クラウドでデータのセキュリティを確保するにはどうすればよいですか?クラウドネイティブフルリンク暗号化の詳細な説明

クラウドネイティブのフルリンク暗号化とは何ですか?

[[285580]]

クラウドにおけるデータセキュリティの要件は、情報セキュリティの 3 つの基本要素「CIA」、つまり機密性、整合性、可用性によって要約できます。

機密性とは、保護されたデータにアクセスできるのは正当な（または予想される）ユーザーのみであるという事実を指します。これを実現するための主な手段には、データアクセス制御、データ漏洩防止、データ暗号化、キー管理などがあります。
整合性とは、正当な（または予期される）ユーザーのみがデータを変更できるようにすることであり、これは主にアクセス制御を通じて実現されます。同時に、データの送信および保存中の検証アルゴリズムによってユーザーデータの整合性を確保できます。
データの可用性は、主にクラウド環境の全体的なセキュリティ、災害復旧、信頼性、およびクラウド上のさまざまな関連システム (ストレージシステム、ネットワークパス、ID 認証メカニズム、権限検証メカニズムなど) の正常な動作に反映されます。

3 つの要素のうち、最初の要素である機密性に対する最も一般的かつ最も頻繁に要求される技術的実装方法は、データの暗号化です。特にクラウドネイティブの次元では、クラウドネイティブのフルリンク暗号化機能を実装する必要があります。

「フルリンク」とは、データ転送（転送中、インモーションとも呼ばれる）、計算（実行時、インプロセスとも呼ばれる）、およびストレージ（ストレージ内、アットレストとも呼ばれる）のプロセスを指します。一方、「フルリンク暗号化」とは、エンドツーエンドのデータ暗号化保護機能、つまり、クラウドからクラウドへ、およびクラウドユニット間の転送プロセス、アプリケーション実行時のデータの計算プロセス（使用/交換）、およびデータが最終的にディスクに保存されるストレージプロセスにおける暗号化機能を指します。

• データ転送（データ通信の暗号化、マイクロサービス通信の暗号化、アプリケーション証明書およびキー管理）

• データ処理（ランタイムセキュリティサンドボックスrunV、トラステッドコンピューティングセキュリティサンドボックスrunE）

• データストレージ (クラウドネイティブストレージの CMK/BYOK 暗号化サポート、暗号文/キーのストレージ管理、コンテナイメージのストレージ暗号化、コンテナ操作/監査ログのセキュリティ)。

この記事の技術的な説明は、クラウドネイティブのフルリンク暗号化で達成する必要がある既存および将来の技術目標を対象としています。

クラウドセキュリティ > クラウドデータセキュリティ > クラウドネイティブフルリンク暗号化

クラウドセキュリティ

ユーザーグループによって、セキュリティリンクの定義レベルは異なります。クラウドセキュリティは、IaaS ソフトウェア、ハードウェア、物理データセンターにおけるクラウドカスタマーとクラウドベンダーのセキュリティをカバーします。

クラウドネイティブの顧客セキュリティ: アプリケーションセキュリティ/運用セキュリティ/ビジネスセキュリティ/コンテナネットワークセキュリティ/コンテナデータセキュリティ/コンテナランタイムセキュリティ
クラウド顧客セキュリティ
クラウドベンダー（クラウドIaaS DevOps）セキュリティ

クラウドネイティブセキュリティ

クラウドネイティブセキュリティでは、まずクラウドデータセキュリティ標準に準拠し、クラウドインフラストラクチャのセキュリティ機能を再利用し、安全な運用中にソフトウェアサプライチェーンでさらなるセキュリティサポートを提供する必要があります。

クラウドネイティブストレージは、宣言型 API を通じてクラウドデータのライフサイクルを記述し、基盤となる IaaS のデータ暗号化の詳細をユーザーに公開しません。クラウドデータのキャリアとして、一般的にさまざまなクラウドネイティブストレージが使用され、クラウド IaaS の基本的なセキュリティ機能が再利用されます。また、ソフトウェアサプライチェーンにおけるイメージセキュリティ、コンテナ実行時のルートファイルシステムセキュリティ、コンテナネットワークセキュリティも組み込む必要があります。

クラウドネイティブのセキュアランタイム = データ処理中のコンピューティングセキュリティ/メモリセキュリティ/ファイルシステムセキュリティ/ネットワークセキュリティ
クラウドネイティブソフトウェアサプライチェーンセキュリティ = 実行ファイル/ユーザーコードセキュリティ
クラウドネイティブインフラストラクチャセキュリティ = クラウドデータストレージセキュリティ

クラウドデータセキュリティ

クラウドユーザーデータのセキュリティには、次の 3 つの側面が含まれます。

データ保護: RAM ACL はきめ細かいデータアクセス権を制御します。機密データの検出と保護 (SDDP)、データの機密性低下、およびデータ分類。
データ暗号化: CMK 暗号化データ機能、BYOK 暗号化データ機能。
キー/暗号文管理: KMS/HSM およびその他のクラウドサービス、サードパーティの Vault サービス。

1. データセキュリティライフサイクル

データ保護をより深く理解するには、データセキュリティライフサイクルを理解する必要があります。これは、データ保護がデータライフサイクル全体にわたって実行されるためです。

データ収集
データ転送
データ処理
データ交換
データストレージ
データ破壊

クラウドネイティブデータライフサイクルでは、Alibaba Cloud ディスクにマウントされた ACK (Container Service for Kubernetes) を例に挙げます。

クラウドディスク PV の宣言と作成によってデータが定義されます。クラウドディスクデータの暗号化は、宣言定義に反映される必要があります。暗号化キーと暗号化アルゴリズムの選択は宣言的にサポートできます。きめ細かい RAM 権限は、最小限の権限に従います。
クラウドディスクの仮想マシンへのマウントは、コンテナーグループ Pod 内の PVC 参照を通じてトリガーされ、実装されます。
クラウドディスクデータの復号化は、ユーザー CMK/BYOK を通じてブロックデバイス上で透過的に暗号化および復号化されます。
Pod ライフサイクルの変更により、PVC に関連付けられたクラウドディスクが異なるホスト ECS 上でデタッチ/アタッチされるようになります。
PV のスナップショットの作成により、クラウドディスクスナップショットの作成がトリガーされます。
PV の削除は、クラウドディスクの終了と OnDelete を介したデータの削除に関連付けることができます。

2. フルリンクデータセキュリティ

狭義には、データのエンドツーエンドの暗号化であり、主にデータライフサイクルの 3 つの段階に焦点を当てています。

データ転送
データ処理
データストレージ

データ送信フェーズ

安全な通信設計、暗号文/キーの安全な管理と送信は、クラウドネイティブによって導入されたクラウド環境、コンテナネットワーク、マイクロサービス、ブロックチェーンシナリオでの安全な送信を満たすだけでなく、クラウドネイティブデータの安全な送信に対するさらなる要件も提示する必要があります。

クラウドセキュア伝送

クラウド環境での VPC/セキュリティグループの使用、暗号文/キーの安全な管理、KMS North-South トラフィックは SSL 証明書サービスを通じて信頼できる有効な CA を取得し、North-South トラフィックの HTTPS 暗号化とオフロードを実装し、RPC/gRPC 通信に SSL 暗号化を使用し、VPC の攻撃対象領域を減らし、VPN/SAG ゲートウェイを通じて安全なアクセスリンクを実装します。

クラウドネイティブの安全な伝送

クラウドネイティブのシナリオでは、単一のクラスターで複数のテナントがネットワークを共有し、システムコンポーネントのアクセス許可を制御し、データ通信を暗号化し、証明書のローテーションを管理し、マルチテナントシナリオで東西トラフィックを分離してクリーンアップできます。クラウドネイティブマイクロサービスシナリオでは、アプリケーション/マイクロサービス間の通信が暗号化され、証明書管理が実行されます。クラウドネイティブのシナリオでは、キーと暗号文の独立した管理と3者間の統合が実行され、KMS は Vault CA、fabric-ca、istio-certmanager などと統合されます。

データ処理段階

データ処理段階では、メモリレベルの信頼できるコンピューティングには、クラウドセキュリティ仮想化の安全な操作と、コンテナーセキュリティサンドボックスおよび信頼できるセキュリティサンドボックスのニーズの両方が必要です。

クラウドセキュリティ仮想化トラステッドコンピューティング: TEE SGX、ARM Trust Zone。
クラウドネイティブコンテナセキュリティサンドボックス: runV Kata セキュリティコンテナサンドボックス、runE Graphane/Occlum 信頼できるセキュリティサンドボックス。

データ保存段階

クラウドストレージの暗号化とクラウドデータサービスの暗号化、コンテナイメージストレージの暗号化、監査ログ、アプリケーションログの暗号化とサードパーティの統合、および暗号テキストパスワードのディスク以外のストレージのサポートに関するクラウドセキュリティ要件があります。

クラウドストレージの暗号化方式:

データ + 暗号化アルゴリズム + ユーザーキーまたはマスターキー。
クライアント側暗号化/サーバー側暗号化。

クラウドストレージデータは主にサーバー側で暗号化されます。安全なキー管理 KMS/HSM;安全な暗号化アルゴリズム。国内のアルゴリズムと一部の国際共通暗号化アルゴリズムを完全にサポートし、ユーザーのさまざまな暗号化アルゴリズムのニーズを満たします。

対称暗号化アルゴリズム: SM1、SM4、DES、3DES、AES をサポートします。
非対称暗号化アルゴリズム: SM2、RSA (1024-2048) をサポート。
ダイジェストアルゴリズム: SM3、SHA1、SHA256、SHA384 をサポートします。

Alibaba Cloud は、主にデバイスの可用性インジケーターの監視、サービスの有効化と停止など、デバイスのハードウェアのみを管理できます。キーは完全に顧客によって管理され、Alibaba Cloud が顧客のキーを取得する方法はありません。

クラウドストレージ暗号化は以下をサポートします:

ブロックストレージ EBS クラウドディスク: 仮想マシン内で使用されるブロックストレージデバイス (クラウドディスク) に保存されるデータの暗号化をサポートし、ブロックストレージデータが暗号化されて分散システムに保存されることを保証し、サービスキーとユーザーが選択したキーをデータ暗号化のマスターキーとして使用することをサポートします。
オブジェクトストレージ OSS: サーバー側とクライアント側の両方でストレージ暗号化機能をサポートします。サーバー側の暗号化では、サービスキーとユーザーが選択したキーをデータ暗号化のマスターキーとして使用することをサポートします。クライアント側の暗号化では、暗号化にユーザーが管理するキーの使用をサポートし、クライアントの暗号化にユーザーの KMS 内のマスターキーの使用もサポートします。
RDS データベースのデータ暗号化: RDS データベースの複数のバージョンは、透過的データ暗号化 (TDE) またはクラウドディスクインスタンス暗号化メカニズムを通じて、サービスキーとユーザーが選択したキーをマスターキーとして使用してデータ暗号化をサポートします。
テーブルストア OTS: サービスキーとユーザーが選択したキーをデータ暗号化のマスターキーとして使用することをサポートします。
ファイルストレージ NAS: サービスキーをデータ暗号化のマスターキーとして使用することをサポートします。
MaxCompute ビッグデータコンピューティング: データ暗号化のマスターキーとしてサービスキーを使用することをサポートします。
操作ログと監査ログの安全な保管、およびサードパーティのログシステムの統合。

クラウドネイティブストレージ暗号化: 現在、Alibaba Cloud Container Service ACK は、主にブロックストレージ、ファイルストレージ、オブジェクトストレージをホストできます。 RDS や OTS などの他の種類のデータサービスは、Service Broker やその他の方法を通じてサポートされます。

ユーザーコンテナイメージ/コード (エンタープライズコンテナイメージサービス、OSS CMK/BYOK 暗号化)。
クラウドネイティブストレージボリューム PV (クラウドストレージの CMK/BYOK の宣言的サポートとデータサービスレイヤーの暗号化サポート)。
アクションログと監査ログ (ActionTrail OpenAPI/Kubernetes AuditLog: SLS ログ暗号化)。
暗号テキストパスワード (KMS/Vault は、3 方向暗号化と暗号テキストのメモリストレージをサポートしますが、etcd の永続性はサポートしません)。

結論は

クラウドセキュリティシステムによるクラウドネイティブのフルリンクデータセキュリティとフルリンク暗号化が基本構成となっています。新しいコンテナ化されたインフラストラクチャとアプリケーションアーキテクチャの変更は、クラウドネイティブテクノロジシステムの特性と相まって、データ転送、データ処理、およびデータストレージの各段階で、ネットワーク、ランタイム、およびストレージに対する対応するクラウドネイティブ環境のフルリンク暗号化要件を高める必要があります。

クラウドネイティブによって導入されたクラウド環境、コンテナネットワーク、マイクロサービス、ブロックチェーンシナリオでの安全な送信の要件を満たすだけでなく、クラウドネイティブデータの安全な送信に関するさらなる要件も提示します。
クラウドセキュリティ仮想化の安全な運用に関する要件のほか、コンテナセキュリティサンドボックスと信頼できるセキュリティサンドボックスに関する要件もあります。
クラウドストレージの暗号化とクラウドデータサービスの暗号化に関するクラウドセキュリティ要件のほか、コンテナイメージストレージの暗号化、監査ログ、アプリケーションログの暗号化、サードパーティ統合、および暗号テキストパスワードのディスク以外のストレージのサポートに関する要件もあります。

<<: IoTとエッジコンピューティングのセキュリティ課題への対応

>>: Inspurは、ビジネスからITまでのラストマイルをつなぐ最高のaPaaSソリューションを提供します