[論文レビュー] Security Issues on Cloud Computing

Harit Shah, Sharma Shankar Anandane+1 more|arXiv (Cornell University)|Aug 27, 2013

Security and Verification in Computing参考文献 4被引用数 10

ひとこと要約

この論文は、マルチテナント環境におけるデータ機密性、完全性、アクセス制御に焦点を当て、クラウドコンピューティングにおける重要なセキュリティ課題を検討する。データ漏洩、内部者攻撃、不適切なインターフェースといった脅威に対処する高水準のセキュリティモデルを提案し、動的かつ変化しやすいクラウドインfra構造におけるリスクを低減するため、暗号制御と信頼メカニズムに重点を置く。

ABSTRACT

The Cloud Computing concept offers dynamically scalable resources provisioned as a service over the Internet.Economic benefits are the main driver for the Cloud, since it promises the reduction of capital expenditure and operational expenditure.In order for this to become reality, however, there are still some challenges to be solved. Amongst these are security and trust issues, since the user data has to be released to the Cloud and thus leaves the protection sphere of the data owner. Most of the discussions on these topics are mainly driven by arguments related to organisational means. This paper focuses on various security issues arising from the usage of Cloud services and especially by the rapid development of Cloud computing arena. It also discusses basic security model followed by various High Level Security threats in the industry.

研究の動機と目的

• クラウドコンピューティングサービスの導入に伴って生じる主なセキュリティ問題を特定・分析すること。
• ユーザーの直接的管理外でデータが保存・処理されることに起因する信頼の欠如を是正すること。
• クラウド環境における高水準の脅威を緩和する構造化されたセキュリティモデルを提唱すること。
• 組織方針に焦点を当てるのではなく、技術的および暗号的制御に重点を移すことで、より強固なセキュリティを実現すること。
• 脅威モデリングとアクセス制御メカニズムを通じて、安全なクラウドアーキテクチャの設計基盤を提供すること。

提案手法

• 本論文は、一般的なクラウドデプロイメントパターンの脅威分析に基づいて、高水準のセキュリティモデルを構築する。
• データ漏洩、不適切なインターフェース、内部者攻撃といった主要なセキュリティ脅威を特定・分類する。
• 信頼できないクラウド環境において、データの機密性と完全性を保証するため、暗号技術の活用に重点を置く。
• 不正なデータアクセスを防止するため、信頼メカニズムとアクセス制御ポリシーの評価を行う。
• ネットワーク、ストレージ、アプリケーションの複数レイヤーにわたり、セキュリティ制御を統合する。
• 本研究は、既存のフレームワークを活用し、実世界のクラウドデプロイメント課題に照合する。

実験結果

リサーチクエスチョン

• RQ1 クラウドコンピューティング環境における主な技術的セキュリティ脅威は何か？
• RQ2 第三者のクラウドインfraにデータが保存されている場合、どのようにしてデータの機密性と完全性を維持できるか？
• RQ3 暗号制御は、クラウドにおける内部者攻撃および外部攻撃を緩和するために、どのように機能するか？
• RQ4 クラウドプロバイダーとユーザーの間で、信頼を確立し維持するにはどうすればよいか？
• RQ5 組織方針にのみ依存する場合、クラウドセキュリティにおける限界は何か？

主な発見

• セキュリティと信頼の問題は、広範なクラウド採用を阻害する最も重要な障壁のまま残っている。
• データ漏洩と不適切なインターフェースは、クラウド環境における上位の脅威の一つである。
• 暗号メカニズム（暗号化やアクセス制御など）は、マルチテナントクラウドにおけるデータ保護に不可欠である。
• 本論文は、組織方針だけでは技術的セキュリティリスクに対処できないことを特定した。
• レイヤードセキュリティ制御の実装を支援する高水準のセキュリティモデルが提案された。
• 標準化されたセキュリティフレームワークの導入が、クラウドサービスの信頼性を高めるために不可欠であることが強調された。