X-Force

X-Force Cloud Security Landscape Reportをリリース

2021 IBM Security X-Force クラウドの脅威レポート

2021-10-14

カテゴリー X-Force

記事をシェアする:

2021年9月15日にIBM Security X-Forceはクラウド環境を標的とした脅威統計に関しての調査結果レポートを発表しました。

（レポートの詳細はこちら）
→ X-Force Report: No Shortage of Resources Aimed at Hacking Cloud Environments

多くの企業でオンプレミス環境からクラウド環境への移行を実施している中、今回の調査結果で明らかになったのは、クラウドセキュリティーの専門的知識が欠如していることにより、構築したクラウド環境で不十分なセキュリティー設定、未管理となってしまった環境や不十分な監視環境が発生し、サイバー犯罪者による攻撃が成功しています。

過去1年間、X-Force REDがクラウド環境に対してペネトレーションテストを実施したところ、大部分の結果から認証情報やポリシーの問題が確認されております。ダークサイト上では約3万件の漏洩したクラウドアカウントが特価にて販売されている状況で、クラウド環境に使用する認証情報がデフォルトのまま、または過去の認証情報の使いまわしが確認されたり、「シャドーIT」と呼ばれるクラウド・インスタンスや未公認のリソースが存在するなど、不適切なセキュリティー管理も問題です。

セキュリティー設定の問題だけではなく、クラウドを標的とした脆弱性は過去5年で150%の増加が確認されており、クラウドに導入されているアプリケーションの脆弱性の深刻度が大幅に増加しております。クラウド環境では適切なセキュリティー設定とともに適切な脆弱性管理も必要となります。

IBM Security X-Force Incident Response (IR)チームの調査結果によると、侵害されたクラウド環境の3分の2は不適切に設定されたAPIが原因でした。これはデフォルト設定の仮想マシンや内部公開用のサービス(例えばMicrosoft のRemote Desktop Protocol等)が誤って外部公開されているなどです。

さらにIRチームが対応したインシデントのうち、パスワードスプレー攻撃は20%と占めております。また、クラウド環境の不適切なパーミッション設定が侵害レベルを悪化させており、クラウド環境でも認証情報の管理とセキュリティーポリシーが問題となっています。

なお、システム侵害で調査した対象の50%において、クリプト（暗号資産または仮想通貨）マイナーやランサムウェアに関連していました。
そして、マルウェアの複数はLinuxからDockerに焦点を移し、レジストリー、ホスト、実行中のコンテナ攻撃の3つのカテゴリに分類される傾向にあります。

これらの脅威に対し自社のクラウド環境を守るためには、複雑で分散しているクラウド環境を一つにまとめ、Redチームによるペネトレーションテストを実施し、外部からの不正なアクセスポイントやセキュリティーの問題が無いことを確認しつつ、「脅威インテリジェンス」でインターネット上やダークサイト上で発生している脅威をいち早く知ることが必要です。

また、問題が発生した時にはすぐに対応できるよう、詳細なインシデント対応計画を作成し、定期的なシミュレーションやテストを実施すること、またインシデント対応チームやサイバーセキュリティーの専門家、社外弁護士などを確保しておくことが重要となります。

(本レポートの主なハイライト）

ダークサイト上では約3万件の漏洩したクラウドアカウントが特価にて販売されている
クラウドを標的とした脆弱性は過去5年で150%の増加
侵害されたクラウド環境3分の2は不適切に設定されたAPIが原因
IRチームが対応したインシデントのうち、パスワードスプレー攻撃は20%を占める
システム侵害で調査した対象の50%が、クリプト（暗号資産または仮想通貨）マイナーやランサムウェア関連
マルウェアの複数はLinuxからDockerに焦点を移し、レジストリー、ホスト、実行中のコンテナ攻撃の3つのカテゴリに分類される傾向

（レポート本文を読むにはこちらから）
→ 2021 IBM Security X-Force クラウドの脅威の状況に関するレポート

【著者情報】

執筆者
栗原　盾也

日本アイ・ビー・エム株式会社
セキュリティー事業本部
X-Force Security Threat Intelligence
マネージャー

2002年インターネットセキュリティシステムに入社し、セキュリティー教育、ISS製品サポート、プロフェッショナルサービスチームにてプライバシーマーク取得支援や個人情報保護対応、セキュリティーアセスメントを担当。2007年にIBMに吸収合併後、大手企業に対する技術的なセキュリティ支援全般を実施。2018年からアセスメントサービスのチームリーダーとして、セキュリティーアセスメントサービス全般を担当、2021年からThreat Intelligence を担当している。