HKHiago Kin Levi
← 論文一覧に戻る

Paper Files / Cloud

タイトル: マルチクラウド環境のための脅威の運用モデリングとテレメトリベース検知：IaaS、PaaS、Kubernetesインフラにおける実践的防御戦略（2025）

CloudJA

タイトル: マルチクラウド環境のための脅威の運用モデリングとテレメトリベース検知：IaaS、PaaS、Kubernetesインフラにおける実践的防御戦略（2025） 要旨: クラウドコンピューティングは、企業インフラ、デジタルサービス、および人工知能プラットフォームにとって支配的な運用基盤となった。2025年には、AWS、Microsoft Azure、Google Cloud Platform（GCP）を組み合わせたマルチクラウドおよびハイブリッド環境が一般的であり、コンテナ、Kubernetes、サーバーレス関数に基づくクラウドネイティブアーキテクチャは攻撃対象領域を大幅に拡大している。本稿では、脅威モデリング、リスクの形式化、およびテレメトリに基づく検知・対応メカニズムの実践的実装に焦点を当てた、クラウドにおける運用セキュリティ分析を提示する。本研究は、2021年から2025年にかけてのレッドチーミングおよびインシデントレスポンス運用で観測された反復的な攻撃ベクトルを検討し、IAMアイデンティティの悪用、クラウドAPI経由の情報流出、Kubernetesワークロードの侵害、ストレージおよび仮想ネットワークの誤設定の悪用を含む。さらに、露出度、特権、可観測性の指標を組み合わせた、クラウド環境向けに適応したリスク評価の形式モデルを提案し、数学的に表現することで、緩和策の自動優先付けを可能にする。本手法には、ネイティブテレメトリ（CloudTrail、Azure Activity Logs、GCP Audit Logs）の収集、eBPFによるランタイム計測、MITRE ATT&CK for Cloudフレームワークに整合したルールベースの行動検知が含まれる。本研究では、Falco、ScoutSuite、kube-bench、SIEMにおける分析パイプラインなど、2025年時点までに広く採用されているツールを用いた実践的実装を記述する。Kubernetesワークロードとサーバーレスサービスを含むシミュレートされたマルチクラウド環境において本アプローチを実験的に評価し、平均検知時間（MTTD）の大幅な短縮とリスク優先順位付けの改善を示した。また、公開インシデントにおいて観測された、露出した認証情報およびクラウドAPIの悪用に関するパターンに基づく現実的なケーススタディも提示する。結果は、形式的なリスクモデリングときめ細かなテレメトリおよびZero Trust制御の組み合わせが、クラウド環境の運用レジリエンスに大きな向上をもたらすことを示している。本研究は、2025年時点のセキュリティエコシステムの最先端に整合した、複雑なクラウドインフラで運用する攻撃的・防御的セキュリティチーム向けの実践的フレームワークを提供する。

  1. はじめに

クラウドコンピューティングは、ITインフラの運用モデルを根本的に変革した。2018年から2025年にかけて、組織はAmazon Web Services (AWS)、Microsoft Azure、Google Cloud Platform (GCP) といったプラットフォームへ重要なワークロードを移行し、その背景には弾力性、自動化、規模の経済があった。しかし、この変革は新たなセキュリティ・パラダイムも導入した。従来のデータセンターとは異なり、クラウド環境はAPI、アイデンティティ、およびプログラム可能なポリシーによって定義されるため、セキュリティの焦点はネットワークからアイデンティティと設定の制御へと移行する。

セキュリティ企業が公開したインシデント報告のデータは、クラウドにおける侵害の大半が、古典的なソフトウェア脆弱性ではなく、設定ミスと認証情報の悪用に起因することを示している。Unit 42およびWiz Researchの調査は、過剰なIAM権限と露出したAPIキーが依然として支配的な侵害ベクトルであることを示している（PALO ALTO NETWORKS, 2024; WIZ, 2023）。同時に、コンテナおよびKubernetesに基づくcloud-native環境は新たな制御プレーンを導入し、攻撃対象領域の複雑性を増大させている。

2025年におけるもう一つの重要な要因は、クラウドコンピューティングと人工知能の収束である。機械学習モデルの学習および推論パイプラインを実行するインフラは、しばしば大量の機密データを保存し、スケーラブルなGPUリソースに依存する。このシナリオは、データの外部流出であれ計算資源の悪用であれ、攻撃者に明確な経済的インセンティブを生み出す。

運用上の観点から見ると、クラウドセキュリティには3つの中心的課題がある。

• 分散環境における可視性の制限
• アイデンティティと権限の複雑な管理
• 高度に動的なAPI上での悪性活動の検知

Zero Trust Architecture（NIST, 2020）やCloud Security Posture Management（CSPM）といったフレームワークは、これらの課題に対処するために登場したが、多くの組織はいまだに、これらのアプローチを大規模に実運用へ実装することに困難を抱えている。

さらに、クラウド特有の攻撃手法は急速に進化している。Pacu、CloudFox、ScoutSuiteのようなツールは、一見無害に見える権限がどのように連鎖し、権限昇格や機微なリソースへのアクセスに利用され得るかを示している。Kubernetes環境では、kubeletの侵害、service accountの悪用、特権コンテナの悪用を伴う攻撃が、レッドチーム演習で一般的になっている。

本研究は、この状況を運用の観点から扱う。ポリシーや概念的フレームワークのみに焦点を当てるのではなく、以下のための構造化された手法を提示する。

• マルチクラウド環境における脅威モデリング
• アイデンティティおよびサービスの露出リスクの形式化
• テレメトリに基づく検知メカニズムの実装

本研究の中心仮説は、クラウドのネイティブ・テレメトリ、eBPFによるランタイム計測、および定量的リスクモデリングの組み合わせによって、インシデントの検知および対応時間を大幅に短縮できる、というものである。

本論文の構成は以下のとおりである。次節では、クラウドセキュリティの現状と関連研究を論じる。続いて、脅威モデルを形式化し、提案手法を示す。その後、実装の詳細を述べ、マルチクラウド環境におけるシステムを実験的に評価する。最後に、運用上の含意と今後の研究方向を議論する。

  1. 背景および関連研究

クラウドセキュリティは、過去10年で大きく進化した。初期の研究は、主としてテナント間分離と仮想化の安全性に焦点を当てていた。しかし、cloud-nativeアーキテクチャの台頭に伴い、攻撃対象領域には管理API、CI/CDパイプライン、アイデンティティ・システム、コンテナ・オーケストレーションが含まれるようになった。

主要クラウドプロバイダが採用する責任共有モデルは、物理インフラとハイパーバイザの安全性はプロバイダの責任であり、一方で顧客はアイデンティティ、データ、設定を保護すべきであると定めている。このモデルは、ある種の制御がプロバイダによって自動的に保証されると組織が誤認する場合に、しばしば運用上のギャップを生む（AWS, 2024）。

クラウドセキュリティの実践を導くために、複数のフレームワークが開発されてきた。NIST Cloud Computing Security Reference Architectureは、クラウド環境における制御とガバナンスの原則を定義している（NIST, 2018）。Cloud Security Alliance（CSA）は、監査およびコンプライアンスで広く利用されるCloud Controls Matrixを導入した（CSA, 2023）。

もう一つの重要な進展は、MITRE ATT&CK for Cloudマトリクスの作成であり、AWS、Azure、GCP向けの特定の攻撃者技術を分類している（MITRE, 2024）。このマトリクスには、以下のような戦術が含まれる。

• 漏えいした認証情報を介した Initial Access
• 不適切に構成されたIAMポリシーを通じた Privilege Escalation
• ストレージAPIを介した Exfiltration

オープンソースツールもクラウドセキュリティにおいて重要な役割を果たしている。表1は、監査およびレッドチーミングで最も利用されるツールの一部を示す。

ツール 主な機能 プラットフォーム 年
ScoutSuite 設定の自動監査 AWS/Azure/GCP 2017
Pacu AWSエクスプロイト・フレームワーク AWS 2018
CloudFox 列挙および権限昇格 AWS/Azure 2022
kube-bench CIS Kubernetes検証 Kubernetes 2018
Falco ランタイム動作検知 Linux/K8s 2016

最近の研究は、クラウド侵害の大半が侵害された認証情報を伴うことを強調している。Verizonの報告によれば、クラウドインフラを含むインシデントの40%以上で、盗難または再利用された認証情報が使用されていた（VERIZON, 2024）。

もう一つの重要な傾向は、CSPM、CWPP、およびコンテナセキュリティの機能を単一プラットフォームに統合するCNAPP（Cloud Native Application Protection Platforms）の採用である。Prisma Cloud、Wiz、Orca Securityといった商用ソリューションは、継続的なリスク可視化のために広く利用されるようになっている。

並行して、eBPFベースの技術はランタイム監視のために人気を集めている。Falcoのようなツールは、最小限のオーバーヘッドでシステムイベントを取得するためにeBPFを利用し、コンテナおよびホストにおける疑わしい挙動の検知を可能にする。

こうした進展にもかかわらず、クラウドセキュリティ理論と防御の実運用との間には依然としてギャップがある。多くの組織は大量のログを収集しているが、高リスクイベントを優先付けするための形式的モデルを欠いている。

本論文は、運用テレメトリと組み合わせた定量的リスクモデルを提案することで、このギャップを埋めることを目指す。

  1. 脅威モデルと問題の形式化

マルチクラウド環境は、アイデンティティ、マネージドサービス、仮想ネットワーク、ワークロードから成る分散型の攻撃対象領域を導入する。セキュリティ問題を形式化するため、以下の3つの主要コンポーネントを定義する。

  1. アイデンティティ（ユーザ、role、service account）
  2. リソース（インスタンス、bucket、データベース）
  3. アクセス・チャネル（API、ネットワーク、エンドポイント）

クラウドシナリオにおける典型的な攻撃者は、次のいずれかの初期能力を有する。

• 漏えいした認証情報へのアクセス
• 侵害されたコンテナへのアクセス
• APIトークンへのアクセス

この初期点から、攻撃者は権限を昇格させるか、機密データへアクセスしようとする。

表2は、クラウド環境で観測される一般的な攻撃ベクトルを示す。

攻撃ベクトル ATT&CK技術 影響
漏えいしたIAM認証情報 T1078 初期アクセス
過剰なIAM権限 T1098 権限昇格
公開S3バケット T1530 データ外部流出
特権コンテナ T1611 コンテナ・エスケープ
盗まれたKubernetesトークン T1552 横展開

リスクを定量化するため、3つの要因に基づくリスク関数を定義する。

• 露出度 ($E$)
• 権限度 ($P$)
• 検知可能性 ($D$)

運用リスクは次式で定義される。

$$ R = \frac{E \times P}{D} $$

ここで、

$R$ の値が大きいほど、緩和の優先度は高くなる。

このモデルにより、広範な権限を持ち、ログ可視性の低いroleのような危険な設定を優先的に扱うことが可能となる。

  1. 提案手法

提案手法は、3つの主要なセキュリティ層を組み合わせる。

  1. 継続的な設定監査
  2. ランタイム監視
  3. ログに基づく行動分析

まず、ScoutSuiteのような監査ツールが、クラウドアカウント内の安全でない設定を識別する。

実行例:

python scoutsuite.py aws --profile security-audit --report-dir reports

この段階では、以下のような問題を検出する。

• 公開バケット
• AdministratorAccess ポリシーを持つrole
• 無効化されたログ

第2層では、eBPFベースのランタイム監視を利用して、コンテナ内の疑わしい挙動を検知する。

Kubernetesのコンプライアンス検証例:

kube-bench run --targets master,node --benchmark cis-1.23

これらの制御は、以下のような安全でない設定を検出する。

• 特権コンテナ
• hostNetworkの使用
• service accountの過剰な権限

第3層では、クラウドAPIログを分析する。CreateAccessKey、AssumeRole、GetObject といったイベントは、悪意ある活動を示唆し得る。

表3は、重要イベントの例を示す。

イベント サービス 指標
CreateAccessKey IAM 永続化の可能性
AssumeRole STS 横展開
GetObject S3 データ外部流出
RunInstances EC2 仮想通貨採掘

これらのイベントはSIEM上で相関分析され、攻撃チェーンの特定に用いられる。

  1. 実装

実装は、以下を含む実験環境で行われた。

• AWS
• Azure
• GKE上のKubernetesクラスタ

アーキテクチャには以下が含まれる。

• CloudTrailおよびAudit Logsによるログ収集
• SIEMへの取り込み
• Falcoによる行動検知

Falcoルールの例:

- rule: Unexpected Shell in Container
  desc: Detecta execução de shell interativo
  condition: container and shell_procs
  output: "Shell inesperado em container (user=%user.name)"
  priority: WARNING

さらに、自動化スクリプトが各クラウドリソースのリスクスコア $R$ を計算する。

  1. 実験評価

実験環境には、120個のクラウドリソースと35個のIAMアイデンティティが含まれていた。

指標 事前 事後
MTTD 47 min 8 min
MTTF 3.2 h 1.1 h
高リスクリソース 28 9

別の評価では、検知ツールを比較した。

ツール 種類 カバレッジ
Falco Runtime 高
GuardDuty Managed 中
Azure Defender Managed 高
SIEM custom Logs 高

結果は、ランタイム・テレメトリとクラウドログを組み合わせることで、可視性が大幅に向上することを示した。

  1. ケーススタディ

実際のインシデントに着想を得たシミュレーション・シナリオにおいて、ある開発者が公開リポジトリにAWSキーを露出させた。自動化された攻撃者はそのキーを利用してSTSコマンドを実行し、特権roleを引き受けた。

その後、攻撃者はデータベースのバックアップを含むS3バケットへアクセスした。イベントの流れは以下を含む。

  1. GetCallerIdentity
  2. ListBuckets
  3. AssumeRole
  4. GetObject

ログ相関により、その挙動は10分未満で検知された。

  1. 議論

結果は、クラウドセキュリティが運用上の可視性に強く依存することを示している。ログを収集している組織であっても、相関を効率的に行う仕組みを欠いていることが多い。

もう一つの課題は、アイデンティティ管理である。大規模環境では、単一のAWSアカウントが数千のIAM roleを持つ場合がある。そのため、自動化なしに危険な権限を特定することは困難である。

さらに、Kubernetes環境は、アイデンティティ制御、ネットワーキング、ランタイムの相互作用により、追加の複雑性をもたらす。

  1. 結論および今後の課題

本研究は、形式的なリスクモデリングと分散テレメトリに基づく、クラウド環境のための運用指向セキュリティ手法を提示した。設定監査、ランタイム監視、ログ分析の組み合わせは、悪意ある活動の検知時間を大幅に短縮することを示した。

今後の研究では、クラウドAPIにおける行動分析への機械学習の活用と、検知技術と自動修復ポリシーの統合を探求すべきである。

  1. 参考文献

AMAZON WEB SERVICES. AWS Security Best Practices. 2024. https://docs.aws.amazon.com/security/

CLOUD SECURITY ALLIANCE. Cloud Controls Matrix v4. 2023. https://cloudsecurityalliance.org

FALCO PROJECT. Falco Documentation. 2024. https://falco.org

GOOGLE CLOUD. Security Command Center Overview. 2024. https://cloud.google.com/security-command-center

KUBERNETES. Kubernetes Security Documentation. 2024. https://kubernetes.io/docs/concepts/security/

MITRE. ATT&CK for Cloud Matrix. 2024. https://attack.mitre.org

NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY. Zero Trust Architecture. 2020. https://nvlpubs.nist.gov

NIST. Cloud Computing Security Reference Architecture. 2018. https://nvlpubs.nist.gov

ORCA SECURITY. State of Cloud Security Report. 2024. https://orca.security

PALO ALTO NETWORKS. Unit 42 Cloud Threat Report. 2024. https://unit42.paloaltonetworks.com

SCOUTSUITE. Multi-Cloud Security Auditing Tool. 2024. https://github.com/nccgroup/ScoutSuite

SYSdig. Falco Runtime Security. 2023. https://sysdig.com

VERIZON. Data Breach Investigations Report. 2024. https://www.verizon.com/business/resources/reports/dbir/

WIZ. Cloud Security Risk Report. 2023. https://www.wiz.io

MICROSOFT. Azure Security Benchmark. 2024. https://learn.microsoft.com/security/benchmark/

CISA. Cloud Security Technical Reference Architecture. 2023. https://www.cisa.gov

CNCF. Cloud Native Security Whitepaper. 2022. https://www.cncf.io

SNYK. Kubernetes Security Report. 2023. https://snyk.io

AQUA SECURITY. Cloud Native Threat Report. 2024. https://www.aquasec.com

RED HAT. Kubernetes Security Guide. 2024. https://access.redhat.com

IBM SECURITY. Cloud Threat Landscape. 2023. https://www.ibm.com/security

GOOGLE. BeyondCorp Zero Trust Model. 2021. https://cloud.google.com/beyondcorp

MICROSOFT. Defender for Cloud Documentation. 2024. https://learn.microsoft.com/azure/defender-for-cloud

AWS. CloudTrail Documentation. 2024. https://docs.aws.amazon.com/cloudtrail

KUBERNETES CIS BENCHMARK. Center for Internet Security. 2023. https://www.cisecurity.org

EBPF FOUNDATION. eBPF Overview. 2024. https://ebpf.io