ゼロ トラストの未来はどうなるのか

あらゆる恐喝の試みが新たな目的意識を生み出し、ネットワークと機密データの安全性を高めることにつながる一方で、ランサムウェアやあらゆる形態のサイバー攻撃が個人に長期的な被害や精神的トラウマをもたらす可能性があるという事実は、いまだゼロ トラスト セキュリティに取り組んでいない組織にとって、大きな警鐘となるはずです。機密性の高い個人情報を預かる重要なインフラ部門や組織は、ゼロ トラスト モデルの中核となる理念を完全なものにしなければなりません。

おそらく言うまでもないことですが、アプリケーションのセキュリティについては、現状の数歩先を常に考えていなければ、サイバー犯罪者やその新たな攻撃手段との戦いで簡単に後れを取ることになります。ゼロ トラストの未来はどうなるのかと自問するのに早すぎることはありません。変化する脅威ランドスケープだけでなく、変化し続けるデジタル世界やアプリケーション自体の性質にも対処するために、ゼロ トラストはどのように進化するのでしょうか。

こうした問いに答えるため、私はF5の2人のセキュリティ エキスパートに話を聞きました。Distinguished EngineerのKen Aroraと、製品開発担当シニア ディレクターのMudit Tyagiです。

このLVHNの侵害では、組織がZTの原則をどのように実践しているかについて本当に考えさせられました。これは、侵害の被害を受けた消費者にとって、途上与信が1年間無料になる程度では済ますことのできない、まさに「審判の時」と言えます。今日、企業にとってリスクの度合いははるかに高まっているのではないでしょうか。

Mudit：リスクの度合いが高まっているのは明らかです。特に国家が支援するハッカーには、企業や他国を標的とした攻撃を研究し、仕掛けるだけの資金と技術的リソース、時間があります。彼らが社会全体の安定を乱すことは言うまでもありません。2010年にGoogleをはじめとする米国企業のIPが盗まれたAurora事件を覚えているでしょう。その10年後の2020年にはSolarWindsサプライ チェーン攻撃が、多くの機密ネットワークに侵入する仕組みとして使用されました。ホワイトハウスは「高リスク」の影響の可能性を踏まえ、すべての政府機関にゼロ トラストの原則に従うことを求める大統領令を発令しました。

Ken：私も、漏洩の範囲は今後も広がる一方だと思います。それは、オンラインで利用できるデータの増加という理由だけでなく、AIの大規模導入が進むにつれて、全く新たな種類の情報漏洩が生み出されるからです。新技術のリスクを管理するための社会的ガバナンスの形成には常に時間がかかります。例えば企業、特に規制産業の企業が法的責任を負うようになったのは、つい数年前です。ExperianとT-Mobileが負った法的責任は総額10億ドル以上に及びます。さらに最近では、UberのCSOのように個人に重大な過失があった場合に、個人が違法行為の責任を問われています。この例は医療分野にも当てはまります。こうした動きから、セキュリティ専門家にはベスト プラクティスに従うことが、そして法制度にはセーフ ハーバーの指針を策定することが、より一層求められるようになると思います。

現在の状況を踏まえると、ゼロ トラストによって近い将来、何が起こると思いますか。

Mudit：歴史的には、GoogleがAurora攻撃の後にBeyond Corpを導入したのがゼロ トラストを具体化した初期の形の1つですが、この考え方はそれ以前からありました。今日ではZTNAやSASEといったサービスが登場し、ユーザーやデバイスのアクセスにゼロ トラストの原則を適用しています。しかし、ビジネス プロセスやユーザー エクスペリエンスを実現するためにワークロードが相互に作用するネットワーク自体の内部でゼロ トラストの原則を適用することに、さらなる努力が必要です。私たちは、これをワークロード間ゼロ トラストと呼んでいます。簡単に言えば、アクセス関連のアプローチは、侵害の発生を阻止しようとするのに対し、ワークロードレベルのゼロ トラストは、進行中の侵害の影響を最小現に抑えることに重点を置いています。

業界は、「侵害を想定する」というゼロ トラストの原則に従って管理を実施することに苦慮しています。侵害後のシナリオに対処するには、ユーザーやデバイスと同様に、ワークロードにも「ID」が必要です。そして、ネットワーク内にすでに侵入したマルウェアが危害を及ぼすのを防ぐために、これらのワークロードを継続的に監視しなければなりません。これは、今日のモバイル ワーカーや、アプリケーションがプライベート クラウド、パブリック クラウド、さらにはレガシー システムにまで分散しているインフラストラクチャ環境を考えると、特に重要です。

ゼロ・トラストでは、「侵害を想定する」という考え方が必要なため、単なるアクセス管理にとどまらないセキュリティ対策が必要になります。

Ken：そのとおりです。また脅威インテリジェンス、セキュリティ情報とイベントの管理、継続的な診断と緩和なども含めなければなりません。アプリケーションの性質は変化し、AI主導のトラフィックは増え続けているため、ゼロ トラストに対する包括的なアプローチを取るだけでなく、これらの原則をワークロード自体など、インフラストラクチャの新しい領域にも適用することが必要になります。

Muditさんが指摘したように、ゼロ トラストの核となる原則は、セキュリティ専門家には以前から知られ、浸透していました。これは、サイバーセキュリティだけでなく、広範なセキュリティを意味しています。最新の具体例であるZTNAは、基本的に、ネットワークにアクセスしようとするユーザーとデバイスのIDに対して「常に検証する」と「継続的に監視して評価する」という原則を適用することを目的としています。

サイバーセキュリティに適用されるゼロ トラストの進化における、論理的な次のステップは、1番目がネットワーク アクセスからアプリケーション アクセスへレベルアップすること、つまり、ネットワーク層ではなくアプリケーション層の抽象化と保護を使用することで、2番目がゼロ トラストの原則をユーザーやデバイスだけでなく、ワークロードまで適用することだと考えています。

なぜワークロードがそれほど重要なのでしょうか。そして、そこまで深く踏み込むとなると、ゼロ トラストの原則を開発手段自体（コード リポジトリなど）にも適用することになるのでしょうか。

Ken：簡単に言うと、ワークロードが重要な理由は、「ワークロードが新たな内部脅威だから」というのが答えです。

クラウドネイティブ アプリケーションのコードの大部分は、アプリケーション所有者の組織の管理外、オープン ソース環境で開発されていることを考えてみてください。そのコードの開発に使用されるソフトウェア手法の成熟度は、一般的に管理が緩く、文書化も不十分です。コードのインポート後に実施されるテストのほとんどが機能とパフォーマンスに関連したもので、セキュリティ評価は軽視されています。その結果、ほとんどのアプリケーション コードは「暗黙のうちに信頼される」ことになってしまい、これこそがゼロ トラストが阻止しようとしていることです。そして、それはコード提供者の善意を前提としています。オープン ソース コードをバックドアとして利用しようとする積極的な攻撃者が存在することを考えると、これは第一級の脅威となります。ちなみに、log4j、SolarWinds、3CXなど、最近注目を集めた攻撃の多くはすべてサプライ チェーン攻撃の例であり、ZTNAとユーザーIDベースのセキュリティ ソリューションのどちらの対象からも外れています。

では最後に、オープン ソース コードがバックドアとしてどのように利用されるかという点を考えてみましょう。これは、脅威インテリジェンス、セキュリティ情報とイベントの管理、継続的診断などの対策が必要だという先ほどのご指摘にもつながります。

Mudit：そうですね。「侵害を想定する」ことから始める場合、セキュリティをどのように考えるかを考えることが重要です。ネットワーク中心の制御にも役割があり、こうした制御方法には指揮統制のための通信を期待できます。ただし、目標は、侵入したマルウェアが害を及ぼすのを阻止することです。マルウェアがその機能を果たすとき、必ずその姿を現します。すべてのワークロードを監視してその特性を理解すれば、マルウェアの活動に関連する悪質なワークロードを検出できるチャンスが格段に増えます。

MITREの研究者たちは、MITRE ATT&CKフレームワークで説明されている戦術、技術、手順（TTP）の組み合わせでほとんどの攻撃を理解できる分類法を作成し、セキュリティの世界に大きな恩恵をもたらしています。また彼らは、MITRE D3FENDフレームワークでTTPを検出するのに役立つ一連の対策も説明しています。このフレームワークの重要な部分がプロセス分析であり、ワークロード レベルでゼロ トラストの原則を適用することを求めています。

開発サイクルで、静的アプリケーション セキュリティ テスト（SAST）ツールと動的アプリケーション セキュリティ テスト（DAST）ツールを使用して、ワークロードを構成するコードの脆弱性をスキャンすることが非常に重要です。また、開発サイクルにおいて、「システム コール」などの低レベルのワークロード特性のベースラインを構築することで、ワークロードレベルのゼロ トラストの実装に備えることもできます。このベースラインがあれば、実稼働環境でワークロードが実行される際の異常の検出と分析が容易になります。D3FENDフレームワークは、開発サイクルで行うべきハードニングを重視した一連の対策を提案しています。

セキュリティ全般、特にゼロ トラストにおけるAIの役割について触れてみましょう。AIはどのようなセキュリティ上の課題と機会を生み出しますか。また、ChatGPTは、さまざまなニュースで取り上げられています。2026年までにインターネット トラフィックの90％がAIによって生成されたものになるという予測も見ました。これによってセキュリティは変わりますか。もし変わるなら、どのように変わるのでしょうか。

Mudit：自動攻撃はすでに防御が非常に困難になっています。攻撃者は攻撃をモーフィングして変更し続けることができるため、SOCに多大なノイズが発生します。防御側はすでに自動化を使用して、これらの自動攻撃と戦っています。自動攻撃のシグネチャがわかったとしても、誤検知が大きな問題となります。AIを使用すると、今日の自動攻撃よりもはるかに高度に通常のユーザーを模倣することが容易くなります。これにより、異常の検知が難しくなり、誤検知を最小限に抑えるために非常に高度なコンテキスト分析が必要になります。

Ken：AIは今後もセキュリティに大きな影響を与えていくと思います。まず、攻撃者が攻撃を行う方法と、防御側がそれらの攻撃を検知して修復する方法に大きな影響を与えるのは明らかです。簡単に言うと、人が手で行うことをAIが指数関数的な速さでより機敏に代行して、いたちごっこが続くでしょう。

特にChatGPTに関して言えば、盲目的に信頼しないというゼロ トラストの信念がここで活きてくると思います。ZTNAの前提が「ユーザーやデバイスを盲目的に信頼しない」であり、それがワークロードにも拡張されるべきであるように、AIによるコンテンツ生成によって、私たちはコンテンツを盲目的に信頼しないようになると思います。多くの意味でこれは、あるコンテンツをどれだけ信頼するかはその出所で決まるという社会の仕組みに、一周して戻っています。例えば私は、小切手の信頼性について、街行く人が似たことを言っても、自分の銀行の声明の方を信頼するでしょう。つまり、データの帰属が重要なのです。そして、AIが生成するコンテンツが増えるにつれて、現実の世界にはずっと前からあったこの考え方が、デジタル世界でも重要な考慮事項として浮上することになるでしょう。

新たな脅威が出現するペースが加速する中、特に内部脅威の影響を最小限に抑え、ワークロードにゼロ トラストの原則を適用することに関して、ゼロ トラストの将来に関する議論は今後も重要な意味を持ちます。AIによって生成されたコンテンツがインターネット上に溢れるにつれ、ゼロ トラストに対する業界のアプローチは必然的に進化するでしょう。私たちは今後も、さらに多くの視点を取り上げていきます。今日は、ありがとうございました。
____

「侵害を想定する」ことについて詳しく知りたい方は、こちらからKenさんの最新記事をご覧ください。