マルチクラウドの認証情報管理の勘所 ~ ノックするのは俺(IAM)だ | ScanNetSecurity
2024.07.26(金)

マルチクラウドの認証情報管理の勘所 ~ ノックするのは俺(IAM)だ

Blackhat USA 2022において「IAM The One Who Knocks」というタイトルのセミナーがあった。ドラマのセリフにかけたタイトルだが、IAMはIdentity and Access Managementのことだ。つまり、クラウドサービスにおける認証アカウントのことを指す。

研修・セミナー・カンファレンス
発表者の一人:Igal Gofman氏
  • 発表者の一人:Igal Gofman氏
  • アカウントにはパーミッションや属性が紐づけられている
  • 各クラウドプラットフォームのインスタンスの管理構造
  • Fabric Controllerなど人間に紐づかないIDに注意
  • デフォルト設定の危険性
  • GCPでのデフォルト設定の注意ポイント
  • プラットフォームごとのログの特性にも注意

 昨夏開催された Blackhat USA 2022 において「IAM The One Who Knocks」という講演が行われた(講演者:Igal Gofman 氏、Noam Dahan 氏)。

 この講演タイトルは、生活苦にあえぐ化学の中年教師が、末期ガンを宣告されたことをきっかけに麻薬製造に着手、高級品としてのブランドを確立し、製造・販売のロジスティクス網をも構築、麻薬王として人生大逆転を果たすさまを描いたテレビドラマ「Breaking Bad」の有名なシーンに由来する。

 『俺が危険な状況にあるんじゃない。この俺こそが危険なんだ。俺はドアを開けて撃たれる側じゃない。俺はドアをノックして鉛の弾をぶち込む方だ(I am the one who knocks.)』

 もし興味があれば「I am the one who knocks scene」で検索してほしい。

■ IAM アカウントの管理は慎重に

 ドラマのセリフにかけたこの「IAM」とは、もちろん Identity and Access Management のことだ。つまり、クラウドサービスにおける認証アカウントのことを指す。IAM アカウントは、クラウドにアクセスするための重要なキーだ。

 サイバー攻撃者は、JSON、Lambda、その他スクリプトや設定ファイルに残る IAM アカウント情報やセッションキーが大好物である。しかも、AWS、Azure、GCP など複数のオープンプラットフォームを稼働させている場合、アプリやリソースの連携や認証はきわめて複雑となる。この複雑さや煩雑さが思わぬ脆弱性やリスクを呼び込む場合がある。

 なぜなら、設定の整合性がとれていなかったり、意図せずセキュアでない運用が行われていたりするからだ。さらにプラットフォームごとにセキュリティポリシーや実装は微妙に異なる。個別管理が煩雑になってくると、Okta のような統合認証サービスを使うことになる。一元管理された統合サービスは便利だが、単一点障害のポイントになる可能性もある。

 IAM の情報は、セキュリティ対策において諸刃の剣の側面も持つ。IAM アカウントによるアクセスだと信頼して不用意にドアを開けてしまうとそこにヤバい奴がいる危険はゼロではないのだ。


《中尾 真二( Shinji Nakao )》

編集部おすすめの記事

特集

研修・セミナー・カンファレンス アクセスランキング

  1. reject(拒否)へのいばらの道を進むには ~ 日本プルーフポイント「DMARC Conference 2024」レポート

    reject(拒否)へのいばらの道を進むには ~ 日本プルーフポイント「DMARC Conference 2024」レポート

  2. 攻撃者のあの手この手、リアルな攻撃&リアルな現状を知る専門家が警鐘を鳴らす ~ JPAAWG 6th General Meeting レポート

    攻撃者のあの手この手、リアルな攻撃&リアルな現状を知る専門家が警鐘を鳴らす ~ JPAAWG 6th General Meeting レポート

  3. 世界で最初にXDRを提唱した男のビジョンとは? パロアルトネットワークス講演

    世界で最初にXDRを提唱した男のビジョンとは? パロアルトネットワークス講演

  4. 人かAIか? 生成方法別フィッシングメール打率比較

  5. 自動車サイバーセキュリティコンテスト「Automotive CTF Japan」新たに開催

  6. しんどいのは受信者だけじゃない?送信側が抱えるあんな悩み、こんな悩み ~ JPAAWG 5th General Meetingレポート-4

  7. LINEヤフー社 Digital Crime Unit の取り組みほか ~ フィッシング対策セミナー講演資料 5 本公開

  8. CODE BLUE タイムスケジュールが決定、事前登録期間も延長(CODE BLUE事務局)

  9. 汚染された Tor ブラウザ、狙われるダークウェブ利用者

  10. [レポート] フォレンジックの経験から考える内部不正対策~ 新日本有限責任監査法人 杉山氏

アクセスランキングをもっと見る

「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」
「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」

ページ右上「ユーザー登録」から会員登録すれば会員限定記事を閲覧できます。毎週月曜の朝、先週一週間のセキュリティ動向を総括しふりかえるメルマガをお届け。(写真:ScanNetSecurity 名誉編集長 りく)

×