現在、ゼロトラストは誰もが関わりたいと考える注目の新トレンドです。F5の「State of Application Strategy 2022レポート」では、「最も期待される」トレンドのトップ3に挙げられており、過去12か月間、Googleトレンドでも一貫して高い関心を集めています。
その結果、ゼロトラストは、「シフトレフト」が登場して以来、最も話題に上る一方で、最も誤解されているセキュリティアプローチの1つとなっています。ゼロトラストは、ソフトウェア定義境界（SDP）のような特定のテクノロジーや、アイデンティティおよびアクセス管理（IDAM）のような市場セグメントと同一視されがちです。
これはそれほど驚くことではありません。クラウドコンピューティングが登場した際にも、特定のテクノロジーや製品を「注目の新トレンド」と同一視しようとする同様の動きが見られました。クラウドウォッシングは頻繁に行われ、新製品が実際にどの程度「クラウドらしい」のかを揶揄する表現としてよく使われていました。
そこで、まずゼロトラストの定義から始めるのが適切でしょう。同僚のKen AroraとMudit Tyagiによる、このトピックについてすでに公開されている優れたガイドから引用します：
「ゼロトラストセキュリティとは、その本質において、考え方、すなわち信念体系であると私たちは考えています。そこから生まれる手法や戦術は、特定のテクノロジーを活用することで、幅広いセキュリティ脅威への対処に適用できます。」
これは重要な点なので、もう一度繰り返します。ゼロトラストセキュリティは、その本質において考え方です。
その考え方には一連の前提があり、テクノロジーの活用はその結果として生じるものです。
つまり、SDPやAPIセキュリティなどのテクノロジーを導入しただけでは、ゼロトラストを採用したことにはなりません。単一の製品を導入するだけで、突然「ゼロトラストに準拠」し、攻撃や侵害、エクスプロイトの影響を受けなくなるわけではありません。
確かなのは、SDPとAPIセキュリティが、ゼロトラストのアプローチを採用するうえで適切な戦術的対応となり得るということです。ただし、その実現には、まずいくつかの基本的な前提を定め、そこから論理的に導かれる最適なツールとテクノロジーを判断する必要があります。
この点を具体的に説明するため、いくつかの例を見ていきましょう。タイトルが示すとおり、これらの例から、ボット対策とWebおよびAPIのセキュリティは「ゼロトラスト」のツールボックスの一部であると結論付けられます。
- ゼロトラストのアプローチでは、侵害を前提とします。正規のアクセス権限を持つユーザーも実際には侵害されている可能性があり、その結果、意図せずして非常に大きな損害をもたらす脅威となり得ます。攻撃者は、正面玄関（企業ネットワーク）よりも窓（ユーザー）から侵入する方が一般に容易であることを理解しています。ユーザーは常に侵害の脅威にさらされているため、すでに侵害されていると想定することが、最も安全な方策です。侵害された企業のノートPCや携帯電話から実行され得る行為は多岐にわたります。たとえば、nastyware（マルウェア、ランサムウェア、そして今後登場するあらゆる「ウェア」）を拡散しようとするWebサイトやアプリに対する攻撃や、脆弱性を悪用してアクセス権を取得する攻撃などです。モバイルアプリやWebベースのアプリが企業のアプリやシステムにアクセスする手段としてAPIの利用が増えているため、正規の認証済みユーザーから送信されたコンテンツであっても、悪意の有無を判断するために検査することが重要になります。そのため、このリスクに対する保護を実装するうえで、WebおよびAPIセキュリティは合理的な選択肢となります。
- ゼロトラストアプローチでは、認証情報だけでは不十分であると想定します。ユーザーが人間、マシン、ソフトウェアのいずれであっても、正規の認証情報が提示されたとしても、実際のユーザーが正当であるとは限らないと想定します。実際、クレデンシャルスタッフィングは、正規ではあるものの盗まれた認証情報を悪用するものであり、今なお懸念されています。1日平均100万件のユーザー名とパスワードが、流出または盗難に遭ったと報告されていることは広く知られています。F5の分析では、漏えいした認証情報リストのうち0.5%～2%が、標的となるWebサイトまたはモバイルアプリで有効であると結論付けています。そのため、ゼロトラストアプローチでは、認証情報だけでなく、ユーザーの身元そのものを検証するための対策を講じる必要があります。これには、正規ユーザーを装うボットの特定も含まれます。実践面では、ボット検知とも呼ばれるボット対策が、ゼロトラストアプローチにおいて重要な役割を果たします。
- ゼロトラストアプローチでは、変化は常に起こるものと想定します。ゼロトラストでは、ユーザーの検証とリソースへのアクセス許可が完了すればリスクはなくなる、という前提を否定します。すべてのトランザクションにリスクがあるとみなし、トランザクションに含まれるコンテンツと、その送信元であるユーザーに基づいて評価します。実際、セッションハイジャックは現実に使われている攻撃手法です。常に警戒することがゼロトラストの基本姿勢であり（少なくとも、そうあるべきです）、悪意のあるコンテンツを絶えず監視する必要があります。そのため、WebおよびAPIのセキュリティとボット検出は、ゼロトラストアプローチの重要な構成要素となります。
また、このアプローチからは、SDP、アイデンティティおよびアクセス制御、ネットワークファイアウォール、CASBなど、ほかのツールやテクノロジーに加え、こうした前提から自然に生じる既知のリスクを軽減するさまざまなソリューションも導き出されます。しかし、そのうち1つだけを導入して、ゼロトラストの取り組みが完了したとは言えません。それは、医師の診察を受けずに、骨折をTylenolで治そうとするようなものです。確かに痛みは和らぎますが、問題のほかの部分にはまったく対処できません。
ゼロトラストを、リスク軽減につながる意識の転換として採用することは、完璧ではありません。完璧な手法など存在しないからです。それでも、適応力を高め、新たな攻撃や出現しつつある攻撃に、より迅速かつ効果的に対処できるようになるための大きな一歩となります。
どうぞお気をつけください。
ゼロトラストアプローチによるセキュリティのモダナイゼーションについて詳しくは、F5の書籍『デジタルビジネスのためのエンタープライズアーキテクチャ』の第5章をご覧ください。
著者について
Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。
Lori Mac Vittieのその他のブログ記事関連するブログ記事
SOAS 2025：足並みの乱れが凡庸さを招く
AI導入における方針の不一致は、非効率を招きます。セキュリティ、自動化、導入の各戦略を整合させ、AIの可能性を最大限に引き出す方法をご紹介します。
WebAssemblyが重要な理由
WebAssembly（Wasm）は、あらゆるプラットフォームで高性能なアプリケーションを実現する、ポータブルで高速かつセキュアなバイナリ命令セットです。
インフラストラクチャは依然として格好の攻撃経路
クラウドコンピューティングでは、APIやドラッグ＆ドロップ式の設定ツールを活用し、ネットワークやインフラストラクチャを敬遠する人がそれらを直接扱わずに済むようにすることで、インフラストラクチャへの対応を不要にすることが長年追求されてきました。しかし、インフラストラクチャを無視することも、攻撃の主要な標的であるという事実を見過ごすこともできません。
堅牢なデータアーキテクチャがもたらす戦略的メリット
適切に構築されたデータアーキテクチャがもたらす効果は、業務プロセスの改善にとどまりません。戦略的な業務効率の向上、より深いビジネスインサイトの獲得、隣接するビジネス機会への展開にもつながり、これらすべてをより俊敏に実行できるようになります。
デジタルワークフローにおける不正検知には、データだけでは不十分
2019年には、業界全体でクレジットカード詐欺の試みが約25万件確認されました。これは約2分に1件の割合です。今日、不正を検知するには、デジタルワークフロー上のできるだけ多くのポイントから収集したデータを相互に関連付け、手作業によるデータ処理をはるかに上回る速度で分析する能力が求められます。