ゼロトラストセキュリティモデルの採用

ゼロトラストセキュリティの概念を掘り下げて、組織に実装する方法について説明します。
（出典：rawpixel.com @ freepik.com）

分散した労働力の現実は、企業のセキュリティパラメータの概念を変えました。組織はもはや単純なオフィスビルを確保するだけではありません。これは、パンデミックにより企業が従業員をリモートで移行することを余儀なくされる前から現実になりつつありました。

現代の組織は、今日の技術的な複雑さを管理するための包括的なセキュリティ戦略を必要としており、ゼロトラストセキュリティはこのニーズを満たします。各ネットワーク要求は違反であると想定し、認証されていないソースから発信されたかのように検証します。ランサムウェアなどのサイバー攻撃がますます厳しくなるにつれ、企業のセキュリティパラメータの背後にあるすべてのものが安全であると想定する余裕がなくなりました。

今日は、ゼロトラストセキュリティの概念について詳しく説明し、それを組織に実装する方法について説明します。

なぜゼロトラストが必要なのですか？

最近の企業では、従業員がリモートデバイスやクラウドソフトウェアから重要なビジネス資産にアクセスできるようになっています。これらの貴重な企業リソースへの接続は、それらがどこから発生したかに関係なく保護する必要があります。セキュリティはテクノロジーの使用方法とともに進化する必要があり、かつて依存していた従来の静的セキュリティパラメータは現在では不十分です。

ますます多くの組織が、クラウドアプリケーション、リモートデバイス、IoTデバイス、およびデータセンター間で貴重なデータを継続的に交換する必要があることに気づいています。これらの可動部分はすべて、サイバー犯罪者の生活をはるかに楽にし、セキュリティスペシャリストの生活を困難にします。

利用可能なエントリポイントはさまざまであるため、組織が侵害や侵入を特定するのに数か月から数年かかる場合があります。この間、サイバー犯罪者は重要なデータを盗み、会社の資産に甚大な被害を与える可能性があります。ビジネスにおけるよりオープンなデジタルランドスケープは、どこからでも生産性を向上させることができますが、具体的な境界線なしで企業のセキュリティを維持するには、適切な手順を実行する必要があります。

ゼロトラストの基本

米国国立標準技術研究所（NIST）は、ゼロトラストアーキテクチャに関する包括的なガイドを提供していますが、ここでは基本について説明します。基本的に、ゼロトラストアーキテクチャは、次の3つの基本原則に基づいています。

• 明示的な検証が必要
• 最小特権アクセスの使用
• 違反の想定

アクセスを許可する前に、すべての要求を完全に認証、承認、および暗号化する必要があります。また、このIDの厳密な検証は、使用可能なすべてのデータポイントに基づいている必要があります。デフォルトでは、場所（組織の安全な境界の内側または外側）に関係なく、ワークロードやユーザーは信頼されません。

労働者がホームオフィスにいる場合でも、遠く離れた熱帯の島にいる場合でも、強力なポリシーがゼロトラストの中心にあります。これにより、最大の生産性を促進しながら、モバイルワーカーを確保できます。効果的なゼロトラスト戦略を確実に実施するには、正当なビジネス目的に基づいたリソースと情報への最小限のアクセスを実施する必要があります。

そのため、組織は以下を実装することにより、ユーザーサービスとアプリケーションアクセスを制限する必要があります。

• ジャストインタイム（JIT）アクセス管理
• 十分なアクセス/管理（JEA）
• リスクベースの適応ポリシー
• データ保護管理

ソフトウェア開発会社とテクノロジー企業は、開発段階の早い段階でゼロトラストアプローチを採用する必要があります。これには、セキュリティを左にシフトし、ゼロトラストを確認するファームウェアなどの製品を開発することが含まれる場合があります。

もちろん、これには企業が新しい有能なスタッフを雇うか、現在のスタッフをスキルアップする必要があります。サイバーセキュリティを理解している経験豊富なフリーランスの開発者には、1時間あたり60ドルから80ドルの支払いが期待できます。また、変更が行われる理由を理解できるように、すべての従業員に優れたサイバー衛生とゼロトラスト哲学についてトレーニングすることもできます。

ゼロトラストの前：古いパラダイム

ゼロトラストアーキテクチャがセキュリティ環境をどのように変えたかをさらに強調するために、企業が過去にソフトウェアサービスへのリモートアクセスを通常どのように保護していたかを調べてみましょう。

従来のモデルは、オンプレミスでホストされるサービス、または企業が完全に制御できるリモートサーバーで構成されます。多くの場合、これらのサービスへの接続は仮想プライベートネットワーク（VPN）によって促進され、VPNは非武装地帯（DMZ）でホストされます。ユーザーは、VPNにアクセスするための資格情報を、通常はユーザー名とパスワードの形式で提供する必要があります。

これは、WebサイトとWebサービスがマルチフォールドソリューションによって保護される多要素認証（MFA）が普及する前のことでした。検証プロセスが完了すると、VPNはユーザーにIPアドレスを提供します。これにより、ユーザーは、アプリケーションとサービスがホストされている会社の内部ネットワークにアクセスできるようになります。

侵害の大部分はパスワードの盗難または脆弱性に起因するため、単一要素認証がもはや実行可能ではないことは明らかでした。さらに、セキュリティの観点から見たVPNの最大の課題の1つは、他の内部ネットワーク資産への軽減されていないアクセスをユーザーに提供することが多いことです。たとえば、ユーザーがSSHサーバーにログインすると、ネットワーク内の他の場所にピボットできます。緩和を提供したり、制御を制限したりする他のセキュリティ対策がネットワーク上にない限り、それは潜在的なサイバー攻撃の危険なベクトルになる可能性があります。

ゼロトラストがパラダイムをどのように変えるか

クラウドファーストアーキテクチャの最大の欠点の1つは、可視性が制限されていることです。これは、ゼロトラストモデルが対処するものです。ゼロトラストの原則を使用して前の例を更新するには、最初に従来のVPNをリバースプロキシに置き換える必要があります。内部ネットワークへのアクセスを仲介する責任があります。

さらに、シングルサインオンゲートウェイも追加します。シングルサインオンソリューションで最も一般的で効果的なプロトコルは、Security Assertion Markup Language（SAML）です。ユーザーがオンプレミスのリソースにアクセスしようとすると、ブラウザまたはローカルアプリケーションを使用してリバースプロキシに接続する必要があります。リバースプロキシは、それらをシングルサインオンゲートウェイに接続します。シングルサインオンゲートウェイは、企業が構成したIDソース（オンプレミスディレクトリなど）と通信して、ユーザーの認証に役立てます。

リソースがクラウド上にある場合、シングルサインオンゲートウェイはそれらに直接アクセスを許可します。認証は会社が管理するゲートウェイで行われるため、会社はどのポリシーがエントリに適用されるかを決定できます。これにより、会社はオンプレミスサービスと同じポリシーをクラウドベースのアプリに適用できます。ただし、リバースプロキシがオンプレミスリソースへの接続を処理する方法にはわずかな違いがあります。

通常、プロキシはユーザーをシングルサインオンゲートウェイに接続し、接続を認証してからブローカーに送り返します。検証されると、プロキシはユーザーを、アクセスする権限を持つ個々のサービスまたはアプリケーションにトンネリングします。

ハイブリッドクラウドを実行している組織の場合、移行はシームレスであり、エンドユーザーには気づかれません。クラウドサービスとオンプレミス資産の違いを見分けることはできません。リバースプロキシとシングルサインオンゲートウェイは、両方の認証を処理します。

オンプレミスリソースは、リバースプロキシからトンネリングされない限り、接続を受け入れません。

このように、ゼロトラストアプローチは、ユーザーがリソースからリソースへとピボットすることを制限します。基本的に、ユーザーとそのデバイスを確認するだけではありません。また、アクセスが許可されている個々のネットワークコンポーネントも確認しています。

結論

組織は、他の機能に影響を与える攻撃者によって個別のコンポーネントが危険にさらされないようにシステムを設計する必要があります。これは、合理的なリスクの仮定の範囲内で発生するはずです。

さらに、組織はテレメトリ、分析、およびビジネスインテリジェンスを使用して、可視性と検出速度を向上させる必要があります。彼らはすべての貴重な資産を特定し、マイクロセグメントを形成して複数の検査ポイントを作成する必要があります。これにより、侵入者が資産間を移動するのを防ぐことができます。これらのツールを使用すると、脅威にリアルタイムで対応できます。

ビジネスのゼロトラストの準備状況を評価する場合でも、ID、デバイス、アプリケーション、データ、インフラストラクチャ、ネットワーク全体の保護を改善するための計画を立てる場合でも、「決して信頼せず、常に検証する」ことが採用するマントラです。