IaaS環境のサイバーセキュリティ評価
Pentera | Pentera Cloud
多くの企業／組織が主要なサービスをクラウド環境に移行していますが、IaaS環境では利用者が設定・カスタマイズ出来る範囲が広く、IaaSの設定不備、考慮漏れといった、従来のサービスには無かった新たなセキュリティ上のリスクが発生しています。
ここ1～2年、CSPM（Cloud Security Posture Management）と呼ばれる、新たなソリューションも登場していますが、検査できる範囲はセキュリティリスクとなりうる設定・状態を検出することであり、それらを悪用されると、具体的に公開している資産、サービスにどの様な被害が起こる可能性があるのかまでは把握することが出来ません。
IaaSプラットフォーム
OS
ミドルウェア
アプリケーション
CSPM、ASM、脆弱性診断、Web診断といった従来のセキュリティ評価ソリューションではこれらの一部分しかカバーしておらず、また日々変化するクラウド環境に対応していく事も重要となります。
従って、IaaS環境におけるセキュリティ評価では、以下のような機能が求められます。
IaaSプラットフォームからアプリケーションまで、全てのレイヤーを考慮した上で評価を実施
発見された設定上の不備、脆弱性が悪用された場合にどの様な被害が起こるのか想定
継続的に診断を実施
自動セキュリティ検証分野」におけるマーケットリーダーであるPentera社は従来のPentera Core、Pentera Surfaceに加えて、新たにIaaS環境に対応した自動セキュリティ検証製品「Pentera Cloud」をリリースしました。
Pentera Cloudはクライドネイティブの攻撃ライフサイクルに対応した、新世代のIaaSセキュリティ検証プラットフォームです。
従来のPentera Core, Surfaceと同様に、攻撃者が実際の攻撃で使用する手法再現した検査を実施しますが、その課程においてIaaSプラットフォーム上のセキュリティリスクも考慮した検査が可能です。
Pentera Cloudは攻撃者が実際にクラウド環境で使用する攻撃手法を再現
クラウドネイティブの攻撃ライフサイクルに対応することにより、ワークロード、アカウント、データといったIaaS環境特有のセキュリティリスクを検出可能です。
クラウドネイティブな診断が可能
Pentera CloudはAWS, Azureの環境に対応しています。
Pentera Cloudは実際の攻撃者と同様の振る舞いを行います。これは単に設定上の不備を発見したり、脆弱性のスキャンを行うだけではありません。
様々な手法を用いて検査対象への侵入に必要な情報の収集を行い、疑似攻撃を仕掛けます。
これにより、実際に攻撃を受けた際にどの様は被害が発生するのか、導入されているセキュリティ製品は有効に働くのか、評価が可能です。
検査にあたっては一般的なBAS（Breach Attack Simulation）とは異なり、検査対象側に事前にエージェントソフトウェアを導入するといった準備も不用のため、比較的容易に導入することが可能です。
検査結果はアタックフローとしてわかりやすく表示され、どの様な問題がどのように利用され、結果としてどのような被害が発生したのかを容易に把握できるようになっています。
Pentera Cloudのアタックフロー図からは検査結果を容易に読み解くことが可能
また、検査結果は想定される被害の被害の深刻さに応じて、脆弱性の優先順位付けが行われ、またそれらの脆弱性への対処方法も具体的に指示されます。
CVSSスコアとは異なり、検査環境における想定被害の深刻度に応じて優先順位付け
Pentera CloudはPentera Coreのプラグイン機能として提供されるため、オンプレミスとクラウドとのハイブリッド環境への検査も実施可能です。
クラウドとオンプレミスのハイブリッド環境への検査にも対応
セミナー
金融業界必見！今考えるべきセキュリティとは～2024年のペネトレーションテストとIaaSセキュリティ最新トレンド～
セミナー
クラウド時代に必要なセキュリティ対策セミナー
セミナー
Japan IT Week 春第16回 情報セキュリティEXPOに出展
セミナー
DNS管理の新時代：セキュリティ対策と運用管理を楽にするクラウドDNSとは
セミナー
Box World Tour Tokyo 2019
セミナー
TEDセキュリティソリューションご紹介セミナー～最新エンドポイントセキュリティ、クラウドサービスの可視化・制御を行うCASB、クラウドを利用した最新VDIからWifiセキュリティまで～
セミナー
Japan IT Week 春第17回 情報セキュリティEXPOに出展
ホワイトペーパー
【セキュリティ】SOAR コンセプトで“一段階上”のセキュリティ運用を実現
セミナー
ZDNet Japan Security Trend Autumn高まるセキュア アクセス サービス エッジ（SASE）への期待
セミナー
NTTデータ、Netskope、東京エレクトロンデバイス共催 ニューノーマルに対応する新しい働き方、ゼロトラストなデジタルワークスペース
セミナー
パブリッククラウドの運用をワンランクアップ！安全な利活用促進のアプローチ
セミナー
テレワークやクラウドを今よりセキュアにNetskope活用セミナー
セミナー
“意味のある”脆弱性対応とセキュリティ製品の導入
セミナー
ランサムウェアの脅威から自社を守る ～企業のデータ保護と業務継続を実現する方法とは～
