クラウドネイティブとサードパーティ製クラウドセキュリティツールの比較

クラウドネイティブセキュリティツールとは？

本記事において「クラウドネイティブセキュリティツール」とは、クラウドプラットフォームにネイティブに対応したセキュリティツールを指します。

つまり、クラウドネイティブセキュリティツールとは、Amazon Web Services（AWS）、Microsoft Azure、Google Cloud Platform（GCP）などのクラウドプロバイダーから直接利用可能なセキュリティツールまたはサービスを指します。各ベンダーは、クラウドワークロードやデータのセキュリティリスクを監視するための様々なソリューションを提供しており、それらの提供内容がクラウドネイティブセキュリティツールを構成しています。

クラウドネイティブセキュリティツールとクラウドネイティブセキュリティ

背景として、「クラウドネイティブセキュリティ」という用語は、クラウドネイティブワークロードを保護するために使用されるあらゆる種類のツールを指す場合もあることに留意する必要があります。クラウドネイティブワークロードとは、マイクロサービスやコンテナといった現代的なアーキテクチャや技術を用いて構築されたワークロードです。クラウドネイティブワークロードの保護には、クラウドプラットフォーム自体から提供されるセキュリティツールとサードパーティ製ツールの両方が利用可能です。

したがって、クラウドネイティブセキュリティを一般的な意味で議論する場合、必ずしもクラウドプラットフォーム固有のセキュリティツールを指すわけではありません。しかし「クラウドネイティブセキュリティツール」という用語を耳にした場合、それはおそらくクラウドプラットフォームに組み込まれたセキュリティツールを指している可能性が高いです。これは微妙な差異ではありますが、重要な用語上の区別となります。

サードパーティ製クラウドセキュリティとは？

サードパーティ製クラウドセキュリティとは、クラウドサービスプロバイダー以外のベンダーによって開発されたセキュリティソリューションを指します。

言い換えれば、サードパーティ製クラウドセキュリティツールとは、AWS、Azure、GCP、その他のパブリッククラウドに直接関連付けられていない、あるいはそれらによって所有されていない企業、プラットフォーム、またはオープンソースプロジェクトによるツールです。サードパーティ製クラウドセキュリティツールは通常、これらのクラウド環境をサポートしますが、デフォルトでは組み込まれておらず、ユーザーが明示的にツールを導入する必要があります。

クラウドネイティブとサードパーティ製クラウドセキュリティの比較

大まかには、クラウドネイティブセキュリティツールとサードパーティ製クラウドセキュリティツールは、ワークロードの監査・監視やセキュリティ脅威への対応といった中核機能において同等の機能を提供します。しかし、両ツールカテゴリー間には重要な相違点が存在し、クラウドセキュリティのいくつかの具体的な側面に影響を及ぼします。

脆弱性スキャン

脆弱性スキャンは、アプリケーション内部に存在する脆弱性を特定します。攻撃者はこれらの脆弱性を悪用し、アプリケーションやそのホスト環境の制御を奪取したり、データを不正に取得したり、サービスを妨害したり、その他の問題を引き起こしたりする可能性があります。

Amazon InspectorやGCPのWeb Security Scannerといったクラウドネイティブセキュリティツールもこの目的に使用できます。しかし一般的に、Sysdigなどのサードパーティ製クラウドセキュリティツールは、主に以下の2点において脆弱性スキャンに適しています。

• 幅広いサポート：クラウドネイティブツールは、コンテナイメージなど、最も一般的なアプリケーションタイプやアプリケーションパッケージ形式のみをサポートしている場合が多くあります。サードパーティ製ツールは、一般的なものに加え、Helmチャートなど、より多様なアプリケーションタイプとの互換性がある傾向があります。
• より大規模な脆弱性データベース：一般的に、サードパーティ製スキャナーはより大規模な脆弱性データベースを活用しています。公開データベースの脆弱性情報を確認するだけでなく、独自の脆弱性レポートを参照する場合もあります。これにより、サードパーティ製スキャナーはクラウドネイティブスキャナーよりも多くの脆弱性を検出することが可能です。

したがって、単純なスキャン要件であれば、クラウドネイティブセキュリティツールで十分かもしれません。しかし、スキャン対象となるアプリケーションの種類が多岐にわたるチームや、基本的な脆弱性以上のものをスキャンする必要があるチームには、サードパーティ製ツールの方が適しています。

脆弱性管理

クラウドネイティブセキュリティツールのもう一つの重要な制限は、一般的に、脆弱性を特定した後の管理方法に関するガイダンスが少ないことです。クラウドネイティブセキュリティはアプリケーションに脆弱性が存在することを通知するかもしれませんが、その修正方法や深刻度の評価方法に関する推奨事項を提供することはあまりありません。

チームが独自に脆弱性を管理できる能力をお持ちであれば、これは問題にならないかもしれません。しかし、脆弱性に関するより詳細なガイダンスや背景情報が必要な場合、サードパーティ製セキュリティツールの方がニーズに合致する可能性が高いでしょう。

クラウドデータセキュリティ

クラウドネイティブツールとサードパーティ製セキュリティツールは、いずれもクラウドデータセキュリティのニーズに対応しております。これらはクラウド内の機密データを特定し保護するために活用できます（クラウドデータ損失防止、いわゆるDLPと呼ばれる手法です）。また、クラウドデータを管理するセキュリティおよびアクセス制御ポリシーをスキャンし、侵害につながる可能性のある脆弱性を検出することも可能です。

一般的に、クラウドネイティブセキュリティツールは、サードパーティ製ツールと比較して、より深い統合性と包括的なデータセキュリティカバレッジを提供します。ただし、そのクラウドネイティブツールが属するクラウド環境内で使用する場合に限ります。その主な理由は、クラウドネイティブツールがクラウドベンダー自身によって開発されている点にあります。ベンダーは自社のクラウドデータサービスの動作に関する非公開の独自情報にアクセスでき、その情報を活用してサードパーティベンダーでは実装不可能なクラウドデータセキュリティツールを構築できるためです。

ただし、この点におけるクラウドネイティブツールの主な制約は、その多くがサードパーティのクラウドやオンプレミス環境をサポートしていないことです。例えば、AWSとAzureの両方の環境でデータを保護する必要がある場合、両方のクラウドをサポート可能なサードパーティ製セキュリティツールを選択される方が適切かもしれません。そうでない場合、使用するクラウドごとに異なるクラウドネイティブセキュリティツールを管理する必要が生じ、非効率的であるだけでなく、見落としや設定ミスが発生しやすくなります。

セキュリティ監視

クラウドセキュリティ監視（ワークロードを監視し、侵害の兆候となる異常を検知すること）は、AWS CloudTrailやAzure Monitorといったクラウドネイティブのセキュリティ監視ツールを使用するのが最も容易です。その理由は、これらのツールがクラウドプラットフォームとデフォルトで統合されているため、使用開始に必要な設定が最小限で済むからです。

ただし、サードパーティ製セキュリティ監視ツールと比較すると、クラウドネイティブソリューションは高度な機能を提供しません。通常、セキュリティの「ベースライン」を設定し、その逸脱を検出することに限定されています。正常な活動のベースラインを設定することが困難な、動的な環境の監視にはあまり有用ではありません。

クラウドネイティブセキュリティ監視ツールはマルチクラウド対応も不足しており、複数のプラットフォームにまたがるクラウドセキュリティ管理が必要なチームにとっては、これもまた制限要因となります。

クラウドネイティブとサードパーティ製セキュリティツールの比較における利点

これまで述べた内容をまとめると、クラウドネイティブセキュリティツールの主な利点は以下の通りです。

• 統合性：クラウドネイティブツールは動作するクラウドと深く統合されており、サードパーティ製ツールにはない特別なアクセス権限や情報を活用できます。
• 使いやすさ：クラウドネイティブツールはデフォルトで利用可能なため、使用に際して最小限の労力で済みます。通常、ソフトウェアのデプロイやクラウド環境とツール間の特別な統合設定を行う必要なく、有効化するだけで利用できます。

一方、サードパーティ製クラウドセキュリティツールの利点としては以下が挙げられます。

• 豊富な機能：一般的に、サードパーティ製ツールはクラウドネイティブツールよりも多くの機能と高度な機能を提供します。これは当然のことと言えます。なぜなら、サードパーティのセキュリティベンダーはセキュリティを専門としているのに対し、クラウドプロバイダーにとってセキュリティツールの開発は主要な焦点ではないからです。
• マルチクラウド対応：多くの場合、サードパーティ製ツールは複数のクラウド環境を同時にサポート可能です。オンプレミス環境やプライベートクラウド環境にも対応する場合があります。これにより、複数の環境をまたがったセキュリティ管理を一元的に行うことが可能となります。一方、クラウドネイティブツールの大半は、自らがネイティブである特定のクラウド環境内でのみ機能します。

どのツールを選択すべきか

クラウドネイティブとサードパーティのクラウドセキュリティツールには、それぞれ長所と短所があります。どちらのタイプのツールが最適かという普遍的な答えはありません。

ただし一般的に、クラウドネイティブソリューションは、シンプルさを優先し、サポートするクラウド環境が1つだけのチームに最適です。クラウドネイティブのセキュリティツールは、ほとんどの場合、設定や使用が容易です。ワークロードが複数のクラウドにまたがらない限り、クラウドネイティブツールを使用して少なくとも基本的なセキュリティ要件に対応できるでしょう。

一方、マルチクラウド戦略を採用している組織は、サードパーティ製クラウドセキュリティツールの方がカバー範囲が広いため、より大きな価値を見出せる可能性があります。さらに、より複雑な脅威に直面しているチーム、あるいは絶えず進化する脆弱性や攻撃手法への対応に懸念をお持ちのチームは、クラウドネイティブソリューションでは提供されない機能を備えたサードパーティ製クラウドセキュリティツールにより高い安心感を得られるでしょう。

最後に、サードパーティ製クラウドセキュリティツールの導入には全体的にやや手間がかかることは事実ですが、その労力は通常、特に高いものではありません。現代のサードパーティ製ツールの多くは、スマートなデフォルト設定を備えて設計されており、クラウド環境へ迅速に接続できる統合機能を提供しています。クラウドコンソールでボタンをクリックするだけの簡単な操作とは異なりますが、数日や数週間を要するような手間がかかることはまずないでしょう。