クラウドサービス設定診断
クラウドサービスを利用すれば安全にシステム運用が行えると思われがちですが、クラウドサービスにおいても安全に利用するために注意すべき箇所があります。攻撃を受けたわけではないのに、情報漏えいが発生してしまう事態とならないよう、クラウドサービスが適切に設定されていることを確認することが重要です。
サービス内容
クラウドサービス特有のセキュリティ設定の問題を検出
単一のガイドラインに依存せず幅広い観点での診断により問題点の検出漏れを防止
クラウドサービスは大手企業が提供しており世界中で広く使用されているサービスであり、個別にサーバ構築するよりも安全に構築・運用されるものと思いがちです。しかし実際には、クラウドサービス提供事業者が責任をもつ範囲と、利用者が責任をもつ範囲があります。利用者のサービス利用方法次第では思わぬセキュリティ事故が発生する危険性があります。
クラウドサービスでは、ネットワーク、サーバ、OS、ミドルウェア等がサービスとして提供されるため、簡単にシステム構築やシステム構成の変更ができます。
その一方で各サービスのログインアカウントの権限管理やパスワード管理をはじめとして、従来では物理環境の大幅な変更が必要となるような構成変更も、管理画面の操作で簡単にできるようになりました。
そのため、管理画面の設定次第では、サービス運用上危険な構成や設定にもなり得ます。クラウドサービス設定診断では、ご利用中のクラウドサービスの設定状況を確認し、情報漏えいや不正アクセスなどの危険性がないか調査します。
以下のクラウドサービスに対応しています。
Amazon Web Services (AWS)
Google Cloud Platform (GCP)
Microsoft Azure
※上記以外のクラウドサービスへの対応可否はお問い合わせください。
サービスの特長
診断ツールと技術者の手作業の組み合わせにより効率良く精度の高い診断を実施。検出された問題に対しては、個別のサービスに応じた具体的な改善策を提示
設定項目の確認など診断ツールを使用することで効率的に調査可能な箇所については診断ツールによる効率化を図りつつ、診断ツールでは検出できない項目については技術者が手作業で保管することで精度の高い診断結果をご報告します。
診断項目
下記のガイドライン等をベースに診断対象システムやご要望に応じて診断項目を設定します。
CIS Benchmarks
クラウドサービス毎に提供さえているセキュリティガイドライン（例：AWS Foundational Security Best Practices）
その他
・IAMロールの設定
・ログの取得設定
・鍵の管理 等
| 調査項目例 |
|---|
|
IAMアカウントのパスワードポリシー設定 rootアカウントのセキュリティ設定 データ暗号化設定 アクセスキー管理に関する設定 仮想サーバ(EC2等)に関するセキュリティ設定 ストレージサービス(S3等)に関するセキュリティ設定 ロードバランサー(ELB)のセキュリティ設定 データベース(RDS等)のセキュリティ設定 ログ取得設定 各種操作及び変更に対するアラーム（監視）設定 管理ポートへのアクセス制御設定 セキュリティグループによるアクセス制御設定 等 |
