クラウドセキュリティ診断
定期的な診断で、サイトのセキュリティレベルを維持・向上させることが可能です クラウドセキュリティ診断でビジネスの信頼性と安全性を守ります
アピリッツのクラウドセキュリティ診断は、クラウド環境に潜むリスクを解明しクラウド環境の脆弱性やセキュリティリスクを特定し、データ保護やアクセス制御の強化、セキュリティポリシーの遵守を確認する評価を行います。
対応可能なクラウドサービス
AWS（Amazon Web Services）・Microsoft Azure・Google Cloud 以外に、Salesforce におけるセキュリティ上のリスクを可視化します。環境としては、IaaS/PaaS、FaaS（サーバレス）、CaaS（コンテナ）、複数のクラウド環境を利用するマルチクラウド環境にも対応可能です。
間違った認識をしていませんか？ クラウドサービスの責任範囲の境界
クラウドのセキュリティは、プロバイダーと利用者で責任を共有しており、どちらかがどの部分の責任を持つか明確に定義されています。
クラウドサービス利用にあたって責任範囲の認識に齟齬があると、セキュリティの盲点となり、脆弱性に繋がる可能性があります。
クラウドサービスの責任範囲の一例
クラウド
利用者
クラウド利用者(お客様)のデータ
プラットフォーム / アプリケーション / 認証 /
アクセス制御
OS/ ネットワーク / Firewallの設定
よく見落とされる
エリア
クライアント側のデータ
暗号化と整合性の認証
サーバー側の暗号化
ファイルシステム/データ
ネットワーク
トラフィックの保護
クラウド
事業者
ソフトウェア
コンピュート
ストレージ
データベース
ネットワーキング
ハードウェア/グローバルインフラストラクチャー
リージョン
アベイラビリティゾーン
エッジロケーション
お見積・ご相談などお気軽にご連絡ください
クラウド診断プラン
スタンダードプラン
はじめてクラウド診断を実施するお客様で、クラウド環境内の全部のリソースを徹底的に診断したいお客様
環境/対象
-
1.IaaS
AWS / Azure / Google Cloudにて、Amazon EC2やAzureVirtual Machines等のIaaS/PaaSを中心に同様の環境
-
2.FaaS（サーバレス環境）
AWS / Azure / Google Cloud AWS Lambda、AzureFunctionsなどのサーバ管理不要で動作するアプリケーションを中心に構成された環境
-
3.CaaS（コンテナ環境）
AWS / Azure / Google Cloud AKS/EKS/GKE等のコンテナサービスを中心に連携環境
診断内容
- CISベンチマーク基準の認定スキャン
- マルウェアスキャン
- 脆弱性スキャン
- 機微情報のスキャン
- パッチの適応状況の確認
- サポート切れのOSやサービスのスキャン
- アーキテクチャ検証
- クラウドコンポーネントごとの設定診断
- Firebase Security Rule診断など（FaaSのみ）
ライトプラン
CISベンチマークだけではなく、マルウェア感染や、既知の脆弱性・未パッチやサポート切れのサービスなども確認したいお客様
環境/対象
-
AWS / Azure / Google Cloud
診断内容
- CISベンチマーク基準の認定スキャン
- マルウェアスキャン
- 脆弱性スキャン
- 機微情報のスキャン
- パッチの適応状況の確認
- サポート切れのOSやサービスのスキャン
CISベンチマークプラン
CISベンチマーク基準のクラウドコンポーネントの設定を確認したいお客様
環境/対象
-
AWS / Azure / Google Cloud
診断内容
- アクセス制御設定検証
- セッション設定検証
- コミュニティサイト設定検証
- フロー解析
- ※CISベンチマークとは、Center for Internet Security（CIS）が提供するベストプラクティスガイドラインおよび設定基準のことを指します。これらのベンチマークは、システムやアプリケーションのセキュリティを強化するための具体的な設定や手順を提供します。
ベンチマークのLevel1，Level2への準拠状況を診断の上、対策方法を含めて報告します。
| クラウド種別 | ベンチマーク名 ※2023年2月現在 | 項目数 |
|---|---|---|
| AWS | CIS_Amazon_Web_Services_Foundations_Benchmark_v1.5.0 | 63項目 |
| Microsoft Azure | CIS_Microsoft_Azure_Foundations_Benchmark_v1.5.0 | 147項目 |
| Google Cloud | CIS_Google_Cloud_Platform_Foundation_Benchmark_v1.3.0 | 83項目 |
お見積・ご相談などお気軽にご連絡ください
診断の流れ
-
1
事前準備
- 診断対象環境のヒアリング
- 診断要件の確認
ご用意いただくもの
ヒアリングシート/アーキテクチャ図
-
2
診断実施
- ツールでのスキャン
- 静的解析
- 動的解析
-
3
診断結果報告書提出
- 総合評価
- 脆弱性詳細
よくある質問
-
Q
Amazon GuardDutyを導入していますが、マルウェア特定でクラウド診断は不要ですか？
- GuardDutyが検出するのは基本的にインスタンス内のマルウェアのみです。ただしVPCフローログをベースとするので弊社で利用しているスキャンツール(Orca)とは違ってマルウェアファイルの特定まではできません。また、S3は診ません。
-
Q
クラウド側の変更以外（インストールしているミドルウェアの変更）も実施しないでほしいのかを教えて下さい。
-
ミドルウェアの脆弱性も同様にスキャン時点のスナップショットからボリューム上に実際に存在するパッケージを元にバージョン情報ベースでCVEを列挙します。
診断期間中であってもスキャン後に追加されたミドルウェアの脆弱性は検出できませんし、スキャン後に更新されると報告書で指摘している既知の脆弱性がアップデートにより既に解消されている可能性があります。
-
Q
Amazon Inspector 、AWS Security Hub なども対象となってしまいますか？
- Amazon Inspector 、AWS Security Hubはスキャン対象になっていません。対応コンポーネントは別途営業担当者にお問い合わせ頂ければ幸いです。
-
Q
クラウド診断中は、設定変更などはしてはいけないのでしょうか？
-
クラウド診断ではスキャン時点（診断期間の前半）での環境に対する指摘をご報告します。
診断期間中に設定値を変更されると、当然報告書の内容と診断後の環境に齟齬がでる可能性があります。
それらを許容される場合は、変更いただいて問題ありません。
お見積・ご相談などお気軽にご連絡ください
アピリッツの診断概要一覧
セキュリティー診断メニュー
-
Webアプリケーション
脆弱性診断 -
スマートフォン
アプリケーション
脆弱性診断 -
プラットフォーム
脆弱性診断 -
クラウドセキュリティ
脆弱性診断 -
IoT 脆弱性診断
-
ペネトレーションテスト
運用支援・その他サポートメニュー
-
内製化支援
-
WAF導入支援
-
ソフトウェアテスト/
受入テスト代行