ゼロトラストの未来はどうなるのか？

Erin Vernaシニア・プリンシパル・プロダクトマーケティングマネージャー | F5

最近、医療機関Lehigh Valley Health Network（LVHN）が被害を受けた最新のランサムウェア攻撃に関する記事を読みました。サイバー犯罪者が組織のシステムやデータを人質に取る行為は常に憂慮すべきものですが、今回のサイバー攻撃は特に深刻でした。ニュースメディアのThe Registerは、このインシデントについて次のように伝えています。

「［サイバー犯罪集団］BlackCat（別名ALPHV）は、米国のLehigh Valley Health Network（LVHN）の医師向けネットワークの1つに侵入し、放射線腫瘍治療を受けている患者の画像を、その他の機密性の高い医療記録とともに盗み出しました……LVHNは身代金の支払いを拒否したため、BlackCatは今月初め、少なくとも2人の乳がん患者の上半身裸の画像を含む患者情報の流出を開始しました」

あらゆる恐喝行為は、ネットワークと機密データのセキュリティを強化するという目的意識を改めて高める契機になり得ます。しかし、ランサムウェアをはじめとするあらゆるサイバー攻撃が、個人に長期的な被害や心理的トラウマをもたらす可能性があるという事実は、ゼロトラストセキュリティへの取り組みをまだ開始していない組織にとって、重大な警鐘となるはずです。重要インフラ分野や、機密性の高い個人情報を託されている組織は、ゼロトラストモデルの中核原則を取り入れる必要があります。

言うまでもないことですが、アプリセキュリティについて現状の数歩先を見据えていなければ、サイバー犯罪者や新たに出現する脅威戦術との競争において、たちまち後れを取ることになります。だからこそ、ゼロトラストの未来はどうなるのかを考え始めるのに、早すぎることはありません。変化する脅威環境だけでなく、デジタル世界やアプリそのものが絶えず変化する中で、ゼロトラストはどのように進化し、対応していくのでしょうか。

これらの疑問への答えを探るため、F5の2人のセキュリティエキスパート、Distinguished EngineerのKen AroraとSenior Director of Product DevelopmentのMudit Tyagiに話を聞きました。

今回のLVHNの侵害を受け、組織がZTの原則をどのように導入しているのか、改めて考えさせられました。侵害の影響を受けた消費者にとって、1年間の無料クレジットモニタリングだけでは、もはや十分ではないという現実に向き合う時が来たように思います。現在、企業にとってのリスクは以前よりはるかに大きくなっていると言えるでしょうか？

Mudit： 企業にとってのリスクが高まっていることは明らかです。特に国家の支援を受けたハッカーは、資金や技術リソースに加え、企業や他国を標的とした攻撃を綿密に調査し、実行するための時間も有しています。社会全体の安定を揺るがす可能性もあります。2010年のAurora事件では、Googleをはじめとする米国企業から知的財産が盗まれました。その10年後の2020年には、SolarWindsのサプライチェーン攻撃が、多数の機密性の高いネットワークに侵入する手段として利用されました。こうした「重大な」影響が生じる可能性を受け、ホワイトハウスは、大統領令を発令し、すべての政府機関にゼロトラストの原則に従うことを義務付けました。

Ken: エクスポージャーの範囲は、時間の経過とともに拡大する一方だという点に同意します。その理由は、オンラインで利用可能なデータが増えることだけではありません。AIの大規模な導入が進むにつれ、まったく新しい種類の侵害も明らかになるためです。新しいテクノロジーのリスクを管理するための社会的なガバナンスが整うまでには、常に時間がかかります。たとえば、企業、特に規制対象業界の企業が法的責任を問われるようになったのは、ほんの数年前のことです。ExperianとT-Mobileの事例では、合計10億ドルを超える責任が問われました。さらに最近では、UberのCSOのような個人が、職務上の不正行為について個人的な責任を問われるケースも見られます。これは、重大な過失が認められた場合です。この例は医療分野にも通じます。こうした動きを受け、セキュリティ担当者にはベストプラクティスに従うことがこれまで以上に求められ、法制度にはセーフハーバー・ガイドラインの策定が必要になると考えます。

現在の状況を踏まえ、ゼロトラストは今後どのように進展していくとお考えですか？

Mudit: 歴史的には、ゼロトラストという考え方自体はさらに古くから存在しますが、GoogleがAurora攻撃を受けて導入したBeyond Corpは、その初期の実装形態の1つでした。現在では、ZTNAやSASEなど、ユーザーやデバイスのアクセスにゼロトラストの原則を適用するソリューションが登場しています。しかし今後は、ビジネスプロセスやユーザーエクスペリエンスを実現するためにワークロード同士が連携するネットワーク内部にも、ゼロトラストの原則を適用する取り組みをさらに進める必要があります。私たちはこれを「ワークロード間ゼロトラスト」と捉えています。簡単に言えば、アクセスに関するアプローチが侵害の発生防止を目指すのに対し、ワークロードレベルのゼロトラストは、進行中の侵害による影響を最小限に抑えることに重点を置いています。

業界では、ゼロトラストの「侵害を前提とする」という原則に従った制御の実装に苦慮しています。侵害後の状況に対処するには、ユーザーやデバイスと同様に、ワークロードにも「アイデンティティ」が必要です。また、すでにネットワーク内に侵入しているマルウェアによる被害を防ぐため、これらのワークロードを継続的に監視する必要があります。アプリがプライベートクラウドやパブリッククラウド、レガシーシステムに分散し、従業員のモバイル化が進む今日のインフラ環境では、これは特に重要です。

ゼロトラストでは「侵害を前提とする」という考え方が求められるため、アクセス制御だけにとどまらない、はるかに広範なセキュリティ対策が必要です。

Ken： そのとおりです。脅威インテリジェンス、セキュリティ情報およびイベント管理、継続的な診断と緩和なども含める必要があります。アプリの性質が変化し、AI主導のトラフィックが増え続ける中、ゼロトラストに包括的に取り組むだけでなく、ワークロード自体など、インフラストラクチャの新たな領域にもこれらの原則を適用する必要があります。

Muditが指摘したように、ゼロトラストの中核をなす原則は、セキュリティの専門家に以前から広く知られ、定着してきました。ここでいうセキュリティとは、サイバーセキュリティだけでなく、より広い意味でのセキュリティを指します。その最新の形であるZTNAは、基本的に、ネットワークへのアクセスを求めるユーザーとデバイスのアイデンティティに対して、「常に検証する」と「継続的に監視・評価する」という原則を適用するものです。

サイバーセキュリティに適用されるゼロトラストが進化するうえで、次の論理的なステップは、1）ネットワークアクセスからアプリケーションアクセスへとレベルを引き上げ、ネットワーク層ではなくアプリケーション層の抽象化と保護を使用すること、2）ゼロトラスト原則の適用対象をユーザーやデバイスだけでなくワークロードにも拡大することだと考えます。

ワークロードがそれほど重要なのはなぜでしょうか。また、そこまで踏み込むのであれば、コードリポジトリなどを含む開発プラクティス自体にもゼロトラストの原則を適用するのでしょうか。

Ken：端的に言えば、ワークロードが重要なのは、新たな内部脅威だからです。

クラウドネイティブアプリケーションのコードの大半は、アプリケーション所有者の組織が管理できないオープンソース環境で開発されている点を考えてみてください。そのコードの開発に用いられるソフトウェア開発手法は、一般にガバナンスが緩く、文書化も不十分です。コードの取り込み後に実施されるテストは、機能とパフォーマンスに関するものが中心で、セキュリティ評価は軽視されがちです。その結果、アプリケーションコードの大半が「暗黙的に信頼」されています。これは、ゼロトラストがまさに排除しようとしている振る舞いです。しかも、これはコードの提供者に悪意がないことを前提としています。さらに、オープンソースコードをバックドアとして利用しようとする攻撃者が実際に存在することを考慮すると、これは重大な脅威領域となります。なお、最近大きく報道された攻撃の多く、たとえばlog4j、SolarWinds、3CXは、いずれもサプライチェーン攻撃の事例です。こうした攻撃は、ZTNAとユーザーIDベースのセキュリティソリューションのいずれも対象としていません。

最後の点、つまりオープンソースコードがバックドアとしてどのように悪用され得るかについて、少し掘り下げてみましょう。これは、ゼロトラストには脅威インテリジェンス、セキュリティ情報およびイベント管理、継続的な診断などの対策が必要だという、先ほどのご指摘にもつながります。

Mudit：はい。「侵害を前提とする」という考え方から始めた場合、セキュリティをどのように捉えるべきかを検討することが重要です。ネットワーク中心の制御も一定の役割を果たし、コマンド＆コントロールとの通信を検出できます。しかし、目標は、侵入したマルウェアが実際に被害を及ぼすのを阻止することです。マルウェアが活動すれば、必ずその兆候が現れます。すべてのワークロードを監視し、その特性を把握することで、マルウェアの活動に関連する悪意のあるワークロードを検出できる可能性が大幅に高まります。

MITREの研究者は、MITRE ATT&CK Frameworkに記載されている戦術、技術、手順（TTP）の組み合わせとして大半の攻撃を理解できる分類体系を構築し、セキュリティ分野に大きく貢献しました。また、MITRE D3FEND Frameworkでは、TTPの検出に役立つ一連の対策も説明しています。このフレームワークの重要な要素の1つがプロセス分析であり、ワークロードレベルでゼロトラストの原則を適用する必要があります。

開発サイクル中に、Static Application Security Test（SAST）およびDynamic Application Security Test（DAST）ツールを使用して、ワークロードを構成するコードの脆弱性をスキャンすることが非常に重要です。また、開発サイクル中に「システムコール」など、ワークロードの低レベルな特性のベースラインを構築することで、ワークロードレベルのゼロトラストを実装する準備もできます。このベースラインがあれば、本番環境でワークロードを実行する際に、異常の検出と分析が容易になります。D3FENDフレームワークでは、開発サイクル中に実施すべき、ハードニングに重点を置いた一連の対策が提示されています。

セキュリティ全般、特にゼロトラストにおけるAIの役割についてお聞かせください。AIは、セキュリティにどのような課題と機会をもたらすのでしょうか。また、ChatGPTはニュースで大きく取り上げられています。2026年までにインターネットトラフィックの90%がAIによって生成されるようになるとの予測もあります。これによってセキュリティは変わるのでしょうか。変わるとすれば、どのように変わりますか？

Mudit: 自動化された攻撃への防御は、すでに非常に困難です。攻撃者は攻撃の形態や手法を絶えず変化させることができるため、SOCには大量のノイズが生じます。防御側も、こうした自動化された攻撃に対抗するため、すでに自動化を活用しています。自動化された攻撃のシグネチャを把握できたとしても、誤検知は大きな問題です。AIを利用すれば、現在の自動化された攻撃よりもはるかに高い精度で、通常のユーザーを模倣しやすくなります。その結果、異常の検知が難しくなり、誤検知を最小限に抑えるには、極めて高度なコンテキスト分析が必要になります。

Ken: AIは今後もセキュリティに多大な影響を与え続けると思います。まず、攻撃者による攻撃の実行方法と、防御側による攻撃の検知および対処方法に、AIが大きな影響を与えていることは明らかです。つまり、いたちごっこは今後も続きますが、AIは人間が手作業で行えることを代行し、飛躍的に高速かつ機敏に実行するようになります。

特にChatGPTについては、盲目的に信頼しないというゼロトラストの原則が当てはまると思います。ZTNAの前提が「ユーザーやデバイスを盲目的に信頼しない」ことであり、それをワークロードにも拡張すべきであるのと同様に、AIによるコンテンツ生成が普及すれば、コンテンツも盲目的に信頼しないようになるでしょう。これは多くの点で、社会の仕組みへの原点回帰ともいえます。特定のコンテンツをどの程度信頼するかは、その出所によって決まります。たとえば、小切手の完全性に関する記述であれば、街で出会った見知らぬ人によるものよりも、取引先の銀行を出所とするものの方を信頼するでしょう。つまり、データの帰属情報が重要です。AIが生成するコンテンツが増えるにつれ、現実世界に古くから存在するこの考え方が、デジタル世界でも重要な検討事項として浮上するでしょう。

新たな脅威が次々と出現する中、ゼロトラストの将来をめぐる議論は、今後も重要であり続けるでしょう。特に、内部脅威の影響を最小限に抑えることや、ワークロードにゼロトラストの原則を適用することが焦点となります。AIが生成したコンテンツがインターネット上にあふれるにつれ、業界のゼロトラストへのアプローチも必然的に進化していきます。今後もさまざまな見解をご紹介します。最後までお読みいただき、ありがとうございました。
____

「侵害を前提とする」という考え方について詳しく知りたい方は、Kenの最新記事をこちらからご覧ください。

著者について

Erin Vernaシニア・プリンシパル・プロダクトマーケティングマネージャー | F5

Erin Vernaのその他のブログ記事