米国連邦政府機関で今こそゼロトラストを

Bill Church連邦政府担当フィールドCTO

モバイルやクラウドベースの業務環境が普及する時代において、重要なデータの保護はますます大きな課題となっています。そのため、デジタル化が進む今日のニーズにより適切に対応できる「ゼロトラスト」セキュリティモデルを採用する連邦政府機関が増えています。

According to a 最近の調査によると、連邦政府のIT幹部の約半数が、デジタルリソースを保護するため、各機関でアイデンティティを中心としたセキュリティ戦略、すなわちZero Trustへの移行が進んでいると回答しました。FedScoopが実施し、Duo Securityが資金提供したこの調査では、連邦政府機関が従来のネットワーク境界防御から脱却し、アイデンティティおよび認証ツールを主なアクセス手段として使用する、境界のないデータ環境を受け入れつつあることが明らかになりました。

ゼロトラストの導入に向けた動きが加速していることを何よりも明確に示しているのが、最近のサイバーセキュリティに関する大統領令です。この大統領令ではゼロトラストの重要性が強調されています。特に、ホワイトハウスは最近、今後数年間で政府機関のシステムのサイバーセキュリティを大幅に向上させることを目的としたゼロトラストアーキテクチャ戦略の最終版を公開しました。この動きと時を同じくして、マルチクラウド環境とリモートワーカーが急増しています。これらは現代の業務環境を構成する2つの要素であり、ゼロトラストモデルが効果的に対応できる領域です。

連邦政府機関とビジネス界全体でゼロトラストモデルの導入が加速している背景には、従来のネットワーク境界のセキュリティ確保手法ではもはや不十分だという認識の広がりがあります。定義された境界の内側に信頼できるネットワークが存在するという前提が成り立たなくなったため、「信頼するが、検証する」というアプローチは時代遅れになりました。今後、連邦政府のセキュリティチームは、より効果的な次の3つの原則に従う必要があります。

• 決して信頼しない。ただし、ユーザーとエンドポイントが実際に信頼に値することを証明した場合を除きます。
  
  
• 常に検証する—これは、エンドポイントのアクティビティに適したリスクベースのアプローチを導き出すために必要な、コンテキスト、アプリケーション、ロケーション、行動分析などの要素に適用される指針です。
  
  
• 継続的に監視する—一度認証しただけで、その後もリスクが低いと想定するのは不十分です。継続的なセキュリティを確保するには、継続的な認証が不可欠です。

F5はこのたび、ゼロトラストアーキテクチャの設計と構築に向けた実用的で相互運用可能なアプローチを開発するため、NISTのNCCoEと「ゼロトラストアーキテクチャ導入プロジェクト」で連携する18社のベンダーの1社に選定されました。ゼロトラスト導入の最前線に立つ主要な米国連邦政府機関との協業で培った豊富な専門知識を活かし、こうした重要な課題への対応を支援します。F5の幅広いアプリケーションセキュリティポートフォリオは、以下に示すゼロトラストアーキテクチャ内の4つの主要な制御ポイントを網羅しています。

エンドポイント：信頼できるアプリへのアクセス

F5 Labs は、2020年に発生したアクセス関連の侵害は、原因が判明している侵害のうち最大の34%を占めたと報告しています。アクセス関連の侵害が増加する時代において、信頼できるアプリケーションアクセスソリューションは不可欠です。

F5 BIG-IP Access Policy Manager (APM)は、ユーザーやアプリの場所を問わず、すべてのアプリに最新の認証を提供し、アプリ、API、データへのアクセスを簡素化、一元化します。アプリがオンプレミスとクラウドのどちらにあっても、Zero Trustアーキテクチャを採用した、よりセキュアな環境で、SSOによる優れたユーザーエクスペリエンスと一貫した操作性を実現します。

Identity Aware Proxy（IAP）により、APMはすべてのアプリへのアクセス要求を保護するゼロトラストモデルの検証を実装します。連邦政府機関では、特権ユーザーの認証プロセスは、APMがユーザーに米国政府の警告バナーを表示することから始まります。認証を続行するには、ユーザーがこの警告に同意する必要があります。また、APMは、証明書失効リストやOnline Certificate Status Protocolサーバーと照合して認証情報が失効していないことを確認するなど、さまざまな方法でユーザーに強力な認証情報を要求します。

特権ユーザーにシステムへのアクセスが許可されると、APMは追加の属性を照会し、そのユーザーがアクセスできるリソースを判定します。また、クライアントの完全性を確保するため、クライアントが政府支給機器（GFE）を使用していること、Host Based Security System（HBSS）に準拠していること、サポート対象のオペレーティングシステムを実行していることなどを検証する高度な機能も複数備えています。

ネットワークインフラストラクチャ：アプリケーションセキュリティ

ゼロトラストを実現するには、アプリケーションのセキュリティと可用性を確保するネットワークインフラストラクチャが必要です。F5 Labs の調査によると、ページ読み込みの約90%がSSL/TLSで暗号化されており、現在では暗号化が一般的になっています。それでも、暗号化された脅威は依然として存在します。実際、攻撃者が暗号化を利用して悪意のあるペイロードを隠し、セキュリティ制御を回避することは珍しくありません。

一元的な暗号化制御により、受信および送信SSL/TLSトラフィックを確実に復号・暗号化し、脅威を排除するための「SSL可視化」ソリューションをご検討ください。このソリューションには、死角をなくすポリシーベースのオーケストレーションに加え、あらゆるネットワークトポロジ、デバイス、アプリケーションに対応し、セキュリティチェーン全体をコスト効率よく可視化できるポリシーベースのオーケストレーションが必要です。

アプリケーション：政府機関を保護するアプリケーション層セキュリティ

F5 Labsの調査によると、組織は平均765個のアプリを導入しています。サイバー攻撃者にとって潜在的な標的が非常に多いため、政府機関はゼロトラスト戦略の一環として、これらのアプリを保護するために常に警戒を怠らないことが求められます。

アプリケーションがクラウド、オンプレミス、SaaSベース、フルマネージドのいずれであっても、アプリケーションレイヤーのセキュリティソリューションは、アプリケーションまたはその近くでセキュリティを提供し、ゼロトラストアーキテクチャ内のアプリケーションスタックを保護する必要があります。

政府機関向けのWAFソリューションには、アプリケーションの健全性を継続的に監視する行動分析を活用し、レイヤー7 DoS攻撃から保護する機能も必要です。その他の機能として、ユーザーアカウントへの不正アクセスを防止するための認証情報保護や、API攻撃からアプリケーションを保護する機能も必要です。

アイデンティティサービス：パートナーシップ

次のような組織と確立された強固なパートナーシップを持つプロバイダーのソリューション導入をご検討ください。Microsoft、Okta、Pingなどです。信頼できるアプリケーションアクセスソリューションをこれらのIdentity-as-a-Service（IDaaS）プロバイダーと統合することで、クラウドベース、SaaS、ミッションクリティカル、カスタムの各アプリケーション間にあるアイデンティティのギャップを解消し、統一されたセキュアなアクセス環境をユーザーに提供できます。

連邦政府機関も同様に、Zero Trustの導入を成功させるには、強固なパートナーシップを構築する必要があります。必要な専門知識とソリューションについて、ぜひF5までお問い合わせください。F5は、可能な限り円滑なZero Trustへの移行を支援し、政府機関の業務改善につながるメリットを早期に得られるようにすることを目指しています。

Bill Church
最高技術責任者（CTO）– F5 US Federal Solutions

（本コンテンツの旧版は2020年末に公開されました。2022年初頭に更新。）

著者について

Bill Church連邦政府担当フィールドCTO

Bill Churchのその他のブログ記事