストプラクティスを、ハイブリッド、マルチクラウド、およびコンテナ環境に一律に適用できます。

CSPMが重要な理由

クラウドは、1日のうちに何百、何千ものネットワークと接続したり切断したりすることがあります。この動的な性質がクラウドを強力にしていますが、これは同時にセキュリティの確保も難しくします。また、クラウドファーストの考え方が一般的になるにつれて、クラウドベースのシステムのセキュリティ保護の問題がより深刻になっています。

次の理由により、従来のセキュリティはクラウドでは機能しません。

• 保護すべき境界がない
• 手作業によるプロセスは、必要な規模やスピードでは実行できない
• 一元化されていないため、可視性を実現することが非常に困難

クラウドベースのコンピューティングは全体的なコストメリットをもたらしますが、マイクロサービス、コンテナ、Kubernetes、サーバーレス機能など、管理が必要な機能が非常に多いため、クラウドベースコンピューティングのセキュリティにROIが費やされてしまう可能性があります。ここには、悪名高いサイバーセキュリティのスキルギャップも大いに関係しています。新しいテクノロジーが、それらの使用経験があるセキュリティ専門家を企業が見つける前に展開されています。

これらの新しいテクノロジーとともに、コードとしてのインフラストラクチャ (IaC) という考え方が登場し、ここではインフラストラクチャが機械可読形式の定義ファイルによって管理およびプロビジョニングされます。このAPI駆動型のアプローチは、インフラストラクチャをオンザフライで簡単に変更できるため、クラウドファースト環境には不可欠となっていますが、環境に脆弱性をもたらすようなプログラムの設定ミスも起こりやすくなります。Gartnerは、すべてのセキュリティ侵害の95%が設定ミスによるものであり、これらのミスにより、2018年から2019年の間だけでも企業に約5兆ドルの損害を与えているとしています。

これらすべての問題の根底にあるのは、可視性の欠如という最大の脆弱性です。典型的なエンタープライズクラウドのような複雑で流動的な環境には、何十万ものインスタンスとアカウントがあり、どこで、何が、誰が、何を実行しているかを知ることは、高度な自動化によってのみ可能となります。その助けがなければ、設定ミスから生じる脆弱性は、数日、数週間、または侵害が発生するまで検知されないままになる可能性があります。

クラウドセキュリティポスチャ管理は、防止、検知、対応、および次にリスクが発生する可能性のある場所の予測を通じて、クラウド内のリスクを継続的に監視することで、これらの問題に対処します。

クラウドセキュリティポスチャ管理の利点

リスクには、意図的なものと非意図的なものの2種類があります。ほとんどのクラウドセキュリティプログラムは、外部からの攻撃や悪意のあるインサイダーなど、意図的なリスクに的を絞っています。しかし、機密データをS3バケットで公開したままにしておくなど、非意図的なミスは甚大な損害を引き起こす可能性があり、実際にそうした損害は発生しています。

例えば2020年11月に、旅行者や旅行代理店の機密データを含む少なくとも1,000万個のファイルが、不適切に設定されたS3バケットに保存されていたために漏洩しました。これは、ここ数年、企業や政界の要人たちを悩ませてきた多くの有名な情報漏洩事件のうちの最近の1件でしかありません。

クラウドセキュリティポスチャ管理は、いくつものコンソールをチェックして多くのベンダーからのデータを正規化するのではなく、マルチクラウド環境全体で統一された可視性を提供して、これらの偶発的脆弱性を阻止するように機能します。設定ミスは自動的に防止され、価値実現までの時間が短縮されます。

またCSPMでは、よく見られるような6つ以上のシステムではなく単一のシステムを介してアラートが送信されるため、アラート疲れを軽減します。また、人工知能によってフォールスポジティブが低減されます。その結果として、セキュリティオペレーションセンター (SOC) の生産性が向上します。

CSPMは、コンプライアンスポリシーに準拠している環境を継続的に監視および評価します。ドリフトが検知されると、修正措置が自動的に行われます。

そしてもちろん、CSPMはインフラストラクチャ全体を継続的にスキャンすることで、隠れた脅威を発見します。検知が早ければ、修復までの時間も短縮されます。

クラウドセキュリティポスチャ管理の仕組み

クラウドセキュリティポスチャ管理は、検出、可視性、設定ミスの管理と修復のほか、次のような継続的な脅威検知やDevSecOps統合を提供します。

検出と可視性

CSPMは、クラウドインフラストラクチャ資産とセキュリティ設定の検出と可視化を提供します。ユーザーは、マルチクラウド環境とアカウント全体で、信頼できる唯一の情報源にアクセスできます。展開時に、設定ミス、メタデータ、ネットワーキング、セキュリティおよび変更アクティビティなどのクラウドのリソースと詳細が自動的に検出されます。アカウント、リージョン、プロジェクト、および仮想ネットワーク全体のセキュリティグループポリシーは、単一のコンソールで管理されます。

設定ミスの管理と修復

違反をリアルタイムで特定し修復できるよう、CSPMは、クラウドアプリケーションの設定を業界や組織のベンチマークと比較することで、セキュリティリスクを排除し、配信プロセスを加速させます。クラウドリソースの露出につながる、設定ミス、開放されたままのIPポート、不正な変更などの問題は、ガイド付き修復で修正でき、開発者がミスを回避できるようにガードレールが提供されます。ストレージは監視されていて、権限が適切に設定されていることが確認され、データが誤って一般に公開されないようにしています。また、データベースインスタンスも監視され、高可用性、バックアップおよび暗号化が有効になっていることが確認されます。

継続的な脅威検知

CSPMは、標的を絞った脅威の特定および管理アプローチにより、マルチクラウド環境のセキュリティアラートのノイズをなくすことで、アプリケーション開発ライフサイクル全体にわたって脅威をプロアクティブに検知します。アラートの数が減少するのは、CSPMが、攻撃者がエクスプロイトする可能性が最も高い領域に的を絞り、脆弱性が環境に基づいて優先順位付けされ、脆弱なコードが本番環境に到達することが防止されているからです。またCSPMは、リアルタイムの脅威検知を使用して、悪質なアクティビティ、不正なアクティビティ、およびクラウドリソースへの不正アクセスについて環境を継続的に監視します。

DevSecOps統合

CSPMはオーバーヘッドを低減し、マルチクラウドプロバイダーやアカウント間のフリクションと複雑さを排除します。クラウドネイティブのエージェントレスポスチャ管理により、すべてのクラウドリソースに対する一元的な可視性と制御が可能になります。セキュリティ運用チームとDevOpsチームは信頼できる唯一の情報源を入手し、セキュリティチームは侵害されたアセットがアプリケーションライフサイクルを通じて進行するのを阻止できます。

CSPMをSIEMと統合して、可視性を合理化し、設定ミスやポリシー違反に関するインサイトとコンテキストを取得する必要があります。

CSPMは、使用中のDevOpsツールと統合することで、DevOpsツールセット内の修復と対応を高速化します。レポートとダッシュボードにより、セキュリティオペレーション、DevOps、インフラストラクチャの各チームに共通の理解が得られます。

CSPMと他のクラウドセキュリティソリューションとの違い

クラウドインフラストラクチャセキュリティポスチャ評価 (CISPA)

CISPAは、第1世代のCSPMの名称です。CISPAは主にレポート作成に重点を置いていますが、CSPMには、簡単なタスク実行から人工知能の高度な使用まで、さまざまなレベルの自動化が含まれています。

クラウドワークロード保護プラットフォーム (CWPP)

CWPPは、あらゆる場所に存在するすべてのタイプのワークロードを保護し、複数のプロバイダーにわたって統合されたクラウドワークロード保護を提供します。CWPPは、最新のインフラストラクチャのニーズに合わせて適用した脆弱性管理、マルウェア対策、アプリケーションセキュリティなどのテクノロジーに基づいています。CSPMはクラウド環境専用に構築されており、ワークロードだけでなく環境全体を評価します。CSPMには、高度な自動化と人工知能、ガイド付き修復も組み込まれているため、ユーザーは問題があることを把握できるだけでなく、それを修正する方法のアイデアも得られます。

クラウドアクセスセキュリティブローカー (CASB)

クラウドアクセスセキュリティブローカーは、クラウドサービスプロバイダーとクラウドサービスの顧客の間に配置されるセキュリティ強化ポイントです。CASBは、トラフィックがポリシーに準拠していることを確認してから、ネットワークへのアクセスを許可します。CASBは通常、ファイアウォール、認証、マルウェア検知、データ損失防止を提供し、CSPMは継続的なコンプライアンス監視、設定ドリフト防止、セキュリティオペレーションセンター調査を実行します。CSPMは、インフラストラクチャの現在の状態を監視するだけでなく、インフラストラクチャの望ましい状態を定義するポリシーを作成し、すべてのネットワークアクティビティがそのポリシーに従うようにします。

クラウドストライクのCSPMソリューション：Falconクラウドセキュリティ

環境の設定ミスを継続的に監視するエージェントレスのクラウドネイティブ保護によって、セキュリティの盲点を解消します。CrowdStrike Falconクラウドセキュリティは、クラウドリソースの信頼できる唯一の情報源を通じて、マルチクラウド環境を完全に可視化します。

全体的なセキュリティポスチャに関する価値あるコンテキストとインサイトを得るだけでなく、将来のセキュリティインシデントを防ぐために取るべき適切な手順に関するガイダンスも得られます。CrowdStrike Falconクラウドセキュリティは、以下を提供します：

• 設定ミスや脅威をプロアクティブに検出するための、クラウドリソースの継続的なインテリジェント監視
• クラウドにおける、高速かつ効率的なアプリケーション展開
• マルチクラウド環境全体での可視性と制御の統合
• セキュリティリスクを解決するためのガイド付き修復
• 開発者がコストのかかるミスを回避することに役立つガードレール
• アラート疲れを軽減するための標的型脅威検出
• SIEMソリューションとのシームレスな統合