クラウドアプリケーションの事故の緊急時対応と通知と修復

クラウドコンピューティングの性質上、セキュリティインシデント、データ侵害、またはその他の調査や対応が必要な時期を判断することはより困難です。同じ報告責任の変化するニーズを満たすために、標準のセキュリティインシデント対応メカニズムを修正する必要があります。この記事では、これらのイベントを処理する方法についてのガイダンスを提供します。

顧客にとって、クラウドにデプロイされたアプリケーションが常にデータの完全性とセキュリティ設計を優先するわけではありません。これにより、脆弱なアプリケーションがクラウド環境にデプロイされ、セキュリティ問題が発生する可能性があります。さらに、インフラストラクチャの欠陥、強化手順の誤り、および単なる運用上の過失が、クラウドサービスの運用に重大な脅威をもたらす可能性があります。もちろん、同様の脆弱性も従来のデータセンターの運用を危険にさらす可能性があります。

明らかに、イベント処理には技術的な専門知識が必要ですが、プライバシーと法律の専門家がクラウドセキュリティに大きく貢献することができます。インシデント対応では、通知、改善策、およびその後に行われる可能性のある法的措置においても重要な役割を果たします。組織がクラウドサービスの使用を検討している場合は、ユーザーの同意やプライバシーポリシーの対象とならない、データへの従業員アクセスのメカニズムが実装されているかどうかを確認する必要があります。 IaaSおよびPaaSアーキテクチャーでは、クラウドサービスプロバイダー自身のアプリケーションはアプリケーションデータを管理しません。これは、SaaSプロバイダーのアプリケーション制御データとは異なります。

大規模なSaaS、PaaS、およびIaaSサービスを大規模なクラウドサービスプロバイダに提供することの複雑さは、潜在的なインシデント対応を生み出し、潜在的な顧客は対応するSLAの許容レベルを評価する必要があります。クラウドサービスプロバイダーを評価する際には、ベンダーが数百または数千のアプリケーションインスタンスをホストする可能性があることを認識することが重要です。イベント監視の観点からは、外部アプリケーションがあればセキュリティオペレーションセンター（SOC）の責任範囲が広がります。通常、SOCは侵入検知システムやファイアウォールから警告やその他のイベントを生成するメトリックスを監視しますが、オープンクラウド環境で監視する必要がある情報源やアナウンスの数は急激に増加するでしょう。消費者と外部イベントとの間の活動を監視します。

組織は、選択したクラウドサービスプロバイダーのインシデント対応戦略を理解する必要があります。この戦略では、識別と通知、およびアプリケーションデータへの不正アクセスのための修復オプションに対処する必要があります。より複雑なのは、アプリケーションデータの管理とアクセスが、異なるデータ格納場所では異なる意味と規制要件を持っていることです。たとえば、関連するデータがドイツにある場合、イベントがありますが、データが米国にどのようにあるかは「イベント」とは見なされない可能性があります。これにより、イベントの識別が困難になります。

提案

サービスが展開される前に、クラウドの顧客は明確に定義され、クラウドサービスプロバイダとインシデントだと思っていること（データの破損など）を伝える必要があります。単なるイベントとは（イベント）

クラウドサービスプロバイダとクラウド顧客との関わり合いでは、インシデント対応活動が非常に限られている可能性があります。したがって、顧客がクラウドサービスプロバイダーのインシデント対応チームとの確立されたコミュニケーションパスを理解することが重要です。

クラウド利用者は、クラウドサービスプロバイダが自分のシステムと互換性があることを確認するためにどのイベント検出および分析ツールが使用されているかを調査する必要があります。合法的な調査、特に法的調査や政府の介入を伴う共同調査では、クラウドサービスプロバイダーの個人的または非常に一般的なログがしばしば大きな障害となります。不適切なアプリケーションやシステムを設計して保護することで、全員のイベントの反応を容易に「氾濫させる」ことができます。システムの適切なリスク管理と徹底的な防衛プラクティスの使用は、そもそもセキュリティインシデントの可能性を減らすための鍵です。

セキュリティオペレーションセンター（SOC）は、インシデント対応に単一のガバナンスモデルしかないと想定していますが、これはマルチテナントクラウドサービスプロバイダーには適していません。利用可能なデータソース（アプリケーションログ、ファイアウォールログ、IDSログなど）を識別し、それらをSOCに組み込んでクラウドコンピューティング環境のイベントを検出するための堅牢でよく管理されたセキュリティ情報とイベント管理（SIEM）プロセス万能分析警報プラットフォーム

最も便利で詳細なオフライン分析については、ファイアウォール、ネットワーク（スイッチ）、システムアプリケーション、データなど、顧客の仮想環境全体のスナップショットを作成する機能を提供するクラウドサービスプロバイダを調べることができます。

封じ込めは破壊管理と証拠収集の間の競争である。機密性 - 完全性 - 可用性（CIA）に基づくTrinity封じ込めアプローチは効果的です。 ？

修復は、システムを以前の状態に復元できることの重要性を浮き彫りにしています。6か月または12か月前に既知の利用可能な設定に戻す必要がある場合もあります。法的選択と要件を念頭に置いて、修復はまたイベントデータをサポートする「フォレンジック」レコードを必要とするかもしれません。

データ漏洩の監視のために「プライベート」として分類されたすべてのデータは、漏洩イベントの影響を減らすために暗号化する必要があります。顧客は、契約に関連する暗号化要件を指定する必要があります（D11を参照）。？

クラウドサービスプロバイダによっては、独自のアプリケーションを持つ多数の顧客がいる場合があります。各特定の顧客にきめ細かいイベントを提供できるようにするために、これらのクラウドサービスプロバイダはアプリケーション層のロギングフレームワークを考慮する必要があります。これらのクラウドサービスプロバイダは、アプリケーションの所有者をアプリケーションインタフェース（URL、SOAサービスなど）別に記録するレジストリも構築する必要があります。 ？

マルチテナント環境では、アプリケーションレベルのファイアウォール、プロキシサーバー、およびその他のアプリケーションログ記録ツールが、インシデント対応を支援するために現在使用可能な主要機能です。

まとめ

顧客にとって、クラウドにデプロイされたアプリケーションが常にデータの完全性とセキュリティ設計を優先するわけではありません。これにより、脆弱なアプリケーションがクラウド環境にデプロイされ、セキュリティ問題が発生する可能性があります。さらに、インフラストラクチャの欠陥、強化手順の誤り、および単なる運用上の過失が、クラウドサービスの運用に重大な脅威をもたらす可能性があります。もちろん、同様の脆弱性も従来のデータセンターの運用を危険にさらす可能性があります。