Falco Feedsは、オープンソースに焦点を当てた企業に、新しい脅威が発見されると継続的に更新される専門家が作成したルールにアクセスできるようにすることで、Falcoの力を拡大します。
クラウドセキュリティの基本は「責任共有モデル」です。この記事では、2025年版 Sysdigクラウドセキュリティレポートより、AI/MLや短命コンテナなど新たな脅威を整理整理し、「見えなければ守れない」原則でクラウドのセキュリティ対策に関する統合防御について解説します。
クラウドセキュリティとは？
クラウドセキュリティとは、クラウド事業者と利用者が責任を分担する「責任共有モデル」に基づいて設計されています。AWS、GCP、Azureなどのクラウド事業者は、データセンターの物理的保護、ネットワーク暗号化、仮想化基盤など、クラウドプラットフォームそのもののセキュリティを担当します。一方で、利用者にはOSやミドルウェア、アプリケーション構成、アクセス権限、データ保護など、クラウド内で発生するセキュリティリスクを管理・制御する責任があります。
この「責任の境界」を理解することが、安全なクラウド活用の第一歩です。
ユーザーが担うクラウドセキュリティ対策
クラウド利用者が実施すべきセキュリティ対策は多岐にわたりますが、主に次の4つに分類されます。
1. IDおよびアクセス管理（IAM）
認証・認可されたユーザーのみがクラウドリソースへアクセスできるよう制御します。
ロールベースアクセス制御（RBAC）、多要素認証（MFA）、最小権限原則などが含まれます。
2. インフラストラクチャの保護
ネットワークセキュリティ（ファイアウォール、侵入検知・防止）、サーバーやコンテナの強化、エンドポイント保護など、クラウド基盤全体の防御層を整備します。
3. データ保護
保存時および転送時のデータを暗号化・トークン化・マスキングなどで保護し、不正アクセスや漏えいを防止します。
4. 検知とインシデント対応
クラウド環境の挙動をリアルタイムに監視し、不審なアクティビティを早期に検出。
CSPMによる構成監査、CDR（Cloud Detection and Response）による実行時の脅威検知と対応、ログ分析、ゼロトラスト運用などがこれに含まれます。
これらを組み合わせることで、アクセス制御・暗号化・脆弱性管理・ランタイム監視といった多層防御を実現できます。
見えないものは、守れない。
開発から運用、実行までのライフサイクル全体でセキュリティを組み込み、継続的に可視化・運用することが、安全で効率的なクラウド環境を支える鍵です。
なぜ今、クラウドセキュリティが重要なのか
クラウドの活用は、企業ITの主戦場をオンプレミスからクラウドへと完全に移行させました。国内でも8割の企業が何らかのクラウドサービスを利用（令和5年版情報通信白書、総務省、2024年6月）しており、アプリケーション開発と運用のスタイルが大きく変化しています。2025年版 Sysdigクラウドセキュリティレポート では、クラウドの利用動向とセキュリティ課題として次の2点が示されています。
1. AI／機械学習（AI/ML）の急速な導入
生成AIや機械学習モデルをクラウド上で運用するケースが急増しています。Sysdigの観測では、AI/MLパッケージの稼働数が前年比500％増に達しました。AIモデルのトレーニングや推論処理は、クラウドのスケーラビリティを前提に構築されており、開発チームが迅速にAIツールやライブラリを導入できる環境が整っています。
しかし、その裏では次のようなリスクが顕在化しています。
- OSS依存によるサプライチェーンリスク：AIフレームワークやライブラリに潜む脆弱性が攻撃経路になる。
- シャドウAI：許可なく導入されたAIツールやモデルが、認証外の領域で動作し情報漏洩を引き起こす。
- 機密データの不適切利用：LLM等に社内データを入力することで、意図せぬ外部共有が発生する。
AIの利用拡大は、企業の競争力を高める一方で、クラウド全体の攻撃対象領域（Attack Surface）を急速に拡大させています。
これらのリスクには次のような対策が求められます。
- AI／MLワークロード単位での脅威検知とアクセス監査
- モデル・ライブラリの署名検証と依存関係管理
- 機密データの分類とAI利用ポリシーの明文化
2. コンテナの短命化と自動化の進展
マイクロサービス化とKubernetesの普及により、コンテナの60％が1分以内に消滅する短命化が進んでいます。
この動的環境では次の課題が顕著です。
- 可視性の欠如：ログ収集前にコンテナが消滅
- 静的対策の限界：CSPMだけでは瞬間的な攻撃を検知できない
- フォレンジック不能：事後調査に必要なデータが残らない
変化する開発・運用構造とセキュリティリスクの再定義
── Sysdig CNAPPが実現するクラウドネイティブ時代の統合防御
クラウドネイティブ化、AI導入、ゼロトラスト化──。
開発と運用のスピードが加速する一方で、セキュリティリスクはこれまで以上に複雑化しています。従来の「境界防御」や「検知後対応」では追いつかない中、Sysdig CNAPP は開発から運用までの全フェーズを可視化し、統合的に保護します。
AI/MLの導入：サプライチェーンリスクとモデルアクセス監査
AI／機械学習モデルの構築には、多数のOSSライブラリや外部APIが利用されます。これにより、脆弱ライブラリの混入やモデルデータの漏えい、サプライチェーン攻撃のリスクが急増しています。
Sysdig CNAPPのアプローチ：
- AIモデル監査・SBOM分析：OSS依存関係をSBOM（Software Bill of Materials）として可視化し、脆弱ライブラリや改ざんリスクを検知
- Runtime Threat Detection：モデル実行環境での不正アクセスや異常なプロセスをリアルタイムで監視
- レポート・コンプライアンス統合：AIワークロードを含む全環境のリスクを統合的に評価
これにより、AIワークロードを「ブラックボックス」にせず、コードから実行時まで完全に可視化された状態で運用できます。
短命コンテナの増加：動的環境のリアルタイム保護
自動スケーリングやCI/CDの進化により、数分単位で生成・破棄される短命コンテナが一般化しています。このような環境では、可視性の欠如やフォレンジック不能といった課題が生まれます。
Sysdig CNAPPのアプローチ：
- Runtime Security（Falcoベース）：短命コンテナを含む全ワークロードの挙動をリアルタイムで監視し、攻撃や異常操作を瞬時に検知
- Runtime Forensics（Falcoベース）：システムコールレベルでキャプチャされたイベントをもとに、削除済みのコンテナを含む直前の挙動・通信・プロセス情報をリプレイ可能。インシデント発生後でも、攻撃経路や影響範囲を正確に特定できます。
- Continuous Runtime Visibility（Falcoベース）：eBPFベースのエージェントが継続的に生成するテレメトリデータを活用し、Kubernetesクラスタ全体の挙動をリアルタイムに可視化。ノード、ポッド、コンテナ、プロセスレベルまでの透過的な監査を実現
Sysdigは、Falcoベースによるリアルタイム検知とキャプチャ・可視化技術を組み合わせることで、一瞬で消えるコンテナも見逃さないフォレンジックと監査性を提供します。
マルチクラウド化：統合ポリシー管理と権限リスクの抑制
AWS、Azure、GCPなどを併用するマルチクラウド環境では、クラウドごとに異なる設定や権限構造がセキュリティギャップを生みます。構成ミスや不要権限は、攻撃者にとって最も狙いやすい侵入経路です。
Sysdig CNAPPのアプローチ：
- CSPM（Cloud Security Posture Management）：全クラウドの構成状態を自動でスキャンし、設定ミスやコンプライアンス違反を検知
- CIEM（Cloud Infrastructure Entitlement Management）：ユーザー・サービスアカウント・ロールの権限を可視化し、最小権限化を自動推奨
- 統合ダッシュボード：複数クラウドのリスクを単一画面で一元管理
これにより、クラウドごとに異なるリスクを共通ポリシーで管理できる体制を構築できます。
ゼロトラストの浸透：境界なき環境での継続的検証
ゼロトラスト環境では「信頼を前提にしない」ことが原則です。しかし、IAM設定の過剰付与や監査漏れがあると、内部からの侵害を防げません。
Sysdig CNAPPのアプローチ：
- CIEMによるアクセス可視化：すべてのID・ロールの権限を分析し、過剰アクセスや孤立したリソースを特定
- Runtime Identity Correlation：実際に使用された認証情報や操作履歴を関連付けて分析
- Continuous Compliance：ゼロトラスト基準に基づくIAM設定の自動監査
これにより、アクセス権限の実利用状況に基づく動的なリスク評価を実現します。
まとめ：
AI、コンテナ、マルチクラウド、ゼロトラスト──。
技術の進化に伴い、リスクは境界を越えて拡散しています。
「見えないものは、守れない。」
Sysdig CNAPPは、これらを個別に管理するのではなく、「コードからクラウド、そしてランタイムまで」一貫して可視化し、守る統合プラットフォームです。 開発と運用が一体化する時代、セキュリティもまた「後付け」ではなく「常時連続的」に機能する必要があります。Sysdigは、妥協なきリアルタイムセキュリティを提供します。