fbpx

ネットワークセキュリティへのゼロトラストアプローチを始める

今日の企業に対するサイバー攻撃が高頻度で成功し続けていることから、従来の境界線を中心としたセキュリティ戦略はもはや有効ではないことが十分に明らかになっています。結果として生じるアーキテクチャの失敗は、組織のネットワーク内部のすべてのものが信頼できるという時代遅れの仮定だけでなく、従来の対策では、関連するネットワーク境界を通過するアプリケーション・トラフィックの適切な可視性、制御、保護を提供することができなかったことに起因しています。

Forrester Researchが最初に発表したゼロトラストは、信頼の前提を方程式から取り除くことで、失敗した境界線中心の戦略の欠点に対処する代替的なセキュリティモデルです。ゼロトラストでは、基本的なセキュリティ機能は、場所に関係なく、すべてのユーザー、デバイス、アプリケーション、データリソース、およびそれらの間の通信トラフィックに対して、ポリシーの実施と保護を提供する方法で展開されます。

要旨

このペーパーでは、ネットワークセキュリティに対するゼロトラストの必要性とその詳細について説明します。また、ゼロトラスト・ソリューションに必要な基本的な基準と機能を列挙し、次世代セキュリティ・プラットフォームがこれらの要件をどのように実現しているかを説明し、ゼロトラスト設計に段階的に移行する方法についてのガイダンスを提供しています。

ゼロトラスト・ネットワークを実装するためのソリューションを採用した組織には、以下のようなメリットがあります。

  • アプリケーションの可視化と安全な有効化、および高度な脅威の検出と防止により、データ損失の軽減の有効性が劇的に改善されました。
  • セキュリティとプライバシーコンプライアンスを達成するための効率性の向上。
  • ユーザーのモビリティやインフラストラクチャの仮想化など、変革的な IT イニシアチブを安全に実現する能力の向上。
  • ITセキュリティの総所有コスト(TCO)を大幅に削減。

ネットワークセキュリティに対する従来のアプローチは失敗している

Verizonのレポートによると、「データの漏洩に関しては、どのようなロケール、業界、組織も無防備ではない 」としています。

今日の組織が境界線中心の戦略に依存し続けていることを考えれば、この発見は驚くべきことではありません。問題の単純な真実は、セキュリティに対する境界線ベースのアプローチはもはや効果的ではないということです。

誤った信頼

境界線中心のセキュリティ戦略の主な問題点は、ネットワークへの出入り口が明確に定義された少数のポイントに対策を展開することで、内部ネットワーク上のすべてのものが信頼できるという前提に依存していることです。しかし、現代のビジネス状況やコンピューティング環境を考えると、この前提はもはや安全なものではありません。

  • 遠隔地の従業員、モバイルユーザー、クラウドコンピューティングソリューションは、”社内 “と “社外 “の区別を曖昧にしています。
  • ワイヤレス技術、パートナー接続の普及、ゲストユーザーをサポートする必要性により、ネットワークへの経路が無数に増えています。
  • 支店は、信頼されていない「関心のある国」に位置している可能性があります。
  • インサイダーは、意図的に悪意を持っていようが、ただの不注意であろうが、非常に現実的なセキュリティ上の脅威となる可能性があります。

そのような戦略は、また、説明することができません。

  • 洗練されたサイバー脅威が境界線の防御を突破する可能性があります。
  • 悪意のあるユーザが、信頼されたユーザの盗用した資格情報を使用して、内部ネットワークや機密リソースにアクセスできるようになるシナリオ。
  • 内部ネットワークが同質であることは稀であり、その代わりに、信頼度や機密性のレベルが本質的に異なるユーザやリソースのポケットが含まれており、理想的にはどのような場合でも分離されるべきであるという現実があります(例:研究開発や財務システムと印刷/ファイルサーバとの比較)。

不十分な能力

ネットワーク・セキュリティに対する境界線中心のアプローチの有効性が低下している原因は、壊れた信頼モデルだけではないことを認識することが重要です。もう一つの要因は、ネットワーク境界線の構築に一般的に使用されているレガシーデバイスや技術が、不要なトラヒックを通過させすぎていることです。この点での典型的な欠点としては、以下のようなことが挙げられます。

  • 良いアプリケーションと悪いアプリケーションを明確に区別する(これは過度に寛容なアクセス制御設定につながる)。
  • 暗号化されたアプリケーションのトラフィックを十分に考慮する。
  • ユーザーを正確に識別し、制御する(ユーザーがどこにいるか、どのデバイスを使用しているかに関わらず)。
  • 許可されたトラフィックには、既知のアプリケーションから発生する脅威だけでなく、未知の脅威もフィルタリングします。

その結果、内部の信頼の境界を広めて防御を再構築するだけでは十分ではありません。また、これらの境界を実装するために使用されるデバイスやテクノロジーが、最新のマルウェアや標的型攻撃、機密性の高いビジネスデータの不正な流出を阻止しつつ、重要なビジネスアプリケーションを安全に利用するために必要な可視性、制御、および脅威の検査機能を実際に提供することを確認する必要があります。

現代のネットワークに効果的なセキュリティを提供する

ITセキュリティのための有望な代替モデルであるゼロトラストは、境界線中心の戦略と、それを実装するために使用されるレガシーなデバイスや技術の欠陥を是正することを目的としています。ゼロトラストは「決して信頼せず、常に検証する」ことを指針としています。これは、「信頼はするが検証はする」という従来のセキュリティモデルとは大きく異なります。

特に、ゼロトラストでは、ユーザー、デバイス、アプリケーション、パケットを含むあらゆるエンティティに対して、それが何であるか、企業ネットワーク上または企業ネットワークとの相対的な位置関係に関わらず、デフォルトの信頼はありません。さらに、許可されたエンティティが常に許可されたことだけを行っているかどうかを検証することは、もはやオプションではなく、必須となりました。

これら2つの変更の影響は、それぞれ以下の通りです。

  1. 内部コンピューティング環境の異なるセグメントを効果的に区画する信頼境界を確立する必要があります。一般的な考え方は、セキュリティ機能を保護を必要とするリソースの異なるポケットに近づけることです。この方法では、関連する通信トラフィックの発信地に関係なく、常にセキュリティ機能を実施することができます。
  2. 信頼境界の必要性は、初期の認証とアクセス制御の実施だけではありません。常に検証する」ためには、破壊的な活動(すなわち脅威)のために関連する通信トラフィックを継続的に監視し、検査する必要があります。

ゼロトラストの中核となるゼロトラストの原則と派生的な意味合いは、ゼロトラストの実施の運用目的を定義する3つの概念にさらに反映され、洗練されている。

  1. 場所に関係なく、すべてのリソースに安全にアクセスできるようにする。これは、複数の信頼境界の必要性だけでなく、セッションが「内部」ネットワークに限定されている場合でも、リソースとの通信に安全なアクセスを使用することの必要性を示唆しています。また、適切なステータスと設定を持つデバイス(例えば、企業の IT 部門によって管理されているデバイス、承認された VPN クライアントと適切なパスコードを持つデバイス、マルウェアを実行していないデバイスなど)のみがネットワークへのアクセスを許可されるようにすることも意味します。
  2. 最少特権戦略を採用し、アクセス制御を厳格に実施する。この場合の目標は、マルウェアや攻撃者が不正アクセスを受け、その後、機密データを横方向に拡散したり流出させたりする経路を減らすための手段として、リソースへの許可されたアクセスを絶対的に最小限に抑えることです。
  3. すべてのトラフィックを検査し、記録する。これは、「常に確認する」ことの必要性を再確認すると同時に、適切な保護にはアクセス制御の厳格な実施以上のものが必要であることを明確にしています。また、「許可されている」アプリケーションで何が起こっているかを正確に確認するために、綿密かつ継続的な注意を払わなければなりません。

ゼロトラストのコンセプトアーキテクチャ

ゼロトラストが実際にどのようなものかを理解するのに役立つように、概念的なアーキテクチャを図に示します。主なコンポーネントには、ゼロトラストのセグメンテーションプラットフォーム、トラストゾーン、および関連する管理インフラが含まれます。

ゼロトラスト・セグメンテーション・プラットフォーム

Forrester® Researchでは、ネットワーク・セグメンテーション・ゲートウェイと呼ばれていますが、ゼロトラスト・セグメンテーション・プラットフォームは、内部の信頼境界を定義するために使用されるコンポーネントです。言い換えれば、ゼロトラストの運用目標を達成するために必要なセキュリティ機能の大部分を提供するものです。これには、安全なネットワークアクセスを可能にする機能、リソースからのトラフィックフローをきめ細かく制御する機能、脅威の活動の兆候がないか許可されたセッションを継続的に監視する機能などが含まれます。図1では、ゼロトラストのセグメンテーション・プラットフォームは1つの物理的な場所にある1つのコンポーネントとして描かれていますが、実際にはパフォーマンス、スケーラビリティ、物理的な制限があるため、効果的な実装は、組織のネットワーク全体に分散した複数のインスタンスを必要とする可能性が高くなります。さらに、このソリューションは、複数の異なる(分散している可能性のある)セキュリティ技術の集合体であることを反映しているだけでなく、攻撃の表面を減らし、発見された脅威に関する情報を関連付けるための全体的な脅威保護フレームワークとして動作することを反映して、「プラットフォーム」と指定されています。

トラストゾーン

Forrester Researchでは「マイクロコアと境界」(MCAP)と呼ばれています2 。トラストゾーンとは、メンバーのリソースが同じ信頼レベルで動作するだけでなく、同様の機能を共有しているインフラストラクチャの明確なポケットのことです。プロトコルやトランザクションの種類などの機能を共有することは、実際には必須であり、特定のゾーンへの出入りを許可するパスウェイの数を実際に最小化し、ひいては悪意のあるインサイダーやその他の種類の脅威が機密リソースに不正にアクセスする可能性を最小化するために必要なことだからです。

図 1 に示されているトラストゾーンの例には、ユーザ(またはキャンパス)ゾーン、ゲストアクセス用のワイヤレスゾーン、 カード会員データゾーン、多階層サービス用のデータベースおよびアプリケーションゾーン、および公共に面した Web アプリケーション用のゾーンがあります。

トラストゾーンは、ゾーン内のシステム(したがって脅威)がお互いに自由に/直接通信できる「信頼のポケット」に なることを意図したものではないことにも注意することが重要である。ゼロトラストを完全に実装するためには、同じゾーン内のデバイス間を含むすべての通信トラフィックが、対応するゼロトラスト・セグメンテーション・プラット フォームによって仲介されるようにネットワークを構成する必要があります。

管理基盤

集中管理機能は、効率的な管理と継続的な監視を可能にするために非常に重要であり、特に複数の分散したゼロトラスト・セグメンテーション・プラットフォームが関与する実装の場合には重要です。さらに、データ収集ネットワークは、ゼロトラスト・セグメンテーション・プラットフォームのネイティブな監視・分析機能を補完する便利な方法を提供します。すべてのセッションログをデータ収集ネットワークに転送することで、このデータは、ネットワークの可視性をさらに高めたり、未知の脅威を検出したり、コンプライアンス報告をサポートしたりすることを目的とした、さまざまなアウトオブバンド分析ツールや技術によって処理されます。

ネットワークからのゼロトラストの実装

ゼロトラストネットワークセキュリティアーキテクチャの中核は、ゼロトラストのセグメンテーションプラットフォームであるため、組織は適切なソリューショ ンを選択することが不可欠である。したがって、このセクションでは、IT セキュリティ管理者やアーキテクトが選択する際に考慮すべき主要な基準と機能を特定しています。また、それぞれのケースで、次世代セキュリティプラットフォームがどのように対応する要件を満たしているかについて、簡単な概要を示しています。

充実したセキュリティ機能

 

安全なアクセス

エンドポイント向けネットワークセキュリティクライアントは、すべての従業員、パートナー、顧客、およびゲストがどこにいても(リモート/支店のオフィス、ローカルネットワーク、またはインターネット上など)、一貫した安全なIPsecおよびSSL VPN接続を提供します。機密性の高いアプリケーションやデータにアクセスできるユーザーやデバイスを決定するためのポリシーを、アプリケーション、ユーザー、コンテンツ、デバイス、デバイスの状態に基づいて定義することができます。

全交通量の点検

App-ID™ テクノロジーは、ポートやプロトコル、ポートホッピングや暗号化などの回避戦術に関係なく、すべてのトラフィックを正確に識別し、分類します。これにより、マルウェアが検出から隠れるために使用する可能性のある方法を排除し、アプリケーション、関連するコンテンツ、脅威の完全なコンテキストを提供します。

最小特権アクセス制御

特定のアプリケーションや使用されている個々の機能、ユーザーやグループのアイデンティティ、アクセスされているデータの特定のタイプや断片(クレジットカード番号や社会保障番号など)など、ビジネスに関連した幅広い属性に基づいて、リソースとの相互作用を制御することができる積極的な制御モデルを提供します。ポートやプロトコルレベルの分類に限定されているために多くのトラフィックを通過させてしまう代替ソリューションと比較すると、その結果、ネットワークへのアクセスを得るために不要な、不正な、そして潜在的に有害なトラフィックを自動的に排除しながら、適切なユーザーのセットに適切なアプリケーションを安全に有効にする、真にきめ細かなアクセス制御が可能になります。

高度な脅威からの保護

アンチウイルス/マルウェア、侵入防止、および高度な脅威防止技術を組み合わせて、モバイル デバイス上の脅威を含む既知および未知の脅威に対する包括的な保護を提供します。さらに、クローズドループで高度に統合された防御をサポートすることで、脅威防御フレームワークのインライン実施デバイスやその他のコンポーネントが、その他の脅威インテリジェンスのソースから得られた知見に基づいて自動的に更新されるようになっています。

すべてのITドメインをカバー

ゼロトラスト製品には、仮想およびハードウェア・アプライアンスの広範なポートフォリオが含まれており、遠隔地や支店のオフィス、モバイル・ユーザー、インターネットの境界、クラウドデータセンターへの入口、および個々の飛び地など、組織のネットワーク全体で信頼の境界を一貫してコスト効率よく確立することができます。

最小の特権……それとも最小の効果?

ステートフル検査技術に依存するレガシーセキュリティゲートウェイやその他のデバイスは、実際には最小特権ポリシー(つまり、このビジネスをサポートするために必要なものだけが通過を許可される)を実行することができません。これらのデバイスの問題点は、分類エンジンが IP アドレス、ポート、およびプロトコルしか理解していないことであり、したがって、これらの低レベルの「ラッパー」の背後にある、またはその中にある特定のアプリケーションを区別することができません。例えば、ステートフル検査デバイスでは、TCPポート80のHTTPプロトコルを使用するトラフィックを許可するルールは、正当な電子商取引アプリケーションだけでなく、ウェブメールやソーシャルネットワーキング、その他数え切れないほどの目的で使用されるウェブアプリケーションやユーティリティも通過させる可能性があります。その結果、このようなデバイスは、実際には、ゼロトラスト・セキュリティモデルを実装するには適していないということになります。

高性能設計

定義によれば、ゼロトラスト・プラットフォームは多数のセキュリティとネットワーク機能を集約しています。しかし、パフォーマンスのボトルネックになることなく、これらの機能をすべて提供することもできなければなりません。最新のソリューションは、シングルパス・ソフトウェア・アーキテクチャを利用することで、まず第一にこの目的を達成しています。

他のソリューションとは異なり、トラフィック・ストリームを複数回処理する必要がないため、処理要件とレイテンシが最小限に抑えられています。さらに、ハードウェア・アプライアンスは、個別の制御プレーンとデータプレーンに加えて、コアパケット処理、標準セキュリティ機能のアクセラレーション、および専用のコンテンツ・スキャンのための機能別の並列処理ハードウェア・エンジン(カスタム・チップなど)を備えています。ハイエンドでは、アプリケーション、ユーザー、コンテンツの比類のない可視性と制御を備えた200 Gbpsのゼロトラスト・スループットを実現しています。

柔軟で中断のないデプロイメント理想的には、既存のネットワークに変更を加える必要がなく、ユーザーにとって完全に透過的な方法でゼロトラストのアプローチを実装できることが望ましいです。大規模なネットワークのオーバーホールを利用する機会は稀であり、業務を混乱させることは、良いキャリアの選択とは言えません。したがって、IT セキュリティ管理者は、できる限りのことをする必要があり、通常はその場でゼロトラストに移行する必要があります。次世代セキュリティ・プラットフォームは、さまざまな方法でこの要件をサポートしています。例えば、以下のようなものがあります。

  • 仮想ワイヤモードは、透過的なレイヤ1のネットワークへの挿入を可能にし、周囲のネットワークデバイスや隣接するネットワークデバイスへの設定変更を必要としません。このモードでは、すべての次世代セキュリティ技術がサポートされています。
  • 単一のハードウェアアプライアンスは、複数の異なる接続モード(レイヤ1、レイヤ2、レイヤ3)をサポートすることができるため、異なるニーズを持つトラストゾーンに対応する能力を最大限に高めることができます。
  • 幅広いネットワーキング技術(L2/L3 スイッチング、ダイナミックルーティング、802.1Q VLANS、トランクドポート、トラフィックシェーピングなど)をサポートしているため、実質的にどのような環境にも統合することができます。
  • 複数の管理ドメイン(図1参照)は、物理アプライアンス上で個別に分離されたZero Trust仮想インスタンスを可能にする仮想システム機能を利用することで対応できます。仮想システムにより、すべてのポリシー(セキュリティ、NAT、QoSなど)、およびすべてのレポート機能と可視化機能の管理をセグメント化することができます。

集中管理

前述したように、この要件の基礎となるのは、複数の分散型ゼロ トラスト セグメンテーション プラットフォームを効率的に管理できることです。この場合、ネットワーク セキュリティ管理は、オプションの集中管理機能です。しかし、これはゼロ トラスト セキュリティ モデルの実装と維持のタスクを簡素化するために管理機能のほんの一部に過ぎません。その他の注目すべき機能は以下のとおりです。

  • アクセス制御と検査のルールを表示および設定するために、複数の画面やコンソールを切り替える必要がない統一されたポリシーモデルとインターフェイス。
  • グローバルとローカルの両方のルールと構成設定の組み合わせに対応する階層的なポリシーと管理モデル。
  • 高度なグラフィカルな可視化ツールにより、任意の時点でのアプリケーションとユーザーがネットワーク上で何をしているかをよりよく理解することができます。
  • 包括的なRESTベースのAPIにより、サードパーティの管理、自動化、オーケストレーションツールとの迅速かつ簡単な統合を可能にし、例えば、新たにプロビジョニングされた仮想アプリケーションや再配置された仮想アプリケーションの保護を確実にします。- ネットワークを通過するすべてのセッションの迅速なフォレンジック調査を可能にするリアルタイムフィルタリング機能を備えた統合的なレポートとロギング。

ゼロトラストの導入に向けた段階的なアプローチ

VPNなどの境界型セキュリティからゼロトラストに移行するという点では、IT セキュリティ管理者やアーキテクトは、組織のネットワークとセキュリ ティインフラストラクチャの次の包括的なオーバーホールを促す必要はなく、待つ必要もないことを認識することが重要である。実際、ゼロトラスト・セグメンテーション・プラットフォームを特徴とするゼロ トラスト・アーキテクチャの大きな利点の 1 つは、段階的な導入を可能にすることです。

IT セキュリティチームは、仮想ワイヤ機能を利用して、企業のコンピューティング環境内の 1 つ以上の場所にデバイスを無停止で展開することができます。リッスン専用モードで設定されたこれらのユニットを使用して、特定のユーザが特定のアプリケーションやデータリソースをいつ、どこで、どの程度使用しているかなど、ネットワーク全体のトランザクションフローの詳細な画像を取得することができます。このような詳細な情報を得られれば、セキュリティチームは以下のことが可能になります。(a) デバイスを適切な場所に順次配置して、特定されたトラストゾーンの内部トラスト境界を確立し、(b) 各トラスト境界を効果的に「オンライン」にするために、適切な施行および検査ポリシーを段階的に構成する。このようなプログレッシブなアプローチの利点としては、IT 運用への潜在的な影響を最小限に抑え、必要な投資や作業を時間をかけて分散させることができることが挙げられる。

環境内のトランザクションフローをすでに十分に理解しているセキュリティチームの場合は、信頼ゾーンをマップ化し、 相対的なリスクや関係するデータの機密性に基づいて、対応する信頼境界線の設定を開始するという方法もあります。この場合の論理的な出発点は、4P(ペイメントカード業界(PCI)やその他の金融データ、個人医療情報(PHI)、その他の個人を特定できる情報(PII)、知的財産(IP)など)のように、機密性の高いデータが集中しているユーザーやシステムを明確に特定することから始めることです。そこから、リスクの相対的な程度に基づいて、コンピュータ環境の他のセグメントの信頼ゾーン/境界を段階的に確立することを検討することは理にかなっています。例えば、以下のようになります。

  • IT管理システム/ネットワーク(管理者はしばしば「王国の鍵」を握っており、攻撃が成功すればネットワーク全体が危険にさらされる可能性があります)。
  • パートナーのリソースとコネクション(B2B)。
  • 知名度の高い、顧客向けのリソースとコネクション(B2C)。
  • 関心のある国」にある支店(他のすべての支店に続く)。
  • ゲストアクセスネットワーク(無線と有線の両方)。
  • キャンパスネットワーク

インターネットへの主要なアクセスポイントでゼロトラストの原則と概念を採用することも理にかなっています。しかし、そのためには、必要なすべての機能を得るためには、既存のレガシーなセキュリティデバイスをゼロトラストのセグメンテーション・プラットフォームで置き換えるか、または増強する必要があるでしょう。

ゼロトラストの原則と実践を採用するメリット

プラットフォームを使用してゼロトラスト・セキュリティ・アーキテクチャを実現することには、技術的およびビジネス上の利点がいくつかあります。これらには、以下のことが含まれます。

  • ゼロトラスト・モデルへの移行を段階的かつ非破壊的に行う。
  • 合法か否かを問わず、企業のコンピューティング活動に対する比類のない状況認識を得る。
  • 最小特権アクセス制御ポリシーの厳格な実施を含む、すべてのゼロトラストの原則と概念を完全に実施する(これは攻撃の対象を減らすために不可欠である)。
  • 組織のセキュリティ姿勢と機密データの流出を防止する能力を劇的に強化する。
  • 適用される基準や規制へのコンプライアンスの達成と維持を簡素化する(非常に効果的な信頼境界を使用して機密性の高いリソースをセグメント化することで)。
  • ユーザーのモビリティ、ソーシャルネットワーキング、インフラストラクチャの仮想化、クラウドコンピューティングなど、ビジネス主導の IT イニシアチブへの対応を安全に可能にし、容易に適応させます。
  • 異なるポイント製品の集合体ではなく、コンピューティング環境全体にわたって単一の統合セキュリティ・プラットフォームを使用することで、総所有コストを削減します。

結論

境界線を中心としたセキュリティ戦略は、ますます高度化するサイバー脅威だけでなく、ユーザーのモビリティ、ハイパーインターコネクティビティ、グローバリゼーションなど、テクノロジーやビジネス環境の大きな変化によっても、依然として大きな課題を抱えています。これらの要因により、「内部」にあるものはすべて信頼できるという前提は無効になっています。結局のところ、このような戦略は、それを実装するために使用されてきたレガシー技術とともに、ほとんどの場合、もはや有効ではないということです。

現代のサイバー脅威に対する防御態勢を大幅に改善し、機密データの流出をより確実に防止したいと考えている企業は、ゼロトラスト・セキュリティ・アーキテクチャへの移行を検討する必要があります。IT セキュリティの代替モデルであるゼロトラストは、誤った信頼の前提を排除し、ゼロトラストのセグメンテーション・プラットフォームの使用を促進することで、従来の境界線中心のアーキテクチャの欠点を是正し、コンピューティング環境全体で安全な「信頼の境界」を確立し、一般的には機微なリソースに近接しています。

 

SNSでもご購読できます。

コメントを残す

*