重大度スコアリング

正確な重大度スコアは、脆弱性が環境に与えるリスクをセキュリティチームが把握する上で役立ちます。このガイドでは、Cloud Security が異なる重大度の尺度を使用してスコアを計算する方法を説明します。

Cloud Security 重大度スコアリングフレームワーク

Cloud Security Misconfigurations、Cloud Security Identity Risks、および Security Inbox の誤構成は、診断結果の重大度を決定するために Cloud Security 重大度スコアリングフレームワークを使用します。このフレームワークは、敵が誤構成を利用する可能性と、環境に対するリスクを比較します。これらの両方の側面を考慮に入れることで、実際のリスクに基づいてより正確に診断結果の優先順位を付けることができます。以下のマトリックスは、誤構成の重大度スコアがその悪用の可能性と影響に基づいてどのように計算されるかを示します。

可能性

可能性の要素は、2 つのサブ要素で構成されています。

  • 攻撃ベクター: 誤構成が悪用される手段。
  • アクセシビリティ: リソースが一般公開されているかどうか。

攻撃ベクター

攻撃ベクターは以下の基準によって決定されます。

攻撃ベクター定義
必須権限悪用するには特定の権限またはアクセスが必要です。
脆弱性悪用するには脆弱なコンポーネントが必要です。例えば、コンピュートインスタンス上のソフトウェアの脆弱性や漏洩したパスワードまたはアクセスキーなどです。
認証なし悪用するために認可や認証は必要ありません。

アクセシビリティ

アクセシビリティは以下の基準によって決定されます。

アクセシビリティ定義
非公開脆弱なコンポーネントまたはリソースが非公開ネットワーク内にあります。
公開脆弱なコンポーネントまたはリソースがインターネットからアクセス可能です。

可能性スコア

攻撃ベクターとアクセシビリティが一緒に考慮され、可能性スコアが決定されます。

攻撃ベクターアクセシビリティ
非公開公開
必須権限可能性なし可能性あり
脆弱性可能性あり可能性が高い
認証なし可能性が高い可能性が非常に高い

影響

影響の要素は、誤構成の悪用が環境にどれほどの損害を与えるかを示します。

影響定義
低この誤構成は、セキュリティ強化、衛生、リソースメタデータ、または業界のベストプラクティスの構成に関連しています。この誤設定は、単独では環境にほとんど影響を与えません。
中この誤構成を悪用されると、脆弱なコンポーネントまたはそれに直接関連付けられたリソースの機密性、完全性、可用性に影響が及びます。
高この誤構成を悪用されると、脆弱なコンポーネントの機密性、完全性、または可用性に影響が及び、他の多くのリソースにも影響が及びます。例: S3FullAccess ポリシーが添付されたアイデンティティ。
重大この誤構成を悪用されると、アカウント内のすべてのリソースを完全に制御されます。例: AdministratorAccess ポリシーが添付されたアイデンティティ。

重大度スコアリングマトリックス

誤構成の全体的な重大度スコアを計算するために、可能性と影響の要素が使用されます。

可能性影響
低中高重大
可能性なし低低中中
可能性あり低中高高
可能性が高い中高高重大
可能性が非常に高い中高重大重大

例

フレームワークの使用方法を説明するために幾つかの例を示します。

例 1: SNS トピックにサブスクリプションのアクセス制限が設定されている必要がある

SNS トピックにサブスクリプションのアクセス制限が設定されている必要があるの検出ルールは、SNS トピックが * の Principal を含むリソースベースのポリシーを持っているかどうか、および sns:Subscribe による Action の権限を持っているかどうかを確認します。この組み合わせにより、誰でも SNS トピックにサブスクライブし、その通知を受け取ることができます。

Cloud Security の重大度スコアリングフレームワークを使用すると、ルールは次のようにスコアリングされます。

  • 可能性スコア: 非常に高い
    • 攻撃ベクター: 認証なし
      • 攻撃ベクターは「認証なし」とマークされます。なぜなら、リソースベースのポリシーに * が含まれるからです。このワイルドカードにより、誰でもリソースに対して行動を取る能力が付与されます。この誤構成を悪用するために認証や認可は必要ありません。
    • アクセシビリティ: 公開
      • アクセシビリティは「公開」とマークされます。これは、誤構成がリソースベースのポリシーを通じてインターネット上で悪用される可能性があるためです。特定のネットワークアクセスは必要ありません。
  • 影響: 中
    • 影響は「中」とマークされます。これは、リソースの機密性が影響を受けるためです。この誤構成を悪用する敵は、SNS トピックから送信されたメッセージを受信することができます。
  • 重大度スコア: 非常に高い x 中 = 高
    • 最終的な重大度スコアは「高」となります。これは、「非常に高い」可能性と「中」の影響が混在しているためで、総合スコアは「高」となります。

例 2: EC2 インスタンスは IMDSv2 を強制する必要がある

EC2 インスタンスは IMDSv2 を強制する必要があるの検出ルールは、EC2 インスタンスがインスタンスメタデータサービスバージョン 1 (IMDSv1) を使用しているかどうかを確認します。これは一般的なウェブアプリケーション攻撃に対して脆弱です。悪用されると、敵は IMDS に保存された IAM 資格情報にアクセスし、それを使用して AWS アカウント内のリソースにアクセスすることができます。

Cloud Security の重大度スコアリングフレームワークを使用すると、ルールは次のようにスコアリングされます。

  • 可能性スコア: 可能性あり
    • 攻撃ベクター: 脆弱性
      • 攻撃ベクターは「脆弱性」とマークされます。これは、EC2 インスタンス上で実行されている脆弱なソフトウェアなど、脆弱なコンポーネントを含むリソースがこの誤構成の悪用に必要だからです。これにより、サーバーサイドリクエストフォージェリー攻撃を実行することができます。
    • アクセシビリティ: 非公開
      • アクセシビリティは「非公開」とマークされます。これは、EC2 インスタンスが明示的に公開されていないためです。
  • 影響: 中
    • 影響は「中」とマークされます。これは、EC2 インスタンスの機密性が影響を受けるためです。敵は IMDS にアクセスし、リソースに関連する IAM 資格情報を引き出す可能性があります。
  • 重大度スコア: 可能性あり x 中 = 中
    • 最終的な重大度スコアは「中」となります。これは、「可能性あり」と「中」の影響が混在しているためで、総合スコアは「中」となります。

CVSS 4.0

Cloud Security の脆弱性は、Common Vulnerability Scoring System バージョン 4.0 (CVSS 4.0) を使用し、4.0 のスコアが存在しない場合は古いバージョン (3.1、3.0、2) にフォールバックして脆弱性の基本スコアを決定します。その後、以下の点を考慮して基本スコアを修正します。

  • 基盤となるインフラストラクチャーが稼働しているかどうか、影響の広がりの範囲。
  • 基盤となるインフラストラクチャーが稼働している環境。例えば、その環境が本番環境でない場合、重大度は引き下げられます。
  • CISA KEV カタログなどのソースから、ある脆弱性に対するアクティブなエクスプロイトが存在するかどうか。
  • EPSS を使用して計算および検証された、悪用が行われる可能性。

参考資料

お役に立つドキュメント、リンクや記事:

Cloud Security Misconfigurations で誤構成の追跡を開始ドキュメント more more Cloud Security Identity Risks でアイデンティティの状況を理解するドキュメント more more Cloud Security Vulnerabilities についてドキュメント more more Cloudcraft を使用して、セキュリティリスクを視覚的に特定し、優先順位を付けるブログ more more