情シスと開発部隊をつなぐ“セキュリティ共通言語”の実装法　持続可能なシフトレフト体制を構築するには

DevSecOpsは必須。今CNAPPが必要なワケ

　サイバーリーズンは米国に本社を持つセキュリティベンダーだ。2016年に日本市場への進出を果たし、現在は東京、大阪、名古屋に拠点を構えており、約250人の従業員を擁する規模に成長している。2024年には日本に研究開発拠点を新設し、サポート体制を一層強化した。各種調査によると、同社のEDRとMDR（Managed Detection and Response）は7年連続で市場シェアトップの座を堅守するなど、日本市場で着々とビジネスを成長させている。

　これまではEDRをはじめとしたエンドポイントセキュリティに注力してきた同社だが、2025年5月からCNAPP製品の提供を開始。これにより、PC、サーバー、モバイル端末に加え、クラウド環境でもセキュリティ保護が可能になった。

　そもそも、クラウドアプリケーションにはどのようなサイバーセキュリティ上のリスクがあるのか。矢野氏は「クラウド環境の権限管理や脆弱性管理の不備により、不正アクセスが発生する事案が多い」と話す。

　あるグローバル調査では「クレデンシャルの取得からサイバー攻撃完了までの平均時間はわずか10分」との結果も出ており、クラウド環境を標的としたサイバー攻撃の深刻さは言うまでもない。矢野氏は「いまや、システム開発を優先して後からセキュリティ対策を考えるのでは間に合わない。開発の初期段階からセキュリティ対策を組み込んだDevSecOpsや稼働中のクラウド環境を監視する仕組みが必要」と主張する。

　こうした状況を踏まえ、高度化するクラウドへのサイバー攻撃から効率よく自組織を防御するために開発されたのが「Cybereason CNAPP」だ。

クラウドの“王道4大リスク”を統合的に管理

　CNAPPとは、クラウド環境における複数のセキュリティ機能を統合したソリューションを指す。各クラウド事業者はそれぞれの製品においてセキュリティ機能を提供しているが、「この仕組みだけではクラウド環境を十分に守れない」と矢野氏。セキュリティの機能がそれぞれのクラウド環境に閉じていたり、またその機能がCSPM（Cloud Security Posture Management：クラウドセキュリティ態勢管理）など部分的なセキュリティにしか対応していなかったりするからだ。

　これに対してCybereason CNAPPは、クラウド環境のセキュリティを包括的に担保するべくマルチクラウド対応となっている。「CSPMやCWP（Cloud Workload Protection：クラウドワークロード保護）だけでなく、権限管理のCIEM（Cloud Infrastructure Entitlement Management）やランタイム脅威検知のCDR（Cloud Detection and Response）も含めて、網羅的なクラウドセキュリティを提供できる」と矢野氏。

　クラウド環境の代表的なサイバーリスクとして、過剰なパーミッション（アクセス権）、設定ミス、ソフトウェアの脆弱性、ランタイム脅威の4つが挙げられる。こうしたリスクに対し、Cybereason CNAPPは以下の機能で対応が可能だという。

• 設定ミスのチェック：CSPMによってクラウド基盤に不適切な設定状態がないか確認する
• IDと権限のチェック：CIEMによって過剰な権限が割り当てられているアカウントを洗い出す
• 脆弱性の管理：CWPによってクラウド環境内の脆弱性の有無を確認する
• ランタイム脅威検知：CDR、CWPによってクラウド環境上で発生するランタイムイベントを監視し、不審なイベントを検出してアラートを出す

　矢野氏は、同社の提供するCNAPPの特徴として「多数の防御層でクラウド環境を保護するだけでなく、『エージェントレス』と『エージェントベース』の2つの方式で監視ができる」点を挙げる。エージェントレスとは、クラウド環境とAPIで接続するだけで、稼働しているコンテナなどにエージェントを導入しなくても監視を行えるもの。エージェントベースは、稼働しているコンテナやKubernetes環境にエージェントを導入して監視を行うものだ。

　「エージェントレスとエージェントベースの監視方法は併用可能です。エージェントベースを使ってエージェントの導入まで実施することで、より細かい情報を取得できます」（矢野氏）

CISOにもメリットが？ CNAPPが組織全体にもたらす変革とは

　サイバーリーズンの提供するCNAPPには、独自の機能がいくつか備わっている。その1つが「リスク機能」だ。CSPMやCIEM、CWP、CDRは従来、それぞれの領域内で脅威を検知するものだが、リスク機能を用いれば全領域の検出結果を統合することが可能となる。これにより、攻撃経路の分析と対処すべきリスクの優先順位付けができるのだ。

　たとえば「脆弱性が含まれているが、外部に公開されていないコンテナ」と、「脆弱性が含まれており外部にも公開されているコンテナ」では当然、後者の方が対処すべき優先度が高い。リスク機能は、複数の観点から得た情報を総合的に判断し、組織への影響がより大きいリスクを可視化する。これにより「個々の対策に翻弄されることなく、クラウド環境全体を鑑みて優先度の高いリスクから適切に対応できる」と矢野氏は述べる。

　この機能によって検知できる脅威には、リアルタイムの脅威、脆弱性、過剰権限などに加えて、コンプライアンス違反も含まれるという。矢野氏はデモで実際の画面を見せながら詳細を解説した。

　たとえば、複数のセキュリティ要素が連鎖的に組み合わさったケースでも、Cybereason CNAPPを用いると脅威を分かりやすく可視化できる。デモでは、Amazon EC2のインスタンスに複数の脆弱性が存在し、そのインスタンスが外部に公開されているだけでなく、Amazon EC2にアタッチされているIAMロール（ロールを引き受けるエンティティに、アクセス権限を一時的に付与する仕組み）に過剰な権限が付与され、さらに関連するS3バケット（Amazon S3でデータを保存するためのコンテナ）にも設定ミスがあるという複雑でリスクの高い状況が示された。Cybereason CNAPPでは、これらのリスクを全て一画面上で分かりやすくアラート表示できるようになっている。

　また、ユーザー単位で脅威を可視化することも可能だ。デモでは、ユーザーに対して管理者権限が付与されており、かつそのユーザーでAWS CloudTrailのログを無効化するなどの怪しいイベントが観測されていることから、リスクと判定し、アラートを出している画面も紹介された。

　矢野氏は「Cybereason CNAPPの脅威検知ルールは、刻一刻と変わる脅威に合わせてサイバーリーズン側でメンテナンスしている。ユーザーは、エージェントを導入するだけでこのようなリスクの洗い出しが可能だ」と説明する。

セキュリティのシフトレフトを実現するメソッド

　また矢野氏は「Cybereason CNAPPは組織全体にメリットをもたらす」とし、その理由について、よくあるセキュリティ組織の課題を例に出して説明した。

　多くの企業では、CISOをはじめとするCxOが定めたセキュリティの全体方針や戦略のもと、セキュリティ部門が具体的な設計や運用に落とし込む役割を担う。サービス開発部門は、CISOやCIO、セキュリティ部門から出されたセキュリティ要件などをもとに、サービス開発のライフサイクルにセキュリティを組み込んでいく。矢野氏は「Cybereason CNAPPのメリットは、CISO/CxOレベル、セキュリティ部門、サービス開発部門それぞれにある」と主張する。

　まずCISOレベルでは、法規制やベンチマークをベースとしたコンプライアンスレポートの作成や、組織全体におけるクラウド環境の可視化によるセキュリティ文化の浸透といった面で貢献できるとした。セキュリティ部門の観点からは、権限管理やコンプライアンス違反などの脅威検知に加え、リスク機能によって各領域の脅威を統合的に分析できるため、会社として適切に対応の優先度付けができる点を挙げた。そしてサービス開発部門では、CI/CDパイプラインにセキュリティ対策を組み込んで、ビルド時に自動的に脆弱性スキャンを行うことで、開発スピードを損なわずにセキュリティを担保できるとした。

　また、立場や役割の違いからセキュリティ部門とサービス開発部門の間に壁ができてしまうケースもよく耳にする。このような課題に対しても「Cybereason CNAPPを共通言語として用いることができる」と矢野氏。

　Cybereason CNAPPは実務・運用の観点から総合的にリスクを可視化するため、たとえばセキュリティ部門がサービス開発部門へセキュリティのフォロー事項を伝達する際にもスムーズな連携が可能だ。サービス開発部門は、セキュリティが開発の足かせになることを懸念しがちだが、Cybereason CNAPPを用いることで、サービス品質の担保とデリバリースピードの両立が実現できる。こうした考え方は、開発プロセスの上流工程からセキュリティを実装していくことから“セキュリティのシフトレフト”と呼ばれており、Cybereason CNAPPはこのシフトレフトを部門を越えて実現するというわけだ。

　矢野氏は最後に、Cybereason CNAPPの特徴を「包括的なカバレッジ」「リアルタイム検知と優先度付け」「開発スピードを損なわないセキュリティ」と3つにまとめた。加えて、各機能には生成AIが実装されているため、情報の取得や検索、運用作業の効率化にも貢献することを説明する。

　「Cybereason CNAPPは常に変化するクラウド環境に適したリアルタイム検知技術を備えています。DevOpsにもシームレスに組み込めるため、開発スピードも損ないません。これにより、スピードとセキュリティを両立したクラウドセキュリティ対策を実現できるのです」（矢野氏）