ゼロトラスト：BeyondCorpのパートナーを見つける方法

GoogleのBeyondCorpをゼロトラストの代表的な提唱者として、人々は長い変容の旅に出ることなく、どうやってそこにたどり着くのかを常に問いかけに来ます。純粋にGoogleのレンズを通してBeyondCorpを見ると、それは困難で手の届かないものに見えるかもしれません。しかし、良いニュースは、そこに到達するためには、Googleである必要はなく、Googleの規模で運営する必要もないということです。特定のセキュリティベンダーのコアミッションとして、このような複雑な分散システムの構築や運用に苦労することなく、同じ成果を企業に提供することを掲げています。

ゼロトラストとは

ゼロトラストとは、Forrester Research社が2010年に提唱した考え方で、“社内（ネットワーク内）は安全である”という前提に、境界を守るやり方では守れなくなった現状を踏まえ、「すべてのトラフィックを信頼しないことを前提とし、検査、ログ取得を行う」という【性悪説】のアプローチです。

ゼロトラストが注目される背景

今まではファイアウォールやIPS/IDSなどでネットワークの境界を監視するというセキュリティが主流でした。しかし、昨今は境界を監視するセキュリティ対策では不十分であるとされ、「ゼロトラスト」という考え方が注目されるようになったのです。その背景としては以下が挙げられます。

企業のクラウドサービス利用が増加

総務省の調査(*1)によると、企業におけるクラウドサービスの利用は年々増加しており、2018年度においては約6割の企業でクラウドサービスが利用されています。さらに、多くの企業でクラウドサービスの効果が実感されていることから、今後もクラウドサービスの利用は増え続けると考えられます。クラウドサービスを利用するということは、データの保管場所は外部のサーバとなるため、企業内部と外部の境界は曖昧となります。

働き方改革によるテレワークの増加

働き方改革については、2019年4月1日より働き方改革関連法案の一部が施行され、大企業はもちろん、中小企業にとっても重要な課題となっています。働き方改革の施策のひとつとして挙げられるのが、「テレワーク」です。テレワークでは会社のPCを持ち出したり、自宅やサテライトオフィスのPCを利用したりして、社内のネットワークに接続します。これにより、端末が企業内部と外部の境目を行き来することになるため、境界での監視が困難になるのです。
テレワークの利用率は増加傾向にあります。さらに、近年の感染症の流行を鑑みると、テレワークの利用は更に増えていくことになるでしょう。

内部不正による情報漏えいの増加

近年、外部からのサイバー攻撃だけではなく、内部不正による情報漏えいも後を絶ちません。「内部不正による情報漏えい」が、企業における脅威となっています。境界内部の社内ネットワークが安全であると言い切ることはできないのです。

ゼロトラストのメリット

ゼロトラストは従来の境界型セキュリティというネットワークの境界だけを防御するセキュリティ対策を不十分とした事で提唱されている考えです。ゼロトラストネットワークはクラウドネットワークが普及された近代の情報社会に適応するため、境界が曖昧な環境下においても有効に効果を発揮します。ゼロトラストは、クラウドネットワークと社内環境の両方に対し、境界を設けずにセキュリティを設計できます。また、ネットワークへのアクセスを最小限の範囲に規制する事で、必要な人にのみアクセスの権限を与えるようになります。このゼロトラストは非常にシンプルな仕組みでありながら従来よりも情報セキュリティへの脅威により強固なセキュリティ環境に移行することが可能となります。クラウド化をセキュリティが不安という理由で導入を後ろ倒しにしている企業も、このような不安は払拭することができるでしょう。情報セキュリティ担当者にとっても管理の負担が軽減されることも考えられます。従来のIPアドレス制限やVPNの複雑な設定から解放され、情報セキリュティの脅威に対してシンプルかつ強固な環境を構築できるとともに、ゼロトラストによる管理の自動化を図ることで業務の円滑化を図ることができます。

ゼロトラスト製品の運用

ゼロトラスト製品のインフラストラクチャチームの中心的な任務は、運用を管理し、自動化されたツールを実装することで、開発者がより効果的に仕事をこなせるようにすることです。従来のセキュリティ管理はこのミッションに逆効果になることが多いため、チームは安全な生産性を実現するために、より近代的なクラウドネイティブの方法を模索してきました。
そのため、チームは安全な生産性を実現するために、より近代的なクラウドネイティブな方法を模索してきました。その中でも特に目立っていたのが、従来の企業VPNです。エンジニアリング・チームが、社内の誰もが使えるように強力なツールを開発したとしますが、それには VPN が必要なため、それを利用できないとします。これは多くの企業が直面している状況であり、時にはそれに気づかずに直面していることもありますが、ゼロトラスト製品はそれを解決しようとしています。ゼロトラストネットワークアーキテクチャを用いる事で、VPNを無くすことができます。そして多くの方が「私たちはこの状況を脱して、VPN を使わなくても誰もがツールを使えるようにする方法を探しています。GoogleのBeyondCorpを見て、私たちにとって非常に魅力的に見えました。」というでしょう。

そのため、チームは安全な生産性を実現するために、より近代的なクラウドネイティブな方法を模索してきました。その中でも特に目立っていたのが、従来の企業VPNです。エンジニアリング・チームが、社内の誰もが使えるように強力なツールを開発したとしますが、それには VPN が必要なため、それを利用できないとします。これは多くの企業が直面している状況であり、時にはそれに気づかずに直面していることもありますが、ゼロトラスト製品はそれを解決しようとしています。ゼロトラストネットワークアーキテクチャを用いる事で、VPNを無くすことができます。そして多くの方が「私たちはこの状況を脱して、VPN を使わなくても誰もがツールを使えるようにする方法を探しています。GoogleのBeyondCorpを見て、私たちにとって非常に魅力的に見えました。」というでしょう。

BeyondCorpとは

Google社でも新型コロナウイルスの影響でリモートワークの実施をしています。従来の働き方と違い、実施している企業の中では様々な課題や諸問題が発生していることも事実です。しかし、Google社ではリモートワークを実施する際にBeyondCorp Remote Accessを利用することで業務を遂行している。該当セキュリティの利用で現段階では業務に障害が生じることもないそう。そんなBeyond Corpとはどんなセキュリティ対策なのでしょうか？以下からはGoogle社において使用されているシステムを紹介していきます。

Beyond Corpの概要

GoogleがVPNの代わりに使用している、認証・認可のシステムのことです。
人・デバイス・ネットワークなどを基に社内システムへのアクセス制御を行い、ホテルやカフェなどから、Google社内システムへのアクセスができるようになっています。
BeyondCorp は、Google でのゼロトラスト ネットワークの構築を基に設計されたゼロトラスト セキュリティ モデルを Google が実装したものです。アクセス制御地点をネットワークの境界から個々のユーザーやデバイスに移すことで、従来のように VPN を介さなくても従業員や契約業者などのユーザーがほぼどこからでもより安全に働けるようになります。

BeyondCorpへの最も実現可能な道は、ユースケースやプロトコルを選択して小規模にスタートし、アーキテクチャやワークフローが実証された後、さらに拡大していくことです。特定のセキュリティベンダーを用いてこの道を歩み始めた企業は、ゼロトラスト製品というプラットフォームで、世界の集合的なインテリジェンスを検索、分析、可視化し、戦略的な質問への回答に役立てることができます。これを実現するために、彼らは多くの多様な社内ツールやサービスを構築しており、従業員が仕事をこなすためには安全にアクセスする必要があります。開発者のエンパワーメントとは、道を切り開くことを意味します。

ゼロトラスト製品のインフラストラクチャチームの中心的な任務は、運用を管理し、自動化されたツールを実装することで、開発者がより効果的に仕事をこなせるようにすることです。従来のセキュリティ管理はこのミッションに逆効果になることが多いため、チームは安全な生産性を実現するために、より近代的なクラウドネイティブの方法を模索してきました。

Google cloudとは

Beyond Corpを導入するにあたり、Google cloudの採用が前提となります。Google  cloud Platformとも言われ、Google社が提供するクラウドサービスとなります。従量は一定以上に達すると課金する事で使用量を増やす事ができますが、基本は無料で使用する事ができるサービスです。尚、使用するにあたり、Googleアカウントが必要となります。非常にメリットに優れていて、このシステムは数あるクラウドサービスプロバイダーの中でもセキュリティと機能に評価があります。安定したネットワーク環境を提供していて、アクセスの急な増加など、あらゆる課題をクリアし耐える事ができます。Google社が独自のネットワークを全世界の各至る所に張り巡らせ、ネットワークの安定性だけではなく、スピードにおいて一定の評価を得ています。AI分野のサービスもいち早く取り入れ、Googleによる最先端の高機能な学習機能を使いデータの解析が可能となります。セキュリティに対策もかなり高度に対策されているのも特徴です。第三者認証であるFIPS140-2を取得しています。価格もかなり良心的な設定になっています。先述した通り、基本は無料での使用が可能です。従量課金制であるため、使った分、必要な分のみにコストがかかります。低コストでの仕様であるため、導入にためらいがある人でも始めやすいサービスになります。唯一の欠点を挙げるとしたら、日本語対応が遅れているので、英語に慣れていないひとにとっては操作性に不便を感じるかもしれません。

Google  cloud におけるセキュリティ

先述した通り、第三者機関によってセキュリティサービスに高い評価と信頼を得ているGoogle  cloudですが、どういったセキュリティシステムを担っているのでしょうか。Googleは４つのポリシーを念頭にセキュリティサービスをセキュアに保っています。

• 信頼できるインフラ
• アイデンティティとアクセス管理
• インテリジェントな脅威検出
• プライバシー、データ保護とGRC

この４つを掲げています。

Google はATLS（Application Layer Transport Security）のシステムを利用しGoogle  cloudで保存されているデータを基本的には全て暗号化しています。そのため、Google内の通信を何らかの方法で不正に閲覧したとしても、暗号化により情報が閲覧できることはありません。この構造は、ファイルごとに細かく分類し、その細かく分類されたごとに暗号キーで管理する仕組みになっています。

こう言ったように、Google  cloudの独自のセキュリティ対策で、様々な脅威にアプローチし対策を行うシステムが多数存在します。以下で、いくつか紹介しますのでぜひ参考にしてみてください。

Cloud Armor

クラウドサービスにおける主要なセキュリティとなります。このCloud Armor というサービスを使って、SQLi や XSS からの脅威を防御し、DDoS の対策やIP のホワイトリストとブラックリスト化、アクセスルールなどを設定することで、セキュリティ環境を安全に保つ事が実現できます。

 VPC Service Control

クラウドでは API 経由でのアクセスが基本です。このVPC Service Control を使うことにより、認証されているユーザーであっても、定められた外部のスポットからはアクセスできないようにすることができます。これは内部に潜む悪意のあるユーザーの脅威対策として効果を有します。

Identity and Access Management (IAM) 

特定のリソースに対してのアクションの実行を、承認を受けたユーザーのみが実行できるシステムです。具体的にいうと、誰が、どういう操作を、何に対して、どういう条件で操作できるのかを具体的に指定します。これには監査機能も搭載され、複雑化している企業の組織システムでも容易に管理する事が可能となります。

Cloud HSM

先述した、暗号キーというワードとも関連しますが、こちらはユーザー自身で暗号キーを管理したいという要望に合わせて提供されたサービスです。Google Cloud場で Cloud Key Management という暗号鍵を管理するシステムになります。Cloud HSM はより高いセキュリティを要望する顧客向けのサービスとなり、セキュリティ基準の高い暗号キーの管理が可能となります。

まず念頭に置いておきたいのが、Byond Corpという実装機能があるのではなく、Beyond Corpを実現するためにGoogle社で提供しているシステムのうち、どの機能を実装することで実現が可能かということです。BeyondCorp Remote Accessもまた、実装する機能のことではなく、複数のセキュリティシステムを利用することで可能となるセキュリティ対策のことです。セキュリティシステムとは、先述したGoogle  cloudのセキュリティシステムを指します。

BeyondCorp Remote Accessは、高度な認証機能が付与されています。オンプレミスやクラウドにあるWebアプリケーションが、VPNを使わなくてもプロキシーに接続するだけで利用が可能になります。アプリケーションの利用の可否はプロキシーで細かく制御することも可能となります。

実際にGoogle社においても、Google社のクラウド機能を使い、社内ネットワークにアクセスするさまざまなユーザーに対し、アクセスの認証を行っています。また、ポリシーも一貫して管理されています。例えば、自宅からPCで仕事をする場合、最新バージョンのOSを使っている場合のみなどといったアクセス制限、タイムカードアプリにはすべての従業員がさまざまなデバイスや場所から安全にアクセスする必要があるなど、規定があります。

Beyond Corpを導入するメリット

ここではBeyondCorpを採用することのメリットを複数分けてご紹介します。

生産性を維持することが可能

世界に点在するGoogle各社のどこからでも、任意のデバイスを使って社内用ウェブアプリに即座にアクセスできます。また簡単に操作が可能です。企業内の社員だけではなく、パートナー企業などの担当者も利用することで業務をスムーズに行うことができます。

ゼロトラスト・ベンダーによる最小特権アクセス

VPNを排除するということは、アクセス制御を排除するということではなく、ゼロトラストをどう実現するのかということです。最近のクラウド移行の一環として、環境の分離を強化することが最優先事項でした。「私たちは、明示的に許可を与えない限り、何も他の何ものとも通信できないようにしています」と言います。”つまり、サーバーレベルに至るまで、誰かにサーバーへのアクセスを許可できないようにしていますが、その理由やアクセスログがあり、何をしていたのかを把握しています。

チームは、複数のアカウント、複数のVPC、複数のセキュリティグループを使用して、弾力性のあるAWS環境を設計しました。真の防御深さでは、セキュリティグループの上にファイアウォールを設置しています。インフラリソースの緊密な分離は、特定のセキュリティベンダーの機能に裏打ちされたアクセス管理レイヤーによって補完されています。このクラウドネイティブアーキテクチャは、アクセス制御をどこに配置するか、ネットワークがどのような役割を果たしているかを認識し、インフラチームとして成熟していることを物語っています。「企業としての年齢が少し上がったので、セキュリティと安全性に関しては少し賢明な判断ができるようになりました。」

優れたゼロトラスト用製品を使用することで、ゼロトラスト製品の開発者やデータサイエンティストは、クレデンシャル管理の必要性を完全に排除した合理化された環境を通じて、必要なときだけSSHで特定のサーバーにログインできるようになりました。「バックエンドのグループに入ってSSHアクセスを許可するだけで、非常に便利です。バックエンドのグループに入り、SSHアクセスを許可するだけで、必要な作業を行い、グループから削除することができます。すべてが監査され、管理が非常に簡単です」

インフラストラクチャチームは、各AWSアカウントの前にいくつかの強固なBastionホストを配置し、SSHアクセスを管理しています。「開発者が必要とするのは、実際に開発を行っている開発スタックへのアクセスだけであり、必ずしも王国への鍵が全てあるわけではありません」セキュリティプロパティがワークフローに組み込まれているため、ユーザーにとってはシームレスで、作業を妨げることなく安全な環境を提供することができます。

BeyondCorpへの道

クラウド移行プロセスを経たばかりの企業では、全く新しい変革的なプロセスをゼロから始めるという発想は、特に魅力的なものではありません。現実的なアプローチを取り、特定のユースケース、つまりサーバーへの特権アクセスから始めました。BeyondCorpのコンセプトに基づいて構築された市場で唯一の特権アクセス管理製品です。Googleほど多くは必要としていませんが、特定のゼロトラストベンダーが持っている基本的な機能はいくつか必要です。

BeyondCorpにインスパイアされた環境で社内のWebアプリケーションへのアクセスを管理する機能がいくつかのベンダーからリリースされ、プラットフォームとしても成熟しています。グローバルに分散されたアクセス・ファブリック（リアルタイム認証エンジン）に支えられており、合理化されたHTTPSワークフローをサポートしています。アクセスは、動的なユーザーやデバイスの状態を考慮した設定可能なポリシーに基づいて許可されます。サーバー・アクセスとウェブ・アクセスの組み合わせは、BeyondCorpアーキテクチャを完全に実現したもので、優れたベンダーのサービスとして利用することができます。

パートナーとして、ゼロトラスト製品がBeyondCorpにインスパイアされた独自のアーキテクチャを実現し、安全でセキュアな方法で生産性の向上を支援できることに興奮しています」と述べています。優れたベンダーが我々をそこに導く手助けをしてくれるなら、我々は100％BeyondCorpモデルに乗っている。自分たちだけではできないだろうし、ゼロトラストを容易に実現させてくれる会社がやってきて、難しい部分の多くを解決してくれるのを見ることができるとなんと喜ばしいことでしょう。Googleがやっていることを読んで、優れたベンダーが『おい、俺たちにもできるぞ！』と言ってくれることは滅多にありません。