クラウドエンジニアリングとID・アクセス管理（IAM）
SEC510は、クラウドにおける侵害の傾向とマルチクラウド環境の課題に関する解説から始まります。受講者は、IAMやマシンIDに関連するリスクを学び、実際の攻撃手法を実践するとともに、IAMアナライザーなどのツールを使用して「不適切なアクセス制御（Broken Access Control）」を検出します。セクションの最後には、権限昇格を防止するための戦略について扱います。
取り上げられるトピック
-
クラウドのID・アクセス管理
-
クラウドのマネージドIDとメタデータ
-
不適切なアクセス制御とポリシー分析
-
IAMにおける権限昇格
ラボ
-
IAMプロビジョニング
-
仮想マシンの認証情報の露出
-
不適切なアクセス制御とポリシー分析
-
IAMにおける権限昇格
-
ボーナスチャレンジ（セクション1）
概要
SEC510は、クラウドにおける侵害の傾向に関する概要から始まり、なぜ現在、侵害の大部分がクラウドで発生しているのかを探ります。マルチクラウド環境がセキュリティをいかに複雑にするか、なぜ組織がマルチクラウドを採用するのか、そして標準化や「クラウド非依存（クラウド・アグノスティック）」といったアプローチだけではなぜ問題を解決できないのかを検討します。また、本コース全体を通じて「攻撃主導型」の制御や緩和策を実装するために使用する3つのフレームワーク（MITRE ATT&CK Cloud Matrix、CIS Cloud Foundational Benchmarks、Cyber Defense Matrix）を紹介します。その後、受講者はラボ環境をセットアップし、主要3大クラウドプロバイダー（AWS、Azure、Google Cloud）のそれぞれに最新のWebアプリケーションをデプロイします。
続いて、クラウドセキュリティにおいて最も重要でありながら誤解されやすい概念の一つである「IDおよびアクセス管理（IAM）」の分析に移ります。このモジュールでは、以降のセクションの基礎となるIAMの知識を確実に習得します。ここでは、適切なアクセス権の付与（プロビジョニング）によって達成される目標、各クラウドのIAMサービス（AWS IAM、Microsoft Entra ID、Google Cloud Identity）、および各サービスが提供するさまざまな種類のアクセス制御について学びます。
次のモジュールでは、人間のIDからマシンIDへと議論の対象を移します。受講者は、AWS Elastic Compute Cloud（EC2）、Azure Virtual Machines（VM）、Google Cloud Compute Engine（GCE）上で実行されるワークロードに対し、どのように一時的なIAM認証情報が付与されるかを学びます。さらに、Instance Metadata Service（IMDS）を利用してクラウド上の仮想マシンから実際のIAM認証情報を侵害（取得）し、攻撃者がそれらを悪用して機密性の高いクラウドデータにアクセスしたり、クラウドのリソースを消費したりする様子を実体験として検証します。
こうした基礎知識を踏まえ、不適切な権限付与に起因する主要な脆弱性である「Broken Access Control（BAC：不備のあるアクセス制御）」について議論します。受講者は、AWS IAM Access Analyzer、Microsoft Entra ID Permissions Management、Google Cloud IAM Policy Intelligenceといったさまざまなクラウドネイティブツールを活用し、不適切なアクセスを検知して、より適切な権限設定を実装する方法を学びます。これらの戦略は、些細な脆弱性が重大なセキュリティインシデント（ニュースのトップを飾るような事態）へと発展するのを防ぐために不可欠です。
このセクションの締めくくりとして、攻撃者が不適切な権限を取得する重要な手法である「特権昇格（Privilege Escalation）」について取り上げます。受講者は、各クラウドプロバイダーにおいてデフォルトで利用可能な数多くの特権昇格経路について検証します。ポリシー・ガードレールを導入することで、特権昇格が成功する可能性を劇的に低減できます。
トピックの詳細
- はじめに
- クラウド侵害の傾向
- 安全でないデフォルト
- マルチクラウドの考慮事項
- シャドウクラウドアカウント
- M&Aによるクラウド調達
- 標準化、クラウド不可知主義、AIの有効性
- MITRE ATT&CKクラウド マトリックス
- Center for Internet Security（CIS）のクラウド基盤ベンチマーク
- サイバー防御マトリックス
- ラボ環境の紹介
- HashiCorp Terraformの概要
- クラウドIDおよびIDアクセス管理（IAM）
- AWS IAM
- Microsoft エントラID
- GoogleクラウドID
- IDベースのポリシー
- リソースベースのポリシー
- 属性ベースのアクセス制御
- 組み込みポリシーとカスタムポリシーおよびロールの比較
- AWS組織サービス制御ポリシー（SCP）
- AWSのアクセス許可の境界
- AWSセッションポリシー
- Azureロールベースのアクセス制御（RBAC）
- Google Cloud許可ポリシー
- Google Cloud拒否ポリシー
- クラウド マネージドIDおよびメタデータ サービス
- クラウドコンピューティングサービス
- マシンのID
- AWSエラスティック コンピューティング クラウド（EC2）
- AWS IAM ロール
- AWSインスタンスのプロファイル
- Azure 仮想マシン（VM）
- Azure マネージド ID
- Google Cloud Compute Engine（GCE）
- Googleクラウドサービスアカウント
- インスタンスメタデータサービス（IMDS）
- IMDSのエクスプロイト
- サーバー側のリクエスト偽造
- コマンドインジェクション
- IMDSの強化
- 壊れたアクセス制御とポリシー分析
- 組み込みのポリシーとロールの活用
- クラウドリソースのハイジャック
- カスタムポリシーを使用してビジネス要件を満たす
- 壊れたアクセス制御を見つける
- AWS IAMアクセスアナライザー
- Microsoft Entra ID権限管理
- Google Cloud IAMポリシーインテリジェンス
- IAM 権限の昇格
- IAM権限エディター
- 推移的なIDの偽装
- 危険な組み込みポリシーとロール
- デフォルトのマシンID権限
- 権限昇格の防止
- ポリシーのガードレール
プライベートネットワーク、エンドポイント、および暗号化
セクション2では、ネットワークおよび暗号化に関する制御に焦点を当てます。受講者は、仮想マシン（VM）の保護、PaaS向けプライベートエンドポイントの利用、データ持ち出しを伴うリモートコード実行（RCE）の防止、フローログ分析による悪意あるアクティビティの検知、そして主要3大クラウド全体にわたる暗号化キーの管理について学びます。
取り上げられるトピック
-
パブリック仮想マシンの保護
-
プライベートエンドポイントのセキュリティと悪用
-
トラフィック監視の有効化
-
暗号化キーの管理
-
クラウドサービスにおける暗号化
ラボ
概要
セクション2では、仮想プライベートネットワーク制御を使用してインフラストラクチャとデータをロックダウンする方法について説明します。パブリッククラウドのIPアドレスブロックはよく知られており、デフォルトのネットワークセキュリティが緩いことが多いため、何百万もの機密資産がパブリックインターネットに不必要にアクセスできます。このセクションでは、これらの資産が組織に属していないことを確認します。
まず、AWS Systems Manager（SSM）Session Manager、Azure Bastion、Google Cloud OS Login、Google Cloud Identity-Aware Proxy（IAP）を介して安全な管理を可能にしながら、パブリックIPアドレス、管理ポート、シリアル コンソール サービスを削除する方法を説明します。これらの技術により、組織は内部システムを公共のインターネットから遮断しながら効率的に作業できるようになります。次に、HTTP(S)サーバーを公開する必要がある VM をクラウド アプリケーションロードバランサー（ALB）と組み込みの Web アプリケーションファイアウォール（WAF）サービスで保護する方法について説明します。
インフラストラクチャがロックダウンされたため、信頼できないネットワークがプライベートエンドポイントを使用してサービスとしてのPaaSプラットフォームにアクセスすることを防止することに重点を置きます。防御者がこれらのエンドポイントを使用して内部ネットワークへのデータアクセスを制限する方法を示します。組織の最も機密性の高いデータはIaaSではなくPaaSに保存されることが多いため、このトピックは重要です。
プライベートエンドポイントは強力な保護を可能にしますが、悪用される可能性もあります。具体的には、エンドポイントポリシーが不適切に構成されたAWSプライベートエンドポイントを使用して、インターネットアクセスのない隔離されたネットワーク内でリモートコード実行（RCE）を実行したり、そこからデータを引き出したりする可能性があります。受講者は悪意のあるペイロードを使用して、ターゲットのAWSアカウントから攻撃者の AWSアカウントにデータを流出させます。その後、エンドポイントポリシーを修正して、この攻撃ベクトルを阻止します。
次のモジュールでは、クラウドベースのネットワーク分析機能を有効にして、ブロックできないネットワークチャネル上の悪意のあるトラフィックに対処する方法について説明します。受講者はクラウド フロー ログを分析し、侵害の兆候を探します。このモジュールでは、Google Cloudファイアウォールルールロギング、AWS Traffic Mirroring、Google Cloud Packet Mirroringの3つのクラウドすべてにおけるフロー ロギング ソリューションについて説明します。これらのトピックの多くはボーナス チャレンジに関連しています。
このセクションの最後では、クラウドでの暗号化について知っておくべきことをすべて説明します。受講者は、各プロバイダーの暗号化キー管理ソリューションと、それを使用して保存時に複数層の暗号化を適用する方法について学びます。受講者は、クライアント、ロードバランサー、アプリケーション、データベースサーバー間の暗号化など、クラウド全体で転送中の暗号化がどのように実行されるかについても学習します。これらの技術は、組織の法的およびコンプライアンスのニーズを満たしながら、組織のセキュリティを向上させます。最後に、量子後暗号（PQC）によってもたらされるセキュリティとコンプライアンスのリスク、その対処法、およびビッグ3クラウドプロバイダーがどのように対処しているかについて説明します。
トピックの詳細
-
パブリック仮想マシンの保護
-
ネットワークサービススキャン
-
パブリックIPアドレスの排除
-
SSHおよびRDPによる管理アクセスをブロック
-
シリアルコンソールデバッグアクセスの無効化
-
AWS Systems Manager（SSM）Session Manager
-
Azure Bastion
-
Google Cloud OS Login
-
Google Cloud Identity-Aware Proxy（IAP）
-
Cloud Application Load Balancer（ALB）
-
組み込みのWeb Application Firewall（WAF）サービス
-
プライベートエンドポイントのセキュリティ
-
AWS PrivateLink
-
Azure Private Link
-
Google Cloud Private Google Access
-
Google Cloud VPC Service Controls
-
カスタムサービスエンドポイント
-
ソフトウェアパッケージを介したサプライチェーン攻撃
-
リモートコード実行（RCE）
-
プライベートエンドポイントの悪用
-
トラフィック監視の有効化
-
暗号鍵管理
-
クラウドサービスでの暗号化
-
ディスクレベルの暗号化
-
サービスレベルの暗号化
-
列レベルの暗号化
-
転送中のデータの暗号化
-
クラウドサービス全体での一貫した暗号化の強制
クラウドデータセキュリティとAI制御
セクション3では、クラウドデータセキュリティとAI制御に焦点を当てます。受講者は、セキュアなストレージ、ランサムウェア対策、ベクトルデータベース、クラウドセキュリティ制御の実装における生成AI（GenAI）やエージェント型AI（Agentic AI）の活用、そしてクラウド上のRAG（検索拡張生成）インフラストラクチャを保護する方法について学びます。
取り上げられるトピック
-
クラウドストレージプラットフォーム
-
ベクトルデータベース
-
AIを活用した脅威緩和策
-
クラウドAIインフラストラクチャの保護
ラボ
-
ランサムウェアからの復旧
-
ベクトルデータベースのセキュリティ
-
AIを活用した脅威緩和策
-
クラウドAIインフラストラクチャの保護
-
ボーナスチャレンジ（セクション3）
概要
クラウドにおけるデータセキュリティは、オンプレミス環境と同様に、あるいはそれ以上に重要です。クラウドベースの生成AI（GenAI）やエージェント型AI（Agentic AI）は、クラウド上のデータの機密性と完全性に依存しています。本セクションでは、セキュアなオブジェクトストレージ、ランサムウェア対策、ベクトルデータベース、およびRAG（検索拡張生成）インフラストラクチャについて検討します。
第2のモジュールは、ベクトルデータベースに焦点を当てます。これらのシステムは、生成AIやエージェント型AIのインフラストラクチャの中核を成すものです。そのため、AIのセキュリティはベクトルデータベースの制御機能に左右されます。このモジュールでは、ベクトルデータベースとAIの関係、従来のオブジェクトストレージとの違い、ベクトルデータベースのユースケース（セマンティック検索、セマンティックキャッシング、AIエージェントのメモリなど）、そしてベクトルデータベースの完全性に関する複雑な課題への対処法について解説します。
本セクションの後半では、クラウドセキュリティの制御機能と、生成AIおよびエージェント型AIとの接点について探ります。ここでは、制御機能の適用にAIを活用する方法、AIプラットフォームに責任を委ねることのリスク、エージェント型AIコードエディタ、そして「バイブ・コーディング（vibe coding）」について取り上げます。最後のモジュールでは、クラウドベースのAIインフラストラクチャを保護する方法を学びます。具体的には、RAG（検索拡張生成）のプロセスや使用データの保存方法を詳述し、システムにおける危険な実装上の欠陥を実演するとともに、それぞれの緩和策を提示します。事例研究として、Azure AI FoundryのAI Searchを取り上げます。
トピックの詳細
- クラウドストレージプラットフォーム
- アクセス制御と多層防御
- ランサムウェアの防止と復旧
- データ保持
- オブジェクトのライフサイクル
- Amazon Macieによるクラウド上の機密データ検出
- 署名付きURL
- データ持ち出し（エクスフィルトレーション）経路
- 署名付きURL
- ベクトルデータベース
- オブジェクトストレージとベクトルストレージの比較
- クラウド型ベクトルデータベースサービス
- セマンティック検索
- セマンティックキャッシング
- AIエージェントのメモリ
- Amazon Bedrock
- Amazon OpenSearchおよびOpenSearch Serverless
- ベクトルデータベースの整合性に関する課題
- AIを活用した緩和策
- セキュリティへのLLM適用における有効・無効なユースケース
- セキュリティリスクとしての認知的負荷および責任のオフロード
- コードエディタとセキュリティ
- 事例：生成AIを用いた主要3大クラウド向けTerraformコードのOracle Cloud Infrastructure（OCI）への変換
- クラウドAIインフラのセキュリティ確保
- モデルのファインチューニングとRAG（検索拡張生成）の比較
- RAGへのデータ取り込み
- クラウドRAGソリューション
- RAGにおけるIAM、ネットワーク、およびデータアクセス制御に関する懸念事項
サーバーレス・ワークロードとエンドユーザーのセキュリティ
セクション4では、クラウドアプリケーションのインフラストラクチャとユーザーの保護について扱います。まずはサーバーレスFaaS（Function as a Service）の利点とリスクから学習を始めます。受講者は、実際のサーバーレス関数のセキュリティ強化（ハードニング）を行い、Amazon Cognitoを悪用したアカウント乗っ取りなどのCIAM（顧客ID・アクセス管理）に関連する脅威を調査し、Google CloudのFirebaseプラットフォームにおける最重要サービスの保護に取り組みます。
取り上げられるトピック
ラボ
- サーバーレス・プレイ（Serverless Prey）
- サーバーレス関数のセキュリティ強化
- CIAMの利用と悪用
- Firebaseデータベースの不備なアクセス制御
- ボーナス・チャレンジ（セクション4）
概要
このセクションでは、クラウドベースのアプリケーションを支えるインフラストラクチャを保護する方法と、それらのアプリケーションのユーザーを保護する方法を学びます。まず、業界で急速に普及しているコンピューティング・パラダイムである「サーバーレス・ファンクション・アズ・ア・サービス（FaaS）」を取り上げます。サーバーレスがもたらす課題と、製品開発やセキュリティ運用におけるセキュリティ上の利点の双方についてバランスよく解説します。受講者は、コース作成者が開発したオープンソースツール「Serverless Prey」を使用してサーバーレス・ランタイム環境を調査した後、実際の環境でサーバーレス関数を検証し、そのセキュリティを強化（ハードニング）します。
次のモジュールでは、組織のアプリケーションを利用するユーザーの追跡や認証を行うための「CIAM（Customer Identity and Access Management：顧客ID・アクセス管理）」について扱います。AWSのCIAMソリューションである「Amazon Cognito」を詳細に掘り下げ、そのデフォルト設定が悪用されてユーザー列挙やアカウント乗っ取り攻撃が行われる仕組みを解説します。また、Cognitoユーザープールのユーザーが、Cognito IDプールを利用して危険なAWS IAM権限を取得できてしまうケースについても示します。そして何よりも重要な点として、これらの攻撃をどのように防ぐかについて実演します。
このセクションでは、Google CloudのCIAMソリューションである「Google Cloud Identity for Customers and Partners（CICP）」についても取り上げます。Google Cloudは、Firebaseという企業の買収を通じてこのサービスを獲得しました。最後に、このCIAMの詳細な仕組みと、Firebaseの主力製品である「Realtime Database」および「Cloud Firestore」との連携について解説します。これらは非常に人気がありながらセキュリティ面での詳細な検討があまりなされていないサービスですが、Google Cloudプロジェクトにおいては、アクセス制御やセキュリティ上の影響を考慮すべきサーバーレス・データベースとなっています。
トピックの詳細
マルチクラウド、CSPM、およびサードパーティとの統合
最後のセクションでは、IAM（IDおよびアクセス管理）のリスク、安全な資格情報の使用、Workload Identity Federation（ワークロードIDフェデレーション）に焦点を当て、マルチクラウド運用について扱います。受講者は、CSPMツールを使用したセキュリティチェックの自動化や、サードパーティ・プラットフォームに関連する信頼性の課題について学びます。また、Microsoft Defenderを事例として、実際のクラウドセキュリティ・ベンダーの脆弱性を緩和する方法についても学習します。
取り上げられるトピック
ラボ
- マルチクラウド統合と長期有効な資格情報
- ワークロードIDの権限昇格
- クロスクラウド環境における「Confused Deputy（権限の悪用）」攻撃の防止
- ボーナス・チャレンジ（セクション5）
概要
本コースの締めくくりとして、複数のクラウドプロバイダーにまたがる組織の運用に関する実践的なガイダンスを行います。組織が利用するクラウドプロバイダー同士を統合する場合、本コースで扱うトピックの多くは複雑さを増します。まず、マルチクラウドの統合がIDおよびアクセス管理（IAM）にどのような影響を与えるかについて解説します。多くの組織では、マルチクラウド統合をサポートするために有効期間の長い（長期的な）認証情報を使用しています。こうした認証情報は、有効期間の短いものに比べて攻撃者にとって非常に価値の高い標的となります。長期的な認証情報の取り扱いに関するベストプラクティスを学びますが、それによってリスクを完全に排除できるわけではなく、あくまでリスクを軽減するにとどまります。
次のモジュールではさらに一歩踏み込み、「Workload Identity Federation（ワークロードIDフェデレーション）」を活用して、あるクラウドプロバイダーから別のクラウドプロバイダーへの認証を行う新しい手法を実演します。受講者は、これらの手法を用いて、サードパーティ製のクラウドセキュリティ態勢管理（CSPM）サービス（各クラウドプロバイダーが提供するものを含む）と統合する方法を学びます。
最後に、CSPMを含むサードパーティとの統合において、どのような問題が生じ得るかを学びます。組織は、内部システムやユーザーと同様に、あるいはそれ以上に、外部サービスに対しても警戒心を持つべきです。このモジュールでは、外部ベンダーへの信頼レベルを最小限に抑え、その信頼が悪用されるリスクを低減するための重要な要件を提示します。受講者は、マルチクラウドCSPMサービスを例に挙げてこのトピックを掘り下げます。具体的には、「Microsoft Defender for Cloud」のクロスクラウドCSPM機能について学習します。また、本コースの作成者が発見した「Microsoft Defender for Cloud」の重大な脆弱性に関するケーススタディを分析します。この脆弱性は、組織が連携させているAWSアカウント内の機密データへのアクセスに悪用される恐れがあるものでした。最後に、サードパーティのクラウドベンダーを経由した同様の悪用を防ぐための緩和策を実装します。
トピックの詳細
-
マルチクラウド・アクセス管理
-
長期有効な認証情報の危険性
-
ワークロード・アイデンティティ・フェデレーション
-
ワークロード・アイデンティティ
- クラウド・セキュリティ・ポスチャ・マネジメント（CSPM）
-
ベンダーとの統合
-
ベンダー統合の評価基準
-
「Confused Deputy（混乱した代理人）」問題
-
Microsoft Defender for Cloudにおける「Confused Deputy」の脆弱性
-
クラウドベンダーを介した顧客間アクセス制御不備（Broken Access Control）の緩和
-
クラウドベンダーへの過剰な権限付与の拒否
-
まとめ
-
参考資料
