サービス概要
クラウド環境のアカウント、権限、ネットワーク、データ、ワークロード、監査設定を確認します。ベンダーの推奨設定やベンチマークに照らした構成レビューに加え、個々の設定を組み合わせることで権限拡大や重要資産への到達が可能にならないかを手動で検証します。
AWS、Microsoft Azure、Google Cloudをはじめ、コンテナ、サーバーレス、CI/CD、Infrastructure as Codeを含む構成について、利用サービスと目的に合わせて範囲を設計します。
対象例
- クラウドアカウント、組織、プロジェクト、サブスクリプション
- IAM、SSO、サービスアカウント、APIキー、シークレット
- VPC／VNet、ロードバランサー、公開エンドポイント、管理経路
- オブジェクトストレージ、データベース、バックアップ、暗号鍵
- コンテナ、Kubernetes、サーバーレス、仮想マシン
- CI/CDパイプライン、ソースコード管理、IaCテンプレート
主な検証観点
IDと権限
過剰な権限、ロール引受け、委任関係、サービスアカウント、長期認証情報を確認します。単一の権限だけでなく、複数の権限やサービス機能を組み合わせた権限拡大を検証します。
公開範囲とネットワーク
インターネット公開された管理機能やデータ、ネットワーク境界、プライベート接続、セキュリティグループ、メタデータサービスへの到達経路を確認します。
データとシークレット
ストレージ、データベース、バックアップ、ログ、環境変数などのアクセス制御と暗号化を確認し、シークレットがコード、イメージ、ビルド成果物へ残っていないかを検証します。
ワークロードと開発経路
仮想マシンやコンテナの設定、実行ロール、イメージ、サーバーレス関数、CI/CDの権限を確認し、開発環境から本番環境へ影響が広がる経路を検証します。
ログと検知
管理操作、認証、データアクセス、ネットワークの記録範囲、保管、アラートを確認し、想定する攻撃を追跡できるかを検討します。
攻撃・リスクの具体例
- 公開されたストレージやスナップショットから機密情報を取得できる
- ワークロードの権限を利用し、別サービスや別環境へアクセスできる
- CI/CDのシークレットから本番環境の操作権限を取得できる
- SSRFを起点にメタデータへ到達し、一時認証情報を悪用できる
- 監査ログが不足し、不正操作の範囲や実行者を追跡できない
進め方と成果物
構成図、利用サービス、アカウント境界、重要資産を確認し、設定情報をご提供いただくか、診断用の一時的な権限で検証します。権限は必要最小限に設計し、お客様のデータの取得や変更を必要以上に行いません。
報告書では、設定単位の指摘だけでなく、成立し得る攻撃経路、影響する資産、修正順序、権限・構成・監視それぞれの対策を整理します。