実践クラウドセキュリティ 第2版

第7章 セキュリティインシデントを検知し、対応し、回復する

この作品はAIを使って翻訳されている。ご意見、ご感想をお待ちしている：[e-mail]

今までに、あなたは自分のクラウド資産が何であるかを知り、それに対して合理的な保護を施してきた。 すべて順調だろう？

推理小説の3分の2を読み終え、謎が解けたように見えるとき、あなたは物語が終わっていないことを知る。 この本にはまだページが残されているのだから、クラウド・セキュリティがまだ終わっていないことも、おそらく大きな驚きではないだろう。

これまでの章ではすべて、自分の資産を特定し、それを保護することを扱ってきた。残念ながら、常に成功するとは限らない。 実際、組織や業界によっては、些細なセキュリティ・インシデントが日常茶飯事である！ ある時点で、攻撃者はほぼ確実に、時には成功裏に、あなたの資産への不正アクセスを試みるだろう。 その時、検知的コントロールのコツは、攻撃者をできるだけ早く検知し、追い出し、必要なダメージ・コントロールを行うことである。 その一環として、攻撃者がよくやることや、攻撃がどのように進行するかを理解することが役に立つ。

ここ数年、多くの有名な情報漏えいが発生している。 悪質な情報漏えいと本当に悪質な情報漏えいを区別するのは、多くの場合、何が起きているのかを検知するのにかかった時間と、被害者がどれだけ効果的に対応したかである。 550以上の組織を対象とした最近のある調査によると、情報漏えいを特定するまでの平均時間は277日で、200日未満で情報漏えいを特定した企業は、200日以上かかった企業に比べて100万ドル以上節約できたという。このことを念頭に置いて、問題を発見し、それが災害になる前に対応するために何ができるかを考えてみよう。

MITRE ATT&CKとキルチェーン

攻撃者が何をしでかすかを説明しようとするリソースはいくつかある。 この記事を書いている時点で最も人気があるのは、MITREのATT&CKフレームワーク（「アタック」と発音する）とロッキード・マーチンのサイバー・キル・チェーンだが、他にもユニファイド・キル・チェーンなどがある。

MITRE ATT&CK は一般的にキルチェーンよりも詳細で、攻撃の段階やコンピューティング環境ごとに攻撃者が使用する可能性のあるさまざまな戦術、テクニック、手順（TTP）を示している。

キルチェーンはむしろアウトラインのようなもので、偵察、武器化、運搬、搾取、設置、指揮統制、オブジェクトへの行動など、攻撃者が一般的にとるステップを順番にリストアップしたものだ。

インシデントレスポンスチームは、少なくとも1つのキルチェーンモデルと、MITREのATT&CKクラウドマトリックスにあるTTPのいくつかに目を通し、理解することをお勧めする。 攻撃者が試みそうなことを理解することは、アクティブな攻撃に対応するときに役立つ。この章の後半で、その一例を見てみよう。

従来のITとの違い

第1章の責任共有モデル図（図1-8）をもう一度見てみよう。

従来の環境では、これらのレベルごとに何が起きているかを心配しなければならなかった。 クラウド環境の良い点は、侵入検知とレスポンスはプロバイダーの仕事であり、プロバイダーが責任を負う分野であることだ。まれに、サービスプロバイダの情報漏えいの影響を受けることがあるが、その場合は通知を受ける必要があり、利用しているサービスに特有のレスポンスや復旧活動が必要になることもある。 ...