パブリッククラウド利用時のリスク、内部サーバを狙う「SSRF攻撃」の手口と対策

　多くの組織で進む、インフラや基幹システムのパブリッククラウド移行。これにより、インフラ管理の負荷を軽減できることは確かだが、セキュリティに関しては、クラウドプロバイダーとユーザーの責任共有モデルが確立していることから、クラウド上のユーザーデータや認証情報などは、ユーザー自身の手で保護しなければならない。

　そのため、ユーザーはクラウドインフラにもWAFを導入し、クリティカルなデータは非公開で外部アクセス不可の内部サーバに置くという対策を取っている。しかし、現在では、その内部サーバを狙う脅威が台頭しつつある。それが、公開サーバを経由して、内部サーバからの応答を得るSSRF（Server Side Request Forgery）攻撃だ。

　本コンテンツでは、SSRF攻撃のメカニズムを解説するとともに、クラウド上のデータを効果的に保護する方法を紹介する。WAFでは、公開サーバが払い出す一時的認証情報の漏えいを防ぐことが効果的だ。不正アクセスにより流出する情報を自動マスキングするといったような対策は、今後不可欠になるだろう。