2022.01.21

2022年のクラウドネイティブセキュリティに関する7つの予測 #aqua #セキュリティ #クラウドネイティブ #2022

この記事は1年以上前に投稿されました。情報が古い可能性がありますので、ご注意ください。

本ブログは「Aqua Security」社の技術ブログで2021年12月30日に公開された「 Looking Ahead: 7 Cloud Native Security Predictions for 2022 」の日本語翻訳です。

2022年のクラウドネイティブセキュリティに関する7つの予測

クラウドネイティブとセキュリティの実践者にとって、2021年は非常に忙しい1年でした。2021年を終え、これからの1年で何が私たちの業界を形成していくのかを考える時期に来ています。そこで今回は、クラウドネイティブセキュリティの今後の展望と2022年に期待されることについて、各界のエキスパートに見解を求めました。ここでは、来年以降に注目すべき最大のテーマとトレンドのリストを紹介します。

#1 深刻な脆弱性は今後も発生し続ける

2021年に直面したセキュリティの脅威は、来年も緩和されることはないだろう。今年12月、Log4Shell の脆弱性がデジタルインフラに与えた影響は驚異的であり、この危機の長い影、そしてその連鎖的な影響は2022年も世界を苦しめ続けるでしょう。しかし、この CVE が最後になることはないでしょう。来年も、一般的なアプリケーションや些細な機能で、新たな深刻な脆弱性が発見されることを予想できます。Log4Shell のようなゼロデイ脆弱性は数年に一度しか発生しませんが、現代の開発速度から、2022年に同様の影響を及ぼす脆弱性が出現する可能性はあります。強力なサイバーセキュリティ管理の必要性を理解し、検知と対応を改善する組織は、次の嵐を切り抜ける態勢を整える必要があります。

Michael Katchinskiy, Security Researcher, Aqua’s Team Nautilus

“Log4Shell のようなゼロデイ脆弱性は数年に一度しか発生しませんが、現代の開発速度から、2022年に同様の影響を及ぼす脆弱性が出現する可能性はあります。”

Share on twitter

#2 クラウド型セキュリティがレガシーツールを置き換える

一般的にクラウドの導入は継続的に拡大し、特にクラウドネイティブの実践と技術(CI/CD、コンテナ、サーバーレス、Kubernetes)への移行が進むと思われます。これは、既存のアプリケーションを単にクラウドへ移行させることに取って代わるでしょう。この変化により、旧来のセキュリティツールは時代遅れとなり、アプリのテスト、ネットワークセキュリティ、ランタイム保護、セキュリティ情報およびイベント管理(SIEM)などのために、専用にデザインされたクラウドツールが必要とされています。

この傾向を反映して、最近ガートナー社が定義したセキュリティソリューションの新しいカテゴリであるクラウドネイティブアプリケーション保護プラットフォーム(CNAPP)が普及し、クラウドネイティブアプリケーションのセキュリティ課題に対処することが予想されます。大規模なクラウドネイティブデプロイメントの普及により、企業は開発からデプロイメントのライフサイクル全体をカバーするアプローチを採用せざるを得なくなり、ビルドの初期段階でセキュリティ制御を組み込み、本番環境に至るまでそれを徹底することが必要になっています。

Rani Osnat, SVP Strategy

#3 激化するソフトウェアサプライチェーンへの攻撃

SolarWinds 社や Codecov 社に対する著名な攻撃事件が相次ぎ、この1年でソフトウェアのサプライチェーンセキュリティが脚光を浴びるようになりました。開発環境やビルド環境は、サプライチェーン攻撃によって複数の組織にマルウェアを拡散させようとする攻撃者にとって、容易な侵入口となります。2022年、攻撃者は、悪意のあるコードを展開し、ネットワークに侵入し、被害者のシステムを制御するために、組織のソフトウェアのサプライチェーンを侵害する新しい方法を模索し続けるでしょう。そのため、一般的なソフトウェアパッケージやオープンソースプロジェクトを標的としたキャンペーンがより多く見られるようになるでしょう。

Assaf Morag, Lead Data Analyst, Aqua’s Team Nautilus

“2022年、攻撃者は、悪意のあるコードを展開し、ネットワークに侵入し、被害者のシステムを制御するために、組織のソフトウェアのサプライチェーンを侵害する新しい方法を模索し続けるでしょう。”

Share on twitter

#4 eBPFの本格導入に向け、業界は動き出す

Linux の eBPF 技術は、ランタイムセキュリティに対する業界のアプローチに革命を起こしていますが、まだ広く普及しているとは言えません。今後、主要なクラウドプラットフォームや Linux ディストリビューションは eBPF をデフォルトでサポートし、eBPF 技術をどこでも簡単に利用できるようになります。アップデートできないレガシーシステムについては、他のオープンソースソリューションがそのギャップを埋めることになるでしょう。これにより、すべてのユーザが eBPF ベースのソリューションを容易に導入できるようになります。

Itay Shakury, Director of Open Source

#5 より多くの組織がKubernetes Cluster APIを利用する

Kubernetes を使用することで組織が得られる節約を最大化することに、明らかに関心が集まっています。これを実現する1つの方法は、大規模なマルチテナントクラスターを持つことです。しかし、Kubernetes はマルチテナンシー向けに設計されていないため、ハードなマルチテナンシーを可能にするクラスターを設計するのは難しい部分が多くあります。2022年以降は、クラスターのグループを作成してアプリケーションと同じように管理できる Kubernetes Cluster API を活用する組織が増えると思われます。強力な分離が必要な状況では、クラスターが合意されたセキュリティの境界線になるでしょう。

Rory McCune, Cloud Native Security Advocate

“2022年以降は、クラスターのグループを作成してアプリケーションと同じように管理できる Kubernetes Cluster API を活用する組織が増えると思われます。”

Share on twitter

#6 クラウドネイティブセキュリティに関する市場の啓蒙が重要になる

DevOps チームはセキュリティ手法に精通しておらず、セキュリティは彼らの主要な責任ではありません。一方、セキュリティチームは、クラウドサービス、Kubernetes、コンテナ、およびそれぞれのセキュリティリスクと対策に精通していません。2022年は、市場を教育し、DevSecOps の変革に向かうことが重要となります。

Rani Osnat, SVP Strategy at Aqua Security Rani Osnat, SVP Strategy

#7 クラウドネイティブセキュリティは、CISOのアジェンダの中で優先される

2022年には、セキュリティチームがクラウドネイティブセキュリティを完全に自分のものとするため、ステップアップしていくことが予想されます。つまり、CISO とその直属の部下が、クラウドワークロード保護プラットフォーム(CWPP)やクラウドネイティブアプリケーション保護プログラム(CNAPP)の選択、導入、運用に関するすべてのニーズ、ポリシー、役割と責任を決定することになります。  