クラウドコンピューティングに固有のセキュリティ問題とは何ですか？
ほとんどすべてをクラウドに移行することが主流になりつつあります。
この傾向とともに現れたセキュリティ上の問題はありますか？
WebアプリケーションとデータベースをAmazonクラウド、Azureなどに移動する前に、セキュリティの観点から、誰もがチェックすべきことは何ですか？
クラウドには無数のセキュリティ問題があります。厄介なランドリーリストを確認するには、 [〜＃〜] enisa [〜＃〜] のドキュメントをご覧ください。
セキュリティ問題の小さなサブセット（必ずしもそれ自体がクラウドにとって新しいわけではありませんが、間違いなくより困難です）：
- アクセス制御
- プライバシーと機密性
- 可用性（SLAはどれほど強力ですか？プロバイダーは、オフラインになることによる損害を補償しますか？）
- 内部システムとの接続-他のプロトコルが機密性の高い内部システムに到達できるようにするには、ファイアウォールに穴を開けなければならないことがよくあります。
- コンプライアンス-クラウドベースのシステムを使用している場合、現在PCI-DSSなどのコンプライアンスに準拠できない規制があります。クラウドシステムを明示的に禁止しない場合があることに注意してください。ただし、クラウドシステムの使用中に準拠することは不可能です現在のように。
- 一部の国では、国民の個人データを国外に移動することを禁止する法律があります。他の国ではwant移動しないyourデータを入れない国があります。それらの国の法律の影響を受けたくないからです...曇っているとき、システムとデータがどこにあるのか本当にわからないので、どのようにしてユーザーがどこにあるかを確認するにはどうすればよいですか？それについては、どの法律をいつ遵守しなければならないかをどのようにして知っていますか？そして、どうやってあなたがまだ違法ではないことを知っていますか？
@atdreが彼の回答ですでにリンクしているENISA pdfから。
LOSS OF GOVERNANCE：クラウドインフラストラクチャを使用する場合、セキュリティに影響を与える可能性のあるいくつかの問題について、クライアントは必然的に制御をクラウドプロバイダー（CP）に譲ります。同時に、SLAは、クラウドプロバイダーの側でそのようなサービスを提供するというコミットメントを提供しない場合があり、そのためセキュリティ防御にギャップが残ります。
LOCK-IN：現在、データ、アプリケーション、およびサービスの移植性を保証できるツール、手順、または標準のデータ形式またはサービスインターフェイスの提供はほとんどありません。これにより、お客様は、あるプロバイダーから別のプロバイダーに移行したり、データやサービスを社内のIT環境に移行したりすることが困難になります。これは、特に最も基本的な側面であるデータの移植性が有効になっていない場合に、サービス提供のために特定のCPへの依存を導入します。
ISOLATION FAILURE：マルチテナンシーと共有リソースがクラウドコンピューティングの特性を定義しています。このリスクカテゴリは、ストレージ、メモリ、ルーティング、さらには異なるテナント間のレピュテーション（たとえば、いわゆるゲストホッピング攻撃）を分離するメカニズムの障害をカバーします。ただし、リソース分離メカニズム（ハイパーバイザーに対する攻撃など）への攻撃は、従来のOSへの攻撃と比較して、攻撃者が実際に実行することはそれほど多くなく、はるかに困難であることを考慮する必要があります。
コンプライアンスリスク：認定取得への投資（業界標準や規制要件など）は、クラウドへの移行によってリスクにさらされる可能性があります。
CPが関連要件への自身の準拠の証拠を提供できない場合
CPがクラウドの顧客（CC）による監査を許可しない場合。
場合によっては、パブリッククラウドインフラストラクチャを使用すると、特定の種類のコンプライアンスを達成できないことを意味することも意味します（例：PCI DSS（4））。
管理インターフェイスの妥協：パブリッククラウドプロバイダーの顧客管理インターフェイスは、インターネットを介してアクセスでき、従来のホスティングプロバイダーよりも大きなリソースセットへのアクセスを仲介するため、リスクが高まります。特に、リモートアクセスおよびWebブラウザーの脆弱性と組み合わせる場合。
データ保護：クラウドコンピューティングは、クラウドの顧客とプロバイダーにいくつかのデータ保護リスクをもたらします。場合によっては、クラウドの顧客（データコントローラーとしての役割）がクラウドプロバイダーのデータ処理方法を効果的に確認し、データが合法的に処理されていることを確認するのが難しい場合があります。この問題は、フェデレーテッドクラウド間などでデータが複数転送される場合に悪化します。一方、一部のクラウドプロバイダーは、データ処理の実践に関する情報を提供しています。 SAS70認定など、一部の企業は、データ処理とデータセキュリティ活動、およびそれらが実施しているデータ管理に関する認定概要も提供しています。
INSECURE OR INCOMPLETE DATA DELETION：ほとんどのオペレーティングシステムと同様に、クラウドリソースを削除するリクエストが行われた場合、これはtrueにならない場合がありますデータの消去。データの余分なコピーが保存されているが利用できないため、または破棄されるディスクに他のクライアントからのデータも保存されているため、適切なまたは適時のデータ削除も不可能（または顧客の観点から望ましくない）になる場合があります。複数のテナンシーとハードウェアリソースの再利用の場合、これは、専用ハードウェアを使用する場合よりも、顧客にとってより高いリスクを表します。
MALICIOUS INSIDER：通常は可能性は低くなりますが、悪意のある内部関係者によって引き起こされる可能性のある被害は、はるかに大きくなることがよくあります。クラウドアーキテクチャでは、非常にリスクの高い特定の役割が必要になります。例には、CPシステム管理者および管理されたセキュリティサービスプロバイダーが含まれます。
このトピックについては、Lenny Zeltserからのブログ投稿がありました： Top 10 Cloud Security Risks
彼の指摘のほとんどは、インフラストラクチャを完全に制御できなくなっており、インフラストラクチャが内部でどのように機能するかさえわからない可能性があるという問題について述べています。また、同じシステムに他に誰がいるのかもわからなくなり、システムの脆弱性がデータに漏洩する可能性があります。
もう1つの問題は、データを保護するために部外者を信頼する必要があることです。間違った設定とすべてのデータが漏洩する可能性があります。
実際には、コードレビューなしで企業がWebサイトをクラウドに移行するのを見てきました。コードは、ASP.NETを実行する単一のマシン用に作成されました。
クラウドは主にスケールアウト機能を提供します。サイトがスケールアウトされていない場合、同時実行性の問題がデータの整合性またはセッションのセキュリティで発生します。これらの問題に対処するには、開発者はremove非並行コード（場合によっては安全性が低下する）か、セッションレスの同時展開をサポートするために必要なコードを書き換えます。
クラウドベースのホスティングに関するセキュリティ問題のこの調査を強くお勧めします： セルフホスティングとクラウドホスティングの比較：クラウドでのホスティングのセキュリティへの影響の説明 。
データの安全性とデータプライバシーの維持を確実にするために、クラウドコンピューティングプロバイダーは次の分野に参加しています。
データ保護-保護されていると見なされるには、ある顧客のデータを別の顧客のデータから適切に分離する必要があります。 「休憩」時に安全に保管する必要があり、ある場所から別の場所に安全に移動できる必要があります。クラウドプロバイダーは、データ漏洩や第三者によるアクセスを防ぐためのシステムを導入しています。職務を適切に分離することで、クラウドプロバイダーの特権ユーザーであっても、監査や監視を無効にすることができなくなります。
ID管理-すべての企業には、情報およびコンピューティングリソースへのアクセスを制御するための独自のID管理システムがあります。クラウドプロバイダーは、フェデレーションまたはSSOテクノロジーを使用して、顧客のID管理システムを独自のインフラストラクチャに統合するか、独自のID管理ソリューションを提供します。
物理的および人的セキュリティ-プロバイダーは、物理マシンが十分に安全であること、およびこれらのマシンとすべての関連顧客データへのアクセスが制限されるだけでなく、そのアクセスが文書化されていることを確認します。
可用性-クラウドプロバイダーは、データとアプリケーションへの定期的かつ予測可能なアクセス権を持つことを顧客に保証します。
アプリケーションセキュリティ-クラウドプロバイダーは、アウトソーシングまたはパッケージ化されたアプリケーションコードのテストおよび受け入れ手順を実装することにより、クラウド経由でサービスとして利用可能なアプリケーションが安全であることを保証します。また、アプリケーションのセキュリティ対策（アプリケーションレベルのファイアウォール）を運用環境に配置する必要があります。
プライバシー-最後に、プロバイダーはすべての重要なデータ（クレジットカード番号など）がマスクされ、承認されたユーザーのみがデータ全体にアクセスできるようにします。さらに、デジタルIDと資格情報は、プロバイダーがクラウドでの顧客の活動について収集または生成するデータと同様に保護する必要があります。
インドのクラウドコンピューティングに関する詳細については、次を参照してください-modによって削除されたリンク
AviDの優れた点に加えて、以下も非常に重要です。
- 可用性-はい、AviDが言及しましたが、クラウドへの依存を理解することがどれほど重要であるかを十分に強調することはできません。多くの場合、クラウドプロバイダーはクラウドの脆弱性について言及していますが、実際には、アプリケーションにタイムリーにアクセスできない場合でも、サービス拒否攻撃は依然として有効です。
- 法規制の順守-2つの側面：データはどこにありますか？それが正しい管轄に留まっていることを保証できますか。また、電子情報開示の場合、個人/イベントに関連するすべてのデータ項目を取得したことを保証できますか？
クラウドは、これらの両方を確認することを難しくします。
クラウドコンピューティングテクノロジーのルーツである仮想化により、通常のDC（データセンター）で防御を開始する場所と何をすべきかのガイドのような、いわゆる「境界」が削除されます。クラウド内のほとんどのデータは物理サーバー、仮想マシン間で転送されるため、このようなシステムの制御が低下し、ネットワークのセグメント化やハードウェアタイプの保護の使用の可能性が低くなります。このような新しいDC仮想化には、新しいアクセスポリシーとデータ管理ソフトウェアが必要です。
クラウドセキュリティを目的とした非営利組織Cloud Security Alliance（CSA）が作成されました： http://www.cloudsecurityalliance.org/ 。そこでは、クラウドコンピューティングに対処する方法のベストプラクティスガイドを見つけることができます。
マルチテナント環境は、 関連のドメインCookie攻撃に対して脆弱です
現時点では 実用的な解決策はありません
RFC TLS-OBC（ユーザーフレンドリー http://www.browserauth.net/ サイトで説明）は一般的に採用されていません