neron

PHP2Shellと同じ週に国内で大きく報じられたのが、GMOインターネットが提供するFX自動売買向けのVPS「お名前.com デスクトップクラウド」への不正アクセスである。VPSについてもDevSecOpsが同様に必須なことを書き加えた。 tomabechi.jp/CyberResilience… 侵入の経路は公表されていない。GMOは「本サービスのシステムにセキュリティ上の問題が存在」したとしているが、PHPが稼働していたか、PHP2Shellが関係したかは明らかにされていない。 不正なプログラムの確認は10月20日であり、PHP2Shellの修正版の公開（21日夜）より前、公表前の悪用の試みが観測された17日より後であるが、時期が近いことだけでは両者の関係は推定できない。 本稿は本件をPHP2Shellの被害として数えない。また、攻撃者側の主張（侵入や情報窃取の経路など）は検証されていない。 それでも、本件は本稿の主張にとって重要である。 第一に、VPSという提供形態でも、被害は利用者のサーバーの内側に及んだ。不正なプログラムは利用者のサーバー環境に置かれ、サーバー内に保管された取引口座の認証情報が狙われた。 仮想化の境界は契約者どうしを分けても、各サーバーの内側で動くソフトウェアと、そこに置かれた秘密情報を守るものではない。さらに事業者は利用者の端末を預かって解析しており、懸念は利用者自身の端末にも及んでいる。 第二に、事業者は被害の拡大を防ぐため、全プランのサーバーを停止した（影響の可能性があるとされたのは2万6,739件）。多数のサーバーに通じる管理画面、サーバーの作成・復元、遠隔接続の基盤は、一点が破られれば全体に波及し得る共通の管理基盤である。 本件でどの部分が破られたかは公表されていないが、全体の停止を選ばざるを得なかったことは、この危険を示している。 第三に、事業者は既存の基盤をそのまま再開しない方針を示し、利用者には独立したクラウド基盤上の代替サービスへの移行を案内した。侵害された環境を使い続けず、信頼できる状態から作り直すという点で、第10節の不変インフラの考え方に通じる。 したがって、PHPが稼働していたか否かにかかわらず、この事案が組織に突き付けた問いはPHP2Shellと同じである。 どこで何が動いているか（資産台帳）。誰がいつ修正し、それが稼働中の実体に反映されたか（更新の責任と証拠）。 サーバーにどの秘密情報が置かれ、侵害時にどこまで到達されるか（最小権限と秘密情報の管理）。 認証情報とセッションを直ちに失効できるか（対応）。信頼できる成果物から作り直せるか（復旧）。 VPSへの移行は、これらの問いを事業者と利用者の間で分担し直すだけであり、問いそのものを消すものではない。DevSecOpsの体制は、自前のサーバーでも、VPSでも、クラウドでも必須である。 日本語 tomabechi.jp/CyberResilience… English tomabechi.jp/CyberResilience…