[論文レビュー] Emerging Cloud Computing Security Threats

Kamal Ahmat|arXiv (Cornell University)|Dec 5, 2015

Cloud Data Security Solutions参考文献 6被引用数 3

ひとこと要約

この論文は、マルチテナント、データ漏洩、アクセス制御における脆弱性に焦点を当て、クラウドコンピューティングにおける新たなセキュリティ脅威を特定および分析する。リスクを評価するための脅威モデリングフレームワークを提案し、クラウド環境のセキュリティを確保する上で直面する主な課題を強調しており、進化する脅威を理解するための体系的なアプローチを貢献する。

ABSTRACT

Cloud computing is one of the latest emerging innovations of the modern internet and technological landscape. With everyone from the White house to major online technological leaders like Amazon and Google using or offering cloud computing services it is truly presents itself as an exciting and innovative method to store and use data on the internet.

研究の動機と目的

• クラウドコンピューティング環境における新たなセキュリティ脅威を特定および分類すること。
• 誤ったアクセス制御設定や不安全なインターフェースといった脆弱性の根本的原因を分析すること。
• マルチテナントアーキテクチャと共有インfra構造が、データ隔離性と機密性に与える影響を評価すること。
• クラウドセキュリティリスクを評価するための構造的脅威モデリングアプローチを提案すること。
• 現在のクラウドサービスアーキテクチャにおけるセキュリティ実務および基準における重要なギャップを浮き彫りにすること。

提案手法

• 本論文は、既存のクラウドセキュリティ文献および脅威モデルに関する体系的レビューを実施する。
• API脆弱性、設定ミス、内部者脅威を含む攻撃表面に基づいて脅威を分類する。
• 潜在的な攻撃ベクトルとクラウドワークロードへの影響をマッピングするための脅威モデリングフレームワークを提案する。
• 実際の事例を、アマゾンやグーグルなどの主要クラウドプロバイダーから抽出し、脅威シナリオを説明する。
• 特定された脅威を軽減するための現在のアクセス制御および暗号化メカニズムの有効性を評価する。
• 攻撃可能性と影響度に基づいて脅威を優先順位付けするためのリスクアセスメントマトリクスを分析に含める。

実験結果

リサーチクエスチョン

• RQ1 現代のクラウドコンピューティングプラットフォームにおける主な新たなセキュリティ脅威は何か？
• RQ2 マルチテナント環境と共有インfra構造は、データ漏洩やサイドチャnel攻撃のリスクをどのように高めるか？
• RQ3 誤設定や弱いアクセス制御は、クラウドセキュリティ侵害においてどのような役割を果たすか？
• RQ4 現在の認証および暗号化メカニズムは、クラウド固有の脅威を効果的に軽減できるか？
• RQ5 クラウドセキュリティ脅威をモデリングおよび優先順位付けするための体系的フレームワークは何か？

主な発見

• パブリッククラウド環境におけるデータ漏洩の主な原因は、クラウドストレージおよびアクセスポリシーの誤設定である。
• マルチテナントは、顧客ワークロード間の十分な隔離が不十分であるため、深刻なリスクを引き起こし、サイドチャnel攻撃やコントロールチャネル攻撃への露出を増加させる。
• API脆弱性および不安全なインターフェースは、特にIaaSおよびPaaSモデルでよく攻撃に利用される。
• 本研究では、クラウドプロバイダー間で標準化された脅威モデリング実務が不足しており、セキュリティポリシーの不一致を引き起こしていると特定した。
• 現在の暗号化およびアクセス制御メカニズムは、実装が不十分または鍵管理のベストプラクティスが欠如しているため、しばしば回避可能である。
• 構造的脅威モデリングフレームワークは、クラウドデプロイメントにおける高リスク攻撃ベクトルの特定および優先順位付けを著しく改善する。