攻撃手法・初期侵入
クラウドの設定不備
クラウドの設定不備（別名 クラウドミスコンフィグレーション、設定不備によるクラウド露出）は、クラウドサービスのストレージや管理コンソール、IDとアクセス権限の設定を誤ったまま運用し、本来は外部から見えないはずのデータや管理機能に誰でもたどり着ける状態になることです。
- 初期侵入
- 実行
- 横展開
- 窃取
- 影響
要点
- 段階 攻撃が進む段階のうち「初期侵入」で使われます。
- 記録 このサイトに収録した事例とグループの記録には、まだ出てきません。
- 最初の対策 クラウドストレージやデータベースの公開範囲を定期的に棚卸しする。
設定した時点では問題なくても、変更を重ねるうちに緩くなっていくことも多い。
攻撃の流れ
- 1クラウドストレージの公開範囲を誤って広く開放したままにする
- 2管理コンソールやアクセスキーに強い権限を与えたまま放置する
- 3開発や検証のために緩めた設定を本番環境に戻し忘れる
- 4複数のクラウドサービスを使う中で、変更のたびに権限の見直しが追いつかなくなる
- 5攻撃者は公開されたクラウド資源を探索ツールで見つけ出し、中身を確認する
気づくための兆候
- 外部からの監査やスキャンでクラウドストレージが一般公開設定になっていると指摘される
- 普段使わないIPアドレスやサービスアカウントからのAPI呼び出し
- 権限の棚卸しで想定より強い権限を持つアカウントが見つかる
- クラウドの操作ログに残る大量のオブジェクト一覧取得やダウンロード
- 使われていないはずの古いアクセスキーやサービスアカウントの稼働
対策
クラウドストレージやデータベースの公開範囲を定期的に棚卸しする
IDとアクセス権限は必要最小限にし、強い権限は期限付きで付与する
本番環境の設定変更には承認と記録を必須にする
クラウド事業者が提供する設定診断や監査の仕組みを有効にする
開発環境と本番環境を分離し、開発用の緩い設定が本番に残らないようにする
関係するページ
手口、グループ、事例のつながりは、収録データの記録だけから引いています。
関係するグループ
収録データにはまだ出ていない
関係する事例
収録データにはまだ出ていない
出典
- NSA and CISA Red and Blue Teams Share Top Ten Cybersecurity Misconfigurations (AA23-278A) CISA / NSA・2023-10-05
- Cloud Security Alliance Top Threats to Cloud Computing Pandemic Eleven Cloud Security Alliance・2022-06-07
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）