公開日： ｜最終更新日時：
ここでは、AWSにおいてペネトレーションテストを行う必要性などをまとめています。ぜひ参考にしてみてください。
AWSは、アマゾンの提供するクラウドサービスのことで、そのサービスは多岐にわたります。具体的には、仮想サーバーの構築やストレージサービス、AI（機械学習）やブロックチェーンなどが挙げられるでしょう。
ネットワークを介してサービスを利用できるため、ハードウェアの購入や専用アプリのインストールといった手間がかからないのがポイントです。また、セキュリティも高く、情報漏えい防止にもつながります。
クラウド環境は優れた柔軟性を有しているため、多くの企業で利用されています。しかし、セキュリティ面でのリスクはゼロではありません。リスク対策のためAWSペネトレーションテストを行えば、さまざまなメリットを得られます。
ペネトレーションテストを実施すれば、予想していなかった脆弱性にいち早く気付くことができます。問題点をすぐに修正できるため、重大なセキュリティインシデント回避につながるでしょう。
システムにおけるセキュリティ対策をチェックし、必要であれば強化できるようなアクションプランを得られるのも、AWSにおけるペネトレーションテストのメリットです。定期的にテストを実施すれば、セキュリティポリシーの効果を評価し、改善策を考えるのにも役立ちます。
規制要件や業界標準に則った事業運営をするのにも、AWSによるペネトレーションテストは有効です。PCI DSSやISO 27001など企業における信頼性の向上に有効な認証を受けるためには、定期的なペネトレーションテストが必要となるでしょう。
AWSにてペネトレーションテストを行う場合は、AWSの提示するポリシーと規約を必ず守らなければなりません。なぜなら、AWSは特定のサービスを対象として、事前許可を得ずにペネトレーションテストを行うことを認めているものの、AuroraデータベースインスタンスやEC2インスタンスなど、テストを許されているサービスには制限が設けられているからです。
テスト実施前には、ペネトレーションテストリクエストフォームから通知を実行し、リクエストされた情報を送信してください。これは、クラウド環境下でのテストの安全性を維持するためだけでなく、他のユーザーに影響を及ぼさないようにするなどの目的があります。
AWSでペネトレーションテストを実施する際は、クラウドそのものの持つ脆弱性やセキュリティへの理解を深めておく必要があります。具体的には、セキュリティグループや仮想プライベートクラウド、IAMポリシーなどの独自セキュリティ機能に関して、最適なものを選択しなければなりません。
ペネトレーションテストでは、APIゲートウェイにおけるセキュリティの強度、S3バケットの設定ミスといったクラウドサービスの問題を特定しましょう。
外部ペネトレーションテストでは、組織の外部からネットワークやシステムに対する攻撃をシミュレートします。テストの目的は、外部からの攻撃に対する弱点を特定して修正すること。外部攻撃者がアクセスしようとする可能性のある入口や脆弱性を評価します。
ファイアウォールや公開Webアプリケーション、DNS設定、VPN、クラウドサービスなど攻撃者が外部からアクセスできる情報に焦点を当てたテストです。
内部ペネトレーションテストは、組織内部からのシステムへの攻撃をシミュレート。内部のユーザーが悪意を持った攻撃者として、ネットワーク内部に侵入した場合を想定したテストです。
攻撃者によって、どの程度その目的が達成される恐れがあるかの検証も行います。特定のシナリオに則った調査で、組織のサイバー攻撃対策における課題を明確にします。
ホワイトボックステストは、システムの内部構造やコード、設定情報などの詳細を把握して行うテストです。ターゲットの内部情報にアクセス可能で、システムの脆弱性を深く掘り下げて検出することができます。
ブラックボックステストは、ターゲットシステムの事前情報を持たずに外部からの攻撃者の視点で行うテストです。
AWSは、ペネトレーションテストを行うためのサポートを提供。「Amazon EC2インスタンス」「NATゲートウェイ」「Elastic Load Balancers」などの特定のサービスにおいて、事前承認が不要です。
ただし、DDoSやDoS攻撃、ポートスキャンなど一部の攻撃は禁止されているため気を付けましょう。
参照元：PR TIMES（https://prtimes.jp/main/html/rd/p/000000104.000034517.html）
クラウドセキュリティの進化に伴い、ペネトレーションテストの手法も進化しています。クラウド環境の進化によって、これまでなかった脅威が出現。対応するためには、新しい技術やツールを活用したペネトレーションテストを行う必要があります。
近年では、AIや機械学習を用いた脆弱性検出ツールが開発されています。これらを活用することで、より迅速で正確に脆弱性を発見することが可能です。
また、従来の境界防御モデルのセキュリティからゼロトラストセキュリティモデルへの移行が進んでいます。ゼロトラストセキュリティは情報資産にアクセスするすべて信頼しないという前提でセキュリティ対策を行います。そのため、認証と認可の厳格性が求められます。
ここではサイバー攻撃の標的として狙われやすい「製造業」「金融機関」「IoT」の3つの中から、それぞれのおすすめの理由とともにおすすめの企業を紹介します。
