// シス担のミカタ
セキュリティテスト

クラウドペネトレーションテスト くらうどぺねとれーしょんてすと

ペネトレーションテストクラウドセキュリティ脆弱性診断AWS/Azure/GCP責任共有モデルレッドチーム
クラウドペネトレーションテストについて教えて

簡単に言うとこんな感じ！

クラウド上のシステムに「本物のハッカーが攻めてきたら突破できるか？」を、プロが実際に試して確かめるテストだよ！「鍵かかってると思ってたけど、実は裏口が全開でした」みたいな穴を事前に発見して塞ぐのが目的なんだ！

クラウドペネトレーションテストとは

クラウドペネトレーションテスト（Cloud Penetration Testing）とは、AWS・Azure・Google Cloudなどのクラウド環境に構築されたシステムやサービスに対して、実際の攻撃者が使う手法を模倣して侵入を試みることで、セキュリティ上の弱点（脆弱性）を事前に洗い出すテスト手法のことです。略して「クラウドペンテスト」とも呼ばれます。

従来のオンプレミス（自社サーバー）向けのペネトレーションテストと大きく違うのは、クラウド特有の設定ミス（IAMポリシーの過剰権限・S3バケットの公開設定ミス・セキュリティグループの穴など）が主な攻撃対象になる点です。クラウドは便利で柔軟な反面、設定の複雑さから思わぬ隙が生まれやすく、それを突かれると被害が一気に広がります。

ビジネス的には「発注したシステムが本当に安全かどうかを第三者に確認してもらう」という意味合いが強く、セキュリティ事故の前に「保険として打っておく検査」と考えると実務上の位置づけがわかりやすいです。

クラウドペネトレーションテストの構造と流れ

ペネトレーションテストは一般的に以下のフェーズで進行します。

フェーズ内容代表的な作業
① 事前合意スコープ・期間・免責の取り決め許可書の締結、テスト対象IPやAWS ARNの確定
② 情報収集攻撃者視点で対象を調査DNS・公開エンドポイント・クラウドメタデータの調査
③ 脆弱性スキャン既知の弱点を自動検出IAM権限の棚卸し、設定ミスの自動チェック
④ 侵入試行実際に攻撃を模擬実行権限昇格・横移動・データ取得の試み
⑤ 報告発見した脆弱性を整理・評価リスク評価（CVSS）・優先度付き改善提案

覚え方：「事・情・脆・侵・報」

フェーズを語呂合わせで覚えるなら「じ（事前合意）・じょう（情報収集）・ぜい（脆弱性スキャン）・しん（侵入試行）・ほう（報告）」。5段階を順番に踏むのがペンテストの基本的な流れです。

クラウドペンテストでよく見つかる脆弱性

  • IAM（Identity and Access Management）の過剰権限 — 「とりあえず管理者権限を付けた」設定が最も多い
  • S3バケットの公開設定ミス — 内部向けのファイル置き場がインターネット公開状態になっている
  • メタデータAPIの悪用 — クラウドVMの内部APIから認証情報が盗める
  • セキュリティグループの穴 — 「どこからでも接続OK（0.0.0.0/0）」の設定
  • シークレット情報のハードコード — コードやログにAPIキーが埋め込まれている

歴史と背景

  • 2006年 — AWSがEC2・S3を一般公開。クラウドインフラ市場が本格始動
  • 2010年代前半 — クラウド採用の拡大とともに設定ミスによるデータ漏洩事故が頻発。従来のペンテスト手法がクラウドに対応できないケースが浮上
  • 2014年 — AWSが「ペネトレーションテストポリシー」を公式整備。事前申請制でテストが可能に（後に主要サービスは申請不要に緩和）
  • 2018年 — Capital One事件（S3設定ミスによる1億人超の情報漏洩）を契機に、クラウド設定監査の重要性が世界的に再認識される
  • 2020年代 — AWSが事前申請なしでテスト可能なサービスを拡大。Azure・GCPも同様のポリシーを整備。「クラウドペンテスト」が一般的な調達項目に

オンプレ向けペンテストとの違い・クラウド特有の注意点

クラウド環境ではクラウドプロバイダーとユーザーが責任を分担する「責任共有モデル」が存在するため、テストできる範囲と禁止行為がオンプレミスと異なります。

責任共有モデルとペンテスト可能領域 クラウドプロバイダーの責任 物理インフラ（データセンター） ハイパーバイザー・ホストOS ネットワーク基盤 ⚠️ ペンテスト対象外 （プロバイダーが保証） ユーザーの責任（テスト対象） IAM設定・権限管理 ストレージ設定（S3など） アプリケーション・OS設定 ネットワーク設定（SG・ACL） ✅ ペンテスト対象 （ユーザーが管理・改善） 境界

主要クラウドのペンテストポリシー比較

クラウド事前申請禁止行為の例
AWS主要8サービスは不要（Route53等は要申請）DDoS・DNS Flood・スクラッピング
Azure不要（Microsoft Penetration Testing Rules of Engagement に同意）DDoS・物理インフラへの攻撃
GCP不要（利用規約の範囲内）DDoS・他ユーザーへの影響

⚠️ 重要： クラウドプロバイダーの許可を得ずに大規模テストを実施すると、利用規約違反・アカウント停止・最悪の場合は不正アクセス禁止法に抵触する恐れがあります。必ず事前にポリシーを確認してください。

関連する規格・RFC

規格・番号内容
ISO/IEC 27017クラウドサービス向け情報セキュリティ管理策の実践規範
NIST SP 800-115情報セキュリティテストおよび評価の技術ガイド（ペンテストの標準手法）
NIST SP 800-145クラウドコンピューティングの定義（責任共有モデルの基礎）

関連用語