物理、技術、管理の3つの側面から見たハイブリッドクラウドセキュリティに関する予備調査

[51CTO.com クイック翻訳] ハイブリッドクラウドセキュリティの主な目的は、クラウド IT アーキテクチャに関連するデータ、アプリケーション、インフラストラクチャのセキュリティ保護を実装することです。このアーキテクチャは、一定数のワークロードを移植性とオーケストレーション管理機能と統合する多層 IT 環境 (少なくとも 1 つのパブリッククラウドまたはプライベートクラウドを含む) です。

ハイブリッドクラウドは、データの潜在的な露出を減らす機会を提供します。機密データや重要なデータをパブリッククラウドの外部に保管できます。つまり、データ漏洩のリスクを軽減するだけでなく、クラウド技術の利点を最大限に活用することができます。

セキュリティ強化のためにハイブリッドクラウドを選択する理由

ハイブリッドクラウドにより、企業はコンプライアンス、監査、ポリシー、セキュリティ要件に基づいて、実際のワークロードとそのデータを比較的安全な論理システムに配置することを選択できます。

ハイブリッドクラウドを構成する環境はそれぞれ異なり、比較的独立していますが、リソースとワークロードの転送に役立つコンテナーや、暗号化されたアプリケーションプログラミングインターフェイス (API) を通じて、環境間の移行を実現できます。この独立しながらも相互接続されたアーキテクチャにより、企業は重要なワークロードをプライベートクラウドで実行し、機密性の低いワークロードをパブリッククラウドで実行できるようになります。このような構成により、データ漏洩を最小限に抑え、企業がIT製品の組み合わせを柔軟にカスタマイズできるようになると言えます。

ハイブリッドクラウドセキュリティはどのような課題に直面していますか?

データを保護する

暗号化により組織データの漏洩を制限します。同じデータが異なる期間に送信中または保存中である可能性があるため、これら 2 つの状態でデータ漏洩を防ぐためにさまざまなセキュリティメカニズムを使用する必要があります。

コンプライアンスとガバナンス

医療、金融、政府などの規制の厳しい分野で働いている場合は、ハイブリッドクラウドアーキテクチャに関して追加の懸念があるかもしれません。たとえば、分散環境を検査して規制要件を満たしているかどうかを確認する方法を知っておく必要があります。カスタムまたは規制のセキュリティベースラインを実装する方法。セキュリティ監査の準備方法について説明します。

サプライチェーンのセキュリティ

ハイブリッドクラウド環境には、複雑なエコシステム内に複数のベンダーの製品やソフトウェアが含まれることがよくあります。したがって、クラウドサービスプロバイダーがソフトウェアと製品をどのようにテストし、管理しているかを理解する必要があります。同時に、クラウドサービスプロバイダーがソースコードをいつ、どのようにチェックするか、どのような実装ガイドラインと方法に従うか、更新とパッチをいつ、どのように提供するかについても理解する必要があります。

ハイブリッドクラウドセキュリティのコンポーネント

オンプレミスデータセンターのセキュリティと同様に、ハイブリッドクラウドセキュリティは通常、物理的、技術的、管理的の 3 つのコンポーネントで構成されます。

物理的な制御は、実際のハードウェアを保護するために使用され、一般的なロック、ガード、セキュリティカメラなどが含まれます。
技術的制御には、暗号化と復号化、Web 認証、管理ソフトウェアなど、IT システム自体の設計に関わる保護対策が含まれます。ハイブリッドクラウドの強力なセキュリティツールのほとんどは技術的な制御です。
管理制御は、セキュリティを強化しながら、トレーニングや災害復旧計画などの日常的なタスクを実行できるように設計されたプロセスです。

ハイブリッドクラウドセキュリティの物理的制御

ハイブリッドクラウドは複数の地理的場所にまたがる可能性があるため、物理的なセキュリティは特別な課題となります。これまでのように、すべてのホストの周囲に物理的な制御境界を作成し、ロックを設定して、それで終わりにすることはできません。

パブリッククラウドなどの共有リソースの場合、クラウドサービスプロバイダーとサービスレベル契約 (SLA) を締結して、満たす必要のある物理的なセキュリティ標準を定義できます。たとえば、一部のパブリッククラウドサービスプロバイダーは、政府系の顧客と契約を結び、指定された物理ハードウェアへのアクセスを特定の担当者に制限することができます。

ただし、優れた SLA があっても、パブリッククラウドプロバイダーのサービスによって制御がある程度低下するため、他の領域でのセキュリティ制御を強化する必要があります。

ハイブリッドクラウドセキュリティの技術的制御

技術的な制御はハイブリッドクラウドセキュリティの中核です。ハイブリッドクラウドは集中管理されているため、技術的な制御の実装が容易になります。現在、従来のハイブリッドクラウドテクノロジの制御方法には、暗号化、自動化、セキュリティオーケストレーション、アクセス制御、エンドポイントセキュリティなどがあります。

暗号化

物理的な脅威によりサービスシステムがデータ漏洩に対して脆弱なシナリオでは、暗号化テクノロジによってそのようなリスクを大幅に軽減できます。保存中のデータと移動中のデータの両方を暗号化できます。で：

保存データを保護する暗号化には次のものが含まれます。

フルディスク（パーティション）暗号化により、コンピュータのシャットダウン時にハードディスク上のデータを保護できます。ここでは、Linux Unified Key Setup-on-disk (LUSK) 形式を採用できます (を参照)。このフォーマットでは、ハードドライブ上の個々のパーティションを一括で暗号化できます。
ハードウェアレベルの暗号化により、ハードドライブは不正な接続 (つまり、取り外されて他のハードウェアシステムに接続されること) やアクセスから保護されます。ここでは、Trusted Platform Module (TPM、を参照) を使用できます。これは暗号化キーを保存できるハードウェアチップです。 TPM を有効にすると、ユーザーが認証してログインするまでハードドライブはロックされたままになります。
手動でパスワードを入力せずにルートボリュームを暗号化します。高度に自動化されたクラウド環境を構築した場合は、その上で暗号化を自動化します。 Linux を使用している場合は、物理マシンと仮想マシンの両方で Network Bound Disk Encryption (NBDE) を使用してみてください。注: TPM を NBDE に組み込むこともできます。これにより、NBDE でクラウドネットワーク環境を保護し、TPM でローカル環境を保護して、二重のセキュリティを実現できます。

移動中のデータを保護する暗号化には次のものが含まれます。

ネットワークセッションを暗号化します。データは、保存されているときよりも、転送中に傍受され、変更されるリスクがはるかに高くなります。ここでは、IPsec (を参照) を使用してこれをサポートできます。これは、伝送チャネルを暗号化できる暗号化技術を使用する拡張 IP プロトコルです。
成熟した安全基準を満たした製品を選択してください。ここでは、連邦情報処理標準 (FIPS) バージョン 140-2 を参照できます。これは、NIST が発行する暗号モジュールのセキュリティ要件であり、米国政府機関に暗号モジュールの評価、検証、および最終認証の基礎を提供し、さまざまな高リスクデータの保護を可能にします。具体的な内容については、をご覧ください。

オートメーション

セキュリティとコンプライアンスを手動で監視する場合、リスクがメリットを上回ることが多いことは周知の事実です。手動のパッチおよび構成管理には、非同期実装のリスクも伴います。実際の運用では、人為的な過失によってセキュリティインシデントが発生すると、手動プロセス中にパッチや構成の関連記録が失われる可能性があるため、チームメンバー間で相互の非難や告発につながる可能性があります。さらに、手動による識別および監視プロセスでは、担当者に多くの時間がかかることがよくあります。

対照的に、自動化により、運用チームはルールを迅速に設定し、実装プロセスを共有および検証できるだけでなく、セキュリティ監査も効率化されます。ハイブリッドクラウド環境を評価するときは、次の領域でのプロセスの自動化を検討してください。

動作環境を監視します。
現在のコンプライアンスを確認します。
パッチ管理を実装します。
カスタムまたは管理されたセキュリティベースラインを実装します。

セキュリティオーケストレーション

クラウドセキュリティオーケストレーションは、自動化のさらなる前進です。自動化は特定の目的のための機能コンポーネントと考えることができます。セキュリティオーケストレーションは、これらのコンポーネントをビジネスプロセスを通じて統合することで「インテリジェントな判断」を自動化することです。

セキュリティオーケストレーションを使用すると、クラウドリソースとそのソフトウェアコンポーネント全体を管理し、テンプレートを使用して展開管理をより自動化し、再利用可能にすることができます。

セキュリティオーケストレーションがハイブリッドクラウドにもたらすもう 1 つの利点は標準化です。クラウドの柔軟性を活用しながら、導入するシステムがセキュリティと規制の基準を満たしていることを保証できます。

アクセス制御

ハイブリッドクラウドのセキュリティもアクセス制御と切り離せません。設定により、2 要素認証を有効にするだけでなく、ユーザーアカウントを必要な最小限の権限に制限することもできます。さらに、きめ細かいアクセス制御により、ユーザーが VPN 経由でクラウドシステムに接続することを制限し、関連するセッションの有効期間と特定のアクセスルールを標準化することもできます。

エンドポイントセキュリティ

エンドポイントセキュリティとは、主に、ユーザーのスマートフォン、タブレットコンピューター、またはモバイルコンピューターが紛失した場合に、運用および保守担当者が関連ソフトウェアを使用してリモートで元のアクセス権を取り消したり、機密データを消去したりして、ハッカーによる侵入や盗難を防ぐことを意味します。

明らかに、ハイブリッドクラウドの大きな利点は、ユーザーが個人のデバイスを使用してどこからでもシステムに接続できることです。同時に、攻撃者はフィッシングを使用して個々のユーザーのデバイスにマルウェアをインストールし、クラウドシステムやデータリソースを攻撃する可能性もあります。エンドポイントセキュリティも不可欠な制御面であることがわかります。

実際、エンドポイントセキュリティは単なる技術的な制御ではなく、デバイスの物理的な接続とハードウェア構成を安全に保つこと、必要なウイルス対策プログラムとマルウェア対策プログラムをインストールすること、ユーザーに適切な使用習慣と緊急対応能力を身につけてもらうためのトレーニングなど、物理的側面と管理的側面の包括的な管理と制御も含まれます。

ハイブリッドクラウドセキュリティの管理制御

ハイブリッドクラウド環境は、ユーザーにさらに堅牢な高可用性をもたらし、より多くの人々がいつでもどこでもクラウドサービスにアクセスできるようになるため、潜在的な人的要因に対処するために、管理制御を通じて各ユーザーの行動と責任を明確にし、規制する必要があります。

管理制御のもう 1 つの側面として、ハイブリッドクラウドサービスの一部が停止したり、地域のサービスにアクセスできなくなったりした場合に備えて、災害復旧計画 (DRP) が用意されているかどうかを検討する必要があります。これらには、データ復旧契約が締結されているかどうか、切り替えの責任者は誰か、効果検証の責任者は誰か、ユーザーへの通知の責任者は誰かなどが含まれます。

もちろん、ハイブリッドクラウドアーキテクチャは、本質的にセキュリティ管理に多くの利便性を提供します。ローカルおよびクラウドでリソースを構成して、それらの間のバックアップと冗長性を実現できます。その後、緊急時には、構成を変更して、プライベートクラウドまたはローカルのデータとサービスを対応するパブリッククラウドにスムーズかつ一時的に移行できます。