Snowflakeランサムウェアガードレール
ランサムウェアは、被害者のデータを暗号化したり、デバイスをロックしたりして、アクセス権の回復やデータの漏洩を防ぐための身代金を要求する悪意のあるソフトウェアの一種です。身代金の支払いやデータの復元による経済的損失、業務の混乱、法的影響、風評被害など、企業にとって大きなリスクがあります。また、機密データが盗まれたり漏洩したりすると、被害がさらに広がる可能性があります。
悪意のあるアクターから完全に保護できる機能や対策はありませんが、Snowflakeの高度な機能と階層化されたセキュリティアプローチを使用することで、このようなセキュリティ脅威を軽減できます。
顧客は、ランサムウェアのリスクを軽減するためにクラウドプロバイダーが提供する保護レベルを知りたがります。このブログ記事では、Snowflakeが提供する軽減技術について説明します。この軽減技術は、お客様による実装を必要としないSnowflakeプラットフォームのデフォルト機能と、お客様による実装を必要とする機能の2つに分類されます。
ここでは、Snowflakeが予防、検出、復旧措置という形で提供するプラットフォームおよび顧客向け軽減措置を紹介します。
Snowflakeプラットフォーム：強固なセキュリティ基盤
Snowflakeは、もともと強固なセキュリティを備えたSaaSです。詳細については、「Snowflake Security Hub と Security Addendumを参照してください。
予防
アクセス制御
Snowflakeインフラストラクチャへのアクセスは、複数のセキュリティレイヤーによって保護されます（多層防御とゼロトラスト）。たとえば、インフラストラクチャーとSnowflakeのサービスには、多要素認証によって許可された会社支給のマシンのみアクセスできます。Snowflakeは、役割ベースのアクセスと最小権限の原則に基づいて、最小権限のアクセスと職務の分離を行います。さらに、アクセスリクエストは承認ワークフローを経て、コンプライアンスの監査を受けます。当社のSnowflake Compliance Centerでは、最新のセキュリティレポート（SOC2、HITRUST、ISO 27001、27017、27018など）の詳細を確認し、ポータルから直接リクエストできます。
Snowflakeコンピュートソフトウェアコントロール
Snowflakeのコンピュートソフトウェアは、Snowflakeの脆弱性管理ポリシーに従って継続的にスキャンとパッチが適用されています。これにより、イメージやコードの改ざんが緩和され、ランサムウェアの悪意のあるコードが侵入するのを防ぎます。
検出
Snowflakeは、24時間365日体制のセキュリティオペレーションセンターを導入し、継続的なセキュリティ監視と不審な活動の検出を行っています。
リカバリ：Snowflakeのレジリエンス
Snowflakeリージョンは、クラウドプロバイダーリージョン内の3つ以上のアベイラビリティゾーンにまたがって構築されます。これにより、障害発生時の冗長性を確保し、障害を切り分けてマルウェアの伝播を緩和します。お客様は、Snowflakeのレプリケーションを活用して、クロスリージョンやクロスクラウドの高可用性と事業継続性を実現できます。
設計上のSnowflakeセキュリティの詳細については、Snowflake Technical Tools for Protecting Sensitive Customer Dataの（10ページと11ページ）を参照してください。
顧客向けランサムウェア対策
Snowflakeは、ランサムウェアのリスクを軽減する一連の機能を顧客に提供します。私たちはこれらの能力を継続的に改善しています。お客様は、多層防御を活用してSnowflakeアカウントへのアクセスを許可しながら、悪意のあるアクターのSnowflakeリソースへのアクセスやランサムウェアの導入を制限できます。
予防
お客様は、以下のガイドラインを活用してSnowflakeアカウントを強化し、ランサムウェア攻撃を軽減する必要があります。
ネットワーク攻撃ベクトルの緩和：イングレスとエグレスを制限するために、Surfaceカスタマーは次の保護を活用できます。
イングレスネットワークレベルの保護：イングレスネットワークポリシーを利用し、許可されたIPアドレスからのアクセスのみを制限することで、攻撃対象領域を制限します。インバウンドプライベート接続を使用している場合はVPCIDやLinkIDなどのCSPタグも活用できます。
エグレスネットワークレベルの保護：お客様は、エグレスネットワークルールを利用して、ネットワーク内の許可されたリソースにのみアクセスを制限できます。また、Iceberg、外部ステージ、APIなどのリソースに接続する場合は、アウトバウンドプライベート接続を利用できます。
ID盗難攻撃ベクトルの緩和：不正アクセスを制限し、盗まれた認証情報攻撃を緩和するために、Snowflakeは以下の保護機能を有効にしています。
パスワードのみのSnowflakeアクセスの廃止：お客様は、OAuthやSAMLなどのより強力な認証方法を利用することが推奨されます。認証情報の侵害リスクを緩和するためのベストプラクティスをご覧ください。
セキュリティ機能とイノベーションへの投資：Snowflakeは今後も、お客様アカウントのセキュリティ機能に投資を続け、パスキー や認証アプリを含む 時間ベースのワンタイムパスワード (TOTP)のネイティブサポートなど、この分野でより多くの製品やイノベーションを提供していきます。これらはすべて、Leaked Password Protection、Trust Center、MFAポリシーなど、最近発表されたSnowflakeの他の機能と連動します。
不正アクセス攻撃ベクトルの軽減：お客様は、Snowflakeの機密データ分類、タギング、ロールベースのアクセス制御（RBAC）、データマスキングポリシー、行アクセスポリシーを活用して、最小権限アクセスを導入し、不正なデータアクセスを軽減できます。
検出
継続的な監査とモニタリング：お客様は、アクセス履歴とログイン履歴を活用して、データのクエリや不正なIPアドレスからのアクセスに使用される権限昇格ロール（sysadmin、account admin）などの不審なアクティビティを継続的に監視する必要があります。
リスクのあるユーザーの特定：お客様は、Trust CenterまたはThreat Intelligenceパッケージを利用して、より効果的な認証方法で保護する必要のある危険なユーザーをリストアップする必要があります。
ランサムウェアのメタデータ操作攻撃ベクトルの軽減：お客様は、Snowflakeアラートおよび通知を使用して、Time Travel設定の変更、RBACの変更の上昇、アカウント管理者ロールの使用などの変更が行われたことを把握することで、変更管理通知を活用できます。
リカバリ
お客様はSnowflakeTime Travelを活用する必要があります。Snowflake Time Travelでは、変更または削除されたデータの以前のバージョンにアクセスできます。
前述のように、ランサムウェアのリスクを完全に排除することはできません。これは、暗号化キーが保存されている顧客のシークレットマネージャーが危険にさらされたり、顧客のマシンが危険にさらされて悪意のある人物がアカウント管理者にアクセスしたりするなど、他の多くの攻撃ベクトルが原因です。上記の制御がすべて失敗し、Time Travelをオフにした後に悪意のあるアクターがシステムにアクセスした場合、Snowflakeには顧客を保護するためのFail-Safeという別の機能があります。
Fail-Safeは新しい機能ではありません。以前のバージョンのデータは、お客様の別のストレージに7日間保管されます。お客様はSnowflakeのサポートに連絡し、ランサムウェアによって改ざんされる前のデータを復元することができます。悪意のあるアクターは、プラットフォームに焼き付けられて組み込まれているため、この7日間を変更することはできません。
結論
Snowflakeは、ランサムウェア攻撃ベクトルを軽減する多層防御アプローチを導入し促進することで、顧客の信頼を強化し、サイバーレジリエンスを向上させます。詳細については、Snowflake Security Hubをご覧ください。
将来の見通しに関する記述
このページには、Snowflakeが将来提供する製品に関する記述を含め、将来の見通しに関する記述が含まれていますが、これはいかなる製品の提供も約束するものではありません。実際の成果や提供物は異なる可能性があり、既知および未知のリスクおよび不確実性の影響を受けます。詳細については、最新の四半期報告書（10-Q）をご覧ください。
