AWSセキュリティ対策「クラウドで重要なAWSのセキュリティ対策とポイント」
＼AWS関連サービスはこちら／
目次
AWSセキュリティの基本とは？
クラウドとオンプレミスのセキュリティ対策は何が違うのか？
オンプレミス環境では、物理サーバーやネットワーク機器の管理まで含めて企業が全責任を負います。
一方クラウド環境では、ハードウェアや基盤部分はAWSが提供・保護してくれるため、利用者はアプリケーションやデータに関するセキュリティ対策に集中できます。
つまり、クラウドのセキュリティは「すべてベンダー任せではなく、利用者にも責任がある」という点が大きな違いです。
AWSセキュリティが重要な理由
クラウド活用が進むにつれて、以下のようなセキュリティリスクが高まっています。
・データ流出や不正アクセスによる情報漏えい
・設定ミス（例：S3バケットのパブリック公開）によるリスク
・ランサムウェアやマルウェア攻撃
・内部不正やアクセス権限の誤設定
AWSは強固なセキュリティ機能を提供していますが、利用者側が適切に設定・運用しなければ十分な効果を発揮しません。だからこそAWSセキュリティ対策は不可欠です。
タイムロスなくAWSセキュリティ対策を実現するAWSセキュリティプリセットサービスの
リーフレットをダウンロード＞＞
AWSセキュリティの考え方「責任共有モデル」
「責任共有モデル」とは？
AWSセキュリティの基本概念が「Shared Responsibility Model（責任共有モデル）」です。
これは「AWSと利用者の間でセキュリティ責任を分担する考え方」を指します。
AWSは、AWSクラウドを構成するインフラストラクチャの保護に責任を負います。
AWSはクラウド基盤そのもののセキュリティを担保します。
具体的には以下が対象です。
| データセンターの物理的なセキュリティ | AWSは、AWSサービスを稼働させるデータセンターなどの施設を物理的な脅威から保護します。施設へのアクセス管理や監視カメラ、セキュリティスタッフによる監視に加え、冗長化された電源設備や空調、火災・水漏れなどへの対策を実施しています。これにより、不正な物理アクセスや設備障害などのリスク低減を図っています。 |
|---|---|
| ネットワークやハードウェアの保護 | AWSは、クラウド基盤を構成するネットワーク設備、サーバー、ストレージなどのハードウェアを管理・保護します。設備の監視や保守、冗長化などを行うほか、顧客データを保存したストレージ機器については、利用終了時に所定の手順に従って安全に廃棄します。利用者がこれらの物理機器を直接管理する必要はありません。 |
| 仮想化レイヤーの維持管理 | AWSは、ホストOSや仮想化レイヤーを管理し、複数の利用者の環境を適切に分離するための仕組みを提供しています。例えばAmazon EC2を支えるAWS Nitro Systemでは、仮想マシン間の分離を実現するとともに、仮想化基盤のセキュリティアップデートや維持管理をAWSが行います。 |
AWSユーザー（顧客）のセキュリティ責任
利用者は、自社の利用範囲におけるセキュリティを責任を持って実施する必要があります。
| IAM（アクセス権限）の設計・管理 | AWSを利用できるユーザーやロール、それぞれに付与する権限を適切に管理します。必要最小限の権限を付与する「最小権限の原則」を基本とし、MFA（多要素認証）の利用や不要な権限・認証情報の定期的な見直しなど、不正アクセスを防ぐための対策が必要です。 |
|---|---|
| ネットワークセキュリティの設定 | VPCやサブネット、セキュリティグループなどを適切に設計・設定し、AWS環境への通信を制御します。不要なポートを公開しない、アクセス元を制限するなど、必要な通信だけを許可することが重要です。 |
| 各サービス（S3・EC2等）の個別設定 | Amazon S3の公開範囲やバケットポリシー、Amazon RDSのアクセス設定など、利用するAWSサービスごとの設定を適切に行います。意図しない外部公開などを防ぐため、設定ルールの標準化や定期的な確認も重要です。 |
| OS・ミドルウェアの管理 | Amazon EC2などを利用する場合、ゲストOSや導入したミドルウェアの設定、セキュリティパッチの適用などは利用者が管理します。脆弱性を放置しないよう、継続的なアップデートや適切な設定管理が求められます。 |
| アプリケーションのセキュリティ | AWS上に構築するアプリケーションについて、認証・認可や入力値の検証、脆弱性への対応などを行います。開発時だけでなく、運用開始後もライブラリの更新や脆弱性の確認など、継続的な対策が必要です。 |
| データ保護（暗号化・鍵管理） | AWS上で扱うデータを適切に分類・管理し、必要に応じて保存時や通信時の暗号化を行います。暗号鍵へのアクセス権限や管理方法も含め、自社が扱う情報の重要度やセキュリティ要件に応じた対策が必要です。 |
| ログ管理・監視・インシデント対応 | AWS CloudTrailやAmazon CloudWatchなどを利用して操作履歴やシステムの状態を記録・監視し、不審な挙動や設定変更を検知できるようにします。問題を検知した際に迅速に対応できるよう、通知方法や対応手順をあらかじめ整備しておくことも重要です。 |
| セキュリティ運用・ガバナンス | 社内のセキュリティポリシーやAWS利用ルールを整備し、定期的な監査や設定の見直し、担当者への教育などを行います。AWS環境や脅威は変化するため、一度対策して終わりではなく、継続的にセキュリティレベルを維持・改善する体制が必要です。 |
※利用者の責任範囲は、利用するAWSサービスによって異なります。例えばAmazon EC2ではゲストOSの管理も利用者が担いますが、Amazon S3などではAWS側が基盤部分を管理します。
AWSセキュリティ対策のポイント
アクセス権限を最小化する
AWSでは、ユーザーやシステムに必要以上の権限を与えず、業務上必要な操作だけを許可する「最小権限の原則」を基本とします。まず、誰が・どのAWSサービスに・どの操作を行う必要があるのかを整理し、その内容に合わせてIAMユーザーやIAMロール、ポリシーを設計します。あわせて、MFA（多要素認証）の利用や、不要になった権限・アカウントの削除なども行います。
注意したいのは、初期構築時に広い権限を付与したまま、その後見直されないケースです。組織変更や担当業務の変更によって必要な権限は変わるため、一度設定して終わりではなく、定期的に権限を棚卸しし、過剰な権限が残っていないか確認することが重要です。
データを暗号化する
AWSでは、AWS上で扱うデータは、保存時と通信時の両方で適切に保護することが重要です。Amazon S3やAmazon EBS、Amazon RDSなどでは、保存データの暗号化を有効にし、システム間の通信についてもTLSなどを利用して保護します。また、暗号化に使用する鍵についても、AWS KMSなどを利用し、誰が鍵を利用できるのかを適切に管理します。
暗号化そのものを有効にしていても、暗号鍵へのアクセス権限が広すぎると十分な対策にならない点には注意が必要です。扱うデータの機密性や社内ルールに応じて、「どのデータをどの方式で暗号化するか」「誰に鍵の利用を許可するか」まで含めて設計することがポイントです。
ログを取得・監視する
セキュリティインシデントが発生した際に原因を追跡するためには、AWS環境で「誰が・いつ・何をしたのか」を確認できる状態にしておく必要があります。AWS CloudTrailでAWS上の操作履歴を記録し、Amazon CloudWatchなどを活用してシステムの状態や異常を監視します。そのうえで、不審な操作や異常を検知した際に担当者へ通知できるよう、アラートの条件や連絡先を設定します。
よくある失敗は、ログを保存するだけで、誰も確認していない状態です。ログ取得の目的や保存期間を決めるだけでなく、どのような事象を異常と判断するのか、検知後に誰がどのように対応するのかまであらかじめ整理しておくことで、ログを実際のセキュリティ対策に活用できます。
セキュリティ設定を自動化・標準化する
AWSでは多くのサービスや設定項目があるため、担当者が個別に手作業で設定すると、設定漏れや担当者ごとのばらつきが発生しやすくなります。そのため、AWS CloudFormationなどのInfrastructure as Code（IaC）を活用して、安全な構成をテンプレート化し、同じルールで環境を構築できるようにすることが有効です。また、AWS ConfigやAWS Security Hubなどを活用し、設定状況やセキュリティ基準への準拠状況を継続的に確認する仕組みも整備します。
ただし、誤った設定をそのまま自動化してしまうと、問題のある構成が一斉に展開される可能性があります。自動化する前に標準となるセキュリティポリシーや設定内容を明確にし、必要に応じてレビューやテストを行ったうえで展開することが重要です。
AWSのネットワークやアプリケーション、データを保護するセキュリティサービス一覧と種類
ユーザーやロールごとにきめ細かなアクセス権限を設定「AWS Identity and Access Management (IAM)」
AWS Identity and Access Management（IAM）は、AWSリソースに対して「誰が、どのリソースに、どのような操作を行えるか」を管理するためのサービスです。ユーザーやロールにポリシーを設定することで、サービスやリソース単位できめ細かなアクセス制御ができます。AWSでは最小権限の適用が推奨されており、IAMはその実現に欠かせないサービスです。MFA（多要素認証）や一時的な認証情報なども活用することで、不正アクセスのリスク低減につなげられます。
ただし、IAMはアクセス権限を管理するサービスであり、AWS環境で発生する脅威そのものを検知するサービスではありません。そのため、後述するAmazon GuardDutyなど、他のセキュリティサービスと組み合わせて対策することが重要です。
機械学習を活用して不審なアクティビティや脅威を自動検知「Amazon GuardDuty」
Amazon GuardDutyは、AWS環境を継続的に監視し、不審な操作や悪意のあるアクティビティを検出する脅威検出サービスです。AWS CloudTrail、VPCフローログ、DNSログなどのデータを分析し、通常とは異なるAPI操作や不審な通信、認証情報の侵害が疑われる挙動などを検出します。AI・機械学習、異常検知、脅威インテリジェンスなどを活用していることも特徴です。
基本的には「脅威を見つけ、セキュリティ上の検出結果を提示する」役割を担うため、検出後に誰がどのように対応するかまで含めて運用を設計することが重要です。複数のAWSアカウントをまとめて監視することもできるため、AWS利用が拡大した企業のセキュリティ監視にも活用できます。
AWS全体のセキュリティ状況を一元管理「AWS Security Hub」
AWS Security Hubは、AWS環境全体のセキュリティ情報を集約し、重要なリスクを把握・優先順位付けするためのサービスです。複数のAWSセキュリティサービスなどから得られる情報を関連付け、組織全体のセキュリティ状態を一元的に確認できます。
AWS環境が大規模になると、サービスやアカウントごとに大量のセキュリティ情報が発生し、「どの問題から対応すべきか」を判断することが難しくなります。Security Hubを活用することで、セキュリティ上の問題を横断的に把握し、優先度の高いリスクへの対応を進めやすくなる点が特徴です。自動対応ワークフローも用意されており、セキュリティ運用の効率化にも活用できます。
Webアプリケーションへの不正アクセスや攻撃をブロック「AWS WAF（Web Application Firewall）」
AWS WAFは、Webアプリケーションに送られるHTTP／HTTPSリクエストを監視し、条件に応じて許可・遮断するWeb Application Firewall（WAF）サービスです。IPアドレスやHTTPヘッダー、URIなどを条件としてルールを設定でき、SQLインジェクションやクロスサイトスクリプティング（XSS）など、代表的なWeb攻撃への対策に利用できます。
独自のルールを作成できるほか、AWSやAWS Marketplaceの提供するマネージドルールを利用できるため、一からすべてのルールを設計する負担を軽減できる点も特徴です。ただし、AWS WAFはアプリケーション自体の脆弱性を修正するサービスではないため、アプリケーション側の脆弱性対策とあわせて利用することが重要です。
DDoS攻撃からアプリケーションを保護する「AWS Shield」
DDoS攻撃からアプリケーションを保護するマネージド型サービス
・・・etc
タイムロスなくAWSセキュリティ対策を実現するAWSセキュリティプリセットサービスの
リーフレットをダウンロード＞＞
AWSのセキュリティ対策をサポートするTISIのサービス
TISIのAWSセキュリティ関連サービスの概要
TISIでは、AWS利用企業向けにセキュリティ体制を診断・強化するサービスを提供しています。
例えば「AWSセキュリティプリセット」や「AWSマルチアカウントスイート」、「AWSセキュリティコンサルティング」、「クラウド利用ガイドラインコンサルティング」を通じて、以下の支援が可能です。
AWSマルチアカウントスイート
TISI経由で発行したアカウントには、オプションとしてControl Towerを含む31種のサービスを追加費用なしで一括初期設定することが可能です。
マルチアカウント導入時の調査・検証・構築負荷を大幅に削減できます。AWS SRA準拠のガードレールと独自セキュリティテンプレートをご提供いたします。
その他サービス（TISIのAWS内製化支援サービス）
TISIのAWSセキュリティサービスは、単なる運用代行にとどまりません。
お客様自身がセキュリティを継続的に強化できるよう、内製化支援にも注力しています。
これにより、「外部に依存せず、自社でセキュリティを守れる体制づくり」を実現できます。
TISIはAWSの深い知見と豊富な実績を活かし、外部支援と内製化の両立をサポートいたします。
WHY TISI？～TISIが選ばれる理由～
最後に ～AWSセキュリティで安心・安全なクラウド活用を～
AWSを安心して活用するには、クラウド特有のセキュリティ対策を正しく理解し、適切に実装することが不可欠です。
責任共有モデルを踏まえ、自社で担うべき対策を確実に行うことで、クラウド活用の信頼性とビジネス継続性を高められます。
TISは、豊富なAWSの実績とセキュリティ専門知識をもとに、お客様のクラウド活用を安全に支援します。
著者
ＩＴ基盤技術事業本部 ＩＴ基盤ビジネス事業部 ＩＴ基盤ビジネス推進部 李 潤周