日本マイクロソフト
セキュリティレスポンスチーム
セキュリティプログラムマネージャー
ゆりか先生(村木 由梨香)

クラウド上のサービス管理は、システム運用担当者の端末や開発用端末、モバイル、専用デバイスといった、さまざまなデバイスから行われます。Microsoft Azureでは、Webベースの管理ポータルだけでなく、自動化を可能とする「サービス管理 REST API」をベースとしたPowershellや、管理APIを介した管理が可能です。

また、Azure上に展開されている仮想マシンとアプリケーションに対しては、リモート デスクトップ接続やSSH、Microsoft管理コンソール(MMC)、Microsoft System Centerなどのエンタープライズ管理コンソールを利用して管理できます。

デバイスと管理手法の組み合わせで多彩なリモート管理が可能になる一方、セキュリティ管理の観点からすれば、監視の目が行き届かず、セキュリティ侵害の糸口になってしまうケースがあります(関連記事 : セキュリティの基本は「管理アカウント」 - 整理して”あるある失敗”を防げ!)。

Azure のリモート管理に対するセキュリティの代表的な考慮ポイント

セキュリティを考慮したクラウド サービスのリモート管理は、決して特殊なことをやっているわけでなく、これまでのオンプレミス環境で実現してきたリモート管理の考慮すべき事項をベースにすることができます。

  • 認証

接続を行う管理アカウントは、Microsoft Accountか管理証明書を利用して認証します。Azure ADを利用した認証の一元化や、Active Directoryフェデレーションサービス(AD FS)を利用して、オンプレミスのディレクトリなどと資格情報の連携も可能です。

さらなる認証の安全強化策として、監査アクセス要求や管理ツールへのアクセスに使用される発信元IPアドレスを、Azure のログオン制限を使用して規制したり、多要素認証を活用することもできます(関連記事 : 【第4回】意外と簡単に設定できる「Azure 多要素認証」)。

  • 認可

ロールベースのアクセス制御を利用して、職務に必要な範囲のアクセス権のみをユーザーに付与するよう構成できます

  • 通信

さらに、サイト間VPN(S2S)を利用したIPsecや、ポイント対サイトVPN(P2S)を利用したSecure Socketトンネリングプロトコル(SSTP)による暗号化とトンネリングも活用できます

  • 監視、監査

Azure Security Centerを利用することで、不正なアクセスや侵入口となりうる設定の早期発見・対策が可能になります

  • 管理用端末の堅牢化

リモート管理する接続元端末のセキュリティを堅牢にして、侵入口となる脅威を低減します

特に重要な管理端末の堅牢化

ここのところ起きている組織へのセキュリティ侵害では、システムに重要な変更を加えられる特権を持つ「管理者アカウント」が悪用されています。

攻撃者はフィッシングサイトやウイルスなどのマルウェアを利用して管理アカウントの資格情報を盗み、管理者になりすましてシステムを操作してデータ詐取などの操作を行います。この侵入傾向は、クラウド環境においても例外ではありません。実際にAzure上でも、管理アカウントの資格情報が窃取されるケースが数多く報告されています(Microsoft Security Intelligence Report Vol. 21)。

また、管理者が利用する端末にマルウェアを感染させて、ユーザーとクラウドの間に入り込んで操作行動を傍受、データを盗み取る中間者攻撃「Man-in-the-cloud」と呼ばれる手法の被害例も出始めています。

このような攻撃は、管理アカウントを利用している端末を堅牢化することが大切なポイントです。例えば、最新のWindows 10やMicrosoft Exchange Online Advanced Treat Protectionに含まれている「SmartScreen」を利用していれば、ユーザーが見分けることができない巧妙なフィッシングメールやフィッシングサイトも自動的にブロックします。また万が一、ウイルスが端末に侵入したとしても、悪用される脆弱性がすでに対策されている最新の状態であれば、結果として「資格情報の窃盗」や「中間者攻撃」は失敗に終わる可能性が高くなります。

このように、クラウドの安全な利用の第一歩は、「侵入の入り口となる接続端末の攻撃対象領域を小さくする」ことが重要です。クラウドのメリットである「柔軟なリソースの追加」による新たなセキュリティ設定が必要になっても、あらかじめ端末の構成を一元管理しておき、未管理状態の端末を減らしておけば、構成変更を迅速に展開でき、攻撃リスクだけでなく、管理タスクの最小化が可能になります。

ここで、管理端末を堅牢化するチェックポイントをおさらいしておきましょう。

  • 最新の OS やソフトウェア、プラグインを利用する

  • マルウェア対策ソフトウェアを使用する

  • 多要素認証を導入して資格情報の盗難リスクを小さくする

  • 管理端末における業務分離の徹底を行う。(例 : 管理を行う端末では個人の電子メール行わない、インフラの運用環境と開発環境を共用しないなど)

  • 不要なソフトウェアの削除。管理・接続に不要な標準ソフトウェアやサービスを削除し、攻撃の糸口となり得るポイントを削減する

  • 端末からオープン インターネット アクセスを拒否し、制限の厳しいファイアウォール構成を使用する

  • 管理用端末のネットワークトラフィックを隔離してフィルタリングする

特権を持つ管理者アカウントだけセキュリティを高めていても、一般ユーザーアカウントが侵害されては元も子もありません。そこを起点として、組織内の他のアカウントへの侵害につながることもあるためです。

まずは管理アカウントを利用する端末の堅牢化が重要ですが、クラウドへ接続するほかの端末も「最新のセキュリティ更新プログラムの適用」「マルウェア対策ソフトで最新の定義ファイルを適用」「重要なシステムは二要素認証を利用」といった、基本的なセキュリティ設定を徹底しておく必要があります。

まとめ

クラウドのリモート管理は、「インターネットや組織外部のネットワークへ接続する」という特性から、ネットワークのセキュリティや途中の経路の接続方式に目が行きがちです。

しかし、これまでのオンプレミスの環境と同じようにクラウド環境でも、攻撃の糸口は「ユーザーが利用する端末」にあります。どのような接続形態を取っていようとも、まずは管理するための接続元端末を堅牢にすることが、忘れてはならない重要なポイントとなるのです。