ミンの日常: 外部向けサービスをどう守るか

この記事は「正解」を示すものではなく、SREとして日々インフラに関わる中で感じた個人的な考えです。セキュリティを体系的に学びたい方は、専門の書籍や公式ドキュメントもあわせて参照してください。

最近、ソフトウェアの脆弱性をきっかけにしたセキュリティ事案が続いています。ニュースを見ながら「外部に公開しているサービスは、結局どう守ればいいのか」を改めて考えたので、2つの視点でまとめてみました。

1. アップデートは「作業」ではなく「備え」

今どきのシステム開発では、オープンソースのライブラリやフレームワークを数多く組み合わせて使います。これらは機能追加やセキュリティ対応のために随時更新されています。

本来なら更新が出るたびに反映するのが理想です。ただ、1つのシステムで数十種類のライブラリを使うことも珍しくなく、現場では「ある程度溜めてから、作業の合間にまとめて更新する」という運用になりがちでした。

更新のしかた	特徴
こまめな更新	1回の変更が小さく、問題が出てもすぐ直せる
まとめて更新	変更量が大きく、リスクと作業時間が膨らむ

私自身、以前担当していたシステムで、かなり古いバージョンの言語ランタイムを最新系に上げるのに大変苦労した経験があります。バージョンの差が大きいほど、互換性の確認や修正の範囲が広がり、場合によってはサービスを止めて作業する必要も出てきます。

最近の脆弱性騒ぎを見ていても、すぐに対応できたところと、できなかったところの差は、普段からバージョンを追従していたかどうかに表れていたように感じます。緊急時ほど、平時の積み重ねが効いてきます。

少し話が変わりますが、家の防犯の話です。

近年、強盗や窃盗のニュースを目にすることが増え、近所の家がどんな防犯対策をしているのか、つい気になって見るようになりました。眺めていると、大きく3つのタイプに分かれます。

身内にも、費用面から警備会社との契約をやめて、自分で防犯カメラを付けて見守るようにした家があります。どれが正しいというより、それぞれの事情で選んでいるわけです。

これはシステムのセキュリティ対策とよく似ています。

フルガード（クラウド + WAF + 監視サービス）
警備会社に任せるように、セキュリティの多くを外部に委託する考え方です。AWSなどの大手クラウドは基本的なセキュリティ機能が揃っており、ガイドに沿って構成すれば一般的な水準のセキュリティを確保しやすくなります。その分、コストはかかります。
自前運用（自前構築 + 個別対策 + 自前監視）
安価なサービスや自前の環境を選ぶ方法です。コストは抑えられますが、提供されていない対策は自分たちで補う必要があります。
割り切り
決済情報や個人情報を扱わず、壊れても困らないシンプルなシステムなら、「何かあったら作り直す」と割り切るのも一つの選択です。

ただし、どのレベルであっても最低限の「更新」「認証」「監視」は、何もしないでは済みません。個人で作ったものでも、知らないうちに悪意ある第三者に目を付けられることはあります。せめて「外から見られている」ことに気付ける仕組み（監視）は持っておきたいところです。

保護レベルに応じて、次の要素をどう組み合わせるかを設計することが大切だと考えています。

家庭ごとに事情が違うように、警備会社に頼むか、カメラを付けるか、何もしないかは、その家の暮らしや気持ちによって決まります。

そして、どれだけ努力しても防犯には限度があります。武装した集団まで想定すれば、常駐の警備員を何人も置くことになり、現実的ではありません。

システムも同じで、まず次の2点を関係者でそろえることが出発点になると考えています。

そのうえで、「誰が・どこまで困るのか」をもとに、被害とコストのバランスを話し合う。お互いが納得できるラインを決めることが、技術的な対策と同じくらい大切だと思います。

セキュリティ対策に「これで完璧」というゴールはありません。だからこそ、日々の小さな更新を積み重ね、守るべきものとかけられるコストを関係者で共有しておくことが、いざという時の差になるのだと感じています。