Cloudbaseとは？安全なクラウド運用を実現する設定ミス診断プラットフォームのご紹介

Cloudbaseとは、Cloudbase株式会社が運営している安全なクラウド運営を実現する設定ミス診断プラットフォームです。
昨今多くの企業がクラウドサービスを利用する様になりました。
その背景には、コロナ禍による急速なテレワークの導入やDX化の推進等様々な要因が存在しています。
クラウドサービスは、非常に便利で人材管理や労務管理など、様々な業務を遂行していく中でなくてはならない存在であると同時に、正しく利用をしないと、思わぬセキュリティ事故や情報漏洩といった企業の存続を危ぶませる様な事故に見舞われてしまう可能性も０ではありません。
そういった事故を防ぐ為に活躍するのが、Cloudbaseとなります。
本記事では、クラウドサービスを利用する際の注意点からCloudbaseの活用メリット等解説をしていきます。
今後クラウドサービスを利用する予定のある企業のご担当者様是非ご覧ください。

クラウドサービス利用に可能性があるセキュリティリスクとは

まず、クラウドサービスを利用する際にはどんなセキュリティリスクが発生する可能性があるかを解説していきます。

不正アクセス

クラウドサービスの多くがIDやパスワードを入力しログインを行い利用をします。よって、ログイン情報が流出してしまうとアクセスが容易になってしまうということとなります。
昨今、不正アクセスの認知件数は非常に多くなっていると言われています。
しかしながら、それを対策出来るエンジニアの人員が不足しているという企業も少なくないでしょう。
気づいたときには既に情報が漏洩していたという事故も発生して居るため注意が必要となります。

データ管理が不十分となり外部に情報が漏洩してしまうこと

不正アクセス以外にも外部に情報が漏洩してしまうケースは多数存在しています。
例えば、本来公開を予定していなかった情報を公開用のサーバーに挙げてしまい、多くの人の目に触れてしまったなど・・・。
こういった事故の多くは、人為的なミスだと言われており本来防げる内容となっています。
しかしながらクラウドを利用する上で多数の設定事項が存在しており、人的作業で全てを防ぐのは難しいです。
では、クラウドにおけるどういった設定のミスによって情報が漏洩してしまうのかを解説していきます。

クラウドにおける設定ミスの主な項目

アクセス制限の設定ミス

イメージが付きやすい例として、本来は特定の社員にしか見れない情報がアクセス制限の設定を誤ってしまい、外部の人間も閲覧が可能な状態となってしまうことが挙げられます。

セキュリティグループの設定ミス

セキュリティグループとは、VPCに構築されるEC2等のインスタンス等からアクセスの制御を行うことが出来る機能を指すのですが、設定をミスしてしまうとセキュリティグループが機能せずにサーバーの乗っ取りのリスクが高まってしまいます。

権限管理の設定ミス

本来特定の階層の社員にしか閲覧することが出来ない情報が、本来閲覧が出来ない社員に権限が付与されてしまい、これにより乗っ取りが発生してしまうという事故も存在しています。

シャドーITの設定ミス

シャドーITとは、IT部門の許諾を受けずに社員の独断でITツールを導入及び使用することを指すのですが、専門知識が無い状態が多い為、脆弱性のある状態で放置されており、例としてアカウントの乗っ取りを許してしまうことがあります。
こうなると情報を漏洩してしまったり重大な事故を巻き起こす原因となります。

Cloudbaseの導入までの流れと利用できる機能とは

では、実際にCloudbaseを導入して利用できる機能にはどういったものがあるでしょうか。
ここでは導入の仕方と利用できる機能について紹介していきます。

導入からセットアップまで

まずはCloudbaseにログインした後、プロジェクトを作成していきます。
プロジェクトが作成できたら、Cloudbaseにクラウドアカウントを接続していきます。
接続自体は非常にシンプルで、例えばAWSのアカウントにログインしている状態であれば、3クリックほどで接続は完了します。

診断機能

Cloudbaseでできる機能の中心となるものです。
AWSアカウントの登録が完了するとスキャンをすることができるようになります。
環境やデータ量にもよりますが、スキャンは数分～数十分程度かかります。
スキャンが完了すると設定ミスの結果一覧を確認できるようになります。
スキャンの結果のそれぞれの項目をクリックしていけば、・問題のリソース・理想の状態・詳しい説明などを閲覧していくことが可能です。
そしてそれぞれの診断項目については「危険度」が振り分けられるようになります。この危険度に応じて対応をしていくこととなります。
危険度は、・「CRITICAL」・「HIGH」・「MEDIUM」・「LOW」という4つの段階に分かれています。
導入したばかりの時は問題点が多く、検出される項目が多いために危険度が高い判定がされることが多くあります。
危険度の高いものから順に対応していくと効率的に対応することができるでしょう。

詳細ドキュメント機能

事故が起こりやすい、危険度が高い、といった項目については詳細ドキュメントを確認することができます。
この詳細ドキュメントの中では、診断項目におけるトラブルのリスク、起こりやすい事故、それらを防ぐための方法などがわかりやすく紹介されています。
特にクラウドに慣れていない会社や、クラウドに関する専門知識を持った担当者がいない会社では非常に役立つ機能となっています。
この詳細ドキュメントをうまく活用していくことで、事故に対応したり、事故に備えるということをしやすくなるでしょう。

検出結果に対する対応選択

スキャンによる診断の結果で項目によっては「対応しない」と判断する場合があります。
それは利用する頻度や対応するコストなどを総合的に判断して対応しないとすることがあるからです。そういった項目については「無視する」という設定をすることができます。
ここで「無視する」に設定した項目については、それ以降のスキャンから診断項目を外すことが可能となります。
この時、無視する診断は、・「リソース単位」・「リージョン単位」・「アカウント単位」で選択することができます。
小さい単位にしておくことで、これ以降に追加や変更されるリソースについて設定ミスがあった場合に検出されやすくなるのでおすすめです。

棚卸し（インベントリ）機能

比較的新しく追加された機能です。これはすべてのリソースの棚卸しをすることができる機能です。この機能によって利用者は社内で使っているクラウド環境下にある大量のリソースを自動的、継続的に棚卸しをすることができます。これまではリソースチェックのスクリプトを作成し、その運用や保守管理にも多くの時間と手間がかかるものでしたが、それらが不要になるというメリットがあります。

その他の機能

・定期実行機能
診断をするためのスキャンを手動で行うのではなく、１日に１回自動で行ってくれるという機能です。毎日スキャンを実行する手間がなくなり、スキャンし忘れるということも防いでくれます。
・Slack通知機能
SlackのIncoming webhooksを設定しておくことで、スキャンが終了するとSlackに通知をしてくれるというものです。簡単に設定できるので便利な機能となっています。
・メンバー管理機能
Cloudbaseのプロジェクトにアクセスすることができるメンバーを管理することができる機能です。メンバーの権限としては「管理者」「閲覧者」に設定することができるようになっています。

Cloudbaseが選ばれる理由

提供スタートからそれほどの時間が経っていないのにも関わらず、すでに人気システムとなっている「Cloudbase」にはどういった理由があるのでしょうか。
ここではそのシステムの特徴とともに人気の理由を紹介していきます。

とにかくすぐに導入から利用開始までが可能となっている

システムを導入する際には複雑な手続きや操作は必要なく、読み取り権限のIAMを発行するだけで導入することが可能となっています。できるだけ早く使いたいという時にもおすすめです。

幅広い範囲のスキャンを定期的にできる

これまでのこういった診断スキャンでは一部の範囲しかできないということが多かったのですが、このシステムでは主要なリソースを中心に200以上の項目について一括操作で診断が可能となっています。また、こうしたスキャンを手動で操作する必要がなく、毎日自動的にスキャンが行われます。もちろん任意のタイミングでスキャンを開始することもできるので、自社の都合に合わせることも可能です。

解決していくべき問題がわかりやすい

スキャンを行った診断結果では危険度が高い設定ミスから優先的に表示することが可能となっています。
そのため、大量の設定ミスが検出されたとしても、どれから対応していくべきなのかがわかりやすくなっています。
危険度の高いものから順に対応していくと良いでしょう。

対処方法などがわかりやすく表示される

発見された設定ミスがどういったリスクにつながっていくのか、そのリスクを解消するためにはどのように対処すれば良いのかといったことがわかりやすく表示されるようになっています。
それぞれの対応方法などはシンプルに書かれているため、専門知識がない担当者でもわかりやすいものとなっています。

幅広いシステムに対応している

主要クラウドと言われる「AWS」「GCP」「Azure」すべてに対応していることから、幅広く利用することができるというのも人気の理由となっています。

さらに機能が追加予定である

すでに使いやすいシステムとして知られている「Cloudbase」ですが、運営会社である「Cloudbase株式会社」は正式版の公開日には同時に1.3億円の資金調達を発表しています。
さらに事業拡大、システムの機能追加を見据えているということで、さらに使いやすいシステムになるとして将来性が期待されています。

大手企業も導入しているという信頼性

運営会社である「Cloudbase株式会社」は2019年創業の会社であり、「cloudbase」は2022年3月にベータ版を提供し始めたサービスですが、サービス提供開始から「スズキ」「アイフル」など大手企業が本サービスを導入したということからもサービスへの高い信頼性がわかります。また、資金調達も積極的に行い、事業拡大を進めているというのも将来性を感じさせています。

Cloudbaseまとめ

企業が社内で利用している膨大な量のクラウド資産を可視化した上で、効率的で安全にクラウド運用をしていくことを可能とするセキュリティサービスが「Cloudbase」です。
時には数万にも及ぶとされるセキュリティリスクを適切に診断することで、優先的に対応していかなければならないリスクを表示し、対応方法もわかりやすいドキュメントで提供してくれるというメリットがある「Cloudbase」をぜひ試してみましょう。