SECURITY 510

Cloud Identity and Access Management

概要

SEC510では、まずクラウド侵害の傾向を簡単に概観し、なぜ侵害の大半がクラウドで起きているのかを探ります。マルチクラウドがどのようにセキュリティを難しくしているのか、なぜ企業はマルチクラウド化を進めているのか、標準化とクラウド不可知論の両方だけでは問題を解決できないのかを探ります。また、攻撃主導のコントロールとミティゲーションを実装するために、コースを通して使用する3つのフレームワーク、MITRE ATT&CK Cloud Matrix、Center for Internet Security (CIS) Cloud Foundational Benchmarks、Cyber Defense Matrixを紹介します。その後、学生はラボ環境を初期化し、最新のウェブアプリケーションをビッグ3の各プロバイダーにデプロイします。

これは、クラウド・セキュリティにおける最も基本的で誤解されている概念の1つを分析することにつながる：アイデンティティとアクセス管理（IAM）です。このモジュールでは、すべての受講生がIAMの基礎知識を身につけ、その上に残りのセクションが構築されるようにします。アクセスを適切にプロビジョニングすることで達成される目標、各クラウドの IAM サービス（AWS IAM、Microsoft Entra ID、Google Cloud Identity）、各サービスが提供するさまざまなタイプのアクセス制御について説明します。

次のモジュールでは、人間のIDからマシンのIDへと議論をシフトします。AWS Elastic Compute Cloud (EC2)、Azure Virtual Machines (VM)、Google Cloud Compute Engine (GCE)上で実行されるワークロードに、一時的なIAM認証情報がどのように付与されるかを学びます。その後、インスタンス・メタデータ・サービス（IMDS）を使用してクラウド仮想マシンから実際のIAM認証情報を漏洩させ、攻撃者がそれを悪用して機密性の高いクラウドデータにアクセスし、クラウドリソースを消費する方法を実際に検証します。

この基礎の上に立って、学生は不適切なパーミッションの付与によって引き起こされる主な脆弱性について議論する：ブロークン・アクセス・コントロール（BAC）。様々なツールを使って、不適切なアクセスを検出し、より良いパーミッションを実装する方法を学びます。この目的のために設計されたクラウドネイティブツール、AWS IAM Access Analyzer、Microsoft Entra ID Permissions Management、Google Cloud IAM Policy Intelligenceについて学びます。また、大規模言語モデル（LLM）とジェネレーティブAI（GenAI）がこの分析をどのように補強できるかを探ります。これらの戦略は、些細な脆弱性が一面的なニュースになるのを防ぐために非常に重要です。

このセクションの最後に、攻撃者が不適切なパーミッションを取得する重要な方法について説明する：特権の昇格である。各クラウド・プロバイダーでデフォルトで利用可能な多くの権限昇格経路を検証する。ポリシーのガードレールを実装することで、特権昇格が有効である可能性を大幅に最小化することができる。

エクササイズ

IAMの基礎
仮想マシンのクレデンシャル公開
壊れたアクセス制御とポリシー分析
IAM特権のエスカレーション
ボーナスチャレンジ（第1節）

トピックス

• はじめに
  
  • クラウド侵害の傾向
  • 安全でないデフォルト
  • マルチクラウドの考察
  • シャドークラウドアカウント
  • M&Aによるクラウド調達
  • 標準化とクラウド不可知論
  • MITRE ATT&CK クラウドマトリックス
  • センター・フォー・インターネット・セキュリティ（CIS）クラウド・ファウンデーション・ベンチマーク
  • サイバー防衛マトリックス
  • ラボ環境紹介
  • HashiCorp Terraformの概要
• クラウド・アイデンティティおよびアクセス管理（IAM）
  
  • AWS IAM
  • マイクロソフトエントラID
  • Google Cloud Identity
  • アイデンティティ・ベースのポリシー
  • 資源ベースの政策
  • 属性ベースのアクセス制御
  • 組み込みとカスタムのポリシーと役割
  • AWS組織サービスコントロールポリシー(SCP)
  • AWS権限の境界
  • AWSセッションポリシー
  • Azureロールベースアクセスコントロール（RBAC）
  • Googleクラウド許可ポリシー
  • Google Cloud拒否ポリシー
• クラウド・マネージド・アイデンティティ・メタデータ・サービス
  
  • クラウド・コンピュート・サービス
  • マシン・アイデンティティ
  • AWS Elastic Compute Cloud (EC2)
  • AWS IAMロール
  • AWSインスタンスプロファイル
  • Azure仮想マシン（VM）
  • Azure Managed Identity
  • グーグル・クラウド・コンピュート・エンジン（GCE）
  • Googleクラウドサービスアカウント
  • インスタンス・メタデータ・サービス（IMDS）
  • IMDSの悪用
  • サーバーサイドリクエストフォージェリ
  • コマンド・インジェクション
  • IMDSハードニング
• 壊れたアクセス制御とポリシー分析
  
  • 組み込みのポリシーと役割を悪用する
  • クラウド・リソース・ハイジャック
  • カスタムポリシーを使用してビジネス要件を満たす
  • 壊れたアクセス制御の発見
  • AWS IAMアクセスアナライザー
  • マイクロソフトEntra ID権限管理
  • Google Cloud IAMポリシーインテリジェンス
  • 大規模言語モデル（LLM）と生成AI（GenAI）の概要
  • IAMポリシー分析のための大規模言語モデル（LLM）の使用
  • LLMをセキュリティに応用するための効果的な使用例と非効果的な使用例
  • LLMの幻覚による壊れたアクセス制御
• IAM特権のエスカレーション
  
  • IAMパーミッションエディター
  • 遷移的同一性なりすまし
  • 危険な組み込みのポリシーと役割
  • デフォルトのマシン ID 権限
  • 特権の昇格を防ぐ
  • ポリシーのガードレール

Cloud Virtual Networks

概要

セクション2では、仮想プライベート・ネットワーク制御を使ってインフラとデータをロックダウンする方法について説明する。パブリック・クラウドのIPアドレス・ブロックはよく知られており、デフォルトのネットワーク・セキュリティは緩いことが多いため、何百万もの機密資産が不必要にパブリック・インターネットにアクセス可能になっている。このセクションでは、これらの資産のどれもが組織のものではないことを確認する。

各プロバイダー内で、どのように出入国トラフィックを制限できるかを示すことから始める。受講生は、機密情報を含む公開データベースへのアクセスなどを例に、これらの制御を行わないとどのような損害が発生するかを分析する。その後、セキュアなクラウド設定によって不要なイングレス・トラフィックを排除します。

次のモジュールでは、IaaS（Infrastructure as a Service）クラウドプラットフォームで稼働する仮想マシンの保護について深く掘り下げます。まず、AWS Systems Manager (SSM) Session Manager、Azure Bastion、Google Cloud OS Login、Google Cloud Identity-Aware Proxy (IAP)を介したセキュアな管理を可能にしながら、パブリックIPアドレス、管理ポート、シリアルコンソールサービスを削除する方法を示します。これらの技術により、組織は内部システムをパブリック・インターネットから守りながら、効果的に作業することができる。そして、HTTP(S)サーバーを公開しなければならないVMを、クラウド・アプリケーション・ロード・バランサー(ALB)とビルトインWebアプリケーション・ファイアウォール(WAF)サービスで保護する方法について説明します。

インフラをロックダウンした後は、プライベート・エンドポイントを使用して、信頼できないネットワークからPlatform as a Service（PaaS）プラットフォームへのアクセスを防ぐことに焦点を絞ります。内部ネットワークへのデータ・アクセスを制限するために、防御者がどのようにこれらのエンドポイントを使用できるかを実演します。組織の最も機密性の高いデータは、IaaSではなくPaaSに保存されていることが多いため、このトピックは非常に重要です。

プライベートエンドポイントは強力な保護を可能にする一方で、悪用される可能性もあります。具体的には、エンドポイントポリシーが不適切に設定された AWS プライベートエンドポイントを使用して、インターネットに接続されていない孤立したネットワークからリモートコード実行（RCE）を実行し、データを流出させることができます。学生は悪意のあるペイロードを使用して、ターゲットのAWSアカウントから攻撃者のAWSアカウントにデータを流出させます。その後、この攻撃ベクトルを防ぐためにエンドポイントポリシーを修正します。

このセクションでは、ブロックできないネットワーク・チャネル上の悪意のあるトラフィックに対処するために、クラウドベースのネットワーク分析機能を有効にする方法について説明します。受講者は、クラウドのフロー・ログを分析し、侵害の指標を検索します。このモジュールでは、Google Cloud Firewall Rules logging、AWS Traffic Mirroring、Google Cloud Packet Mirroring の 3 つのクラウドすべてにおけるフロー・ロギング・ソリューションを取り上げます。これらのトピックの多くには、関連するボーナス課題があります。

エクササイズ

• 進入トラフィックの制御
• パブリック仮想マシンの保護
• プライベート・エンドポイントによる出口トラフィックの制御
• プライベートエンドポイントの悪用によるリモートコード実行
• ボーナスチャレンジ（第2節）

トピックス

• クラウド仮想ネットワーク
  
  • ネットワークサービスのスキャン
  • デフォルトのネットワーク構成
  • インターネット・ゲートウェイ
  • NATゲートウェイ
  • AWSセキュリティグループ
  • AWS NACL
  • Azureネットワークセキュリティグループ
  • Google Cloudファイアウォールのルール
• パブリック仮想マシンの保護
  
  • パブリックIPアドレスの排除
  • SSHとRDPの管理アクセスをブロックする
  • シリアルコンソールデバッグアクセスを無効にする
  • AWS Systems Manager (SSM) セッションマネージャ
  • アズール・バスティオン
  • Google Cloud OSログイン
  • Google Cloud Identity-Aware Proxy (IAP)
  • クラウドアプリケーションロードバランサー（ALB）
  • 内蔵ウェブアプリケーションファイアウォール（WAF）サービス
• プライベート・エンドポイント・セキュリティ
  
  • AWSプライベートリンク
  • Azureプライベートリンク
  • Google Cloud プライベート Google アクセス
  • Google Cloud VPC サービスコントロール
  • カスタム・サービス・エンドポイント
  • ソフトウェアパッケージ経由のサプライチェーン攻撃
  • リモートコード実行（RCE）
• プライベート・エンドポイントの悪用
  
  • AWSプライベートエンドポイントポリシー
  • インターネットにアクセスせずにリモートでコード実行
  • S3およびプライベート・エンドポイントを介した悪意のあるペイロード配信
  • AWS CloudTrailを介したデータ流出
• トラフィック監視の有効化
  
  • フロー・ロギング
  • Google Cloudファイアウォールのルールログ
  • AWSトラフィックミラーリング
  • Google Cloud パケットミラーリング

Cloud Data Security

概要

クラウドにおけるデータ・セキュリティは、オンプレミスと同様、いやそれ以上に重要である。適切なコントロールがあれば防げたはずのクラウド上のデータ漏えいは数え切れないほどある。このセクションでは、データの暗号化、セキュアなストレージ、ランサムウェア対策、アクセス制御、データ損失の検出、ポリシーの実施などを可能にするクラウド・サービスについて検証する。

セクション3の前半では、クラウドにおける暗号化について知っておくべきことをすべて学びます。各プロバイダーの暗号鍵管理ソリューションと、それを使用して静止時に複数のレイヤーの暗号化を適用する方法について学びます。また、クライアント、ロードバランサー、アプリケーション、データベース・サーバー間の暗号化など、クラウド全体でトランジット中の暗号化がどのように実行されるかを学びます。これらのテクニックは、組織のセキュリティを向上させると同時に、法的およびコンプライアンス上のニーズを満たすものです。

セクション3の後半は、主にクラウドストレージサービスに焦点を当てている。最も基本的なストレージ・セキュリティの手法であるパブリック・アクセスのオフについて簡単に説明した後、組織全体のアクセス制御、ランサムウェアの緩和、ファイルのバージョニング、データの保持など、より高度な制御について説明する。最後に、さらなるデータ流出経路と、機密データの保存を自動的に検出する方法について説明します。

エクササイズ

• 不適切なキーの使用を検出し、防止する
• あらゆるものを暗号化する！
• ランサムウェアからの回復
• 機密データの検出と流出
• ボーナスチャレンジ（第3節）

トピックス

• 暗号鍵管理
  
  • AWS KMS
  • Azure Key Vault
  • Google Cloud KMS
  • シングルテナントの代替案の概要AWS CloudHSM、Azure Dedicated HSM、Azure Key Vault Managed HSM、Google Cloud Bare Metal (Rack) HSM
  • キー使用監査ログ
• クラウドサービスによる暗号化
  
  • ディスクレベルの暗号化
  • サービスレベルの暗号化
  • 列レベルの暗号化
  • 輸送中の暗号化
  • クラウド・サービス全体で一貫した暗号化の実施
• クラウド・ストレージ・プラットフォーム
  
  • アクセス・コントロール
  • ランサムウェアの予防と復旧
  • 監査ログ
  • データ保持
  • 開発者ツールによるサプライチェーン攻撃
• 機密データの流出
  
  • データ流出経路
  • 署名入りURL
• 機密データの検出
  
  • アマゾン・マシー
  • Amazon CloudWatch ログデータ保護
  • Microsoft PurviewとAzure情報保護の概要
  • Google Cloud データ損失防止 / 機密データ保護

Cloud Application Services and User Security

概要

このセクションでは、クラウドベースのアプリケーションを駆動するインフラストラクチャを保護する方法と、それらのアプリケーションのユーザーを保護する方法を学びます。まず、業界を席巻しているコンピューティング・パラダイムであるサーバーレスFaaS（Functions as a Service）について説明します。本書では、サーバーレスがもたらす課題と、製品開発やセキュリティ運用の安全性を確保する上でサーバーレスがもたらす利点について、バランスよく論じている。Serverless Prey（本コースの著者が開発したオープンソースツール）を使用してサーバーレスの実行環境を調査した後、実際の環境で実用的なサーバーレス機能を調査し、強化します。

次のモジュールは、CIAM（Customer Identity and Access Management）が組織のアプリケーションのユーザを追跡し、認証するのにどのように役立つかをカバーします。このモジュールは、AWS の CIAM ソリューションである Amazon Cognito を深く掘り下げ、そのデフォルト構成がどのようにユーザ列挙攻撃とアカウント乗っ取り攻撃を実行するために悪用されるかを説明します。また、Cognito Identity Poolsを使用して、Cognito User Poolsのユーザーがどのように危険なAWS IAM権限を取得できるかを示します。最も重要なことは、これらの攻撃をどのように防ぐことができるかを示すことです。

このセクションでは、Google CloudのCIAMソリューション、Google Cloud Identity for Customers and Partners（CICP）も取り上げる。Google CloudはFirebaseという会社の買収によってこのサービスを手に入れた。このセクションは、このCIAMとFirebaseの主力製品であるRealtime DatabaseとCloud Firestoreとの相互作用の詳細な内訳で締めくくられている。これらのサービスは非常に人気があるが、ほとんどレビューされていないサーバーレスデータベースであり、Google Cloudプロジェクトにとって多くのアクセス制御の考慮事項やセキュリティへの影響がある。

エクササイズ

• サーバーレスの獲物
• サーバーレスファンクションを固める
• CIAMの使用と活用
• Firebaseデータベースアクセス制御の不具合
• ボーナスチャレンジ（第4節）

トピックス

• クラウド・サーバーレス機能
  
  • AWSラムダ
  • Azure FunctionsとAzure App Service
  • Google Cloud Functions / Google Cloud Run Functions
  • サーバーレスにおけるセキュリティの利点と懸念事項
  • サービスコントロール機能
  • サーバーレスでの永続性
• クラウド・カスタマー・アイデンティティ・アンド・アクセス・マネジメント（CIAM）
  
  • OAuth 2.0、OpenID Connect（OIDC）、SAMLの概要
  • Amazon Cognitoユーザープール
  • ユーザー列挙攻撃
  • Amazon Cognitoユーザーアカウント乗っ取り攻撃
  • Amazon Cognitoアイデンティティ・プール
  • Amazon Cognito AWS IAM 壊れたアクセス制御
  • Google Cloud Identity（顧客およびパートナー向け
  • Firebase認証
• FirebaseデータベースとGoogle Cloudの意義
  
  • Firebaseリアルタイムデータベース
  • クラウド・ファイアーストア
  • Firebase を介した Google Cloud の特権のエスカレーション
  • コンプライアンスに関する懸念

Multicloud and Cloud Security Posture Management

概要

コースの最後には、複数のクラウドプロバイダーにまたがって組織を運用する方法についての実践的なガイダンスがある。このコースで取り上げるトピックの多くは、組織のクラウドプロバイダーが互いに統合されている場合に、より複雑になる。まず、マルチクラウドの統合がアイデンティティとアクセス管理（IAM）にどのような影響を与えるかについて説明する。多くの組織では、マルチクラウド統合をサポートするために長期間の認証情報を使用している。このような認証情報は、攻撃者にとって短命の認証情報よりもはるかに価値があります。受講者は長寿命のクレデンシャルのベストプラクティスを学びますが、これはリスクを軽減するだけであり、排除するものではありません。このモジュールでは、ワークロード ID フェデレーションを使用して、短命のクラウド認証情報を使用してあるクラウドプロバイダーから別のクラウドプロバイダーに認証する新しい方法を示すことで、さらに一歩進めます。

次のモジュールでは、クラウドネイティブの CSPM（Cloud Security Posture Management）サービスを取り上げます。受講者は、これらのサービスを使用して、コース全体を通じてカバーされる CIS ベンチマ ークのセキュリティ・チェックを自動化する。これらの機能により、組織はSEC510で学んだ教訓を大規模に適用することができます。

最後のモジュールは、これら2つのトピックを結びつける。ほとんどの組織は、単一のプラットフォームを使用してすべてのクラウドをセキュアにすることを望んでいる。そのためには、ベンダーが組織のクラウドアカウントにアクセスできる必要がある。組織は、社内のシステムやユーザーと同等かそれ以上に、外部のサービスを信用しないようにしなければならない。このモジュールでは、このようなベンダーの信頼レベルを最小化し、この信頼が悪用されるリスクを低減するための主な要件を提供します。受講者は、マルチクラウドのCSPMサービスを例に、このトピックを探求します。具体的には、Microsoft Defender for Cloudのクロス・クラウドCSPM機能について学びます。このコースの著者によって発見された Microsoft Defender for Cloud の致命的な脆弱性をケーススタディとして分析し、組織のリンクされた AWS アカウントの機密データにアクセスするために使用される可能性があることを学びます。最後に、サードパーティのクラウドベンダーを経由して同様のタイプのエクスプロイトが実行されるのを防ぐための緩和策を実装します。

エクササイズ

• 安全なマルチクラウド統合
• 自動ベンチマーク
• クロスクラウドでの副保安官の混乱を防ぐ
• ボーナスチャレンジ（第5節）

トピックス

• マルチクラウド・アクセス管理
  
  • 長寿資格のリスク
  • ワークロード・アイデンティティ・フェデレーション
  • 長期間のクレデンシャルを必要としないクロスクラウド認証
• クラウド・セキュリティ・ポスチャー管理
  
  • AWSセキュリティハブ
  • クラウド版Microsoft Defender
  • Googleクラウドセキュリティコマンドセンター
• ベンダー統合とマルチクラウド・セキュリティ体制管理
  
  • サードパーティ・マルチクラウドのセキュリティ体制管理
  • ベンダー統合の評価基準
  • Microsoft Defender for CloudのクロスクラウドCSPM機能
  • 混乱する副保安官問題
  • クラウド版Microsoft DefenderにConfused Deputyの脆弱性
  • クラウドベンダーを介した顧客間のアクセス制御の破綻を緩和する
  • クラウドベンダーへの過剰な権限付与の拒否
• まとめ
• その他のリソース