このように、クラウドはオンプレミスなサーバー環境とは異なるセキュリティの脅威にさらされている。そうなると気になるのが、クラウド上で新たにサーバーを作成した直後のセキュリティ対策だ。初期状態のセキュリティがあまりにぜい弱では、インターネットからの攻撃に耐えられない。
ところが主要なクラウドの初期状態のセキュリティを調査すると、一部には驚くほどぜい弱なサービスがあった。ここからは、実際のクラウドにおける初期状態を調査していく。なお、クラウドといっても様々な環境がある。今回は、(1)複数ユーザーで共有する「パブリッククラウド」、(2)サーバーリソースを提供する「IaaS」（Infrastructure as a Service）、(3)自前の設備を持たない「オフプレミス環境」という3つの条件を満たすサービスを対象とした（表3）。
セキュリティ対策のポイント
調査項目を検討するため、最初にクラウドに対するアタックベクター（攻撃のポイントやルート）を想定し、そこからクラウドで考えるべきセキュリティ対策を洗い出した。アタックベクターを決めるには、クラウドのシステム構成を俯瞰（ふかん）的に捉えておく必要がある。
前述したようにクラウドは1台のホストマシンでハイパーバイザーを動作させて、その上で仮想マシンとなるインスタンスを提供している（図4）。サービスは管理コンソールを通じて提供される。管理コンソールは管理対象の違いで(1)仮想マシンで動作しているOSやアプリケーション、(2)仮想マシンの電源やIPアドレス、ハイパーバイザー、(3)ストマシン自体の3つに分かれる。
3つの管理コンソールのうち、クラウドで加わる2つ目の管理コンソールが、新たな侵入経路になり得る（図5）。管理コンソールの安全性が十分に確保されているかどうかが、調査ポイントの1つになる。
もちろん、従来からあるアプリケーションやOS、ミドルウエア、ハイパーバイザーといったソフトウエアのぜい弱性を突いてくる攻撃にも対応できている必要がある。さらにクラウドの場合、上位のアプリケーションを侵入経路として、下位のハイパーバイザーやハードウエアにまで不正侵入される危険性がある。
こうした脅威に備えるには、インスタンス単位で十分なセキュリティ対策を施しておくことが重要になる。インスタンスを作成した直後のOSやアプリケーションのセキュリティ対策の調査も必要だ。
これらを踏まえて今回の調査項目を表4にまとめた。
