防御? 攻撃? クラウドとセキュリティの多彩な関係

実用段階を迎えたクラウド

クラウドは、「インターネット上に集積した膨大な量のコンピューティング・リソースを曖昧模糊とした雲と表し、ユーザーは雲の中について知らなくてもそこから必要なコンピューティング・リソースを自在に引き出して利用できる」といったイメージで語られることが多い。

そのせいなのか、一般に「クラウド」という言葉が使われる際も意味がわかりにくく、それこそ雲をつかむような話になっていることも珍しくない。これは「クラウドとは何か?」という問いに対する明快な定義が存在しないためであり、各人が各様にイメージするクラウドについて語ることから生じる状況だ。

とはいえ、現実にクラウドを冠するサービスやソフトウェアが多数提供され始めるなど、すでに実用段階にあるのも事実で、現在は「クラウド時代」に突入していると言える。

この状況下では、クラウドをどのように「活用し、付き合っていくか」と考えるほうが実際的だろう。企業コンピューティングの分野では、「ITリソースを所有せずに利用する」コスト削減の有力な手法としてクラウドの利用が始まりつつある。

個人ユーザーも事情は同様だ。GoogleやAmazonをクラウドの代名詞とするなら、クラウドを意識しているかどうかはともかく、誰もがクラウドによって実用化されたサービスの恩恵に浴していると言える。そして、セキュリティの問題もすでにクラウドと切り離して考えることができない状況になりつつある。

ユーザーはセキュリティ対策をしなくてよい?

クラウドとセキュリティの関連性も、クラウドと同様に曖昧かつ多義的な状況だ。まず、企業コンピューティングの分野では、「クラウド上のデータを不正アクセスから守る」といった意味で理解されるのが一般的だ。

クラウドはネットワーク上のサービスであり、本質的に「外部からのアクセスを受け入れる」リソースである。一般的なセキュリティ対策は「外部からのアクセスを遮断する」ことを重要な手段としているため、クラウドのセキュリティを維持するのはなかなか骨の折れる作業となるはずだ。

幸か不幸か、クラウドを外部からの攻撃を防御するのは、利用者ではなく運営者の責務となる。利用者にできることは、せいぜい自身が管理するIDとパスワードが漏洩しないように気をつけるくらいだ。それ以前に、技術力が高くセキュリティを維持できそうなクラウド運営事業者を選ぶことも、ユーザー側で取り得るセキュリティ対策と言えるかもしれない。とはいえ、いずれにしても積極的に関与することは難しいだろう。

防御と攻撃のいずれにも使えるクラウド

エンタープライズITの文脈で「クラウドとセキュリティの関係」を考えると、ほぼこうした「クラウド自体をどう守るか」という話になるが、違う視点もあり得る。それは、「クラウドをセキュリティ・ツールとして活用する」という話だ。

クラウドとは、インターネット上に用意された巨大なコンピューティング・リソースと考えてよい。このリソースを活用すれば、個人や企業が所有可能な個々のコンピュータの能力をはるかに超えた大規模な処理も可能になる。

そしてクラウドの使い方次第で、さまざまな影響が引き起こされる。セキュリティという観点から見ると、クラウドは攻撃と防御のどちらでも利用可能な巨大なコンピューティング・リソースとなるのだ。

クラウドの実用化は最近のことのように思われるかもしれないが、セキュリティの世界では、かなり前から同様のコンセプトに基づく手段が利用されていた。攻撃での利用例としてよく知られているのが「ボットネット」や「DDoS」だ。

これらは、マルウェアをインストールされたPCが攻撃者の指示に応じて攻撃に参加するといった手口をとる。インターネット上に分散された多数のコンピューティング・リソースを統合して特定の目的(この場合は攻撃)のために利用する点で、正にクラウドと同様のアイデアと言える。この手の攻撃の恐ろしさは、多数のコンピュータが攻撃に参加することで、ターゲットになったコンピュータの処理能力を簡単に凌駕してしまう可能性が高い点だ。

現在、多数のボットを使った攻撃が増加しているだけでなく、毎日発生する新種のマルウェアの数そのものが等比級数的に増加しており、ローカルPCがその演算能力を使って毎日配布される巨大な定義ファイルによって防御することがもはや限界に達している。

そこで当然出てくるが「防御のためにクラウドを活用する」という発想だ。クラウドがインターネット上に用意された巨大なコンピューティング・リソースであり、攻撃側がこの処理能力を使ってくるのであれば、防御側もクラウドを活用しない限り勝ち目はないとも言える。

パラダイムシフトが起きているセキュリティ・ソフトウェア

クラウドを活用したセキュリティ対策には、もう1つおもしろい側面がある。それは、単に演算能力を統合するだけでなく、個々のユーザーからの情報を集約するためにも活用される点だ。

従来、攻撃を受けたユーザーはローカルのPCの演算能力だけを頼りに単独で防御していた。世界のどこかで誰かが攻撃されているという情報は他のユーザーには伝わらず、そこで得られた経験を共有する手段もなく、攻撃側に比べると不利な立場にあった。

しかし、クラウド時代を迎えてこの状況は一変した。セキュリティ・ソフトウェアのユーザーが受けた攻撃に関する情報がクラウドに集約され、他のユーザーはその情報に基づいた対策を講じることが可能になってきたのだ。

クラウド時代の到来は、エンタープライズITに大きなインパクトを与えたが、同時にセキュリティ・ソフトウェアのあり方も根本から変えつつある。これまで連綿と磨かれてきた「シグニチャ/パターン」によるマルウェア識別技術の価値がなくなったわけではないが、クラウドを活用せずに個々のPC単独の対策にとどまっていては、効果的な保護は不可能な状況になりつつある。

次回は、こうした状況をさらに掘り下げ、セキュリティを確保するために「なぜクラウドを使う必要があるのか」、また、「クラウドをどう使うべきか」について考えてみたい。