【クラウド資産偵察編】S3・ECR・メタデータの覗き穴｜CTF思考フレームワーク R09

こんにちは、アンペンです！偵察ルートR09はクラウド資産編。S3バケット・コンテナレジストリ・メタデータサービスといった『クラウド特有の入口』を扱います。サーバが頑丈でも設定一つで中身が丸見えになる——クラウドならではの攻撃面を読み解きます。

『クラウドは大手が守ってくれるから安全』——半分は本当で、半分は危険な思い込みです。たしかに建物（基盤）は事業者ががっちり守ってくれます。でも、部屋の鍵をどう設定するか、何を置くかは“利用者の責任”。これを『責任共有モデル』と呼びます。つまり、いくら頑丈なビルでも、住人が鍵を開けっ放しにしていたら中身は丸見え。クラウドの事故の多くは、ハッキングではなく、この“設定の緩み”から起きているんです。

クラウドって安全なんじゃないの？大手が守ってくれてるんでしょ？

基盤は強い。でもクラウドは責任共有モデル——基盤はクラウド事業者、設定とデータは利用者の責任なんだ。S3バケットの公開設定ミスでファイルが丸見え、なんて事故は今も世界中で起きてる。だから偵察側は『設定の緩み』を、守る側は『既定で閉じる』を見るんだ。

クラウド特有の攻撃面：3系統

• ①ストレージバケット:S3/GCS/Azure Blobの公開設定ミス。バケット名はcompany-backupのように推測されやすく、公開ACLだと匿名でファイル一覧・ダウンロードが可能になる
• ②コンテナ/レジストリ:公開Dockerイメージや各レイヤーに焼き込まれた認証情報。ECRやDocker Hubの公開リポジトリに、privateのつもりのイメージが出ていることも
• ③メタデータサービス(IMDS):169.254.169.254。インスタンスに紐づく一時認証情報を返す内部専用エンドポイント。SSRFで踏まれるとキーが盗まれ、クラウド全体へ横展開される

3つを一言で押さえると、バケットは『置きっぱなしのファイルが公開される』、レジストリは『イメージに鍵が焼き込まれる』、メタデータは『内部専用の合鍵が外に漏れる』。どれも“サーバを破る”話ではなく、“設定や置き場所のうっかり”が原因です。クラウドの偵察は、難しい攻撃というより『緩んだ設定を探す宝探し』に近い、と思っておくと理解しやすいですよ。

なぜクラウドは「設定」で漏れるのか

3系統の中でも、断トツで“事故ったときのダメージが大きい”のが、次に扱うメタデータサービスです。バケットの公開ミスは『そのファイルが見られる』で済みますが、メタデータが漏れると『クラウドアカウントの合鍵そのもの』を奪われる。被害の桁が一つ違うので、ここだけは特に丁寧に見ていきます。

メタデータサービスとSSRF：一番危険な連鎖

クラウド偵察で最も重い結果につながるのがメタデータサービス×SSRFの組み合わせです。Webアプリに「指定URLを取りに行く」機能があり、そこに内部アドレスを差し込めると、本来外から触れないはずの一時認証情報が引き出せてしまいます。ここを理解すると、なぜIMDSv2という改良版が必須なのかが腑に落ちます。

SSRFという言葉が出てきました。ざっくり言うと、『サーバに“このURLを取ってきて”と頼める機能を悪用して、本来アクセスできない内部アドレスを代わりに叩かせる』攻撃です。たとえばWebアプリの“画像URLを入力してプレビュー”という親切機能。ここに内部の 169.254.169.254 を入れさせると、アプリが律儀にそこへ取りに行き、一時認証情報を“代理で”持ってきてしまう。配達員に『管理人室のインターホン、代わりに押してきて』と頼むようなものです。だからこそ、内部宛てのリクエストは最初から遮断するのが鉄則になります。

CTFでやってみよう：自分のクラウドで設定差を体感

では守り方ですが、合言葉はたった一つ、『既定で閉じる』です。攻撃面のほとんどは“うっかり開けっ放し”が原因なので、最初から全部閉じておいて、必要なものだけ意識して開ける。この順番にするだけで、事故は激減します。次のチェックリストも、すべてこの『デフォルトで閉じる』という発想で並んでいます。

守る側：既定で閉じる

基盤が強くても「設定」で漏れるんだね。既定で閉じるのが大事って腑に落ちたよ。

その通り！クラウドは『設定が境界線』だよ。次はR10、パッシブ偵察総まとめ編。R01〜R09で学んだ受動的な偵察を一本の地図に束ね、攻撃面管理(ASM)の発想で締めくくるよ。

まとめ：クラウドは『設定が境界線』

今日の持ち帰りは『クラウドは設定が境界線』。攻撃者はサーバの脆弱性より先に、“開けっ放しのバケット”や“弱いIMDS”といった設定の緩みを探します。だから守りの第一歩は、攻撃者と同じ目で自分のクラウドを点検し、『開いているもの』を洗い出すこと。頑丈な基盤に乗っていても、鍵をかけるのは自分の仕事なんです。

次はR10、パッシブ偵察総まとめ編。R01〜R09の受動偵察を束ね、攻撃面を継続的に管理する発想で締めくくります。

次に読みたい記事

参考資料