ImmuniWeb の無料の Cloud Security Test:保護されていないストレージを検出

ImmuniWeb Launches Free Cloud Security Test to Detect Unprotected Storage

2021/09/30 TheHackerNews — IDC Cloud Security Survey 2021 では、過去18ヶ月以内に 98% もの企業が、クラウド上でデータ侵害の被害に遭っているとしている。パンデミックに煽られて、世界中の中小企業や大企業のデータやインフラが、パブリック・クラウドに移行しているが、その一方では、クラウドの新規性やセキュリティ/プライバシー問題を過小評価していることが多いようだ。

ほぼ毎朝のように、AWS の S3 バケットや、Microsoft Azure の blob 、その他のクラウドネイティブ・ストレージ・サービスなどの保護されていないクラウド・ストレージから、数千万件の健康記録や財務記録が発見されたというセンセーショナルなニュースが、中小のクラウド・セキュリティ・プロバイダーのヘッドラインを飾っている。

先週のこと、AI を活用する製品を提供し、急成長を遂げているアプリケーション・セキュリティベンダーの ImmuniWeb は、毎日15万件以上のセキュリティ・テストを無料で実行している Community Edition に、クラウド・セキュリティ・テストというオンラインツールが追加されたことを発表した。保護されていないクラウド・ストレージをチェックするには、メインの Web サイトの URL を入力して数分待つだけで OK とのことだ。

ImmuniWeb によると、この無料テストでは、AWS/Azure/GCP を含む 19 のクラウド・サービス・プロバイダーのストレージを検出するとのことだ。また、GDPR などのプライバシー法および規制に準拠する目的で、クラウドデータが保存されている地域または国を、結果で確認できるという。

ImmuniWeb によると、このテストを支える技術は、OSINT/BigData/Machine Larning に基づくスマートな予測技術を活用し、ユーザー企業に属する保護されていないクラウドバケットを発見するというものだ。ただし、悪意の目的で使用されることを防ぐために、無料の登録とアカウントの検証が必要となる。これにより、公開されたクラウ・ドバケットの URL を、収集することが可能となる。また、このツールは、登録後に DevOps/SecOps チームが利用できる、無料の API も備えている。

ImmuniWeb のクラウド・セキュリティ・テストの差別化要因は、クラウドの認証情報を入力する必要がないことだ。この点が、クラウド資産やインスタンスを列挙するために、IAM 認証情報を必要とする多くのオープンソースまたは商用のクラウド監視ツールとは対照的である。また、Oracle Cloud や IBM Cloud といった、中規模のクラウド・サービス・プロバイダーもカバーしている点に好感が持てる。

さらに、ロシアの SberCloud や中国の Alibaba Cloud のような、数多くのローカル・プレーヤーもレーダーに登録されており、ローカル・クラウドの存在やシャドー・クラウドのアカウント検出にも役立つ。

また、ImmuniWeb は、オールインワンの ASM (Attack Surface Management) および、ダークウェブ監視ソリューション ImmuniWeb Discovery の有料版を提供している。ImmuniWeb は、Discovery について、インターネットに公開されているクラウドベースのロード・バランサー/データベース/リポジトリ/コンテナ管理/オーケストレーション・ソフトウェアなどを含む、大部分の外部クラウド資産を検出するものだとしている。

そして、オンプレミスとクラウドベースの IT 資産を、ダークウェブの調査結果と関連付けることで、脅威を考慮したリスクスコアを顧客に提供している。顧客は、サプライヤーの評価や、サプライチェーン攻撃の防止対策として、Discovery を使用することができる。

Cloud ASM は、エンドユーザー/ベンダー/投資家にとって、2021年の極めてホットな話題となっている。7月には Microsoft が、同じくマーケットのプレーヤーである RiskIQ を $500 million 以上で買収することを発表し、また、最近では Mandiant が、オープンソース版で有名な ASM スタートアップ Intrigue を吸収した。

ImmuniWeb はプレスリリースで「近日中に、さらに多くのエキサイティングな機能を提供する」と約束している。同社の、継続的な取り組みと、サイバーセキュリティ・コミュニティと共有するツールに注目していきたいと思う。クラウドデータがインターネット上に公開されるのを防ぐために、CIS Benchmarks for Cloud の導入を検討し、ImmuniWeb の無料クラウド・セキュリティ・テストを実施し、セキュリティ対策を検証してみるのはどうだろう。

なんとなく ImmuniWeb 応援団的なところもありますが、この種のストレージ検出サービスが注目されることは、素晴らしいことだと思います。ただ、これは VirusTotal などにも言えることですが、情報の共有と保護という点で、使い方には慎重さが必要になるはずです。文中にある Microsoft による RiskIQ の買収や、Mandiant による Intrigue の吸収に観られるように、とても興味深い展開になっていますね。ImmuniWeb が何処にも買収されず、メジャー・クラウドの目の上のたんこぶ的な存在になっていくと面白いと思います。

%d bloggers like this: