fbpx

境界線を超える新しいセキュリティ

好きな所から読む

新しいエンタープライズモデルの確保

新しいエンタープライズアーキテクチャは境界線の再定義がコアです。今や企業の壁の外に保管され、労働力はますますモバイル化しています。

このようなダイナミックな環境では、インサイダーリスク、脆弱なエンドポイント、ポリシーギャップなどに対処するための新しいセキュリティモデルが必要となります。

従来のネットワーク境界線は、企業に属するものとそうでないものの間に目に見えない線を引いています。歴史的に、企業資産を保護するためにファイアウォールやその他のセキュリティ対策に依存してきましたが、それだけでは、新しい最新のエンタープライズ・アーキテクチャや、クラウド・アプリケーションへの常時アクセスを必要とする従業員のセキュリティを確保するには、もはや十分な効果を発揮できません。

従業員が個人利用のサードパーティ製SaaSアプリケーション(例えば、Gmailやストレージなど)に企業利用と同じようにアクセスする場合、違いはログイン名だけである。
境界線はアクセス・コントロールの決定と実施を行う場所であるため、このような場合、ファイアウォールは役に立ちません。

境界線は死んでいない、進化している

境界線の変更は何年にもわたって議論されてきました。最初は2003年に「境界線の変更」に取り組むために設立されたジェリコ・フォーラム、そして今ではGoogleのBeyondCorpによって議論されています。

アクセス制御をネットワークの境界線から個々のデバイスやユーザーにシフトさせるという考え方だ

しかし、境界線ベースのセキュリティ対策を強化するためにすでに多くの投資をしている場合、それが時代遅れになっていることを心配する必要はありません。

BeyondCorpに関するより多くの情報が公開されたことで、ゼロトラスト・セキュリティモデルは、企業のネットワーク内のトラフィックは、ネットワーク外からのトラフィックよりも信頼できるものではないことを認めたい多くの組織にとって、実用的な手の届くところまで来ています。

境界線を超えて生きる企業のリスク

BeyondCorp(ゼロトラスト・セキュリティ)モデルは、企業にとっていくつかの重要なリスクに対応しています。

  • ファイアウォールを迂回できる攻撃、または内部ネットワークから始まる攻撃は、重要なシステムを侵害したり、機密データを盗んだりするために拡散する可能性があります。
  • アプリケーションやシステムが、ユーザーが「境界線の内側」にいるかどうかによって異なる制御で保護されている場合、攻撃者は、より緩い制御セットを危うくすることができます。
  • 外部のクラウドベースのアプリケーションやモバイルユーザは、企業の従来の境界線ベースの保護の外にある攻撃に直面する可能性があります。
  • ユーザーは、管理されていない、パッチを当てられていないデバイスを使って、重要なシステムやデータに接続することで、組織を脆弱にしています。

新しいセキュリティモデル:理論と実装

このガイドでは、その概要を説明します。BeyondCorpの理論とその実装方法。

理論のためには、あなたは次のものを得られます。

  • GoogleのBeyondCorpのセキュリティ理論の概要と企業資産を守るための新しいゼロトラストセキュリティモデルの必要性
  • 従来の境界防衛の先にある様々な企業リスクと、それに対処する方法についての詳細な議論

実装については、この新しいフレームワークの実装を開始するために組織が取ることができる手順を説明します。

  • ユーザーとエンドポイントをインベントリに登録する
  • デジタル証明書を使用してエンドポイントを「信頼されている」または「管理されている」と識別する
  • リスクレベルに応じたリソース(アプリケーションなど)の分類
  • ユーザーとエンドポイントの認証済みの組み合わせに基づいたアクセスポリシーの作成

その他のコンポーネントとしては、シングルサインオン、デバイス検査、信頼推論エンジン、アプリケーションを保護し、企業のアクセスポリシーを強制するリバースプロキシなどがある。
Googleは、BeyondCorpシリーズのホワイトペーパー第4弾「Migrating to BeyondCorp」で、独自の移行プロセスを説明しています。

企業はこれらのコンポーネントの多くをすでに持っていることが多く、それらを活用することができます。Duoの信頼できるアクセス製品であるDuo Beyondは、プロセスを簡素化することで、数百万ドルの予算または500人のエンジニアのスタッフなしでも。企業がこの新しいセキュリティモデルを可能な限り迅速に利用できるようにしました。

新しいエンタープライズ・アーキテクチャ

カーネルは蒸気の小さなパフの中で爆発し、その内部を回転させ、元のサイズをはるかに超えて拡大します。これはポップコーンを説明していますが、今日のエンタープライズアーキテクチャについても説明しています。非常に多くの外部サービスが利用可能なため、組織は従来のファイアウォールで囲まれた境界線の外にデータを保存することで、部分的に、あるいは完全に「ポップ化」することができます。

さらに複雑なことに、モバイルワーカーは、ラップトップやスマートフォンを持ち出して、企業の壁やネットワークの外でどこでも仕事をすることができます。そして最後に、人々は個人的な目的と仕事の目的の両方で同じソフトウェア・アズ・ア・サービス(SaaS)アプリケーションを使用しています。このようなダイナミックな環境では、新しいセキュリティモデルが必要となります。

GoogleのBeyondCorpのビジョン

Google のビジョンは、John Kindervag の情報セキュリティの「ゼロ・トラスト・モデル」に似ています。もちろん、企業は何の信用もなしには運営できませんが、何かを信用すると決めた条件を設定するのがコツです。

Googleの実装は、検証済みのエンドポイントデバイスを使用する検証済みユーザーの組み合わせに基づいています。この組み合わせは、これらのデバイスとアクセスするリソース間のエンドツーエンドの暗号化によってさらにロックダウンされています。最後に、ユーザーは自分の役割に必要な最低限のアクセスしか許可されません(これは「最小特権」としても知られています)。

ユーザーが適切な要素の組み合わせで認証され、セキュリティの脆弱性が登録され検査されたエンドポイントを使用している限り、集中型プロキシによって許可されたリソースに正確にアクセスすることができます。

Google’s BeyondCorp Architectureの図

上記のように、Google はデバイス・インベントリ・データベース、ユーザー/グループ・データベース、およびクライアント側の証明書に依存して、強力な識別と制御を行っています。巨大で複雑なインフラをこのモデルに移行するために、Google はワークフローをマッピングしてシミュレーションし、その間に何も壊れないことを確認するために DNS のスプリットなどの移行手段を使用しなければなりませんでした。

このアプローチはどのようなリスクに対応しているのでしょうか?

もちろん、最大のリスクは、攻撃者が境界線を突破し、信頼された内部ネットワーク内で自由に行動できるようになることです。Googleは、BeyondCorpの活動を促した例として、「Aurora」攻撃に具体的に言及しています。

インサイダーリスク

完全に信頼された内部ネットワークでのもう一つのリスクは 境界線を突破することから始める必要はありません。内部犯行を計画しているならば、あなたはすでにそこにいる。その場にいるのは このリスクに対処するための従来の方法は、ネットワークをセグメント化することです。しかし、事後的にセグメンテーションを作成することは大きなプロジェクトになります。トラフィックとアプリケーションの層を混乱させ、多くの組織でそれは決して実現されません。そして、直面してみましょう – 十分に成功した 部外者は内部者にそっくり 外部からの攻撃者 は同じ手段を使って、その仕事を合法的なものにするために ユーザーのことですから、誰でもできることを制限するようにしなければなりません。

脆弱性のあるエンドポイント

すべての組織が直面する共通のリスクは、攻撃者が悪用できるセキュリティ上の欠陥を含んだ古いソフトウェアが存在する脆弱なエンドポイントです。少なくとも、エンドポイントはオペレーティングシステム(OS)とプラグインを使用する必要があります。これは、他のソフトウェアの古いバージョンに依存しているレガシーソフトウェアや、特定のインフラストラクチャのセットに対してのみベンダーによって認定されているソフトウェアのため、必ずしも実用的ではありません。しかし、エンタープライズなどにおいてアップグレードに手が回らないユーザーは、特に個人のデバイスは、セキュリティ上の頭痛の種となります。

ポリシーギャップ

もう 1 つのリスクは、攻撃者が同じ資産に適用される異なるポリシーや施行の間のギャップを悪用することです。異なるタイプの認証を使用して2つの異なるシステムで同じ機密データを利用できる場合、攻撃者は到達しやすい方を狙うことになります。

アプリケーションポリシーによるリスクへの対応

一元化されたアクセス・プロキシを使用すると、システムやユーザーがどこにいるかに関係なく、各アプリケーションに対して1つのポリシー・セットを持つことができます。サードパーティのSaaSでも、内部のWebアプリケーションと同じように、アクセスに対する信頼要件を持つ可能性があります。攻撃者は既知のIPアドレス、内部システム、または好ましい地理的エリアなど、最も信頼できる場所からアクセスしようとするため、これは重要です。BeyondCorpモデルでは、信頼を得るのはネットワークではなく、検証済みのユーザーとエンドポイントの組み合わせです。

注意:内部アプリか外部アプリかによって異なる要件を設定することができますが、一度そのように区別し始めると、実装しようとしたばかりのセキュリティモデルを破壊する道に逆戻りします。ポリシーは、内部か外部かではなく、ビジネスの重要性と機密性に基づいていることを確認してください。

攻撃シナリオ:2FAの回避策

例えば、あるデータベースが二要素認証(2FA)を必要としているが、同じデータが二要素認証を必要としない別のアプリケーションで利用可能であり、第三のシステムと共有されている弱いパスワードを持っているとします。攻撃者は、3番目のシステムに侵入し、誰かのユーザ名とパスワードを奪い、それを使って2FAではないアプリケーションに侵入しようとします。デフォルトでは何も信用せず、全員に毎回同じテストに合格させることで、このような裁定行為を防ぐことができます。

Getting Started With BeyondCorp

インフラストラクチャの一部が構内にあり、一部がクラウドでホストされているハイブリッド環境にすでにお いている場合、BeyondCorpモデルを潜在的に使用して、セキュリティポリシーのバランスを再調整し、境界線内ではない資産をカバーするためにどのように拡張できるかを考える時期に来ています。大規模なネットワークを抱えていて、思うようにセグメント化できていない場合や、より厳格な管理が必要な場合、BeyondCorpモデルは、ユーザーとエンドポイントの検証と暗号化を組み合わせることに焦点を当てる機会を提供しています。概念的には、認証されたユーザー、検証されたデバイス、およびアプリケーションは、それらが含むデータの種類に応じて適切な個別のポリシーによって保護されています。

良いニュースは、一度にすべてを行う必要はないということです。Google の説明では、包括的な移行というのは気が遠くなるように聞こえますが、このような異なる概念のセキュリティへの移行は、段階的に行うことで効果を発揮します。覚えておいてほしいのは、実際には境界線のコントロールを取り除くのではなく、内側のセキュリティレベルを上げて、外側と同じように見えるようにすることです。どんなに進歩があったとしても、それは大きな改善です。

ハイレベルな計画を立てるためのステップをご紹介します。

  1. ユーザーとそのエンドポイントを登録します。これは、ユーザーが割り当てた企業資産を使用しているとは限らないため、発見プロセスが必要になる場合があります。Duoが提供しているような認証ゲートウェイを介して、ユーザーを一般的なアプリケーションにルーティングすることで、その場でインベントリを取得し、どのデバイスが実際に企業システムに接続しているかを発見することができます。
  2. “管理されている” または “信頼されている” として識別したいユーザーエンドポイントに証明書を配置します。信頼のレベルはユーザー次第ですが、組織によっては、これらのエンドポイントが企業によって公式にサポートされ、保守されていることを意味し、BYOD (Bring Your Own Device) を採用している組織では、登録時に最初の衛生チェックを行い、デバイスが承認されたユーザーのものであることを確認したことを意味します。
  3. アプリケーションをリスクレベルに応じて分類し、それぞれに異なるアクセスポリシーを適用することができます。リソースの中には、グローバルアクセスを必要とし、機密性の低いデータが含まれているものもあります(社内アナウンスページ、従業員名簿、カフェテリアメニューなど)。財務システム、人事、顧客や患者のデータ、知的財産などの他のリソースは、より制限されたアクセスが可能になります。
  4. 保護したいアプリケーションやシステムごとの要件に基づいてアクセスポリシーを作成します。
    これらのポリシーには、個人用デバイスを使用できるかどうかなど、ユーザーに再認証を行う頻度や、どの程度の衛生状態にしたいかなどを含めることができます。を適用することができます。これらのポリシーは、セキュリティイベントに基づいて動的に調整することができます。例えば、特定のエンドポイントOSやプラグインで新しい脆弱性が積極的に悪用されている場合、影響を受けるユーザーがアップデートするまでブロックすることができます。これにより、IT部門がスケジュールされたメンテナンスウィンドウを組織するのを待つのではなく、ユーザーが自分でアップデートするように促します。

覚えておいてください、実際には境界線のコントロールを取り除くのではなく、内側のセキュリティレベルを上げて、外側に見えるようにしています。

その結果、ユーザーやエンドポイントがどこにいようとアクセスしているかを可視化し、より厳密にコントロールできるようになります。アプリケーション、ユーザー、デバイスはいつでも場所を変えることができるという新しい現実に適応することで、より一貫したレベルのセキュリティとユーザーエクスペリエンスを維持することができます。

Mapping BeyondCorp Components

もしあなた自身がBeyondCorpを構築するとしたら、どのような構成要素が含まれますか?

ユーザー/グループデータベース

ユーザーに関する情報や属性を保持し、組織的、地理的、その他の側面に応じて必要に応じてグループ化することができます。

管理されたデバイス

BYODを許可していない場合は、これは企業が所有するデバイスのホワイトリストリソースへのアクセスを許可します。
LANDESK、Jamf、Active Directoryなどのエンタープライズ・アセット・マネージャを使用している場合は、このリストをすでに持っているかもしれません。

信頼性の推論

どのような条件であれば、与えられたデバイスに信頼を置くことができるかを決定します。その推論は、選択したソースからの継続的なデータ入力に依存して決定します。Googleの説明には、デバイスが暗号化されているかどうか、すべての管理エージェントが動作しているかどうか、ソフトウェアが最新であるかどうか、そのデバイスに関するすべての情報が最新であるかどうかを確認することが含まれています。

デバイスインベントリデータベース

ネットワークへのアクセスを許可しているすべてのデバイスに関する情報の最新のリポジトリ(タイプ、目的、ネットワークアドレス、アセットタグ、コンポーネント、構成、および責任のあるユーザーまたはメンテナを含む)

証明書の発行元

これは、管理されているデバイスまたはその他の方法で承認されているデバイスに、クライアント側の証明書を使用してマークを付けるために使用されます。使用する予定の証明書の種類によっては、この証明書のための公開鍵基盤(PKI)がすでに別のセキュリティ製品の一部になっている場合があります。

アクセスコントロールエンジン

「このグループのユーザーのみが、割り当てられた最新の管理されたデバイスと共に、この機密アプリケーションを使用することができます」など、すべてのアクセスポリシーのリポジトリです。

アクセスプロキシー

接続を行う部分とポリシーの施行。Googleの独自のアクセスプロキシの説明は、ホワイトペーパー「Beyond Corp:The Access Proxy」をご覧ください。

アクセスプロキシはより複雑で、トラフィックの負荷分散、トランスポートレイヤーセキュリティ(TLS)、認証、アクセスコントロールリスト(ACL)の評価、認証、ユーザーのセルフサービスなどを処理します。

SSO

これは、あなたのユーザーに多くのことを容易にします。すべてのアプリケーションやシステムにアクセスできるように、1つのポータルを提供しています。

必要なその他のコンポーネント

GoogleのBeyondCorpのアーキテクチャでは、Google自身が独自のIdPサービスを実装しているため、2要素認証(2FA)や多要素認証(MFA)については明示的に言及していません。しかし2FAやMFAはアカウントのセキュリティを保全にするという意味では不可欠です。MFAに加えて、ID管理サービス(IDaaS)を持っていない場合、BeyondCorpやゼロトラストの実装がより複雑になる可能性が高い。

ユーザーとエンドポイントの登録

この新しいエンタープライズ・セキュリティ・モデルの導入に向けた最初のステップは、ユーザーとエンドポイントの登録です。通常この登録には、インベントリ、検査、検証の組み合わせが含まれます。システムに入力するエンティティのリストを作成して、それらのエンティティを認証し、アクセスを許可するために使用します。

一括登録を利用することもできますし、利用者が連絡を取り、共有データを提供することで利用者を認識できるようにする自己登録を利用することもできます。

  • 在庫:企業が所有しているエンドポイントや管理しているエンドポイントは何か、そして誰が許可されているか?他にどのようなエンドポイントを許可しますか?
  • 検査:セキュリティ要件に適合していますか?(注意: エンドポイントを検査するのは登録だけではありません)
  • 検証:これは、登録のためにエンドポイントを提示している既知のユーザーですか?インベントリにあるエンドポイントと同じエンドポイントですか?

最終的には、BeyondCorpは、セキュリティと信頼についての新しい考え方です。「ゼロトラスト」の姿勢をすべての企業の設計とプロセスに適用することが、この曲線の真の成熟度のピークとなります。

インベントリ

自分が持っていると分かっているものから始めましょう。認識しているデバイスを事前に登録するか、ユーザーに個別に登録させるかにかかわらず、プロセスには管理が必要であり、どの資産を見ることを想定しているかを可視化する必要があります。

ほとんどの企業では、Active Directory、LANDesk、Jamf、その他の製品を問わず、何らかのIT資産と構成管理を行っています。ハードウェア・タグ(または電話番号)と割り当てられたユーザーの基本的なリストから始めれば、個人のシステムではなく、企業のシステムを認識することができます。

ディスカバー

インベントリの中で重要な問題は、ディスカバーです。

  • すべてのユーザーとそのエンドポイントを把握しているか?
  • 新規ユーザーや忘れられたユーザーをどのように処理するか?
  • エンドポイントの変更にはどのように対処しますか?

これを処理する一つの方法は、ユーザーが重要なデータにアクセスするために必要な場所にディスカバリーを配置することです。

早めに、そして頻繁にアクセスするようにしましょう。誰もが遅かれ早かれ、税務申告書をダウンロードする必要があるときに人事システムにアクセスしますが、それは年に一度だけです。電子メール、参照用のWikiやディレクトリなど、彼らが常に使用するものの前にディスカバリーを配置する方が良いでしょう。
ディスカバリーをおろそかにしてはいけません。多くの組織では、企業ネットワーク上で個人のデバイスを使用することを禁止するポリシーを持っていましたが、文字通り何百人ものユーザーがいずれにせよそれを行っていることがディスカバリーによって判明しました。

ユーザーとデバイスのペアの信頼性の確保

共有端末の登録はどうする?信頼するかどうかは、ユーザーとエンドポイントの組み合わせによって決まることを覚えておいてください。攻撃者は、特定のエンドポイントを制御し、他の既知のユーザ名とパスワードを利用してアクセスすることができます。

これを避けるためには、多要素認証を追加してユーザーとデバイスのペア化を強制する必要があります。侵入するためには、攻撃者はユーザ名、パスワード、第二要素へのアクセス権、エンドポイントを持っている必要があり、パズルのピースを追加するたびに不正アクセスを受けることが難しくなります。

だから、それらのためだけにエントリを持っていることを確認してください。ユーザーとデバイスの組み合わせを確認することができます。共有はそれほど頻繁には起こらないかもしれませんが、必要な時には必要です。入学手続きはそれに対応する必要があります。

検証

議論したように、信頼を得るのはこの組み合わせなので、自己登録時にユーザを認証する必要があります。その時点から、ユーザはそのユーザの割り当てられたエンドポイントと共に、 アクセスプロキシに対して再認証を行うことになります。

エンドポイントを一意に識別するには?特にハードウェア・コンポーネントとそのIDが入れ替わってしまうと、これは思ったよりも難しいことです。Googleは、観察されたデータと所定のデータを組み合わせて、どのようにしてこれを行うかを説明しています。おそらく組織は、最も簡単に入手して一致させることができるデータを使うことになるでしょう。もし証明書が登録されているものと一致しなければ、システム コンポーネントのいずれかが一致しているかどうかは問題ではありませんでした。

検査

ユーザーのエンドポイントが登録時に既知のクリーンな状態になっていれば最高なのですが、必ずしもそうとは限りません。最低でも、どのような衛生状態や設定を表示するかを決めることができます。

  • 既知の危険なアプリがインストールされていない
  • 暗号化とロック画面をオンにする
  • オペレーティングシステムとプラグインの更新

既にエンドポイントにエージェントがインストールされている場合、それが提供するデータは何でも取得できます。エージェントがインストールされていない場合や、デバイスを見るのが初めての場合は、エージェントなしでこの検査を実行できるものが必要になります。

デバイスインベントリを構築し、それらのデバイスの状態に関するデータを大規模に収集する場合、データパイプラインを個別に構築して管理する必要があります。GoogleのBeyondCorpの論文では、複数のデバイスインベントリを構築する際に、下流のコンポーネントに供給するために、すべてをメタインベントリに収集して正規化する必要があることが説明されていました。設定データ。イベントログデータ、セキュリティインフラからの情報、エンドポイント監視、マルウェア対策、SIEMなど、すべてが可能です。設定データ、イベントログデータ、セキュリティインフラストラクチャからの情報は、アクセス要求の時点でデバイスの現在のセキュリティ状態をどのように推測するかという点で、すべての役割を果たす可能性があります。

気に入ったのであれば、証明書をつけておくべきでした

「信頼される」とはどういうことか?

トラストポリシーとその要件は、各組織によって決定されます。以前は、ユーザーが正しいログイン名とパスワードを提供すれば、正しい人がキーボードの前にいることが証明されました。私たちは、デバイスについても同じ問題に遭遇しましたが、それは企業ネットワーク上にあるため、私たちはそれがそこにあることになっていると仮定し、それが要求したものに何でもアクセスできるようになりました。

これらの「テスト」はどちらもいくつかの理由で失敗しました。
– 盗まれたパスワード
– なりすましネットワークアドレス
– 妥協したエンドポイント
– 他の脆弱なシステムに横方向に拡散する能力

現代における、信頼への道は、デバイス上でより多くのチェックポイントを必要とします。これらの条件の1つは 管理された企業所有のエンドポイントであるかどうかです。

なぜ「マネージド」なのか?

管理されているエンドポイントは、おそらく企業が所有しているか、少なくともその存在は知られています。このため、管理されていない個人のデバイスを信頼するよりも、それを信頼することを選ぶかもしれません。多くの組織では、所有してスタッフに割り当てたエンドポイントは、ビジネスデータへのアクセスに使用できるというポリシーを持っています。しかし、確認する方法がない場合、このポリシーを実施するのは難しいかもしれません。試してみるには、さまざまな方法があります。

  • 仮想・プライベート・ネットワーク(VPN):エンドポイントにVPNクライアントがインストールされている場合、それは承認され管理された資産であることが前提となるため、それを使用している人は誰でも外部から内部ネットワークにアクセスすることができます。SSL/VPNソフトウェアは、インストールされたクライアントを使用しているため、ユーザーにとってはより便利になりますが、暗黙のエンフォースメントを削除することもできます。
  • ネットワークアクセス制御(NAC):一般的なポートベースの NAC では、エンドポイントに 802.1x 証明書がインストールされている場合は、承認されていて管理された資産なので、それを使っている人は誰でも 建物内から内部ネットワークに接続することができます。
  • モバイルデバイス管理(MDM):このシステムにモバイルデバイスを登録すると、以下のことが可能になります。エージェントをインストールすることで構成ポリシーを強制します。

これらのケースでは、エンドポイントに何かをインストールすることで、エンドポイントに信頼されているとマークしています。

このマークは「信頼されたエンドポイント」の他に何を意味するのでしょうか?これは、組織に属していないが審査済みのエンドポイントに使用することができます。
例えば、スキャンされたコンサルタントのラップトップなどです。重要なポイントは、見たこともないアプリケーションにアクセスしようとしているエンドポイントとは対照的に、見たこともない、攻撃者に利用される可能性のあるデバイスを見て、そのデバイスにアクセスを許可することを期待しているということです。いずれにしても、どのデバイスがビジネスデータにアクセスできるかを制御するために使用することができます。

残念ながら、エンドポイントを管理できない場合、エンドポイントの所有者に何かをインストールさせるように説得するのは一般的に困難です。証明書やその他のフィンガープリントの方法は軽量で、ソフトウェアをインストールして実行するよりも受け入れられるかもしれません。それでも、重要な要件は、そのマーキングを忘れないようにして、他のデバイスにコピーされないようにすることです。

マーキングの有無に基づいて信頼の判断をすることになるので、これはもう一つの認証要素を保護する必要があり、プライマリ・ユーザ・クレデンシャルと第二の要素を保護するのと同じように保護する必要があります。

すべての単一エンドポイント

GoogleのBeyondCorpフレームワークでは、証明書は管理されているデバイスを識別する方法を提供しています。
デバイスとユーザのデータを証明書に含めることで、証明書をさらに一歩進めることができ、どちらの証明書も単独では利用できないように、それらを結びつけることができます。 ユーザーが最も重要なデータやアプリケーションにアクセスするためには、既知で承認されたエンドポイントを使用しなければならないように、ポリシーを設定することができます。

同様に、ユーザが攻撃者に証明書を奪われた場合でも、攻撃者はそのユーザに属する有効なエンドポイントを使用してアプリケーションにアクセスする必要があります。デバイスを信頼するのは、正しいユーザーと一緒にいる場合のみであり、BeyondCorpモデルが可能にするセキュリティの強化に向けた新たな一歩です。

大きな成功のためのポリシーづくり

アクセスプロキシは、企業のリソースへのアクセスを強制する役割を担っています。従来の境界線の外側、内側を問わず、リスク許容度を表現する方法の一つです。ポリシーの権利化は、感度、脅威、ユーザーコミュニティ、規制要件、その他多くの要素に依存します。そして、ファイアウォールの両側で一貫してポリシーを実施することは、BeyondCorpモデルの重要な考え方です。

信頼関係の構築

従来のネットワーク境界セキュリティモデルの主な欠点は、組織が内部のあらゆる場所で1つのレベルの信頼を持つ傾向があったことです。
異なる階層を構築するには、ネットワークのセグメンテーションが必要であり、実装するには複雑すぎることが多くありました。

BeyondCorpは、アプリケーション層での信頼レベルの分離を新たな視点で奨励しています。
最も重要で機密性の高いデータ、アプリケーション、制御機能がどこにあるかを判断することが重要であり、より高い信頼性の要件でそれらを保護することができます。

最も重要なアクセスの例としては、以下のようなものがあります。

  • アクセス制御システム(アクセス権を与える管理コンソール、設定 管理システム、アイデンティティ 店舗、証明書局と認証サーバ)
  • 可用性(負荷)を管理するシステム(バランサー、バックアップ)
  • 財務・人材アプリケーション(決済システム)
  • 知的財産を保有する研究・エンジニアリングシステム
  • お客様のためのアプリケーションとストレージ(患者・学生・市民情報)

SNSでもご購読できます。

コメントを残す

*