概要

クラウドサービスの普及に伴い、設定ミスやIAM（Identity and Access Management）の過剰権限によるインシデントが急増しています。従来のネットワーク境界防御と異なり、クラウドでは設定の誤りが直接インターネットへの露出につながることがあります。SC試験では、クラウド固有のリスクと最小権限原則の実践が問われます。

主な設定ミスの種類

ストレージの公開設定ミス

S3バケットの誤公開は最も頻発するクラウドインシデントです。

問題のある設定例：
{
  "Effect": "Allow",
  "Principal": "*",       ← 全インターネットに許可
  "Action": "s3:GetObject",
  "Resource": "arn:aws:s3:::my-sensitive-data/*"
}

個人情報・医療情報・認証情報などが誰でも閲覧可能な状態になります。

IAM権限の問題

問題内容リスク
AdministratorAccess の乱用全リソースへの完全アクセス権を付与漏洩時の被害が最大化
長期的なアクセスキーローテーションされない静的な認証情報漏洩しても長期間悪用される
権限昇格パスIAM権限を組み合わせて管理者権限を取得通常ユーザが管理者に昇格可能
サービスロールの過剰権限LambdaなどにAdminロールを付与侵害時にAWS全体を制御される

セキュリティグループ・ネットワーク設定

誤設定リスク
0.0.0.0/0 へのSSH/RDP 開放インターネット全体からのブルートフォース
不要なポートの開放不要なサービスへの攻撃面拡大
VPCのフローログ無効不正通信の検知不能

IAM設計の原則

最小権限の原則（Principle of Least Privilege）

悪い例：
EC2インスタンスに AdministratorAccess を付与

良い例：
必要なS3バケットへの ReadOnly のみ付与：
{
  "Effect": "Allow",
  "Action": ["s3:GetObject"],
  "Resource": "arn:aws:s3:::specific-bucket/*"
}

IAM設計のベストプラクティス

項目実践内容
MFA必須化ルートアカウントと特権ユーザはMFAを必須に
アクセスキーの廃止EC2・Lambda・ECSはIAMロールを使用。静的なアクセスキーを使わない
定期的な棚卸し未使用の権限・ユーザ・ロールを削除（IAM Access Analyzer）
SCP（サービスコントロールポリシー）組織全体で危険なAPIの使用を禁止
権限境界（Permission Boundary）IAMユーザ・ロールが取得できる最大権限を制限
IAM設計のベストプラクティス構成
MFA必須化
特権ユーザ・ルート
IAMロール
静的キーを廃止
定期的な棚卸し
未使用権限を削除
SCP
危険なAPIを禁止
権限境界
最大権限を制限
IAM設計
最小権限の原則

権限昇格攻撃のパターン

例：`iam:CreatePolicyVersion` 権限を持つユーザが権限昇格
1. 新しいポリシーバージョンを作成（AdministratorAccess を含む）
2. 新バージョンをデフォルトに設定
3. 自身が管理者権限を取得
IAM権限昇格攻撃の流れ
1
iam:CreatePolicyVersion 権限を持つユーザでログイン
 2
AdministratorAccessを含む新ポリシーバージョンを作成
 3
新バージョンをデフォルトに設定
 4
自身が管理者権限を取得
通常ユーザから管理者へ昇格

CSPM（Cloud Security Posture Management）

クラウド環境の設定を継続的に評価・監視するツールです。

ツール・機能説明
AWS Security HubAWSの設定ベストプラクティスへの準拠を評価
AWS Configリソースの設定変更を記録・評価
Azure Security CenterAzureのセキュリティスコアと推奨事項
CSPM製品（Wiz・Prisma Cloud等）マルチクラウドの設定リスクを横断的に管理

責任共有モデル

クラウドセキュリティの責任分担を定義した概念です。

層IaaSPaaSSaaS
データ顧客顧客顧客
アプリケーション顧客顧客CSP
OS・ランタイム顧客CSPCSP
仮想化CSPCSPCSP
物理インフラCSPCSPCSP

「クラウドは安全」という誤解の防止に重要な概念です。設定ミスは常に顧客の責任です。

SC試験での頻出ポイント

  • 責任共有モデル：CSP（クラウドプロバイダ）とユーザの責任分担を理解する
  • 最小権限の原則：必要最小限の権限のみ付与し、過剰な権限を排除する
  • S3公開設定ミスの危険性：バケットポリシーで誤って全公開すると個人情報が漏洩する
  • IAMロールとアクセスキーの違い：EC2にはロールを使い、静的な長期アクセスキーは避ける
  • CSPMの目的：クラウド設定の継続的な評価・監視・是正

よくある誤問・ひっかけパターン

誤り① 「クラウドはCSPが全てのセキュリティを担保する」→ 誤。責任共有モデルに基づき、設定・アクセス管理・データ保護はユーザ側の責任です。

誤り② 「MFAがあればIAMキーを長期保存してもよい」→ 誤。静的なIAMアクセスキーはコードや設定ファイルに埋め込まれて漏洩するリスクがあります。IAMロールへの移行が推奨されます。

誤り③ 「開発環境ならAdminAcessを付与してよい」→ 誤。開発環境への攻撃から本番環境へのラテラルムーブメントが発生するリスクがあります。

関連用語

重要キーワード

用語説明
責任共有モデルクラウドのセキュリティ責任をCSPとユーザで分担する考え方
最小権限の原則必要最小限の権限のみ付与するIAM設計の原則
CSPMクラウド設定の継続的な評価・監視ツール・手法
IAMロールEC2やLambdaなどがAWSサービスにアクセスするための一時的な認証情報
SCPAWS Organizationsで組織全体に適用するポリシー。特定APIの使用を禁止
権限昇格低権限のユーザがIAM設定の欠陥を利用して高権限を取得すること