1 ファーウェイクラウドのパブリッククラウドセキュリティ運用に関する考察#
2 目次#
- クラウド環境におけるセキュリティリスク
- ファーウェイクラウドセキュリティ運用体系の構築思考
- ファーウェイクラウドセキュリティ運用の実践
- まとめと提言
2. クラウド環境におけるセキュリティリスク#
2.1 クラウドサービスが直面する主要なセキュリティ課題#
セキュリティと課題
-
外部からの侵入攻撃
トラフィック攻撃、サービス中断
アカウント窃取、権限取得
脆弱性侵入、データ盗取 -
クラウドプラットフォームの内部リスク
共有環境下での隔離問題
データの合法的使用をどう保障するか -
テナントレベルのセキュリティサービス
迅速で、シンプルで、使いやすく、オンデマンド
統一管理が必要
従来のセキュリティ製品はクラウドに展開しにくい -
セキュリティ意識 / スキルの向上が必要
テナントデータ保護が不十分
多くの住民のセキュリティ意識の向上が必要
多くのテナントのセキュリティスキルの向上が必要
3. パブリッククラウド環境 VS 従来の IT 環境#
3.1 従来の IT 環境 - 客家囲楼#
-
特徴
境界が明確で、セキュリティ全責任、業務が把握できる -
戦略
囲い式防護、セキュリティはエンドツーエンドでカバー、基礎業務の展開に精緻な防護戦略 -
技術
APT 攻撃検出、フィッシングメール防護、DLP
3.2 パブリッククラウド — オープン型コミュニティ#
- 特徴
境界が不明確で、セキュリティ責任が共有され、業務が把握できない - 戦略
軽い管理、重い検出、迅速な対応。証拠収集を強調。 - 技術
DDOS 攻撃防止、ブルートフォース攻撃および基礎的脆弱性攻撃の侵入防止、クラウドリソースの乱用防止など
4. パブリッククラウド環境下のセキュリティ運用と従来環境下のセキュリティ運用の違い#
| タイプ | パブリッククラウドセキュリティ運用 | 従来のセキュリティ運用 |
|---|---|---|
| 防護環境 | ブラックボックス業務が把握できない | ホワイトボックス業務が把握できる |
| セキュリティ境界 | 責任が共有され、運用およびネットワーク境界が不明確 | 境界が明確で、エンドツーエンドの責任を負う |
| セキュリティ目標 | 攻撃防止、侵入防止、乱用防止 | 漏洩防止、攻撃防止、侵入防止 |
| 主要責任 | 検出、対応、セキュリティコンサルティング、セキュリティサービス、脅威モデリング開発など | 監視、対応、セキュリティポリシーの設定 |
| 主要リスク | サービス拒否攻撃、弱いパスワードや脆弱性によるホスト侵入、クラウドサービスの乱用 | データ漏洩、APT マルウェア、弱いパスワードや脆弱性による侵入 |
| セキュリティ製品 | 自社開発製品が主で、業務が複雑で、業界が広く、製品自体のモデリングは迅速なイテレーションをサポートする必要があり、コンテンツセキュリティは違法行為の検出が主 | 成熟した第三者のソリューションと製品を採用し、セキュリティ能力は第三者製品の能力に制約され、コンテンツセキュリティは DLP を使用して重要資産を防止 |
| 技術手段 | 弱い管理、検出に注意、迅速な対応、防御制御は通常ブラックリストとホワイトリストメカニズムを使用し、業務およびユーザーは比較的固定されており、通常は業務に基づいてセキュリティポリシーを策定し、エンドツーエンドで可視化 | |
| 典型技術 | DDos 防御、ブルートフォース攻撃防御、WEB アプリケーション防護、コンテンツ検出、C&C 通信、ネットワーク流量分析の可視化 | メールセキュリティ、DLP、WEB アプリケーション防護、IPS、モバイルセキュリティ、ホストセキュリティ |
5. パブリッククラウドセキュリティ運用の課題#
- 自動化の要求が高い
- 業務についての理解が不足
- 業務の継続性が高い
- セキュリティ責任の共有モデル
6. ファーウェイクラウドセキュリティ運用体系の構築思考#
6.1 消火段階#
TOP リスクを迅速に特定し、業務の「痛点」を最適化し、基本的な「命を守る」作業を行う
6.2 体系的構築#
堅実なセキュリティ基盤の構築、セキュリティ運用プロセス体系の確立 + 少量の自社開発ツール + 第三者セキュリティ製品
6.3 セキュリティの高度化#
自社開発と自動化されたセキュリティビッグデータによる継続的なセキュリティ運用の重要能力マトリックスの配置
6.4 セキュリティのインテリジェンス#
セキュリティの自己適応、インテリジェント化、阻止、検出、対応、追跡、予測
7. ファーウェイクラウドセキュリティ運用体系のフレームワーク#
7.1 組織と人員#
プロセス体系、アーキテクチャ
7.2 セキュリティガバナンス#
セキュリティ運用、運用ツール化、自動化
8. セキュリティ運用プロセス体系#
8.1 優れた実践、事例#
AWS、Azure
8.2 法律 + 政策要件#
国内立法機関、敏感国家の立法機関
8.3 業界要件#
業界政策、標準発表機関
8.4 執行要件、事例#
国家監督執行機関、国家審査機関
8.5 歴史的事例#
メディア事件、セキュリティ事件、運用事件