ハイブリッドクラウドモデルが一般化するなか、環境をまたいで一貫したアクセスセキュリティを維持することは、これまで以上に困難になっています。従来型のネットワーク境界がなくなったことで、多くのレガシーセキュリティツールはもはや有効に機能せず、その一方で脅威や攻撃者の手口は高度化しています。また、レガシー認証プロトコルもリスクをもたらし、攻撃経路として広く悪用されるようになっています。こうした変化に対応するには、大幅な転換が必要です。
世界中の組織が、今日のモダンな分散環境を保護するためにゼロトラストの原則を採用しています。お客さまの組織でも採用すべきでしょうか。本ブログでは、F5とMicrosoft Entra ID（旧Azure Active Directory）を活用したゼロトラストの導入を検討すべき理由と、その方法について解説します。
ゼロトラストセキュリティへの需要の高まり
ゼロトラストは、ここ数年で大きく普及しています。戦略的なゼロトラスト施策をすでに導入していると回答した組織は61%ですが、ほぼすべての組織が近い将来に導入する予定です。1
ネットワーク内部のすべてを信頼できるとみなす従来のセキュリティ概念とは異なり、ゼロトラストは「決して信頼せず、常に検証する」という原則に基づいています。このアプローチでは、脅威はネットワークの外部と内部の両方に存在することを前提とし、リソースへのアクセスを試みるすべてのユーザー、デバイス、アプリケーションを継続的に検証する必要があります。
リモートアクセスを保護する方法
リモートワークは、最新のアプリと、多くの場合ミッションクリティカルな従来型アプリの両方に対して、よりきめ細かなセキュアアクセスが求められることから、ゼロトラスト導入を促す主な要因となっています。オフィス回帰の取り組みが進む中でも、2024年5月時点で、リモート勤務が可能な職種に就く米国の労働者の79%が、ハイブリッド勤務または完全なリモート勤務を行っています。2 この実態により、組織の攻撃対象領域が大幅に拡大し、アクセス要求の認証がさらに困難になっています。
ゼロトラストによるアプリへのアクセスの大きな利点の1つは、認証情報だけでなくコンテキストも使用して、アプリごとにリクエストを評価できることです。
F5 BIG-IP Access Policy Manager (APM)は、アイデンティティ認識型プロキシとして機能し、ユーザーのアイデンティティとコンテキストに基づいて各アクセス要求を個別に検証するための一元的な制御ポイントを提供します。これにより、ユーザーはネットワーク全体ではなく、承認された特定のアプリケーションとリソースのみにアクセスできるようになります。ユーザーによる水平移動を排除し、攻撃対象領域を限定します。
“ゼロトラストは、「決して信頼せず、常に検証する」という原則に基づいています。”
コンテキストは、盗まれた認証情報を使用したログイン試行やブルートフォース攻撃の特定にも役立ち、保護をさらに強化できます。また、BIG-IP APMは、アクセス可否の判断においてサードパーティの行動分析を考慮し、追加のコンテキストとして活用できます。
Microsoft Entra IDとの統合でセキュアなアクセスを簡素化
クラウドとオンプレミスのアプリケーションが混在する環境では、アクセス管理が複雑になりがちです。Microsoft Entra IDは、数千のSaaSアプリケーションにシングルサインオン（SSO）と多要素認証（MFA）の機能を提供し、ゼロトラストのポリシーエンジンであるMicrosoft Entra Conditional Accessをサポートします。BIG-IP APMとMicrosoft Entra IDを組み合わせることで、ハイブリッドクラウド環境全体にわたり、モダン、レガシー、カスタムの各アプリケーションを含むポートフォリオ内のすべてのアプリケーションにSSOとMFAの機能を拡張できます。
すべてのアプリが従来のSSOソリューションに容易に対応できるとは限りません。レガシーアプリでは、古い認証方式が使用されている場合があります。SSOに対応していないアプリでログインを繰り返すと、ユーザーは煩わしさから注意を払わなくなり、攻撃者の罠にかかる可能性があります。また、アプリごとにパスワードを作成する必要があるため、パスワードの使い回しにつながるおそれがあります。その結果、攻撃者に1組のユーザー認証情報を盗まれ、より多くのアプリへのアクセスを許す隙が生じます。
この問題を防ぐため、F5 BIG-IP APMは認証方式の橋渡し役として機能し、ほぼすべてのアプリへのSSOアクセスを可能にします。
アプリがAzure、オンプレミス、その他のクラウドプロバイダーのいずれでホストされていても、F5がアクセス用のフロントエンドを一元化し、一貫したユーザーエクスペリエンスを提供します。また、環境をまたいで管理を一元化することで、セキュリティチームの継続的な作業負担も軽減できます。
アプリケーションをエクスプロイトから保護
ゼロトラストセキュリティモデルではセキュアなアクセスが中心となりますが、アプリケーションセキュリティも戦略に組み込む必要があります。ゼロトラストの原則では、アプリケーションは信頼できないネットワーク上にあり、WebアプリケーションやAPIへの攻撃に対して脆弱であることを前提とします。そのため、ネットワークだけでなく、各アプリケーションとAPIエンドポイントを保護する必要があります。
F5は、すべてのアプリケーションとアプリのデプロイメントを保護するための「Webアプリケーションファイアウォール（WAF）」と、Microsoft Azureと連携してOWASP Web App Top 10およびAPI Top 10の脅威から保護する包括的な「APIセキュリティ」を提供します。
F5のゼロトラストセキュリティをAzureに導入
F5の包括的なセキュリティソリューションは、Azureをはじめとするハイブリッド環境やマルチクラウド環境とシームレスに統合できます。これにより、厳格なセキュリティポリシーの適用、アクセス管理の効率化、場所を問わないすべてのアプリケーションにわたる機密データの保護を実現します。
詳しくは、f5.com/azureをご覧ください。
出典
1. Okta、 ゼロトラストセキュリティの現状 2023、2023年10月
2. Gallup、Hybrid Work、2024年5月
関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。