開発の利便性とセキュリティは同等に重要です! Tencent Cloudはテクノロジーユーザーがサーバーレスの価値を最大限に引き出すことを支援します

5月27日、Techo Day Tencent Technology Open Dayイベントでは、「サーバーレスアーキテクチャのリソースバランス管理」に焦点が当てられました。業界の専門家によるサーバーレスのトレンドの解釈を通じて、多くの Tencent Cloud の専門家がサーバーレス アーキテクチャの原則と実践経験を共有し、開発および運用担当者がサーバーレスの使用における多くの問題と課題を解決し、サーバーレスの価値を最大限に引き出すのを支援しました。

その中で、テンセントセキュリティ雲頂研究所のセキュリティ専門家である張恒氏は、「アーキテクチャ原則：サーバーレスアーキテクチャリソースのセキュリティ攻撃と防御の解釈」と題したコンテンツを共有し、サーバーレスリソースモデル、サーバーレスセキュリティリスク共有モデル、サーバーレスセキュリティリスクと保護対策の観点から詳細な説明を行いました。

クラウドネイティブ技術の新たなトレンドであるサーバーレスは、弾力性や効率性といった当然の利点を備えていることは確かですが、本来の仮想マシン時代とは異なるセキュリティ環境も新たな課題をもたらします。会議で発表された最新のTencent Cloud Tool Guideユーザー調査によると、開発者はサーバーレスアーキテクチャの最大の課題は「運用と保守の信頼性」と「ネットワークセキュリティ」であると考えている。これは、Tencent Securityが企業のデジタル化で実現したいと考えている「デジタルセキュリティ耐性」でもある。

近年、クラウドコンピューティングの急速な発展に伴い、ますます多くの企業がアプリケーションをクラウドに移行し始めています。クラウド コンピューティングの新しいタイプのアーキテクチャであるサーバーレス アーキテクチャは、弾力性、スケーラビリティ、コスト削減などの利点により、ますます多くの企業に支持されています。

サーバーレス アーキテクチャは、イベント駆動型のアプリケーション設計パターンです。アプリケーションは個別の仮想マシンまたはコンテナ上で実行されるのではなく、より小さく、よりシンプルで、独立した機能に分解されます。これにより、従来のサーバー アーキテクチャにおけるサーバーの管理と展開の面倒な作業がなくなり、開発者はより効率的で柔軟な開発方法を利用でき、アプリケーションの展開と管理の複雑さが軽減されます。ただし、サーバーレス アーキテクチャにより開発者は利便性を享受できる一方で、セキュリティ上のリスクと課題は依然として存在します。

Zhang Heng 氏は、サーバーレス バックエンド インフラストラクチャとサービスは主にクラウド ベンダーの責任であるが、サーバーレス アプリケーション自体は企業と開発者向けであると指摘しました。サーバーレス アプリケーションを使用すると、開発者は独自のコードをサーバーにアップロードし、アプリケーションの構成を変更できます。開発者がアップロードしたコードに脆弱性やアプリケーション構成エラーが含まれている場合、アプリケーションは危険にさらされます。したがって、サーバーレスのセキュリティの問題は比較的複雑です。

サーバーレス アプリケーションは特定のサーバーやオペレーティング環境に依存せず、複数のサードパーティ サービスで構成できるため、セキュリティを効果的に保護することが特に重要になります。この問題を解決するために、業界では、クラウド サービス プロバイダーとユーザーがセキュリティ責任を共有する責任共有モデルを提案しました。

クラウド ベンダーは、基盤となるすべてのインフラストラクチャとバックエンド サービス ソフトウェアのセキュリティを含む、クラウドの基本環境のセキュリティを確保する必要があります。同時に、クラウドベンダーは、サーバーレス プラットフォーム アプリケーションの全体的なセキュリティ保護についても責任を負います。ユーザーは、コードの脆弱性や不適切なポリシー構成によって生じるセキュリティ リスクを回避するために、サーバーにアップロードされたコードが安全であり、アプリケーション ポリシー構成も安全であることを確認する必要があります。

1. サーバーレスのリスクを排除 テンセントがサーバーレスのセキュリティリスク項目と保護対策を提案

サーバーレスの一般的な攻撃プロセスは、攻撃者がアプリケーションの脆弱性またはコンポーネントの脆弱性を通じて初期アクセス権を取得することです。攻撃者はサーバーの権限を取得した後、ユーザー資格情報またはサービス資格情報を見つけて盗み、利用可能な資格情報を使用して他のクラウド サービスをさらに横方向に攻撃しようとします。

技術ユーザーがサーバーレス アーキテクチャのセキュリティ リスクに対処できるように、テンセント セキュリティ雲頂実験室は、自社のセキュリティ実践経験と国内外の多くの関連事例に基づいて、アプリケーションの脆弱性、ウォレット拒否攻撃、リソース悪用リスク、サードパーティ API およびコンポーネントへの安全でないアクセス、サプライ チェーン攻撃リスク、ランタイム セキュリティ リスク、権限の悪用につながる不適切な構成、不十分なログ記録と監視、クラウド環境ネットワーク攻撃リスク、クラウド機能攻撃リスク、クラウド リソース消費攻撃リスク、キー ストレージ リスク、バックドア永続化リスクなど、13 の一般的なサーバーレス リスクをまとめ、開発者や運用保守担当者がさまざまなリスクを迅速に特定できるようにしました。

さらに、Tencent Cloud は、開発者や運用保守担当者のリスク識別能力の向上を支援するとともに、セキュリティ脆弱性緩和策の使用、DoS 攻撃の緩和と保護、サーバーレス悪用保護、サードパーティ依存ライブラリ保護、IAM アクセス制御保護、サーバーレス プラットフォーム保護、セキュリティ監視とログの改善など、サーバーレス リスク保護対策もまとめています。これら 7 つの側面は、開発者や運用保守担当者がさまざまなリスクを排除し、サーバーレス アプリケーションのセキュリティを効果的に確保するのに役立ちます。

その中で、セキュリティの脆弱性緩和策を講じることで、アプリケーションの脆弱性などの問題を効果的に解決できますが、クラウドベンダーとユーザーの共同の取り組みが依然として必要です。クラウド ベンダーは、サーバーレス アプリケーションと他のクラウド サービス コンポーネント間のインターフェイス呼び出しのセキュリティを確保する必要があります。重要な機能については、分離のために機能モジュール間にファイアウォールを配置する必要があります。次に、サーバーレスでは通常、多数のアプリケーション コンポーネントとデータにアクセスするため、送信中のデータのセキュリティを確保するために HTTPS/TLS が必要です。同時に、KMS (キー管理サービス) は、サービス実行時のキー使用のセキュリティを確保し、キーなどの機密データを環境変数にハードコーディングしたり書き込んだりすることを回避したりするために使用されます。コードを作成する際、開発者は安全な開発の原則に従い、セキュリティの脆弱性などのリスクを回避するために、サーバーレス アプリケーション構成のセキュリティ問題に注意する必要があります。

さらに、ユーザーは、サーバーレス関数の実行に対して適切なタイムアウトとディスク使用量の制限を設定し、DoS 攻撃のリスクを軽減するために API 呼び出しを通じてリクエスト制限を設定する必要があります。また、サーバーレス アプリケーション自体を制限し、効果的な監視とブロックを通じてサーバーレス サービスの悪用のしきい値を上げ、異常なイベントの検出と監視のメカニズムを改善する必要があります。さらに、ユーザーは、依存ライブラリのスクリーニングに対する意識を高め、ユーザーの役割や ID のアクセス権の構成に注意を払うなどして、セキュリティ保護を強化する必要があります。

クラウドベンダーは、実行環境の再利用によって生じるセキュリティリスクを回避するために、サーバー環境を定期的にクリーンアップし、使用されていないロール、ID、依存関係などを削除する必要があります。さらに、クラウドベンダーは、機能レベルのログ分析ツールを使用して監視機能を向上させ、攻撃をタイムリーに検出するなど、包括的な監視メカニズムを確立する必要もあります。

2. クラウド資産のセキュリティを完全に保護するための完全なサーバーレスセキュリティ保護システムを構築する

Tencent Cloud の Serverless アプリケーション サービスには現在、Serverless アーキテクチャを使用する際にユーザーが完全に保護されることを保証する完全なセキュリティ保護システムが搭載されていると報告されています。まず、ネットワークレベルでは、Tencent Cloud は DDoS 保護、IP ブラックリストとホワイトリストなどを通じてネットワークのセキュリティを確保します。 2 つ目は、ストレージ レベルで、Tencent Cloud はデータ暗号化、アクセス制御などの対策を通じてデータのセキュリティを確保します。さらに、Tencent Cloud は、Web アプリケーション ファイアウォール、脆弱性スキャン、その他のセキュリティ検出ツールもユーザーに提供し、ユーザーがアプリケーションの脆弱性やリスクを迅速に発見して修復できるように支援します。

さらに、Tencent Cloud は、サーバーレスに特化した一連のセキュリティ保護対策も開始しました。たとえば、機能コンピューティングの面では、Tencent Cloud はコンテナ分離と仮想化技術に基づいて機能レベルのリソース分離を実装し、機能に対して自動で柔軟なスケーリング機能を提供して、サービスの高可用性と効率性を確保します。 API ゲートウェイに関しては、Tencent Cloud は、アクセス キー検証、IP ホワイトリスト、その他の対策を含む、Web サービスを悪意のある攻撃から保護する多段階のセキュリティ検証メカニズムを提供します。

Tencent Cloud Cloud Function (SCF) を例にとると、主要なセキュリティ管理に関して、Tencent Cloud は Secrets Manager (SSM) を使用して、資格情報の作成、取得、更新、削除などのライフサイクル全体の管理サービスをユーザーに提供します。資格情報は Tencent Cloud Key Management Service (KMS) を通じて暗号化され保存され、暗号化キーはサードパーティ認定のハードウェア セキュリティ モジュール (HSM) に基づいて生成され保護されます。資格情報を取得する際、資格情報は TLS 経由でローカルのサーバーに安全に送信されます。同時に、Cloud Functions ではサポートされる監視およびアラーム メカニズムも改善され、呼び出し回数、メモリ使用量、同時使用、タイムアウト、コード エラーなどの多次元の監視およびアラーム機能が提供され、運用および保守担当者がアプリケーションの事後メンテナンスを簡単に実施できるようになります。

たとえば、インターネットの顧客がデータを照会してレポートを生成するスケジュールされたタスクを作成すると、機密情報が構成ファイルに表示され、プレーンテキストで保存されるため、簡単に漏洩のリスクが生じる可能性があります。企業はどのようにして資格情報を安全に管理できるでしょうか? Zhang Heng 氏は、一般的に、アカウント パスワード、機密 IP ポート、データベース接続情報などを総称して資格情報と呼ぶことができると紹介しました。これらを使用する従来の方法は、構成ファイルまたは構成センターで情報を構成することです。ただし、ほとんどの機密資格情報は暗号化および保護されていないため、構成ファイルが失われた場合に機密情報が漏洩する可能性があります。この場合、SSM（SecretsManager、資格情報管理システム）を使用して機密データを一元的に管理できます。ユーザーは、コード内のハードコードされた資格情報 (パスワードを含む) を資格情報管理システム API の呼び出しに置き換えて、資格情報をプログラムで動的に照会できます。資格情報には機密情報が含まれていないため、機密データの漏洩を防ぐことができます。

さらに、技術者がクラウドセキュリティの攻撃と防御をより包括的に理解できるように、テンセントセキュリティ雲頂実験室はクラウドセキュリティが直面する脅威と攻撃手法を整理しました。実用的な観点から、クラウドネイティブサービスのシナリオに焦点を当て、攻撃者の戦術と手段を包括的に分析して、技術者がクラウドサービスの攻撃方法を理解できるようにすることで、クラウドセキュリティの攻撃と防御のマトリックスを作成しました。

クラウド セキュリティ攻撃と防御マトリックスは、初期アクセス、実行、持続、権限昇格、防御バイパス、資格情報の盗難、検出、横方向の移動、影響の 9 つの段階に分かれていることがわかっています。各ステージには、そのステージの機能を実現するためのさまざまな攻撃テクノロジが含まれており、アクセスの識別から動きの検出、そして持続的な防御操作まで、攻撃と防御のプロセスとオブジェクトのより多くの次元をカバーし、クラウド エコシステム全体のセキュリティと安定性に重点を置いています。

注目すべきは、クラウド セキュリティ攻撃および防御マトリックス V3.0 で、Tencent Cloud がサーバーレス セキュリティ マトリックス モジュールを追加し、脆弱性データと攻撃イベントを通じて攻撃モデルを抽象化し、それを全体的なクラウド セキュリティ攻撃および防御マトリックスに追加したことです。これらの攻撃手法を理解することで、開発者や運用保守担当者が危険やリスクを効果的に特定し、クラウド資産のセキュリティを効果的に保護できるようになります。 （マトリックスの詳細については、雲頂研究所の公式ウェブサイトをご覧ください：https://cloudsec.tencent.com/home/）

TechoDayの今号では、「サーバーレスアーキテクチャのリソースバランス管理」をテーマとした「Tencent Cloudツールガイド」の新刊も公開され、CNCFによるサーバーレスのトレンドと課題の分析や、Tencent Cloud製品のコンテナ、データベース、ストレージ、および前述のTencentセキュリティ製品の実際の体験の共有などが含まれています。下の画像をクリックしてダウンロードしてください。

今日のセキュリティ状況では、企業はますます多くの課題に直面しており、セキュリティ構築は新しい概念に基づいて行う必要があります。報道によると、テンセントセキュリティは6月13日にIDCと共同で企業向けデジタルセキュリティ免疫モデルを発表し、20年以上のセキュリティ実践経験と豊富な企業セキュリティサービス経験を組み合わせ、業界各分野とセキュリティ構築方法について協議するという。