データ保護に「不変性」だけでは不十分な理由

2017年のこと、とあるハッカーが盗んだAWSのログイン認証情報を使い、以前の雇用主の顧客に関連する23のアカウントを削除しました。その結果、同社は多くの顧客との契約を失いました。警察によると、アカウント削除による損失は推定で約70万ドルに上るそうです。 同社は削除されたデータを復元することはできませんでした。
2021年には、ニューヨークを拠点とする銀行の元従業員は、解雇された2日後、同行のアカウントにログインし、ランサムウェア対策ソフトをバイパスして、アカウントとローン住宅ローン申請に関連する何万ものファイルやディレクトリを削除しました。
実際、企業がクラウド・ストレージ・ソリューションを検討する際、セキュリティは依然として大きなネックとなっています。Wasabiが2023年に行ったクラウドストレージに関するアンケート調査によると、回答者の多くがネイティブのバックアップ、ディザスタリカバリ、データ保護ツールがないこと、ネイティブのセキュリティサービスがないことがクラウドストレージの最大の懸念事項であると述べています。

イミュータビリティ（不変性）: 人からデータを守る

「うちは大丈夫、イミュータブルバケットやオブジェクトロックを使ったオフサイトバックアップを使っている」とおっしゃる方もいるでしょう。実際、イミュータブルバケットとオブジェクトロックは、貴社のアカウントにアクセスした悪者が、貴社のデータを暗号化、改ざん、削除するのを防ぎます。これはランサムウェアの連鎖の中で最も重要なステップです。攻撃者は多くの場合、まずバックアップを削除し、そこから復元できないようにします。しかし、データが暗号化、改ざん、削除されなければ、復元することができます。身代金を要求されることはありません。不変性はデータにとっては素晴らしい盾ですが、セキュリティシステムの最大の弱点である「人間」から守ることはできません。もし、あなたのイミュータブルバックアップを保管しているクラウドアカウントの鍵をハッカーや退職者が持っていたらどうなるでしょうか？

上に示したように、悪意のある攻撃は外部からだけでなく、組織内部からも来る可能性があります。精通したインサイダーは、AWS サポートスタッフからユーザー名とメールアドレスをソーシャルエンジニアリングすることができます。彼らはパスワードを知っているか、AWSルートの登録メールアカウントのメールを傍受することができるか、AWSサポート経由でこのステップをソーシャルエンジニアリングすることができるのです。

多要素認証(MFA)では不十分？

多要素認証は、セキュリティにおける人的要素に対するもう一つの防御線です。しかし、ここでもやはり、内部者が優位に立つ可能性があります。アカウント保有者として、悪者はルート・アカウントに関連するMFAデバイスを所有しているかもしれませんし、内部サポート・システムへのアクセスを通じてソーシャル・エンジニアリングでこのステップを回避できるかもしれません。MFAは部外者の侵入を防ぐには優れていますが、内部からの攻撃にはまだ脆弱と言えるでしょう。

マルチユーザー認証(MUA)の重要性

データの第三の防御策は、マルチユーザー認証です。Wasabiの独創的なマルチユーザー認証は、核ミサイルの発射プロトコルに似たコンセプトを採用しています。WasabiのMUAでは、Wasabiユーザーは、アカウント削除を確認する必要がある個人を最大3人まで指定することができます。指定された個人のいずれかが削除を拒否した場合、削除プロセスは自動的にキャンセルされます。ハッカーであれ、不正な従業員であれ、不注意な管理者であれ、ひとりでアカウントが削除できる権限を持つ人はいません。

これは、クラウドアカウントのセキュリティの世界では革命的なことです。このようなセキュリティ機能を提供するクラウドストレージプロバイダーは、現時点でWasabiのみです。

たとえ誰かがルートアカウントの認証情報を保持していたとしても、アカウントを完全に削除する能力を保持していれば、ユーザーのデータは完全に消去されてしまいます。純粋にセキュアな設定では、この重大な脆弱性は、すべての主要クラウドベンダーのオブジェクトロック実装に存在します。そのため、Wasabiの新しいマルチユーザー認証は、Wasabiのお客様のアカウントセキュリティに革命をもたらす、画期的な機能なのです。つまりは、冒頭の例に登場した企業がWasabiのようなMUA機能を備えたクラウドストレージプロバイダーを利用していれば、重要なアカウントを削除されずに済んだわけです。

シナリオを振り返ってみましょう

さて、冒頭のハッカーによる攻撃の例を振り返って、もしこの企業が旧来のアカウント削除機能ではなくWasabiのマルチユーザー認証機能を使っていると考えてみてください。

1. ハッカーがお客様のWasabiルートユーザー認証情報にアクセスします。
2. ハッカーはWasabiに保存されたデータを削除を試みますが、データが不変であるため削除できないことに気づきます。
3. そして、Wasabiアカウントとすべてのデータを削除することに決めます。
4. Wasabiのマルチユーザー認証機能では、最大3人のセキュリティ担当者が削除を承認する必要があるため、セキュリティ担当者が削除要求を拒否した場合、アカウントは削除されません。
5. 通知機能により、お客様のセキュリティ担当者は、社内およびWasabiサポートにアラートを通知することができます。

ランサムウェア攻撃は再び増加傾向

何年か減少していたランサムウェア攻撃ですが、2023年になって再び増加傾向にあります。

バックアップは、ランサムウェアに対する最も重要な防御策のひとつですが、適切に設定されていなければ、防御に穴が開いてしまうかもしれません。悪名高いランサムウェア集団、DroppelPaymerのメンバーが最近インタビュアーに以下の様にコメントしました。

「クラウドバックアップはランサム攻撃に対して非常に良いオプションですが、クラウドバックアップの設定が甘い場合もあり、オフラインバックアップが古いこともあるため、100％保護することはできていません。システムバックアップは大変良いですが、人的要因に抜け穴があります。」

貴社のデータとアカウントを保護するために、以下の手順に従ってください：

1. 多要素認証（MFA）を有効にします。
2. できる限り、コンプライアンスをデフォルトとしたイミュータブル機能を使用します。
3. ユーザー権限を制限します。ルートアカウントの認証情報は絶対に共有しないでください。
4. パスワードは定期的に更新します。
5. 追加アカウントセキュリティ設定として、Wasabiのマルチユーザー認証を有効にします。

(Wasabiは、in-flightおよびat-restのすべてのデータを暗号化します。Wasabiのデフォルトキーを使用するか、S3 APIの一部として独自のキーを提供することができます。よって、 Wasabiのお客様がご自身で暗号化を行う必要はありません）

ハイパースケールクラウドの主要ベンダーには、このような穴が存在します。Wasabiのマルチユーザー認証機能は、アカウントセキュリティの世界において革命的です。Wasabiは、このユニークなセキュリティ機能を提供する唯一のクラウドストレージプロバイダーです。もし、WasabiのMUA機能がアカウント削除の被害に遭われた方々に利用されていたなら、彼らのデータは現在も利用可能だったことでしょう。