Falco Feedsは、オープンソースに焦点を当てた企業に、新しい脅威が発見されると継続的に更新される専門家が作成したルールにアクセスできるようにすることで、Falcoの力を拡大します。
本文の内容は、2026年9月4日に Marla Rosner が投稿したブログ (https://www.sysdig.com/blog/runtime-is-the-real-defense-not-just-posture) を元に日本語に翻訳・再構成した内容となっております。
動く標的を、静止画だけを見て防御しようとする状況を想像してみてください。今日のクラウドセキュリティ戦略の多くは、まさにそのような姿になっています。構成ミスをスキャンしたり、ポリシーとの整合性をチェックしたりするツールは有用ですが、いま実際に何が起きているのかは見えません。そしてクラウドにおいては、リアルタイムであることが決定的に重要です。
セキュリティチームは、過去を映すツールを使って未来志向の防御を築くよう求められがちです。いまこそ発想を転換すべき時です。まずランタイムセキュリティから始めましょう。
ランタイムセキュリティがレジリエントなクラウド防御戦略の土台となる理由を包括的に確認するには、ホワイトペーパー全文をダウンロードしてください。
クラウドは変わりました。セキュリティスタックも変わるべきです
クラウドネイティブアプリケーションは、インフラストラクチャのルールを書き換えました。コンテナは数秒で起動し、Kubernetes は1日に数百万件の変更をオーケストレーションし、サーバーレスのコンピューティングリソースは数ミリ秒で消えることもあります。こうした俊敏性はイノベーションを推し進めますが、同時に死角も生み出します。
従来のエンドポイント検知・対応（EDR）ツールは物理マシンのために作られました。クラウドセキュリティポスチャ管理（CSPM）ツールは、基本的なクラウドの可視化のために作られました。どちらも、動的でエフェメラルな環境をリアルタイムに監視するために作られたものではありません。
変わったのは次の点です。
- エフェメラルなワークロード: コンテナやサーバーレス関数は、スキャンされるまで待ってはくれません。
- 自動化された攻撃: 脅威アクターは AI と自動化を使い、かつてないスピードで動きます。
- 拡大する攻撃対象領域: API、マイクロサービス、マルチクラウド環境が、複雑さとリスクを増大させます。
脅威アクターが偵察を自動化し、10分以内に脆弱性を悪用してくる状況では、セキュリティ戦略は静的なスキャンよりも速く動く必要があります。
静的なポスチャ管理では不十分な理由
多くの組織は、CSPM と「シフトレフト」の取り組みからクラウドセキュリティを始めます。基本的な構成ミスをスキャンし、コンプライアンスを強制するというものです。これらは欠かせないプラクティスですが、焦点は「何が問題になりうるか」に置かれており、「いま何が問題になっているか」には向いていません。
ポスチャ主導の戦略が実際の脅威を止めきれない理由を、順に見ていきましょう。
- CSPM はリアルタイムの挙動を見られません。 リスクのある構成は捉えられますが、進行中のエクスプロイトやラテラルムーブメントは捉えられません。
- EDR はクラウドに合いません。 従来型の EDR は、短命なコンテナや分散したサービスへの可視性を欠いています。
- シフトレフトは段階が早すぎます。 サービスが稼働し始めると新たなリスクが生まれ、その多くは元のコードとは無関係です。
ランタイムセキュリティ ― 欠けていたピース
ランタイムセキュリティとは、いま何が起きているのかを可視化することに尽きます。進行中の攻撃を検知し、異常な挙動を検出し、迅速な対応を発動できる唯一の方法です。
クラウドネイティブの文脈で、ランタイムとは実際に何を意味するのでしょうか。
- 継続的な監視: すべてのワークロード、すべてのユーザー操作、すべてのシステム変更などを、いずれもリアルタイムに把握します。
- 脅威の相関: アイデンティティ、ワークロード、ネットワークのシグナルを組み合わせ、疑わしいパターンを浮かび上がらせます。
- 自動対応: 悪意ある挙動を、事後ではなく進行中にブロックします。
ランタイムセキュリティは、起こりうるミスをスキャンするのではなく、攻撃者が実際に何をしているのかを示します。コンテナ内での権限昇格であれ、クラウドアカウントをまたいだラテラルムーブメントであれ、それは同じです。
進行中の攻撃を止める
攻撃者がゼロデイ脆弱性を悪用し、Kubernetes の Pod へのアクセスを得たとしましょう。従来型のツールでは、この侵害は数時間気づかれないかもしれません。そもそも気づかれない可能性さえあります。
ランタイムセキュリティが導入されていれば、代わりに次のことが起こります。
- 初期検知: 攻撃者の異常なコマンドが即座に検出されます。
- コンテキストを伴う調査: セキュリティ担当者は、ユーザーのアイデンティティ、影響を受けるリソース、攻撃経路を把握できます。
- 自動対応: 侵害されたコンテナが隔離され、認証情報がローテーションされます。
これは仮定の話ではありません。最新のクラウドネイティブアプリケーション保護プラットフォーム（CNAPP）はこのように攻撃をリアルタイムで止め、平均検知時間（MTTD）と平均対応時間（MTTR）を数時間・数日から数分へと短縮します。
ランタイムの ROI
機能するセキュリティとは、見返りのあるセキュリティです。ランタイムセキュリティを起点にすれば、ビジネス上のメリットは具体的な形で現れます。
- 検知の高速化: 脅威は週次スキャンの最中ではなく、発生したその時に特定されます。
- コストの低減: 数分で解決されたインシデントは、高くつくダウンタイムや侵害後の復旧を回避します。
- リソース配分の改善: ノイズより実際の脅威が優先され、チームは本当に重要なことに集中できます。
実際に、ランタイム駆動の CNAPP を利用する企業は検知時間を数秒まで短縮し、侵害に関連するコストを数十万ドル規模で削減しています。
エージェント型AIによるクラウドセキュリティの正しいあり方
AI が攻撃者の自動化をさらに後押しするなかで、ポスチャの隙間をすり抜けることは容易になっています。セキュリティチームには、ランタイムにおける信頼できるセーフティネットがこれまで以上に必要とされており、クラウドセキュリティにエージェント型AIを活用することが次の進化の一歩となります。
真にエージェント型と呼べる AI ソリューションには、次のことが求められます。
- 環境を理解する: 脅威と誤検知を正確に見分けます。
- リスクのトリアージと優先順位付けを支援する: 無駄な時間と従業員の燃え尽きを減らします。
- 明確で実行可能な手順を示す: クラウドリスクへのチームの対応を加速します。
どの LLM でも認知的な負担を下げられるわけではありません。意味のある存在になるには、AI がチームの一員として振る舞う必要があります。
過去を振り返るのをやめ、いま起きていることを守る
はっきりさせておきましょう。ポスチャ管理と予防がなくなることはなく、なくすべきでもありません。ただし、もはや強固なセキュリティプログラムの中心ではありません。脇を支える役割です。
クラウドを本当に守るには、クラウドがどのような環境なのかを戦略に反映させる必要があります。すなわち、速く、動的で、絶えず変化し続ける環境です。
まずランタイムから。その上にポスチャを重ねる。
この階層的なランタイムファーストのアプローチは、単に攻撃を止めるだけではありません。クラウド活用の歩みに合わせて拡張できる、レジリエントで先を見据えたセキュリティプログラムを作り上げます。
クラウドでは、一秒が重要です。静的なスキャンと事後対応型のセキュリティでは、待ってはくれない脅威に対して組織は脆弱なままです。ランタイムセキュリティはリアルタイムの可視性とコントロールをもたらすことで状況を一変させ、被害が生じる前に検知して対応できるようにします。
ランタイムファースト戦略の実装方法をさらに詳しく知りたい方へ。
クラウドセキュリティ戦略は後回し:ランタイムを最優先に
ランタイムファーストのアプローチを優先することで、セキュリティチームが防御を強化し、対応を加速し、リスクを最小化できる方法をご紹介します。
