ゼロトラスト
ゼロトラストとは
ゼロトラストとは「全てのアクセスを継続的に评価し、认証?认可を行う」というリソースの保护を目的としたサイバーセキュリティの概念です。ゼロトラストの概念を採用したインフラストラクチャやポリシーによって构成される组织のサイバーセキュリティ体制が、ゼロトラストアーキテクチャです。
ゼロトラストが必要な理由
组织のサイバーセキュリティ戦略を考えるうえでゼロトラストが注目されるようになった背景には、ビジネス环境の変化とサイバー攻撃の高度化に要因があります。
近年、リモートワークの普及によって、多くの组织では痴笔狈などの技术を通じて组织の外部から内部のシステムにアクセスする机会が増えました。また、顿齿（デジタルトランスフォーメーション）の推进やクラウドサービスの利用により、それまで组织内部に存在していた情报资产が外部で保管されるようになりました。
一方で、そうしたビジネス环境の変化を逆手にとって、サイバー攻撃者は痴笔狈の脆弱性を悪用したり、认証情报を窃取したりすることで、组织の内部に侵入して攻撃を行う手法を採用するようになりました。また、クラウドサービスのセキュリティ设定の不备などを悪用して情报を窃取するような攻撃も确认されています。
つまり、アクセス元とリソースの场所がそれぞれ多様化したことによって、组织の内部?外部といった「境界」という概念に基づいたセキュリティの考え方だけでは、近年の胁威に対処することが困难となってきています。よって、ゼロトラストの必要性が高まっています。
ゼロトラストと境界型防御の违い
従来からのセキュリティ対策として多くの组织で採用されてきた「境界型防御」では、内部と外部の境界でセキュリティ対策を行います。内部は社内ネットワークやデータセンターなど、外部はインターネットになります。境界上でファイアウォールや痴笔狈、プロキシサーバなどを设置することで内部と外部を区别し通信を制御します。つまり、内部は信頼できる领域、外部は信頼できない领域として、主に外部から内部への通信を制御することでセキュリティを确保します。
一方で、ゼロトラストはネットワークの场所に関係なく全てのアクセスを监视?评価したうえで、认証?认可を行います。そのため、「境界」という考え方が存在しません。そして、ゼロトラストの概念を実现するためには、さまざまなソリューションを导入する必要があります。
図：境界型防御とゼロトラストの违い
ゼロトラストの歴史
2004年以前から、アメリカの顿滨厂础（国防情报システム庁）と顿辞顿（国防総省）が公开した「ブラックコア」と呼ばれる安全な组织戦略に関する研究のなかで、境界型防御から个々のトランザクションにセキュリティの焦点を当てるモデルへの移行が语られていました。
その後、2010年にForrester Research社のJohn Kindervag氏が、ネットワークの場所をベースとした暗黙の信頼から、個々のアクセスへの信頼性の評価に焦点を当てる「ゼロトラスト」の概念を提唱しました。そして、2020年にはが発行されて、ゼロトラストの基本的な考え方が整理されました。2021年にはアメリカの「Executive Order 14028（国家サイバーセキュリティ強化における大統領令）」のなかで、連邦政府のサイバーセキュリティにおいてゼロトラストを推進していくことが宣言されました。尚、日本では2022年にデジタル庁が政府情報システムを対象としたを公表しています。
図：ゼロトラストに関する主な动向
ゼロトラストアーキテクチャとは
ゼロトラストアーキテクチャは、ゼロトラストの概念を採用したインフラストラクチャやポリシーによって构成される组织のサイバーセキュリティ体制です。ゼロトラストアーキテクチャは、以下のゼロトラストの基本的な考え方をもとに设计、展开されます。
1 |
全てのデータソースとコンピューティングサービスをリソースとみなす |
|---|---|
2 |
ネットワークの场所に関係なく、全ての通信を保护する |
3 |
公司リソースへのアクセスをセッション単位で付与する |
4 |
リソースへのアクセスは、クライアントアイデンティティ、アプリケーション/サービス、リクエストする资产の状态、その他の?动属性や环境属性を含めた动的ポリシーにより决定する |
5 |
全ての资产の整合性とセキュリティ动作を监视し、测定する |
6 |
全てのリソースの认証と认可を?い、アクセスが许可される前に厳格に実施する |
7 |
资产、ネットワークのインフラストラクチャ、通信の现状について可能な限り多くの情报を収集し、セキュリティ体制の改善に利?する |
図：ゼロトラストの基本的な考え方
ゼロトラストアーキテクチャの构成要素
ゼロトラストアーキテクチャを构成する主なコンポーネントは以下になります。
- ポリシーエンジン（笔贰）
リソースへのアクセスを信頼し、许可するか否かを最终的に判断します。判断材料としてアクセス情报や胁威インテリジェンスなどさまざまな情报をインプットとして评価します。评価方法は基準ベース/スコアベース、単一的/文脉的など、ソリューションによって异なります。 - ポリシーアドミニストレータ（笔础）
笔贰の判断をもとに、アクセス元とリソース间の通信の确立や遮断を行うコマンドを笔贰笔に送信します。 - ポリシー决定ポイント（笔顿笔）
笔贰と笔础で构成されて、适用するポリシーを决定します。 - ポリシー実施ポイント（笔贰笔）
笔础からのコマンドをもとに、アクセス元とリソース间の接続を有効化しポリシーを适用します。最终的に接続を终了します。
図：ゼロトラストアーキテクチャの构成要素
ゼロトラストアーキテクチャを実现するソリューション
组织においてゼロトラストアーキテクチャを実现するためには、ゼロトラストの基本的な考え方を満たすソリューションをそれぞれ导入する必要があります。ゼロトラストアーキテクチャに必要な主な机能とソリューションは以下になります。
- 滨顿管理
全てのリソースの认証?认可を厳格に行うために、リソースへのアクセス元を的确に识别します。
?IDaaS（Identity as a Service）
組織が利用するシステムやサービスのIDを一元的に管理し、SSO（Single Sign On）やアクセス制御を行います。
- エンドポイントセキュリティ
ゼロトラストでは境界という概念がなく、デバイスが直接リソースへアクセスすることを想定します。そのため、エンドポイントのセキュリティ状态を监视し、それらの情报を信頼性の判断材料とします。
?EPP（Endpoint Protection Platform）
マルウェアを検知?ブロックするために、パターンマッチングやふるまい検知、机械学习型検索といった机能を提供します。
?EDR（Endpoint Detection and Response）
エンドポイントにおいて実行されたプロセスのアクティビティを记録し、不正な挙动の兆候の検知や攻撃の全体像を可视化します。
?MDM（Mobile Device Management）
モバイルデバイスの机能制限やポリシーを配布します。
- ネットワークセキュリティ
ゼロトラストではネットワークの场所に関係なく、全ての通信を保护します。そのため、ネットワークの状态を监视し、それらの情报を信頼性の判断材料として通信を制御します。
?SWG（Secure Web Gateway）
インターネットへのアクセスを安全に行うために、鲍搁尝フィルタリングやサンドボックスなどの机能を提供します。
?CASB（Cloud Access Security Broker）
クラウドサービスへのアクセスを安全に行うために、クラウドサービスの利用状况の可视化やポリシーの适用、制御を行います。
- データ漏えい防止
ゼロトラストではデータをリソースと见做し、保护対象とします。
?DLP（Data Loss Protection）
机密情报の外部への漏えいを防ぐために、メールやクラウドストレージなどによるデータ転送时にコンテンツの确认と制御を行う机能を提供します。
- ログの収集?分析?可视化
ゼロトラストでは全ての资产の整合性とセキュリティ动作を监视?测定します。また、可能な限り多くの情报を収集して、セキュリティ改善します。
?SIEM（Security Information and Event Management）
ネットワークやシステムのセキュリティに関するログを収集し、管理、分析を行います。
?XDR（Extended Detection and Response）
エンドポイントに加えて、ネットワークやメールなど复数のレイヤの情报を相関分析して、攻撃の全体像の可视化と対応を行います。
?MDR（Managed Detection and Response）
胁威の兆候を监视し、検知や対応をサポートするサービスです。
まとめ
ゼロトラストの概念を组织に反映することで、ビジネス环境の変化とサイバー攻撃の高度化に対応したセキュリティを実现します。一方で、ゼロトラストアーキテクチャを実现するオールインワンソリューションは存在しないため、组织は守るべき资产を把握しセキュリティ体制の课题を明确にしたうえで、将来的なゼロトラスト実现へのロードマップに基づき、段阶的にソリューションを导入することが重要になります。
また、ゼロトラストはセキュリティの観点だけではなく、ユーザの利便性や业务の効率化といった観点も考虑する必要があります。そのため、セキュリティ部门だけではなく、各事业部门との连携及び経営者からの支援をもとにした戦略的なプロジェクト推进が求められます。组织はゼロトラストの観点を予め念头に置いたサイバーセキュリティプラットフォームを採用することで、高度化し続ける胁威からの保护に繋がります。
ゼロトラストについての関连情报
サイバーセキュリティの原点回帰：基础から分かるゼロトラスト
サイバーセキュリティの重要な考え方の1つである「ゼロトラスト」について、改めて解説します。
ゼロトラストのガイドライン「NIST SP800-207」を紐解く
ゼロトラストの基礎知識や実装方法などが纏められているガイドライン「NIST SP800-207」を解説します。