ゼロ トラスト アーキテクチャとは - パロアルトネットワークス
ゼロ トラストは、サイバーセキュリティの最近の流行語になっているが、それは何か、または何でないのかを理解することが重要。
ゼロ トラストとは、組織のネットワーク アーキテクチャから信頼という概念を排除することでデータ侵害を防ぐ、戦略的な取り組みです。「決して信頼せず、常に検証する」という原則に基づいており、ネットワーク セグメンテーションの活用、横方向の移動阻止、レイヤー7に対する脅威防御の提供、きめ細かいユーザー アクセス制御の簡素化により、最新のデジタル環境を保護するように設計されています。
ゼロ トラストは、当時Forrester Research社の副社長兼プリンシパル アナリストだったJohn Kindervag氏により生み出された概念で、従来のセキュリティ モデルは組織のネットワーク内にあるものすべては信頼され得るものだという時代遅れな前提に基づいて運用されていることへの気づきに基づいています。この破綻したとも言える「信頼モデル」は、ユーザーのIDが不正利用されておらず、すべてのユーザーが責任をもって行動し、信頼できることを前提としています。ゼロ トラスト モデルでは、信頼は脆弱性として認識されます。ひとたびネットワーク内に入れば、攻撃者や悪意のある内部関係者であっても、ユーザーは、自由に横方向に移動でき、制限されていないあらゆるデータにアクセスし、流出させることができます。多くの場合、攻撃の侵入ポイントは標的の場所ではないのです。
「The Forrester Wave™: Privileged Identity Management」(特権ID管理)2018年第4四半期版によると、この信頼モデルでは、認証情報は悪用され続けてしまいます。1 ゼロ トラストとは、信頼できるシステムを構築することではなく、信頼を排除することなのです。
ゼロ トラスト アーキテクチャ
ゼロ トラストでは「保護対象領域」を特定します。保護対象領域は、ネットワーク上で最も重要で価値のある、データ、資産、アプリケーション、サービス(DAAS)で構成されます。保護対象領域は、各組織に固有のものです。組織の運営に最も重要な資産のみが含まれるため、保護対象領域は攻撃対象領域全体に比べて桁違いに小さくなり、常にその状況を把握することができます。
保護対象領域を特定したら、保護対象領域との兼ね合いで、組織内でトラフィックがどのように移動するかを特定できます。ユーザーが誰で、どのアプリケーションを使用しており、どう接続しているかを知ることは、データへの安全なアクセスを保証するポリシーを決定し、実施するための唯一の方法です。DAAS、インフラストラクチャ、サービス、およびユーザー間の相互依存関係を理解したら、保護対象領域のできるだけ近くに制御を配置し、その周囲にマイクロ境界を構築します。このマイクロ境界は、保護対象領域がどこに移動しても一緒に移動します。マイクロ境界の構築においては、一般的には次世代ファイアウォールとして知られるセグメンテーション ゲートウェイを導入し、既知の許可済みのトラフィックや正当なアプリケーションのみが保護対象領域にアクセスできるようにします。
このセグメンテーション ゲートウェイにより、トラフィックのきめ細かな可視化が実現し、「誰が」、「何を」、「いつ」、「どこで」、「なぜ」、「どのように」という質問に基づいてゼロ トラスト ポリシーを定義する5W1H法に則った詳細ななレイヤー7ポリシーに沿って、追加の検査とアクセス制御が実施されます。ゼロ トラスト ポリシーでは、あらゆる時点で誰がマイクロ境界を通過できるかを指定することで、不正なユーザーによる保護対象領域へのアクセスを防ぎ、機密データの流出を防止します。ゼロ トラストは、レイヤー7でのみ実現できます。
保護対象領域の周囲にゼロ トラスト ポリシーを構築したら、保護対象領域に含めるべきもの、まだ把握していない相互依存関係、ポリシーを改善する方法などを見つけるべく、リアルタイムでの監視と管理を継続します。
ゼロ トラスト: 企業と同じように動的である
ゼロ トラストは、1つの場所に依存しません。現在、ユーザー、デバイス、およびアプリケーション ワークロードはどこにでも存在するため、ゼロ トラストを1つの場所で実施することはできず、環境全体へと広げる必要があります。適切なユーザーが、適切なアプリケーションやデータにアクセスできることが必要です。
ユーザーは、重要なアプリケーションやワークロードに、自宅、カフェ、オフィス、小規模な支社など、あらゆる場所からアクセスします。ゼロ トラストでは、デバイスに直接、もしくはクラウドを通じて、一貫性のある可視性、セキュリティの適用、制御を提供する必要があります。「ソフトウェア定義の境界（SDP）」により、ユーザーがいる場所、使用しているデバイス、またはワークロードやデータをホストしている場所(データセンター、パブリック クラウド、またはSaaSアプリケーションなど)にかかわらず、安全なユーザー アクセスを提供し、データ損失を防ぐことができます。
ワークロードはきわめて動的で、複数のデータセンターやパブリック、プライベート、ハイブリッド クラウド間を移動します。ゼロ トラストでは、ユーザー、デバイス、ネットワーク、アプリケーション、そしてデータ間の活動や相互依存関係に対する深い可視性が必要です。セグメンテーション ゲートウェイは、オンプレミスのデータセンターとマルチクラウド環境内において、トラフィックを監視し、脅威を阻止し、North-SouthとEast-Westトラフィックに対し、きめ細かいアクセス制御を実施します。
ゼロ トラストの導入
ゼロ トラストの実現にはコストがかかり、複雑であると思われがちです。しかしゼロ トラストは、既存のアーキテクチャ上に構築されるため、既存のテクノロジを入れ替える必要はありません。ゼロ トラスト製品というものは存在しません。存在するのは、ゼロ トラスト環境で有効に機能する製品と機能しない製品です。また、ゼロ トラストの導入、実装、管理には、単純な5つのステップが使用でき、とても簡単です。このガイド付きのプロセスによって、自分がどのステップにいて、次にどこに進むべきかが簡単にわかります。
保護対象領域の特定
トランザクション フローのマッピング
ゼロ トラスト アーキテクチャの構築
ゼロ トラスト ポリシーの作成
監視と管理
ゼロ トラスト環境は、セグメンテーション ゲートウェイを利用して、5W1H法に則ったポリシーに沿ってレイヤー7で実施される、マイクロ境界によって保護された1つのDAAS要素を含む保護対象領域で構成され、その構築は、一度に1つの保護対象領域/DAAS要素に対して繰り返し実行できる単純なプロセスです。
ゼロ トラストの詳細と組織内での実装方法については、ホワイト ペーパー「Simplify Zero Trust Implementation with a Five-Step Methodology」(5ステップ方法論によるゼロ トラスト導入の簡素化)をご覧ください。
ゼロ トラスト アーキテクチャの実現方法
ゼロ トラストを使用することで、ユーザー、デバイス、場所、そしてアプリケーションにまたがるすべてのトラフィックに対する可視性とコンテキストを得ることができ、内部トラフィックの可視性に対するゾーニング機能も備えられます。トラフィックの可視性とコンテキストを得るためには、復号機能を持つ次世代ファイアウォールを通過する必要があります。次世代ファイアウォールは、境界のマイクロセグメンテーションを可能にし、組織内での境界制御の役割を果たします。外部境界を保護することも必要ですが、ネットワーク内の各機能間を通過するトラフィックを検証するための可視性を得ることが、より重要です。2要素認証や他の検証方法を追加することで、ユーザーを正しく検証する能力が向上します。ゼロ トラスト アプローチを活用により、ビジネス プロセス、ユーザー、データ、データ フロー、および関連するリスクを特定でき、関連するリスクに基づいてその都度自動的な更新が可能なポリシー ルールを設定することができます。
ゼロ トラストの詳細とそのネットワークの実装方法については、ホワイト ペーパー「5 Steps to Zero Trust」(ゼロ トラストへの5つのステップ)をご覧いただくか、「How to Enable Zero Trust Security for your Data Center」(データセンターに対してゼロ トラスト セキュリティを有効にする方法)ウェビナーをご覧ください。
さらなる情報については、パロアルトネットワークスのWebサイトの以下のページもご覧ください。
1「The Forrester Wave™: Privileged Identity Management」(特権ID管理)2018年第4四半期版https://www.forrester.com/report/The+Forrester+Wave+Privileged+Identity+Management+Q4+2018/-/E-RES141474