[論文レビュー] Systematic Mapping Study On Security Threats in Cloud Computing

Carlo Marcelo Revoredo da Silva, José Lutiano Costa da Silva+3 more|arXiv (Cornell University)|Mar 27, 2013

Cloud Data Security Solutions参考文献 43被引用数 15

ひとこと要約

本系統的マッピング研究では、クラウドセキュリティ協会の「クラウドコンピューティングのトップ脅威」フレームワークを用いて、105件のクラウドセキュリティ脅威に関する出版物を分析した。主に頻出する脅威を特定し、15のセキュリティドメインにわたってマッピングし、コンプライアンス指向のソリューションが最も一般的であることが判明した。特に、データ漏洩と不適切なインターフェースが最も研究が進んでいる問題である。

ABSTRACT

Today, Cloud Computing is rising strongly, presenting itself to the market by its main service models, known as IaaS, PaaS and SaaS, that offer advantages in operational investments by means of on-demand costs, where consumers pay by resources used. In face of this growth, security threats also rise, compromising the Confidentiality, Integrity and Availability of the services provided. Our work is a Systematic Mapping where we hope to present metrics about publications available in literature that deal with some of the seven security threats in Cloud Computing, based in the guide entitled "Top Threats to Cloud Computing" from the Cloud Security Alliance (CSA). In our research we identified the more explored threats, distributed the results between fifteen Security Domains and identified the types of solutions proposed for the threats. In face of those results, we highlight the publications that are concerned to fulfill some standard of compliance.

研究の動機と目的

• 系統的マッピング手法を用いて、クラウドセキュリティ脅威に関する研究の現状を分析すること。
• クラウドセキュリティ協会（CSA）のフレームワークに含まれる7つのトップクラウド脅威のうち、どの脅威が最も頻繁に研究されているかを特定すること。
• 出版物をセキュリティドメインごとに分類し、提案されたソリューションの種類を評価すること。
• 研究がクラウドセキュリティのコンプライアンス基準にどの程度焦点を当てているかを評価すること。

提案手法

• 学術データベースを対象に、事前に定義された検索基準を用いて系統的文献レビューを実施した。
• 脅威分類の基準として、クラウドセキュリティ協会（CSA）の「クラウドコンピューティングのトップ脅威」を採用した。
• 各出版物を15の定義済みセキュリティドメイン（例：アクセス制御、データセキュリティ）の1つ以上にマッピングした。
• 提案されたソリューションを、技術的制御、ポリシーに基づくメカニズム、コンプライアンス指向のアプローチなどのタイプに分類した。
• 脅威およびドメインごとの出版頻度を数量化し、研究トレンドを特定した。
• 一貫性を確保しバイアスを低減するため、構造化されたデータ抽出プロトコルを用いた。

実験結果

リサーチクエスチョン

• RQ1 学術文献で最も頻繁に取り上げられているCSAのクラウドセキュリティ脅威はどれか？
• RQ2 クラウドコンピューティングにおける15の定義済みセキュリティドメインに、出版物はどのように分布しているか？
• RQ3 特定された脅威を軽減するために、最も一般的に提案されているソリューションの種類は何か？
• RQ4 既存の研究が、セキュリティ基準へのコンプライアンスにどの程度焦点を当てているか？
• RQ5 特定の脅威やセキュリティドメインにおいて、研究カバレッジのギャップは存在するか？

主な発見

• 'A1: 不適切なインターフェースおよびアプリケーションプログラミングインターフェース（API）' が最も頻繁に研究対象とされた脅威であり、次いで 'A2: データ損失または漏洩' が続く。
• セキュリティドメインとして最も代表的だったのは 'データセキュリティ' で、出版物の最多を占めた。
• コンプライアンス指向のソリューションが、提案された対策の中で最も一般的なタイプであり、多くの研究で見られた。
• 内部者攻撃や不十分なデューデリジェンス関連の脅威は、文献において低く抑えられていた。
• 『A7: アカウントまたはサービスの無効化』や『A8: 知られざるまたは管理されていない攻撃表面』といった脅威は、少数の研究でのみ取り上げられていた。
• マッピングの結果、技術的制御や基準コンプライアンスに強い研究バイアスが明らかになったが、組織的またはプロセス的制御の探求は限定的であった。