CyberFix Note

#クラウドセキュリティ の記事

防御・ハードニング

クラウドの設定ミスを仕組みで防ぐ。CSPMによる継続監視とIaCスキャン、ポリシーアズコードで公開バケットや全開放のセキュリティグループを作らせない設計

公開ストレージ、0.0.0.0/0のインバウンド、過剰なIAM、無効なログ、暗号化の未設定といったクラウドの設定ミスを、作らせない、見つける、直すの3層で防ぐ設計を整理します。IaCスキャンの観点、CISベンチマークを基準にしたCSPMの始め方、ポリシーアズコードでの例外管理、最小構成からの導入順序を解説します。

防御・ハードニング

DLP(情報漏えい防止)入門。適用点と検知方式、監視モードから始める導入の順序

DLPは誤送信や意図しない持ち出し、内部不正によるデータの流出を、エンドポイントとネットワーク、クラウドの3つの適用点で見つけて止める仕組みです。検知方式ごとの誤検知の出方、データ分類から始める導入の順序、監視モードでの調整、従業員のプライバシーと労務上の配慮までを整理します。

防御・ハードニング

Kubernetesクラスタのセキュリティ設定の基礎

Kubernetesクラスタを運用する層の守り方を、RBACの権限設計、Pod Security StandardsとPod Security Admission、NetworkPolicyによる既定拒否、Secretsの保存時暗号化、kubeletとコントロールプレーンの設定、監査ログとアドミッション制御まで、公式ドキュメントの記述に沿って整理します。

ガバナンス・コンプライアンス

シャドーITが生まれる理由と禁止一辺倒にしない統制の組み立て方

許可を得ずに使われるクラウドストレージや無料チャット、生成AIは、禁止するだけでは見えない場所へ移るだけです。総務省テレワークセキュリティガイドラインと個人情報保護委員会の注意喚起をもとに、可視化からリスク評価、公式代替の整備、ルール化、技術統制までの順序を整理します。

防御・ハードニング

サブドメインテイクオーバーの仕組みと対策。宙に浮いたDNSレコードを残さない廃止手順

使い終えたクラウド資源を消しても、そこを指すCNAMEなどのDNSレコードを残すと、同名の資源を確保した攻撃者にサブドメインを乗っ取られます。原因である宙に浮いたDNSレコード(dangling DNS)の仕組みと、乗っ取りが成立する3段階、クッキー窃取やSSLの誤解、そして廃止時にDNSを先に消す恒久対策を運用担当者向けに整理します。