// シス担のミカタ
クラウドセキュリティ

Orca Security おるかせきゅりてぃ

CSPMエージェントレスクラウドセキュリティ脆弱性管理SideScanningAWS/Azure/GCP
Orca Securityって何？

簡単に言うとこんな感じ！

クラウド環境を「何もインストールせずに」まるごとスキャンして危険を見つけてくれるセキュリティツールだよ！ X線みたいにクラウドの中を透視して、設定ミスや脆弱性をぜんぶ一覧で見せてくれるんだ。エージェント不要で導入が超ラクなのが特徴！

Orca Securityとは

Orca Security（オルカ セキュリティ）は、AWS・Azure・GCPなどのクラウド環境を対象としたクラウドネイティブセキュリティプラットフォームです。2019年にイスラエルで創業し、独自の「SideScanning™」技術によって、従来のエージェント型ツールが抱える導入コストや運用負荷を大幅に削減しながら、クラウド全体のリスクを可視化できる点が注目を集めています。

従来のセキュリティツールは、監視対象のサーバーやコンテナに「エージェント」と呼ばれる監視用プログラムをインストールする必要がありました。Orca Securityはその常識を覆し、クラウドプロバイダーのAPI経由でストレージスナップショット（データの静止画）を取得することで、稼働中のシステムに一切手を加えることなく脆弱性・設定ミス・マルウェア・機密情報の露出などを検出します。

セキュリティ担当者がいない中小企業から、マルチクラウドを運用する大企業まで幅広く導入されており、CSPM（クラウドセキュリティポスチャー管理）・CWPP（クラウドワークロード保護）・CIEM（クラウドインフラストラクチャー権限管理） を一つのプラットフォームで提供する「統合型クラウドセキュリティ」として位置づけられています。

SideScanning™の仕組みと主な機能

Orca Securityの核心は、独自特許技術「SideScanning™」です。スキャン対象のシステムに触れずに、クラウドのスナップショットだけを読み取るアプローチで、「横から覗き見る」ようなイメージです。

フェーズ内容
① スナップショット取得クラウドAPIを通じてディスクイメージの読み取り専用コピーを取得
② オフライン解析稼働中のワークロードに触れず、コピー上でスキャンを実行
③ コンテキスト付き可視化設定・権限・ネットワーク経路を組み合わせてリスクを評価
④ 優先度付きアラート本当に危険な問題だけを優先して通知（アラート疲れを防止）

主な検出対象

  • 脆弱性（CVE）: OSやミドルウェアの既知の脆弱性
  • 設定ミス（Misconfiguration）: 公開状態のS3バケット、過剰な権限など
  • マルウェア: 保存されたファイル内の悪意あるコード
  • 機密情報の露出: ハードコードされたAPIキー・パスワード
  • IAMリスク: 過剰な権限を持つロール・ユーザー
  • コンプライアンス違反: CIS・PCI DSS・HIPAAなどへの準拠確認

エージェント型との比較

比較項目エージェント型（従来）Orca Security（エージェントレス）
導入の手間全サーバーへインストール必要APIに接続するだけ
導入スピード数週間〜数ヶ月数時間〜1日
稼働への影響CPU・メモリを消費ゼロ影響
カバレッジインストールできた箇所のみクラウド全体を自動検出
死角エージェント未導入の環境ほぼなし（API対応リソース全体）

歴史と背景

  • 2019年: イスラエルのGil Geron・Avi Shuaが創業。クラウド普及に伴う「セキュリティの死角」問題を解決するために設立
  • 2020年: SideScanning™技術を正式発表。「エージェントレスでここまでできるのか」と業界に衝撃を与える
  • 2021年: シリーズCで5.5億ドルを調達、ユニコーン企業（企業評価額10億ドル超）に到達
  • 2021年: AWS・Azure・GCPすべてに対応し、マルチクラウド統合管理が可能に
  • 2022年: Attack Path Analysis（攻撃経路分析）機能を追加。単体リスクでなく「連鎖リスク」を可視化
  • 2023年: AIを活用したリスク優先付けと修正提案機能（Orca AI）を強化
  • 2024年以降: ASPM（アプリケーションセキュリティ管理）領域にも拡張し、開発から本番までのセキュリティをカバー

クラウド移行が急速に進む中、「何をクラウドに置いているかすら把握できていない」という企業が急増したことが、Orca Securityが求められた直接的な背景です。

類似ツールとの比較・ポジショニング

Orca SecurityはCSPM・CWPP・CIEMを統合したCNAPP（クラウドネイティブアプリケーション保護プラットフォーム）に分類されます。

CNAPP の構成要素と Orca Security のカバー範囲 CSPM クラウド設定ミスを 継続的に検出・管理 例: S3の公開設定ミス CWPP VM・コンテナ・関数の 脆弱性・マルウェア検出 例: CVEスキャン CIEM IAM権限の過剰付与を 検出・最小権限を推奨 例: 管理者権限の乱用 Orca Security = CSPM ＋ CWPP ＋ CIEM を統合 主要競合との比較 ツール エージェントレス 統合CNAPP 特徴 Orca Security ✔ 完全対応 ✔ 対応 SideScan™で即導入 Wiz ✔ 対応 ✔ 対応 グラフベースのリスク分析 Prisma Cloud △ 一部のみ ✔ 対応 Palo Alto製、エンタープライズ向け AWS Security Hub ✔ 対応 △ AWS限定 AWSネイティブ、他社連携必須 Qualys VMDR △ 一部のみ △ 一部 オンプレ〜クラウド幅広く対応

導入時に確認すべきポイント

  • 対応クラウドの確認: AWS・Azure・GCPのほか、Oracle Cloud・Alibaba Cloudにも対応
  • 権限の最小化: 読み取り専用のロールを付与するだけでよく、書き込み権限は不要
  • アラートのチューニング: デフォルトでは大量の検出が出るため、優先度フィルターの設定が重要
  • 既存SIEMとの連携: Splunk・Microsoft Sentinelなどへのアラート転送が可能

関連する規格・RFC

規格・フレームワーク内容
CIS Benchmarksクラウドサービスの安全な設定基準。Orca SecurityはCIS準拠チェックを自動実施
NIST SP 800-53米国政府のセキュリティ管理策フレームワーク。コンプライアンスレポートに対応
ISO/IEC 27001情報セキュリティマネジメントの国際規格。Orca上でのコンプライアンス管理に活用

関連用語

  • CSPM — クラウドの設定ミスを継続的に検出・修正するセキュリティ管理手法
  • CWPP — クラウド上のサーバー・コンテナ・関数を保護するワークロード保護プラットフォーム
  • CIEM — クラウドのIAM権限を管理し、過剰な権限を検出・是正する仕組み
  • CNAPP — CSPM・CWPP・CIEMを統合したクラウドネイティブアプリ保護プラットフォーム
  • 脆弱性管理 — システムの弱点（CVEなど）を発見・評価・対処するプロセス全般
  • IAM — クラウド上のユーザー・ロール・権限を一元管理する仕組み
  • ゼロトラスト — 「何も信頼しない」を前提としたセキュリティアーキテクチャの考え方
  • SIEMとSOAR — セキュリティログの収集・分析・自動対応を担うセキュリティ運用基盤