「おうちゼロトラスト」から学ぶ実践的セキュリティ強化

ここ最近、リモートワーク環境の普及に併せて、ゼロトラスト型セキュリティの話題が非常に増えてきました。私自身はセキュリティの専門家というわけではないものの、アーキテクトとして、お客様の OA 環境やサーバシステム、さらにはその上に乗るアプリケーションのセキュリティなどを全般的に見ることが多く、そうした経緯もあり、社内でもよく質問を受けるようになってきました。ネット上を見ていても、ゼロトラストセキュリティがひとつの大きなブームとなっており、様々な解説が出回るようになってきましたが、お客様目線で考えると、逆にいったいどうすれば??と悩みを深めるケースも多いのではないでしょうか?

よく見かけるものの、私個人としてはかなり微妙に思うゼロトラストとしては、以下のようなものがあります。

  • ゼロトラスト=何も信用しない=思いつくセキュリティ施策を全部やる(単に今までのセキュリティ施策を全部重ねがけしただけ)
  • マイクロセグメンテーション=サーバ単位にネットワークを隔離してハードニングする(そしてネットワーク監視ソリューションを売り込む)
  • クラウドプロキシによりゼロトラストを実現する=単にネットワークまわりの通信制御の面倒ごとを 1 box 化しただけ
  • 動的認可ポリシーエンジンでゼロトラストを実現する=考え方としては正しいものの製品が追い付いていない場合には絵に描いたゼロトラストになってしまう

赤間はあくまで「現場中心」のコンサルタントなので、あまり用語の定義にはこだわらないのですが、2020/07/08 に開催された Cisco Secure Insights Summit Day1 のチェーンス・カニンガム博士の講演で語られたという、以下のゼロトラストの解釈が、私のゼロトラストの理解に非常に近いと感じます。(以下、Cisco Japan Blog より転載、最も重要なのは太線部分です)

  • ゼロトラストはどこかの団体で規定されるような、正式な定義が存在しない、それはアイディアでありコンセプトの収集である
  • ゼロトラストは、長いサイクルによる複数の手段で成り立つ(それは20年、30年かかるインフラかもしれない)
  • もし、ゼロトラストを定義づけるのであれば、それは、「戦略的にネットワーク内部のラテラルムーブメントを防ぐための考え方でありマイクロセグメンテーションによるリバレッジである、これは、詳細なエンフォースメントにより実行される。そのトラストのベースはユーザコンテキストであり、データアクセス制御、ロケーションに基づくポスチャによる」
  • コンプライアンスは事業継続において必要不可欠であるがコンプライアンスは戦略ではない、セキュリティ実装と投資をしてコンプライアンスを守っても侵入され結果につながらなかった、この点で実際にゼロトラストの効果に反応が表れている
  • セキュリティOutcomeではなくビジネスOutcomeにフォーカスしましょう。そのために侵害があった場合、損害と失敗を引き起こすものは何なのか?守るべき資産を考えることが重要

この「戦略的にネットワーク内部のラテラルムーブメント(水平攻撃・水平移動)を防止する」という考え方は、近代的なセキュリティを考える上では最も重要であり、この考え方で作られた IT インフラの上ではじめて、「ゼロトラスト」、すなわち「ゼロから信頼(トラスト)を積み上げることによって権利を得る」という考え方が成立します。つまり、ゼロトラストの実践には、その前提条件として、

  • セグメンテーション戦略によるトラバーサル(水平攻撃)の抑止
  • 堅牢な認証基盤による主体(プリンシパル)の確実な特定(否認の抑止)
  • セキュリティログ収集基盤(SIEM)などによる遠隔監視・制御の仕組み

といった概念によって形作られる、新しいセキュリティ論理境界の考え方が必要になります。

image

なので、ゼロトラストセキュリティの考え方の発端となった「ゼロトラスト型ネットワーク」、さらにその原点にある、「トラバーサルを防ぐためのマイクロセグメンテーション」の考え方の理解が重要です。そして IT インフラ全体をゼロトラストセキュリティモデルにモダナイゼーションすることは、単なるセキュリティ強化やサーバ環境のクラウド化、リモートワーク対応といった目先の話に留まらず、企業全体の DX 推進の礎(いしずえ)となるものです。なのでむちゃくちゃ重要……なのですが、このことまで含めてきちんと理解して語られているケースとなるとほぼ皆無のように思います。……っつーかそんな体系的な解説を見たことがないです;。

実は、このゼロトラスト型ネットワークやマイクロセグメンテーションの考え方は自宅ネットワークを例に取って考えると非常にわかりやすいこともあり、私自身はよく「おうちゼロトラスト」と呼んでその要点を解説しています。本 blog では、ゼロトラストセキュリティの起点となった、境界型ネットワークセキュリティからの脱却としてのゼロトラスト型ネットワークを、この「おうちゼロトラスト」を例に取って解説し、そこを起点に、企業ネットワークのあるべき姿、すなわちゼロトラスト型マルチクラウド IT 環境について解説したいと思います。

Part 1.「おうちゼロトラスト」に学ぶゼロトラストセキュリティの基礎
Part 2. 企業内 OA 環境のゼロトラストセキュリティ
Part 3. サーバ環境のゼロトラストセキュリティ
Part 4. 開発環境のゼロトラストセキュリティ

なお、赤間はセキュリティを学術的に極めたいわけではなく;、あくまで実践的に、どう企業内 IT を変えていけばセキュリティと生産性を両取りする環境を実現できるか? という視点で物事を考えています。このため、NIST の用語定義と違う! とか、最新のセキュリティの用語定義によれば、とか、その手のツッコミはもろもろあると思います。できる限り正確に書いているつもりですが、誤りがありましたらごめんなさい;。m(_ _)m

正直なところ、かなり長い & 大変な説明になりますが、一度理解してしまえばかなり簡単な概念でもありますので、ぜひ最後までお付き合いいただければ幸いです。本 blog が、皆様の IT 環境の改善やロードマップ作成のきっかけとなったり、多少でも検討のお役に立つことを心から願っております。

コメントを残す

メールアドレスが公開されることはありません。 * が付いている欄は必須項目です