CSPMとは？クラウドセキュリティポスチャー管理の基本を解説

企業がパブリッククラウドやマルチクラウドサービスを採用する場合、次々と生じるセキュリティリスクへの対応は、ときに難しい課題となりやすいでしょう。

そこで検討したいのが、CSPM（Cloud Security Posture Management）です。いうなれば「クラウド環境専属のセキュリティガード」のようなもので、設定に潜む可能性のある誤設定の問題やコンプライアンスリスクを常に監視します。

CSPMツールを採用すれば、Amazon EC2インスタンスなどのクラウド資産全体にわたって設定ミスを自動的に検知し、対処することで、この負担を軽減します。セキュリティの脆弱性が悪用される前に発見し、修正可能。安全なクラウド環境を維持するために欠かせないツールです。

この記事では、CSPMの概要、メリットや仕組み、ツールを選ぶポイントなど、基本をわかりやすく解説します。

関 連 記 事

CIEMとは？	CNAPPとは？	IaCセキュリティとは？
クラウドのコンプライアンス とガバナンス	クラウドセキュリティの 監視と管理	クラウドの可視化 とセキュリティ
CSPMとは？	AWS Fargateの セキュアな運用方法	マルチクラウド セキュリティとは？

CSPMとは

CSPMとは、英語の「Cloud Security Posture Management（クラウドセキュリティポスチャー管理）」の略で、クラウドサービスの設定監視に特化したセキュリティソリューションのことです。

このツールはCNAPP（クラウドネイティブアプリケーション保護プラットフォーム）においても重要な役割を果たします。クラウドにおける安全対策のスピードと効率を高めつつ、ワークロードのリスクを特定できることから、クラウドセキュリティ戦略に欠かせません。

CSPMが対応できる課題

CSPMソリューションで対応できる課題について、主なものを紹介します。

時間がかかる、手作業のプロセス
CSPMはセキュリティのワークフローを自動化することで、チームによる人手による評価や修正作業を不要にします。クラウド構成を継続的に解析することで、最小限の人的作業で迅速にリスクを検出可能です。

クラウド環境全体における可視性のギャップ
企業がクラウドの利用を広げるにつれ、サイロ化されたソリューションでは、全体像の把握がますます難しくなりました。CSPMは、IaaS、PaaS、ホスト、コンテナ、脆弱性、アイデンティティなど、すべてのクラウド資産の包括的なインベントリとリスク評価を提供することで、この課題に対応します。

注意喚起の疲れ
従来のCSPMはセキュリティ担当者に多数のアラートを送りつけ、最も重要な問題を効果的に優先する能力に欠けていました。そのため、セキュリティチームはアラートと余計な気苦労に圧倒されていました。対して、最新のCSPMは、重大な脆弱性のある使用中のソフトウェアパッケージなど、積極的に悪用可能なトップリスクを優先します。これにより、アクティブなクラウドリスクを特定し、優先することが容易になります。

まれに発生するリスクのスナップショット
最新のCSPMは、定期的なスキャンから継続的な評価へと移行し、セキュリティ対策の逸脱、構成変更、ライブイベントをリアルタイムで可視化しています。これにより、チームは新たなリスクや差し迫った攻撃をわずか数秒で迅速に検知可能となるでしょう。

CSPMの機能

つづいて、CSPMの主な機能について見ていきましょう。

すぐに使えるポリシー
GDPR、SOC2、HIPAA、NIST などの一般的なサイバーセキュリティフレームワークから、多数の事前開発されたポリシーを提供しており、堅牢なセキュリティを迅速かつ簡単に導入できます。

エージェントレスのスキャン
エージェントをインストールせずに、クラウド資産、構成、権限、脆弱性などを迅速にスキャンします。

エージェントレスの検出
クラウドログを使用して、ほぼリアルタイムのイベントや構成変更を検出します。

エージェントベースの検出
エージェントベースの検知機能により、エラーの連鎖を防ぎ、攻撃の拡大を阻止します。

ランタイムの強化
使用中のアセットとパッケージを識別し、リスクを優先順位付けしてノイズを最小限に抑えることで、本当に重要なものに集中できます。

マルチドメイン相関
さまざまなアセットとユーザーにわたって最もリスクの高い組み合わせを明らかにし、潜在的な脅威の包括的なビューを提供します。

インベントリ検索
I複数のクラウドやプラットフォームにわたるアセットを、数回のクリックで特定およびフィルタリングし、アセット検出を効率化します。

攻撃経路分析
リソースにわたる相互接続されたリスクと悪用可能なリンクを視覚化し、リスクの事前緩和を可能にします。

脆弱性優先順位付け
重大な脆弱性や悪用可能な脆弱性を持つ使用中のパッケージを優先し、最も差し迫った脅威への対処を確実にします。

ソースでの修復
コードとしてのインフラストラクチャ(IaC)テンプレートの変更を自動化し、シームレスな修復を実現し、手動介入を削減します。

CSPMの進化

CSPMは、初めて導入されて以来、長い進化の道のりを歩んできました。セキュリティの専門家が重要な課題に取り組む上で、いうなればゲームチェンジャー的な存在です。

ここでは、その進化の流れをざっくり見ていきましょう。

様々な問題に対応できるようになった背景

クラウド環境の普及に伴い、CSPMも単にクラウドインスタンスの設定ミスや不適切な設定を監視する以上の機能を発展させる必要がありました。今日のCSPMは、クラウドの誤設定を検出するだけでなく、アプリケーションの管理、アイデンティティアクセスの制御、脆弱性の特定、クラウドの設定ミスの自動修正も行います。

この進化は、セキュリティ対策をリアクティブ(事後対応型)からプロアクティブ(事前対応型)へとシフトする動きの一部であるため、非常に重要です。アクセス制御、アプリケーション、脆弱性を積極的に管理することで、CSPMはセキュリティ侵害が発生する前に、組織がセキュリティ侵害を防止する手助けをします。

継続的なポスチャー評価の台頭

CSPMの革新的な機能の1つが、継続的なポスチャー評価です。

以前のバージョンでは、CSPMは定期的なポスチャー評価に依存しており、固定スケジュールで静的なリスク(高権限ユーザーの構成やインターネットに公開されたS3バケットなど)をレビューしていました。このアプローチでは、リアルタイムのアクティビティや変更を見逃す可能性があるほか、優先順位付けが効果的に行えないほど多くのアラートが生成されやすいです。

現在の非常に高速なクラウド環境では、攻撃者はただドアをノックしているだけではなく、私たちが朝のコーヒーを飲み終える前に侵入してきます。クラウドのワークロードが猛烈なスピードで本番環境に投入される中、ある時点での評価という「旧式」のアプローチではもはや対応できません。

クラウドのワークロードが本番環境に移行するにつれ、攻撃者はクラウドの自動化のスピードを悪用して数分以内に攻撃を開始するようになったため、最新のCSPMソリューションは、定期的なポイントインタイム評価から継続的なセキュリティ評価へと移行しました。この変化は、セキュリティチームがアクティブなクラウドリスクを特定、優先順位付け、緩和し、攻撃の拡大を防ぐために不可欠なものでした。

CSPMのメリット

CSPMがもたらすメリットについて見ていきましょう。 導入により、クラウド環境のセキュリティを確保できるだけでなく、チームの強化、リソースの最適化、より円滑な運用への道筋をつけることができます。

セキュリティの強化
CSPMは、セキュリティのワークフローを自動化し、リスクを迅速に特定し、アクティブな脅威を優先して迅速に解決することで、サイバー攻撃に対する防御力を高めます。

コンプライアンスの改善
継続的な評価とリアルタイムの監視により、監査やコンプライアンスチェックに常に一歩先んじることができます。 CSPMは、クラウド構成が業界標準と規制要件を満たしていることを確認します。

コストの削減 
CSPMは、未使用のリソースを特定して排除し、インスタンスの適切なサイズ調整を行い、コストのかかるセキュリティ侵害のリスクを最小限に抑えることで、クラウドリソースの最適化を支援します。 セキュリティと予算の両面でメリットがあります。

運用効率の向上
セキュリティのワークフローを自動化し、明確な可視性を提供し、クラウドのリスクを事前に管理できるようにすることで、CSPMはセキュリティ業務を合理化し、チームの効率を高めます

柔軟性の向上
クラウド環境が進化するにつれ、CSPMも進化します。拡張や縮小のいずれの場合でも、CSPMはニーズに合わせて適応し、変化するワークロードや要件に対応するための柔軟性と拡張性を提供します。 

CSPMの仕組み

CSPMツールの仕組みを、基本的な４ステップに分類して紹介します。

• STEP1: CSPM要件を定義する
  まず、チームが対処したいセキュリティリスクの概要を策定します。多くのCSPMプラットフォームでは、一般的なセキュリティ上の過ちを発見するための事前設定済みのルールが用意されていますが、特定のニーズやコンプライアンス要件に合わせてカスタム定義を作成することもできます。
• STEP2: クラウド環境を常にスキャンする
  CSPMは、対象となるクラウド環境を常にスキャンするのが基本動作です。このツールは、常に問題の兆候がないか、お客様のクラウド環境を注意深く調査する、まじめな探偵のようなものです。設定を休むことなくスキャンして分析し、潜在的なセキュリティリスクや脆弱性を検索します。新しい設定が現れたり、既存の設定が変更されてセキュリティリスクとなる可能性があったりする場合、CSPMはそれを迅速に検出します。
• STEP3: リスクの深刻度を査定する
  もしCSPMが潜在的なリスクを特定した場合、その深刻度を評価し、優先度を割り当てます。ツールごとに優先順位付けのアプローチが異なるため、アクティブなリスクに基づいて優先順位を決定する最新のCSPMを使用することが重要です。これには、現在クラウド環境で実行中のアプリケーション、サービス、その他のリソースと相関関係にあるセキュリティリスクを理解するためのランタイムインサイトを使用することが含まれます。実際に使用されているものに基づいてリスクに優先順位を付けることで、クラウドセキュリティを効果的に管理し、アラートの過剰発生を回避することができます。
• STEP4: リスクを軽減する
  CSPMの最終的な最重要タスクは、これらの高リスクの問題の解決を促進することです。ツールからのインサイトを基に、問題の根本原因を特定し、適切な構成調整を行うことができます。一部のリスクには手動での介入が必要になる場合もありますが、優れたツールは特定の問題を自動的に修正することができます。例えば、ユーザーに過剰な権限が付与されている場合、推奨されるアイデンティティおよびアクセス管理ポリシーを強制的に適用すべきです。

CSPMを選ぶポイント

CSPMを選ぶ際、以下のポイントをチェックすることをお勧めします。

機能面での確認事項

CSPMには、アクティブなリスクを特定し、その緊急度に基づいて優先順位付けを行う機能が不可欠です。これをサポートするために、以下の機能が備わっているかを確認しましょう。

アクティブなリスクのリアルタイム検出
アクティブなリスクには、多要素認証(MFA)なしでユーザーがアクティブにログインするなど、私たちの環境でリアルタイムに行われる活動や動的な変化が含まれます。 定期的なスナップショットではなく、継続的な姿勢評価を提供するソリューションを選択することで、セキュリティの問題を迅速に特定できる強固なCSPMを構築できます。

ランタイム・インサイトに基づく優先順位付け
ランタイム・インサイト(つまり、本番環境でアクティブに実行されているものを理解すること)に基づいて優先順位付けされたアラートは、きわめて重要です。これにより、最も関連性の高いものに基づいて問題の優先順位付けが確実に行われます。リアルタイムの情報にアクセスすることで、最も必要な部分に焦点を当てることで、クラウドのセキュリティ対策を効果的に管理することができます。

ベンダーへの確認事項

CSPMベンダーの選定プロセスを開始する際には、各サービスの内容を明確に理解するのが近道です。ニーズに適したものを見つけるのに役立つ、ベンダーに確認したい質問を以下に示します。

• 貴社の CSPM は、アクティブなリスクを把握するための継続的なセキュリティ対策評価を提供していますか?　それとも、依然として定期的な時点評価を使用していますか?
• 貴社のソリューションは、現在稼働中および使用中のものに基づいて、アクティブなリスクをリアルタイムで検知し、優先順位付けすることができますか?
• 貴社の CSPM は、エージェントレス型とエージェントベース型の両方のアプローチをサポートしていますか?
• 貴社の CSPM ソリューションは、業界標準および規制へのコンプライアンスをどのように確保していますか?
• ソリューションには、脅威の検出とインシデント対応のためのどのようなメカニズムが備わっていますか?
• ソリューションは、さまざまなクラウド環境やワークロードへの拡張性と適応性をどのように処理しますか?
• デモを提供できますか?また、CSPMソリューションのトライアル版は提供していますか?
• CSPMの顧客事例やお客様の声を提供できますか?
• ベンダーのオンボーディングプロセスはどのようなものでしょうか?また、お客様にはどのようなレベルのサポートを提供していますか?

最新のコンプライアンス規制への対応

CSPMを選ぶうえで、最新のコンプライアンス規制へ対応しているかも確認しておきたいところです。

急速に変化するサイバーセキュリティコンプライアンスの世界では、常に先を行くことが重要です。ネットワークおよび情報セキュリティ指令(NIS2指令)やデジタル運用レジリエンス法(DORA)などの規制に対する新たなSEC開示要件により、セキュリティイベントの迅速な開示が不可欠となっています。

この複雑な環境を乗り切り、コンプライアンスを維持するには、クラウド資産と関連リスクを理解することが重要です。CSPMは、クラウド資産が規制に準拠していることを保証する上で、大きな価値を提供します。

CSPMは、単純なスキャンにとどまらず、お客様のホスト、クラウドサービス、Kubernetesクラスタ、コンテナを詳細にカタログ化します。この整理されたインベントリにより、クラウド資産の複雑性が簡素化され、マルチクラウドサービス全体にわたるリスク指標に基づいて脆弱性を迅速に特定し、優先順位付けすることが容易になります。

もちろん、コンプライアンスとは単にチェックボックスにチェックを入れることではありません。コンプライアンスには、規制基準を満たすためにクラウド環境を継続的に評価および監査することが含まれます。CSPMの事前設定済みのセキュリティおよびコンプライアンスポリシーにより、お客様のクラウドエコシステム全体でコンプライアンスをシームレスに評価および維持することが容易になります。

ランタイム・インサイトに関する確認事項

おそらく、最新の CSPM にとって最も重要な機能のひとつは、ランタイムインサイトでしょう。これは対応の優先順位付けに有効です。

簡単に言えば、現在アクティブに稼働しているものを把握することで、最も重大なリスクに正面から取り組むために必要なコンテクストが得られるのです。ランタイムインサイトを利用する CSPM ソリューションにより、最も重大なクラウドリスクを効果的に優先付けし、対処することができます。
リアルタイムのポスチャードリフト検出と使用中の権限を、誤設定や既知の脆弱性を示す静的チェックと組み合わせることで、クラウドインフラストラクチャをプロアクティブに保護する体制が整います。

FAQs

CSPMの深堀りを終えるにあたり、よくある質問に対する回答をいくつかご紹介しますので、ご参照ください。