top of page
IaaSセキュリティ診断
クラウドサービスに特化した
守り方があります。
情報システムの基盤に必要な仮想サーバやネットワークなどの機能を提供するサービス、IaaS - Infrastructure as a Service - （サービスとしてのインフラ）を使用する
企業が増えてきています。eGISはIaaS専用のセキュリティ診断サービスを提供します。
「IaaS」とは？
Infrastructure as a Service（サービスとしてのインフラ）とは、情報システムの基盤に必要な仮想サーバやネットワークなどの機能を提供するサービスです。従来はシステム構築をする際、サーバやソフトウェアを自社で購入し、
運用・メンテナンスも必要でした。IaaS（イアース）では、自社でサーバなどのハードウェアを持たずに、インターネット経由で必要な時に必要なだけサーバやストレージ、ネットワークリソースを利用することが出来ます。
便利で手軽に使えるIaaSだからこそ、
セキュリティが重要です。
1つの会社で複数の事業部が複数のIaaSサービスを利用しているといった場合、
社内でルール設定が統制されておらず、設定ミスが生じ、セキュリティ事故に繋がるケースが増えています。
仮想化
サーバ
ストレージ
ネットワーク
アプリケーション
データ
ランタイム
ミドルウェア
OS
管理会社の説明責任範囲
利用者の責任範囲
OSや環境の管理を利用者自身で行う必要があり、自由度が高いがゆえに設定が複雑。
そのため、正しい設定を行うには
十分なセキュリティ知識が必要になります。
安全に使うための診断が必要不可欠です
IaaS全体の管理設定に
対して診断します
IaaSセキュリティ診断はIaaS全体の管理設定に対し、セキュリティ診断を行います。
設定不備を発見します
診断の実施により、サイバー攻撃を
引き起こすようなセキュリティ上の
設定不備を発見することができます。
安全な運用につなげます
不適合項目に対する対策方法が
明確に示され、安全な運用につなげていただけます。
脆弱性診断と組み合わせるとより強固に
IaaSセキュリティ診断
IaaSセキュリティ診断では、お客様ご利用のIaaSサービスに対し、API連携を行いCISベンチマークに沿った診断をすることでシステムの基盤であるIaaSの設定不備を見つけていきます。
脆弱性診断
エンジニアがお客様所有のWebサーバや
ネットワーク機器に対し、疑似攻撃をすることで認知されている脆弱性を見つけていきます。
CISベンチマークに沿って診断いたします
Center for Internet Security(CIS)ベンチマークプログラムとは、組織がセキュリティを評価して強化できるようシステム設計などを明確に定義し、提供されています。
IaaSセキュリティ診断項目
（AWSの例）
カテゴリ
カテゴリ
IAM
ログ出力
監視
ネットワーク
チェック項目
・rootアカウントが利用されていないか
・パスワードポリシーが設定されているか(桁数、利用される文字種類、期限等)
・アクセスキーがローテーションされているか(90日以内)
・全リージョンでCloudTrailが有効であるか
・CloudTrailログの格納パケットが公開設定ではないか
・CloudTrailログの格納パケットに対するログが有効化されているか
・不正なAPI呼び出しに対してログメトリックフィルターとアラームが出力されるか
・IAｍポリシー/CloudTrail設定/NetWork ACl等の変更に対してアラームが出力されるか
・セキュリティ担当者の連絡先が設定されているか
・Security Groupが、0.0.0.0/0 port 22(SSH)への接続を許可しないか
・Security Groupが、0.0.0.0/0 port 3389(RDP)への接続を許可しないか
診断の流れ
STEP１
API連携により診断を実施
STEP２
設定項目の確認
STEP３
設定項目のヒアリング
事前準備事項（AWSの例）
カテゴリ
カテゴリ
ヒアリングシート
AWS側の設定
IaaS側の設定
チェック項目
診断前にご記入頂きます。
アカウント情報が含まれますので、情報の授受についてはお客様指定の方法で行います。
①弊社の診断ツールからAWS環境に対してAPI連携するためAWS側の設定を行って頂きます。（設定マニュアルがございます。）
②連携先AWSの管理アカウント（観覧権限アカウント）情報をご提供頂きます。
（ご提供頂けない場合、お客様先での作業になるため別費用を申し受けます。）
①APIや管理画面観覧での診断実施時、お客様側の環境や設定により情報が取得できない項目がございます。ヒアリングシートへ設定内容をご記入いただいています。
②診断時においてMFA（２要素認証）などがかかっている場合、環境へのログイン日時をご指定頂いています。
※基本的にAPIでの診断において、お客様環境への影響はございません。
※AWS側で公開されているAPIから情報を取得しておりますので、通常の運用にて使われるものとなります。
bottom of page