より堅牢なクラウドセキュリティ態勢に

を用いれば、アプリケーションのネットワークポートやファイルデバイスといった他のリソース上での操作におけるアクセスや実行能力を制御することが強制アクセス制御できます。コンテナの例で言うと、アクセス制御を行うことでコンテナがホストや他のコンテナに影響を与える能力を制限することが可能になります。

MACシステム SELinuxまたはAppArmorのいずれかで適切なポリシーを策定することで、攻撃者がコンテナで提供されるサービスを悪用したとしても攻撃を封じ込めることが可能になります。当社ではお客様が必要とするセキュリティ・柔軟性のレベルに応じて適切なMACツールを選択するお手伝いをいたします。またMACの代わりにLinuxカーネルを使い、コンテナアプリケーションに制限をかけることもできます。

インターネットに接続されたすべてのアプリケーションやサービスに対してセキュリティの第一段階を提供するのがファイアウォールです。クラウドインフラの出現により、仮想プライベートクラウド（VPC）といったセキュリティ強化のための追加的機構が利用できるようになりました。VPCを用いた仮想プライベートネットワークを介することで、インターネット上に露出するノードを一定数に限定し一連のコンピューティングリソースを作成することが可能になります。これらノード間にネットワークルールを設定することでセキュリティ侵害を防ぐことができます。多くの場合外部からのネットワークアクセスに焦点が置かれますが、それぞれのコンピューティングリソースから送信されるトラフィックを制限することも同様に重要であり有用です。

仮想マシンとコンテナにおいて、ホストのセキュリティもまた懸念事項の一つです。ホストプラットフォームやランタイムの脆弱性はコンテナ全体に及ぶセキュリティ侵害を誘発する恐れがあります。いずれの場合もフルロードのシステムを使うことは攻撃対象領域を広げてしまう可能性があります。

仮想マシンやコンテナが持つ隔離性はベアメタルサーバのそれと同程度ではありません。Google提供のgVisorといった技術を使えば、セキュリティ層をさらに追加することが可能です。以上すべてから、セキュリティ戦略の策定は慎重に行う必要があることを示しています。

マシン間の全通信はトランスポート・レイヤー・セキュリティ（TLS)プロトコルをもって安全に行うことが推奨されます。通信をするにあたり、可能な限りプライベートIPを介して行われるべきです。保存データはAES-256を用いて暗号化し、適切なデータ管理対策を実施しましょう。これは組織のプライバシーポリシー遵守及び契約上の義務履行に大いに役立ちます。

マイクロサービス型のアプリケーション展開の台頭に伴い、APIキーはリスクの源となっています。これらAPIキーを安全ではない形で使用しているケースがしばしば見られます。一旦サービスが侵害されると、そのサービスが別サービスで使用するキーも攻撃者に盗まれ、五月雨式に侵害が発生する恐れがあります。APIキーを持つデプロイスクリプトがバージョン管理システム上で暴露される例は非常に頻繁に見られます。