今日の環境では、ビジネスに不可欠なシステムとアプリケーションを保護することがますます困難になっています。
仮想化の出現は、ほとんどのシステムをVMに大規模に移行する緊急の理由となっていますが、新しい環境でアプリケーションを操作することに関連するセキュリティ問題を解決するには、特別なアプローチが必要です。 多くの種類の脅威が十分に研究されており、それらの脅威に対する保護ツールが開発されていますが、クラウドでの使用に適応させる必要があります。
既存のクラウドコンピューティングの脅威
クラウドの制御と管理はセキュリティの問題です。 すべてのクラウドリソースがカウントされ、その中に制御されていない仮想マシンがなく、不要なプロセスが実行されておらず、クラウド要素の相互構成が壊れていないという保証はありません。 これは、高レベルの脅威です。なぜなら、 単一の情報システムとしてクラウドの管理性と接続されているため、一般的な保護を個別に構築する必要があります。 これを行うには、クラウドインフラストラクチャのリスク管理モデルを使用します。
物理的セキュリティは、サーバーおよびネットワークインフラストラクチャへの物理的アクセスの厳密な制御に基づいています。 物理的なセキュリティとは異なり、ネットワークセキュリティは主に、侵入保護とファイアウォールを含む信頼できる脅威モデルの構築です。 ファイアウォールを使用すると、信頼レベルの異なるサブネット上の内部データセンターネットワークを区別するためのフィルターが必要になります。 これらは、インターネットからアクセス可能な別個のサーバー、または内部ネットワークからのサーバーにすることができます。
クラウドコンピューティングでは、仮想化テクノロジーがプラットフォームにとって重要な役割を果たします。 データの整合性を維持し、保護を提供するために、クラウドコンピューティングに対する主な既知の脅威を考慮します。
1.従来のサーバーをコンピューティングクラウドに移行する際の問題
クラウドコンピューティングのセキュリティ要件は、データセンターのセキュリティ要件と変わりません。 ただし、データセンターの仮想化とクラウド環境への移行により、新たな脅威が生まれています。
コンピューティングパワーを制御するためのインターネット経由のアクセスは、クラウドコンピューティングの重要な特徴の1つです。 従来のほとんどのデータセンターでは、サーバーへのエンジニアのアクセスは物理レベルで制御され、クラウド環境ではインターネットを介して動作します。 アクセス制御の差別化とシステムレベルでの変更の透明性の確保は、主要な保護基準の1つです。
2.仮想マシンのダイナミズム
仮想マシンは動的です。 新しいマシンを作成し、作業を停止し、短時間で再起動できます。 それらは複製され、物理サーバー間で移動できます。 この変動は、セキュリティシステムの整合性の開発に影響を与えることは困難です。 ただし、仮想環境のオペレーティングシステムまたはアプリケーションの脆弱性は未確認で広がり、多くの場合、任意の期間が経過すると現れます（たとえば、バックアップから復元する場合）。 クラウドコンピューティング環境では、システムのセキュリティステータスを安全に記録することが重要であり、これはそのステータスや場所に依存するべきではありません。
3.仮想環境内の脆弱性
クラウドコンピューティングサーバーとオンプレミスサーバーは、同じオペレーティングシステムとアプリケーションを使用します。 クラウドシステムの場合、リモートハッキングやマルウェア感染のリスクが高くなります。 仮想システムのリスクも高くなります。 並列仮想マシンは、「攻撃対象領域」を拡大します。 侵入検知および防止システムは、クラウド内の場所に関係なく、仮想マシンレベルで悪意のあるアクティビティを検出できる必要があります。
4.休止状態の仮想マシンの保護
仮想マシンをオフにすると、感染の危険があります。 ネットワークを介した仮想マシンイメージのストレージへのアクセスで十分です。 オフになっている仮想マシンでセキュリティソフトウェアを実行することは絶対に不可能です。 この場合、保護は各仮想マシン内だけでなく、ハイパーバイザーレベルでも実装する必要があります。
5.境界保護とネットワーク境界
クラウドコンピューティングを使用すると、ネットワークの境界がぼやけたり消えたりします。 これは、ネットワークの安全性の低い部分の保護がセキュリティの全体的なレベルを決定するという事実につながります。 クラウド内で異なる信頼レベルのセグメントを区別するには、仮想マシン自体が、ネットワーク境界を仮想マシン自体に移動することにより、保護を提供する必要があります（図1。 企業のファイアウォール-ITセキュリティポリシーを実装し、ネットワークセグメントを区切るための主要なコンポーネントで、クラウド環境でホストされているサーバーに影響を与えません。
図 1. アクセス制御メカニズムの作業スキーム
クラウド攻撃とソリューション
1.従来のソフトウェア攻撃
オペレーティングシステム、モジュールコンポーネント、ネットワークプロトコルなどの脆弱性は、この問題を解決するクロススクリーン、ファイアウォール、ウイルス対策、IPSおよびその他のコンポーネントをインストールするのに十分な保護のための従来の脅威です。 同時に、これらのセキュリティ機能が仮想化環境で効果的に機能することが重要です。
2.クラウド要素に対する機能的攻撃
このタイプの攻撃は、セキュリティの一般原則であるクラウドの階層化に関連しています。 クラウドの危険性に関する記事で次の解決策が提案されました：クラウドの各部分に対する機能的な攻撃から保護するには、次の保護ツールを使用する必要があります：プロキシ、DoS攻撃に対する効果的な保護、Webサーバー、ページ整合性制御、アプリケーションサーバー、レベル画面アプリケーション、DBMS用-SQLインジェクションに対する保護、データストレージシステム用-正しいバックアップ（バックアップ）、アクセス制御。 これらの防御メカニズムはそれぞれ個別に作成されていますが、クラウドの包括的な保護のために統合されていないため、クラウドの作成中にそれらを単一システムに統合するタスクに対処する必要があります。
3.クライアントへの攻撃
ほとんどのユーザーは、ブラウザーを使用してクラウドに接続します。 クロスサイトスクリプティング、パスワードの「ハイジャック」、Webセッションの傍受、「中間者」などの攻撃をカバーしています。 このタイプの攻撃に対する唯一の保護は、適切な認証と相互認証による暗号化された接続（SSL）の使用です。 ただし、これらの保護はクラウドの作成者にとってはあまり便利ではなく、非常に無駄です。 この情報セキュリティ業界には多くの未解決の問題があります。
4.ハイパーバイザーへの攻撃
ハイパーバイザーは、仮想システムの重要な要素の1つです。 その主な機能は、仮想マシン間でリソースを共有することです。 ハイパーバイザーへの攻撃により、1つの仮想マシンが別の仮想マシンのメモリとリソースにアクセスする可能性があります。 また、ネットワークトラフィックを傍受し、物理リソースを選択し、仮想マシンをサーバーから強制的に排除することもできます。 標準的な保護方法として、仮想環境に特化した製品を使用し、ホストサーバーをActive Directoryディレクトリサービスと統合し、パスワードの複雑さと有効期限ポリシーを使用し、ホストサーバー管理ツールにアクセスする手順を標準化し、組み込みの仮想化ホストファイアウォールを使用することをお勧めします。 また、仮想化サーバーへのWebアクセスなど、頻繁に使用されないサービスを無効にすることもできます。
5.制御システムへの攻撃
クラウドで使用される多数の仮想マシンには、仮想マシンの作成、移行、廃棄を確実に制御できる管理システムが必要です。 制御システムへの介入は、仮想マシンの出現につながる可能性があります-目に見えず、一部の仮想マシンをブロックし、他の仮想マシンを置き換えることができます。
Cloud Security Alliance（CSA）保護ソリューション
最も効果的なクラウドセキュリティ保護は、 Cloud Security Alliance（CSA）によって公開されています。 会社が公開した情報を分析した後、 次のソリューションが提案されました。
1.データのセキュリティ。 暗号化
暗号化は、データを保護する最も効果的な方法の1つです。 データへのアクセスを提供するプロバイダーは、データセンターに保存されているクライアント情報を暗号化する必要があります。また、必要がなければ、永久に削除する必要があります。
2.送信データ保護
送信中の暗号化されたデータは、認証後にのみ利用可能になります。 信頼できないノードを介してアクセスする場合でも、データを読み取ったり変更したりすることはできません。 そのような技術はよく知られており、アルゴリズムと信頼性の高いプロトコルであるAES、TLS、IPsecはプロバイダーによって長い間使用されてきました。
3.認証
認証-パスワード保護。 より高い信頼性を確保するために、多くの場合、トークンや証明書などのツールを使用します。 承認中のプロバイダーと認証システムとの透過的な対話のために、LDAP（ライトウェイトディレクトリアクセスプロトコル）およびSAML（セキュリティアサーションマークアップ言語）を使用することもお勧めします。
4.ユーザーの分離
個々の仮想マシンと仮想ネットワークを使用します。 仮想ネットワークは、VPN（仮想プライベートネットワーク）、VLAN（仮想ローカルエリアネットワーク）、VPLS（仮想プライベートLANサービス）などのテクノロジーを使用して展開する必要があります。 多くの場合、プロバイダーは、単一のソフトウェア環境でコードデータを変更することにより、ユーザーデータを互いに分離します。 このアプローチには、データへのアクセスを許可する非標準コードに穴を見つける危険に関連するリスクがあります。 コードにエラーが発生する可能性がある場合、ユーザーは別のデータを取得できます。 最近、そのような事件がしばしば発生しました。
おわりに
クラウドコンピューティングのセキュリティの脅威から保護するための上記のソリューションは、プライベートクラウド構築プロジェクトのシステムインテグレーターによって繰り返し使用されています。 これらのソリューションを適用した後、発生したインシデントの数は大幅に減少しました。 ただし、仮想化の保護に関連する問題の多くは、依然として慎重な分析と十分に開発されたソリューションが必要です。 これらについては、次の記事で詳しく検討します。