こんにちは。セキュリティの世界へようこそ。
現場でバリバリコードを書いている皆さんにとって、「S3バケットの設定ミス」なんていう話題は、正直「今さら何を…」と思うかもしれません。でも、世界中で発生しているデータ漏洩事故のトップランカーは、今なお「S3の公開設定ミス」なんです。
今日は、なぜ優秀なエンジニアたちが、この「玄関の鍵のかけ忘れ」のようなミスを繰り返してしまうのか、そしてそれを「仕組み」でどう防ぐのかを、泥臭い実体験を交えながらお話しします。
—
1. S3バケットは「家の庭にある金庫」です
皆さんの家を想像してみてください。AWSのS3バケットは、家の庭に置いた頑丈な金庫です。
普通、金庫には鍵をかけますよね？ でも、クラウドの設定画面にはたくさんのチェックボックスがあって、つい「面倒だから」「とりあえず動くようにしたいから」と、「誰でも中身を見られる」設定（パブリックアクセス許可）をオンにしてしまう。これが、泥棒（攻撃者）にとっては「どうぞご自由に持っていってください」という看板を掲げているのと同じ状態なんです。
攻撃者は、わざわざ高度なハッキング技術を使いません。ツールを回して、インターネット上に転がっている「鍵の開いた金庫」を自動で見つけているだけなのです。
2. なぜ「設定ミス」は起きてしまうのか？
「いや、わざと公開したわけじゃないよ」という声が聞こえてきそうです。そうなんです、ほとんどの場合、悪意はないんです。
- 「とりあえず開発中だから」: 一時的に公開して、そのまま忘れて本番環境へ。
- 「IAMポリシーが難しすぎて…」: 権限設定を突き詰めると動かなくなるから、広めに権限を与えてしまう。
- 「デフォルト設定を信じた」: AWSの仕様変更や、コンソール上のUIの罠。
これらは技術のせいではなく、「人間がやる作業には必ずミスが混入する」という現実が原因です。だからこそ、人間が設定するのではなく、「プログラム（コード）」に設定を管理させる必要があるのです。
3. IaCで「ガードレール」を敷く（実戦編）
人間がポチポチと設定画面を操作して鍵をかけるのではなく、IaC（Infrastructure as Code）を使って、コード上で鍵をかけてしまいましょう。ここでは、Terraformを使った例を紹介します。
以下のコードは、「どんなミスがあっても、外からは絶対に見えないようにする」ための鉄壁のガードレールです。
resource “aws_s3_bucket” “my_app_bucket” {
bucket = “my-super-secret-data”
}
1. パブリックアクセスをすべて遮断する設定
これを書いておけば、誰かが間違えて公開設定をしても、AWS側で拒否してくれます。
resource “aws_s3_bucket_public_access_block” “my_app_bucket_block” {
bucket = aws_s3_bucket.my_app_bucket.id
block_public_acls = true # ACLによる公開を禁止
block_public_policy = true # バケットポリシーによる公開を禁止
ignore_public_acls = true # 公開ACLを無視
restrict_public_buckets = true # 公開バケット化を制限
}
この aws_s3_bucket_public_access_block というリソースは、まさに「金庫の鍵穴を物理的に埋める」ようなものです。たとえ他の設定がどれだけガバガバでも、この設定さえあれば、インターネット越しに中身が覗かれることはありません。
4. これからのステップ：自動チェックの導入
IaCで管理するだけでも素晴らしい一歩ですが、さらに上級者を目指すなら、「コードを書いた時点でミスを見つける仕組み」を導入しましょう。
例えば、tfsec や checkov といったツールをCI/CDパイプラインに組み込んでみてください。
ローカルで設定ミスがないかスキャンするコマンド例
tfsec .
もし、誰かが「公開設定」のコードを書いてプルリクエストを送ってきたら、GitHubなどの画面上で「エラー：このバケットはパブリック設定になっています！」と自動で怒ってくれるようになります。
—
最後に：完璧を目指さず、仕組みを信じる
セキュリティの極意は、「自分を信じないこと」です。「自分は間違えない」と思っている時ほど、大きな事故は起きます。
1. 「パブリックアクセスブロック」は常に有効にする。
2. IaCでコードとして管理する。
3. ツールを使って、コードを書いた瞬間に自動チェックする。
この3つを徹底するだけで、皆さんのサービスは世界中の攻撃者にとって「狙う価値のない、面倒くさいターゲット」になります。
セキュリティは、一度やって終わりではありません。でも、こうして仕組みを一つずつ整えていくプロセス自体が、実はとてもクリエイティブで楽しいものなんですよ。一歩ずつ、一緒に強固な環境を作っていきましょう！
コメント