Rapid7

組織のクラウド利用が一般化し、その利用形態も、既存システムのクラウド移行 (クラウドの特性を活かした再設計・再構築ではなく、引っ越し) である「リフト & シフト」型から、クラウドの特長や利点を最大限に活かした疎結合なシステム構築・開発を行う「クラウドネイティブ」型へと徐々にシフトしつつあります。
このクラウドネイティブなシステムやアプリケーションには、マイクロサービスのようなアーキテクチャ・アプローチが採用され、それを実装する技術として「コンテナ」や「サーバレス」などがよく利用されます。

そんな「クラウドネイティブ」な環境におけるセキュリティ対策を検討する際、4 つの言葉の頭文字をとった "4C" という考え方があります。
この 4C に含まれるキーワードとその概要は以下のとおりです。

• Cloud: パブリッククラウド (クラウドサービスプロバイダ) や Kubernetes クラスタのインフラに対するセキュリティ
• Cluster: Kubernetes クラスタに対するセキュリティ
• Container: クラスタ上で実行されるコンテナに対するセキュリティ (イメージの OS やパッケージの脆弱性スキャンなど)
• Code: 提供するアプリケーションに関するセキュリティ (コード、サードパーティライブラリ、暗号化など)

「クラウド」という言葉から連想できる保護対象環境は非常に多岐に渡りますが、 この 4C をもとに「保護すべき環境・システム・資産は何か」を整理するのもひとつです。

InsightCloudSec は、クラウドセキュリティに必要な要素・機能・領域を包括的にカバーする統合型プラットフォームです。
製品の発端・発祥地ともいえる CSPM 機能を中心とし、以下のようなさまざまな IaaS/PaaS に対するセキュリティ保護機能を活用しお客さまの安全なクラウド移行や推進を支援します。

• クラウドセキュリティ状態管理 (CSPM: Cloud Security Posture Management)
• Kubernetes セキュリティ状態管理 (KSPM: Kubernetes Security Posture Management)
• クラウドワークロード保護 (CWPP: Cloud Workload Protection Platform)
• クラウドアイデンティティ・アクセス管理 (Cloud IAM) (CIEM: Cloud Infrastructure Entitlement Management)
• IaC (Infrastructure as Code) セキュリティ
• クラウドにおける検知と対応 (CDR: Cloud Detection and Response)

クラウドセキュリティ領域に対する主なカバー範囲