SHOEISHA iD

※旧SEメンバーシップ会員の方は、同じ登録情報(メールアドレス&パスワード)でログインいただけます

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

直近開催のイベントはこちら!

Security Online Day 2024 春の陣

2024年3月13日(水)10:00~17:10

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けの講座「EnterpriseZine Academy」や、すべてのITパーソンに向けた「新エバンジェリスト養成講座」などの講座を企画しています。EnterpriseZine編集部ならではの切り口・企画・講師セレクトで、明日を担うIT人材の育成をミッションに展開しております。

お申し込み受付中!

EnterpriseZine Day 2023 Summer レポート(AD)

自動・共通・協働に加えて「シークレット管理」がDXの鍵!セキュアなマルチクラウド運用を実現する新手法

クラウドの良さを生かす「HashiCorp Stack」の魅力に迫る

クラウド運用で忘れてはならないシークレット管理

 こうしてTerraformの自動化、共通化、協働化を通じて、現代流の強固な運用を見てきたところだが、クラウド環境を活用するうえで忘れてはいけないのがセキュリティだ。DXを推進していくなかで、セキュリティを担保することは重要な課題となる。

 クラウドを活用する場合、クラウドサービスを利用する時のアクセスキー、APIトークン、データベースにアクセスするためのユーザー名とパスワード、SSHの鍵、TLSの証明書と鍵など、セキュリティを担保するために大切な情報が数えきれないほどある。まとめて「シークレット」と呼んだりするが、クラウドではオンプレの時とは段違いにシークレットが複雑になるため、確実に管理していくことが重要になる。

 なかにはシークレット類をパスワード管理台帳のようなもので管理していたり、運用管理用のユーザー名とパスワードを共有したりするかもしれない。だが、これはかなり危険な状態である。パスワード管理台帳そのものが流出してしまったり、うっかりパブリックのGitリポジトリにシークレットが混入した状態のコードをコミットしてしまい、流出してしまったりするケースもある。

画像クリックで拡大
画像クリックで拡大

 シークレット管理が手薄だと、容易にセキュリティ侵害へつながりかねない。HashiCorpが2022年に発表した『HashiCorp State of Cloud Strategy Survey』によれば、過去2年間のデータ侵害の増加率は380%になっているという。様々な要因が重なり、データ侵害は急速に増加を続けている状況だ。

 また草間氏は、データ侵害のうち「82%は人的要素が関与」とも指摘する。これはユーザーの操作ミスやユーザーのアカウントが攻撃されるなど、何らかの人的要素が侵害につながることを示している。また「Webアプリケーションへの侵害のうち、9割がクレデンシャルに起因するもの」という調査結果もある。

 クレデンシャルの流出が起きると、そこを起点にサイバー攻撃は進行していく。米国の非営利機関MITRE ATT&CK(マイターアタック)によると、権限が低いクレデンシャルでも横展開や権限昇格などによってデータ窃取につながるという。シークレット管理はデータ流出を食い止めるのに重要な要素となる。

 シークレット管理のベストプラクティスとしては、シークレットの定期的なローテーション、ユーザーごとに細かな権限管理、監査記録、暗号化などが挙げられる。しかしこれを手動で運用していたら手間がかかりすぎて、かえってミスを誘発しかねない。

次のページ
シークレット管理の解決策

この記事は参考になりましたか?

  • Facebook
  • Twitter
  • Pocket
  • note
EnterpriseZine Day 2023 Summer レポート連載記事一覧

もっと読む

この記事の著者

加山 恵美(カヤマ エミ)

EnterpriseZine/Security Online キュレーターフリーランスライター。茨城大学理学部卒。金融機関のシステム子会社でシステムエンジニアを経験した後にIT系のライターとして独立。エンジニア視点で記事を提供していきたい。EnterpriseZine/DB Online の取材・記事も担当しています。Webサイト:https://emiekayama.net

※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です

提供:HashiCorp Japan株式会社

【AD】本記事の内容は記事掲載開始時点のものです 企画・制作 株式会社翔泳社

この記事は参考になりましたか?

この記事をシェア

EnterpriseZine(エンタープライズジン)
https://enterprisezine.jp/article/detail/17997 2023/07/14 10:00

Job Board

AD

おすすめ

アクセスランキング

アクセスランキング

イベント

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

2024年3月13日(水)10:00~17:10

新規会員登録無料のご案内

  • ・全ての過去記事が閲覧できます
  • ・会員限定メルマガを受信できます

メールバックナンバー

アクセスランキング

アクセスランキング