Key Vault

データセットの急激な増加に伴い、消費者のデータ プライバシーやコンプライアンスの観点から、データの公開方法が厳しく問われるようになりました。このような状況において、組織が企業や消費者のデータを取り巻くプライバシーやセキュリティのニーズを満たすために、コンフィデンシャル コンピューティングは重要なツールとなります。 コンフィデンシャル コンピューティング技術は、メモリ内のデータを暗号化し、それをクラウド環境が検証された後にのみ処理することで、クラウド オペレーター、悪意のある管理者、ハイパーバイザーなどの特権的ソフトウェアからのデータ アクセスを防ぎます。また、データのライフサイクル全体を保護することができます。既存のソリューションであるデータの保管時および転送時の保護に加え、使用中のデータも保護することができます。 コンフィデンシャル コンピューティングのおかげで、世界中の組織はこれまで不可能だった機会を手に入れることができます。たとえば、他者のデータ分析や機械学習のメリットを利用することができ、これまで共有することを望まなかった、またはそれができなかった相手からのデータセットを組み合わせ、参加者間でデータを非公開に保つことができます。実際、RBC は、お客様がより最適化された割引を受けられるよう、プライバシーを保持した分析プラットフォームを作成しました。このプラットフォームでは、RBC のクレジットおよびデビット カードによる取引と、消費者がどのような具体的な商品を購入したかという小売業者のデータを機密に組み合わせることで、消費者の購買傾向に関する分析情報を生み出しています。 業界のリーダーシップと標準化 Microsoft は、コンフィデンシャル コンピューティングの分野で長年にわたりソート リーダーであり続けています。Azure は、クラウド プロバイダーとして初めて、クラウドに「コンフィデンシャル コンピューティング」を導入しました。これにより Kubernetes でコンフィデンシャル コンピューティング仮想マシンと機密コンテナーが提供され、お客様は最も機密性の高いワークロードを高信頼実行環境 (TEE) 内で実行することができます。また Microsoft は、Confidential Computing Consortium (CCC) の設立メンバーでもあります。これは、ハードウェア メーカー、クラウド プロバイダー、ソリューション ベンダーが集まり、テック業界全体のデータ保護を改善し、標準化する方法を共同で検討するグループです。 コンフィデンシャル コンピューティングの基礎 Microsoft の機密保持の基準は、CCC によって設定された基準に沿って拡張され、コンフィデンシャル コンピューティングのための包括的な基盤を提供しています。Microsoft は、データを Microsoft のオペレーター、お客様独自のオペレーター、またはその両方から分離するための技術的なコントロールをお客様に提供するよう努めています。Azure は、お客様のテナント間でハイパーバイザーを分離するだけでなく、Microsoft のオペレーターによるアクセスからお客様のデータを保護するためのコンフィデンシャル

Even before the pandemic accelerated digital transformation globally, the scalability and security advantages offered by Microsoft Azure prompted organizations large and small to migrate their data, applications, and workloads from on-premises data centers to the cloud.

Today, we are announcing that Azure will be an early adopter of the 3rd generation Intel® Xeon® Platform, code named Ice Lake, which includes full memory encryption and accelerated cryptographic performance for confidential computing with Intel Software Guard Extensions (SGX).

どのような環境の保護においても、複数の防衛線が必要となります。Azure Container Registry では最近、Azure Private Link、カスタマー マネージド キー、専用のデータエンドポイント、および Azure Policy の定義などの機能の一般提供が開始されました。これらの機能は、コンテナーのエンドツーエンドのワークフローの一環として、Azure Container Registry を保護するためのツールを提供します。 カスタマー マネージド キー 既定では、イメージやその他の成果物を Azure Container Registry に格納すると、保存時に内容は Microsoft マネージド キーを使用して自動的に暗号化されます。 Microsoft マネージド キーを選択することは、マイクロソフトがキーのライフサイクルの管理を監視することを意味します。多くの組織には、より厳格なコンプライアンスのニーズがあるため、キーのライフサイクルとアクセス ポリシーの所有権と管理を必要とします。そのような場合、お客様はカスタマー マネージド キーを選択できます。このキーはお客様の Azure Key Vault についてインスタンス内に作成および維持されています。キーは Key Vault に格納されるため、お客様は Key Vault に組み込みの診断および監査ログ機能を使用してこれらのキーに対するアクセスを詳しく監視できます。カスタマー マネージド キーは、お客様によって提供されるキーを使用して、追加の暗号化層を提供することで、既定の暗号化機能を補完します。カスタマー マネージド キーを有効化したレジストリを作成する方法の詳細については、こちらをご覧ください。

本日、Azure Managed Disks のカスタマー マネージド キー (CMK) を使用したサーバー側暗号化 (SSE) の一般提供が開始されました。Azure をご利用のお客様は、これまで Managed Disks のプラットフォーム マネージド キーを使用した SSE が既定で有効になっていました。CMK による SSE は、コンプライアンスのニーズに合わせて暗号化キーを管理できる点で、プラットフォーム マネージド キーによる暗号化よりも優れています。 現在、お客様は Azure Disk Encryption を使用することもできます。これは、Windows の BitLocker 機能と Linux の dm-crypt 機能を利用して、ゲスト仮想マシン (VM) 内で CMK による Managed Disks の暗号化を行います。CMK による SSE は、Azure

Azure Container Registry チームが、保存データの暗号化のためのカスタマー マネージド キーのプレビューを共有しました。Azure Container Registry では、サービス マネージド キーを使用して保存データを既に暗号化しています。カスタマー マネージド キーの導入により、Azure Key Vault で作成および管理するキーを使用して、追加の暗号化の層で既定の暗号化を補完することができます。この追加の暗号化は、会社の規制やコンプライアンスのニーズを満たすのに役立ちます。 Azure Container Registry の暗号化は、Azure Key Vault との統合によってサポートされます。独自の暗号化キーを作成してキー コンテナーに格納したり、Azure Key Vault API を使って暗号化キーを生成したりすることができます。Azure Key Vault を使用して、キーの使用法の監査を行うこともできます。 プレビュー期間中は、Premium SKU で新しいレジストリを作成するときにのみ、カスタマー マネージド キーを有効にすることができます。既存のレジストリでの機能の有効化と無効化は、今後のリリースで利用できるようになります。 このリリースでは、カスタマー マネージド キーが有効になっているレジストリで、次のシナリオをお試しになれます。 Azure portal または Azure コマンド ライン

このたび、マイクロソフトは「Data Protection and Privacy Compliance in the Cloud: Privacy Concerns Are Not Slowing the Adoption of Cloud Services, but Challenges Remain (クラウドにおけるデータ保護とプライバシー コンプライアンス: プライバシーに関する懸念はクラウド サービス導入を妨げないが、課題は残る) (英語)」と題したレポートを発表しました。これは、Ponemon Institute がマイクロソフトの出資を受けて行った独自調査です。このレポートでは、組織がクラウドのプライバシーとセキュリティに関する懸念に対応する上で推奨される、10 個の手順が挙げられています。当ブログではさらに、10 個の手順すべてに対応する上で役立つ、Azure Active Directory や Azure Key Vault といった Azure サービスについて、情報を紹介します。 今回の調査は、各組織が EU 一般データ保護規則 (GDPR) のような重要なプライバシー規制の順守という組織的な課題に取り組みつつ、どのようにデジタル変革を進めているかについて、より深く理解することを目的として実施されました。その中では、クラウドに移行している理由、セキュリティやプライバシーに関してクラウド環境で直面している課題、機密データの保護とコンプライアンスの達成に向けて取っている対策などを調べました。 米国と

仮想通貨マイニング攻撃が多くの Azure Linux のお客様に脅威をもたらし続けています。以前の記事 (英語) で、一部の攻撃者がブルート フォース アタックでアカウント名やパスワードを推測し、それらを使ってマシンにアクセスする方法についてお話しました。本日は、少数のお客様が既に目にしている、サービスを悪用し、サービスをホストするマシンで直接攻撃者のコードを実行する攻撃についてお話します。 この攻撃はいくつかの点で興味深いです。まず、攻撃者の意図がスクリプトに投影されているため、マシンで何が行われるのかだけでなく、攻撃者が何をしたいのかがわかります。次に、このスクリプトは幅広いサービスを悪用の対象にしているため、幅広い対象に攻撃を仕掛けることができます。最後に、スクリプト自体が手元にあるため、Linux MITRE ATT&CK Matrix (英語) の「Lateral Movement」、「Defense Evasion」、「Persistence」、および「Objectives」セクションから適切な例を抜粋し、それらを用いて各自のデータで脅威の検出を行うプロセスについて話し合うことができます。 最初のベクトル この攻撃に関して、監査ログで何かしら問題があることを示す最初の目印となるのが、Base64 でエンコードされたコマンドを Base64 に渡してデコードした後、バッシュに渡す echo コマンドです。ユーザーを介して実行されるこの最初のコマンドにはインターネットに接続するアプリケーションまたはサービスの親プロセスが含まれており、このコマンドはそのプロセスに関連付けられているユーザー アカウントによって実行されます。これは、コマンドを実行する目的でアプリケーションまたはサービス自体が悪用されたことを示唆しています。これらのアカウントの中にはお客様に固有のものもありますが、Ubuntu、Jenkins、Hadoop などの共通アカウントが使用されている場合もあります。  /bin/sh -c "echo ZXhlYyAmPi9kZXYvbnVsbApleHBvcnQgUEFUSD0kUEFUSDovYmluOi9zYm luOi91c3IvYmluOi91c3Ivc2JpbjovdXNyL2xvY2FsL2JpbjovdXNyL2xvY2FsL3NiaW4K<snip>CmRvbm UK|base64 -d|bash" スクリプト 少し話が逸れますが、大切な事ですので、このような攻撃者がスクリプトをどう使うのかをお話ししましょう。ほとんどの場合、攻撃者は Base64 でエンコードされたスクリプトを使用します。そのスクリプトに関する興味深い点の 1 つとして、最初の 2 行が共通している点が挙げられます。これらの行によって、標準的なエラーと標準的な出力ストリームの両方が /dev/null にリダイレクトされ、通常、攻撃者が実行したいと考えているシステム コマンドが存在する場所にパス変数が設定されます。  exec &>/dev/null

クラウド コンピューティングは新しいパラダイムを開き、企業はより高いレベルの生産性と規模に到達できるようになりました。その先端はサーバーレス コンピューティングです。開発者、チーム、組織がビジネス ロジックに集中し、リソースのホスティングとスケーリングをクラウド プラットフォームに任せることができます。 Microsoft Ignite では、コールド スタートがなく、ネットワークの分離のないサーバーレス機能、イベントドリブン オートメーションをサポートする PowerShell、サーバーレス アプリ全体のシークレット管理の簡素化、統合された監視機能、.NET Core 3 と Python 3.

このたび、Azure Managed Disks のカスタマー マネージド キー (CMK) を使用したサーバー側暗号化 (SSE) のプレビューが導入されることになりました。Azure のお客様は、既定で有効になっている Azure Managed Disks のプラットフォーム マネージド キー (英語) (PMK) を使用したサーバー側暗号化のメリットを既に享受して頂いています。また、Windows の BitLocker 機能と Linux の DM-Crypt 機能を利用し、ゲスト仮想マシン内でカスタマー マネージド キーを使用して Managed Disks を暗号化する Azure Disk Encryption (ADE) のメリットも享受して頂いています。 カスタマー マネージド キーを使用したサーバー側暗号化は、お客様が暗号化キーを管理し、コンプライアンスのニーズを満たすことができる点で、プラットフォーム マネージド キーを改善します。そして、ストレージ サービスのデータを暗号化し、仮想マシンで任意の OS の種類とイメージを使用できる点で、Azure