マルチクラウドの認証情報管理の勘所 ~ ノックするのは俺(IAM)だ | ScanNetSecurity
2024.03.30(土)

マルチクラウドの認証情報管理の勘所 ~ ノックするのは俺(IAM)だ

Blackhat USA 2022において「IAM The One Who Knocks」というタイトルのセミナーがあった。ドラマのセリフにかけたタイトルだが、IAMはIdentity and Access Managementのことだ。つまり、クラウドサービスにおける認証アカウントのことを指す。

研修・セミナー・カンファレンス セミナー・イベント
発表者の一人:Igal Gofman氏
発表者の一人:Igal Gofman氏 全 7 枚 拡大写真

 昨夏開催された Blackhat USA 2022 において「IAM The One Who Knocks」という講演が行われた(講演者:Igal Gofman 氏、Noam Dahan 氏)。

 この講演タイトルは、生活苦にあえぐ化学の中年教師が、末期ガンを宣告されたことをきっかけに麻薬製造に着手、高級品としてのブランドを確立し、製造・販売のロジスティクス網をも構築、麻薬王として人生大逆転を果たすさまを描いたテレビドラマ「Breaking Bad」の有名なシーンに由来する。

 『俺が危険な状況にあるんじゃない。この俺こそが危険なんだ。俺はドアを開けて撃たれる側じゃない。俺はドアをノックして鉛の弾をぶち込む方だ(I am the one who knocks.)』

 もし興味があれば「I am the one who knocks scene」で検索してほしい。

■ IAM アカウントの管理は慎重に

 ドラマのセリフにかけたこの「IAM」とは、もちろん Identity and Access Management のことだ。つまり、クラウドサービスにおける認証アカウントのことを指す。IAM アカウントは、クラウドにアクセスするための重要なキーだ。

 サイバー攻撃者は、JSON、Lambda、その他スクリプトや設定ファイルに残る IAM アカウント情報やセッションキーが大好物である。しかも、AWS、Azure、GCP など複数のオープンプラットフォームを稼働させている場合、アプリやリソースの連携や認証はきわめて複雑となる。この複雑さや煩雑さが思わぬ脆弱性やリスクを呼び込む場合がある。

 なぜなら、設定の整合性がとれていなかったり、意図せずセキュアでない運用が行われていたりするからだ。さらにプラットフォームごとにセキュリティポリシーや実装は微妙に異なる。個別管理が煩雑になってくると、Okta のような統合認証サービスを使うことになる。一元管理された統合サービスは便利だが、単一点障害のポイントになる可能性もある。

 IAM の情報は、セキュリティ対策において諸刃の剣の側面も持つ。IAM アカウントによるアクセスだと信頼して不用意にドアを開けてしまうとそこにヤバい奴がいる危険はゼロではないのだ。


《中尾 真二( Shinji Nakao )》

関連記事

この記事の写真

/

特集

PageTop

アクセスランキング

  1. 富士通の複数の業務パソコンにマルウェア、個人情報を含むファイルを不正に持ち出せる状態に

    富士通の複数の業務パソコンにマルウェア、個人情報を含むファイルを不正に持ち出せる状態に

  2. ランサムウェアに身代金を支払う傾向の強い組織の構造が明らかに

    ランサムウェアに身代金を支払う傾向の強い組織の構造が明らかに

  3. プロ e スポーツ選手のアカウントにハッキング

    プロ e スポーツ選手のアカウントにハッキング

  4. 日東製網へのランサムウェア攻撃、約 1 ヶ月で全システム復旧

    日東製網へのランサムウェア攻撃、約 1 ヶ月で全システム復旧

  5. 総務省「無線LANセキュリティガイドライン」更新、自宅と公衆に分冊

    総務省「無線LANセキュリティガイドライン」更新、自宅と公衆に分冊

  6. 脆弱性診断の新たな選択肢「ちょうどいいレベルの診断」を AeyeScan活用でサービス化 ~ NTTデータ先端技術

    脆弱性診断の新たな選択肢「ちょうどいいレベルの診断」を AeyeScan活用でサービス化 ~ NTTデータ先端技術PR

  7. 時給7,500円 ~ 総務省、非常勤サイバーセキュリティ人材募集 月2時間 霞が関勤務

    時給7,500円 ~ 総務省、非常勤サイバーセキュリティ人材募集 月2時間 霞が関勤務

  8. 早稲田スポーツ新聞会のホームページがウイルス感染、意図せずファイルがダウンロードされる被害

    早稲田スポーツ新聞会のホームページがウイルス感染、意図せずファイルがダウンロードされる被害

  9. Meta 社へ申請するも復旧困難と判断、乗っ取り被害の「池袋エリアプラットフォーム」の Facebook ページ削除

    Meta 社へ申請するも復旧困難と判断、乗っ取り被害の「池袋エリアプラットフォーム」の Facebook ページ削除

  10. Jenkins に任意のファイルの読み取りが可能となるコマンドラインインターフェース機能におけるアクセス制御不備の脆弱性(Scan Tech Report)

    Jenkins に任意のファイルの読み取りが可能となるコマンドラインインターフェース機能におけるアクセス制御不備の脆弱性(Scan Tech Report)

ランキングをもっと見る