クラウド診断は、Amazon Web Services (AWS)、Microsoft Azure、Google Cloudなどのクラウド環境を対象に、設定不備や過剰なアクセス権限などのセキュリティ上の問題点を検出・評価するサービスです。
クラウド環境に潜むセキュリティリスクを可視化し、不正アクセスや情報漏えいなどのセキュリティ事故の発生防止を支援します。
サービス内容
クラウド環境では、単一の設定不備だけでなく、複数の設定不備や過剰なアクセス権限が組み合わさることで、権限昇格や他のシステムへの不正アクセスにつながる可能性があります。
基本的なセキュリティ設定の確認から、攻撃者の視点による権限やリソース間の関係性の分析、複数アカウントにまたがるセキュリティ統制の評価まで、お客様の目的や環境に応じた4つの診断プランをご用意しています。
なお、本サービスは、クラウドを中心としたセキュリティサービスを提供するパートナー企業の株式会社コクチョウと協力して提供しています。
診断プラン
単一アカウント診断 Lite
CIS Foundations Benchmarkを参照した診断項目で、アカウントの設定不備を短期間・低コストで可視化します。基本的なセキュリティ設定を短期間・低コストで確認したいお客様に適したプランです。
主な診断内容（AWSの場合）
- 1. IAM
・ルートユーザー（アクセスキーの有無、MFAの有無・種別、日常的な利用の有無）
・IAMパスワードポリシー
・IAMユーザー（MFAの有無、アクセスキーの確認、認証情報の利用状況、IAMグループ以外での権限付与）
・IAMポリシー（管理者権限の付与、AWS管理ポリシー「AWSSupportAccess」の利用、AWS管理ポリシー「AWSCloudShellFullAccess」の利用）
・SSL/TLS証明書（IAMに保存されたSSL/TLS証明書の有効期限）
・マルチアカウント環境でのアクセス管理の一元化
・外部アクセスアナライザーの利用状況 - 2. ストレージ
・S3（バケットポリシー、MFA削除、ブロックパブリックアクセス設定）
・Amazon Macieの利用助状況
・RDS（DBの暗号化、自動マイナーバージョンアップグレード、パブリックアクセス設定、マルチAZデプロイ）
・EFS（EFSの暗号化）
3. ログ
・CloudTrail証跡（管理イベントの記録、S3データイベントの記録、ログ検証、証跡のS3バケットのサーバーアクセスログ設定、証跡の暗号化）
・VPCフローログの記録
4．モニタリング
・CloudWatch（重要なイベントを監視するメトリクスフィルターとアラームの確認）
・Security Hub CSPM（AWS Security Hub CSPMの利用状況）
5．ネットワーク
・EC2インスタンス（許可されているIMDSのバージョン）
・EBSボリューム（デフォルト暗号化設定、EBSボリュームの暗号化）
・ネットワークアクセスコントロールリスト（特定ポートのトラフィックの許可状況）
・セキュリティグループ（特定ポートのトラフィックの許可状況、VPCデフォルトのセキュリティグループのルール）
・VPCピアリングの設定状況
単一アカウント診断 Pro
「単一アカウント診断 Lite」の内容に加え、基本的な設定不備のチェックに留まらず、「侵害時に攻撃者がどこまで横展開できるか」「正規ユーザーやサービスアカウントが権限を持ちすぎていないか」 まで深掘りして評価します。アクセス権限やリソース間の関係性を分析し、攻撃者がクラウド環境へ侵入した場合の権限昇格や横展開の可能性を評価します。個々の設定不備だけでは把握しにくい、複数の問題が組み合わさることで生じるセキュリティリスクを洗い出します。
主な診断内容
- IAM・権限管理
- 攻撃者視点の横展開
- ログ・検知・調査容易性
- ネットワーク・公開面
- データ保護・暗号化
- サービス別重点確認
- バックアップ・削除保護
組織統制診断
「単一アカウント診断 Pro」の内容に加え、組織横断的な統制・監視状態（例：AWS Organizations環境など）を評価します。アカウント間のアクセス権限、ガードレール、ログ・監視設定などを確認し、組織全体のクラウド環境におけるセキュリティ上の問題点を洗い出します。
主な診断内容
- 組織構成
- ガードレール
- 横断ログ・監視
- 横断権限・ID基盤
- 単一アカウント診断 Proの観点
クラウドペネトレーションテスト
外部公開アプリケーション、API、公開設定、クラウド設定不備、認証・認可の弱点などを起点に、クラウド環境およびクラウド上のアプリケーションに対して、侵入・横展開・重要資産到達・影響実証をシナリオベースで検証します。
クラウド環境全体を含めた現実的な攻撃成立性を確認する実証型サービスです。
主な診断内容
- 事前調査・OSINT：対象ドメイン・サブドメイン・証明書・公開資産調査、公開エンドポイント把握、GitHub等での情報露出確認、資格情報漏えい痕跡調査
- 外部侵入可能性評価：公開Web/APIの脆弱性検証、認証・認可不備、SSRF・権限不備・情報漏えい、WAF/CDN越しの露出、クラウド連携機能の悪用余地
- クラウド内展開評価：侵入後の権限取得・権限昇格余地、実行ロール/マネージドID悪用、Storage/DB/シークレットへの到達、他アカウント・共通基盤への横展開
- 影響実証：合意した範囲でのデータ到達確認、機微情報へのアクセス成立可否、必要に応じた検知・封じ込め動作確認
サービス料金
お問い合わせフォームよりご連絡ください。
