ハリウッドから学んだゼロトラスト

F5エコシステム | 2022年5月05日

もし私がいつの日か――別の現実か空想上の未来で――宇宙艦隊のコンピューターシステムを設計する機会を得たなら、兵器システムが生命維持サブルーチンに接続されていないことだけは必ず徹底します。あるいは、まったく異なる種族が暮らす惑星である地球を征服する任務を負った異星人侵略部隊の司令官になったなら、パスコードやトークンではなく、生体認証の使用を必須とします。そして最後に、部下や宇宙船が万に一つの奇跡で捕らわれの身から「脱出」してきた場合は、トロイの木馬を持ち込んでいないか、まず間違いなく確認します。

では、これはゼロトラストとどのような関係があるのでしょうか。もうお気づきかもしれませんが、ハリウッドは、最初に少し健全な疑いを持たなかったために壮大な結末を迎えるストーリーを好みます。そして、サイバーセキュリティの実務家である私から見れば、まさにこの「健全な疑いを持ち続ける」という考え方こそが、ゼロトラストの本質です。

では、なぜ私は特にゼロトラストに焦点を当てるのでしょうか。その理由は、現在の「ゼロトラスト」という言葉の使われ方に見られる傾向にあります。ここで、1980年代後半の映画制作にまつわる別の逸話をご紹介します。当時、ハリウッドでは、音声、映像、ポストプロダクション編集の技術が、従来のアナログ方式からデジタル規格へと移行しつつありました。その頃、映画制作に携わる人々のうち、技術にあまり詳しくない人の多くは、「デジタル」が実際に何を意味するのかを理解しておらず、理解しようともしていませんでした。彼らにとって「デジタル」は、事実上「最高水準」と同義だったのです。その結果、一緒に仕事をしていた技術者の友人たちを大いに困惑させることになりました。プロデューサーや監督が、照明やセットの造作は「デジタル」かと尋ねるようになったからです。しかし、彼らが本当に聞きたかったのは、「これは最高の照明設計か、最高のセット造作か」ということでした。現代に話を戻すと、CSOコミュニティでも、1990年当時の映画プロデューサーが「デジタル」を使っていたのとほぼ同じように、「ゼロトラスト」という言葉が使われているのをあまりにも頻繁に耳にします。

また最近、Simon Sinek氏の「Starts with Why」というフレームワークを知りました。このフレームワークに、ハリウッドが「デジタル」の黎明期をどう捉えていたかという記憶や、セキュリティ上の適切な慣行（あるいは不適切な慣行）を題材に映画が物語を描いてきたことを重ね合わせることで、ゼロトラストについて抱いていたさまざまな考えを整理できました。ゼロトラストの核心にあるのは、冒頭で紹介したハリウッド映画の筋書きが伝える教訓です。重要なシステムを保護するための設計と運用において、わずかなサイバー予防策を惜しめば、後にその何倍もの侵害と苦痛を招くことになります。同様に、このフレームワークの中心にある「なぜ」というレベルでは、ゼロトラストを次のような一連の信念として表現できます。

A. 常に明示的に検証する「誰か」：つまり、システムとやり取りしようとしている主体です。

B. 必要最小限の権限をデフォルトとする：アイデンティティが確立されたら、実行する特定のビジネストランザクションにおいてシステムとやり取りするために必要な権限のみを、そのアクターに付与します。必要な権限は設計で明示します。

C. 継続的に監視し、評価と再評価を行う：本人確認と権限は、静的な1回限りのものにすべきではありません。これらの判断は、継続的に評価し、再評価する必要があります。

D. それでもなお、侵害されていることを前提とする： 最後に、上記3項目を実施していても、高度な攻撃者が防御を突破していると想定します。そのため、侵害された要素やアイデンティティを特定して隔離する方法に加え、それらがシステムに及ぼす影響を封じ込め、修復するための戦略も検討する必要があります。

要するに、暗黙に信頼せず、常に検証します。また、必要な範囲でのみ信頼し、継続的に評価します。そして、すべてを検知できるとは考えません。これが、ゼロトラストが必要な理由です。

もちろん、「なぜ」は話の一部にすぎません。「なぜ」から生まれる考え方を実践するための手法やツール、つまり「どのように」も、実務者にとって重要なもう1つの視点であり、前述の信念から導き出されるものです。ここでも、現在のサイバーセキュリティ実務者が利用できる一連のツールを踏まえて、具体的に説明します。

認証：保護対象システムとやり取りするすべての主体は、何らかのアイデンティティを有することを表明する必要があります。場合によっては、人間または自動化システムのアイデンティティに加え、その人間やシステムが使用するデバイスまたはプラットフォームのアイデンティティ、さらにはアクセスに使用するブラウザーやツールのアイデンティティなど、複数のアイデンティティの組み合わせを表明する必要があります。ゼロトラストの考え方では、このような表明はすべて、共有シークレット、トークン、証明書など、1つ以上の手段で検証、つまり「認証」する必要があります。より新しいシステムでは、その主体の行動パターンを観察して検証する方法も用いられます。
アクセス制御：アイデンティティが確立されたら、そのアイデンティティに付与するアクセス制御権限によって具体化される信頼レベルを割り当てる必要があります。アクセス制御ポリシーは最小権限の原則に従い、アクターがシステム内でその役割を果たすために必要な最小限の権限のみを付与する必要があります。理想的なアクセス制御の実装では、付与する権限を次のようにきめ細かく指定できる必要があります。ロール<X>にはAPI <1>、<3>、<4>へのアクセス権限と、クラス<Y>および<Z>のオブジェクトに対する読み取り権限を付与する。 ベストプラクティスとして、アプリケーションリソースを対象とする複雑なアクセス制御シナリオでは、オブジェクト、ファイル、ネットワークリソースへの直接アクセスを許可するのではなく、APIの背後に抽象化することが重要です。
可視性：「継続的な再評価」の前提となる考え方の「監視」に目を向けると、システムには、各アクターのシステム上の振る舞いを継続的かつリアルタイムに可視化する機能が必要です。この文脈では、「見えていなければ、起きていないのと同じ」という考え方が原則となります。また、収集した「テレメトリ」は可視化するだけでなく、利用可能でなければなりません。つまり、報告された情報を共有し、コンテキストを付与できるフレームワーク内に存在する必要があります。これにより、複数のソースから得たデータを有意義に組み合わせて相関付けし、より堅牢で効果の高いリスク評価を実現できます。
ML支援によるコンテキスト分析：前述の可視性は、「継続的に再評価する」という原則を実践するためのものです。この原則を実装するには、可視性だけでなく、通常は複数のデータソースを対象としたほぼリアルタイムの分析も必要です。そのためには、前述した、情報共有に適したフレームワークが求められます。継続的な評価では、異常な行動を取るアクターを検出し、システム侵害の可能性を特定するために、AI機械学習システムによる支援が必要になることが少なくありません。さらに、堅牢な分析エンジンには、単純な「はい／いいえ」の二択ではなく、より詳細な回答を提示できることが求められます。理想的には、関連する信頼度スコアを伴うリスク評価を提示します。
リスクを考慮した自動修復：最後に、高度な攻撃者の一部は依然としてシステムへの侵入に成功するという前提に立つため、システムには、より詳細な監視を行い、必要に応じてそのような行為や攻撃者を封じ込め、ブロックできる対応能力が必要です。単なるログ記録から、詳細な検査、試みられた行為のブロック、さらには疑わしい悪意ある攻撃者の欺瞞まで、システムの対応は、より上位のビジネスコンテキストに照らして検討する必要があります。その際は、誤検知や検知漏れの可能性と影響、および対応に伴うビジネスリスクも考慮します。たとえば、製品カタログの閲覧をブロックするのは、その行為者が悪意あるサイトスクレイパーであるという確信度が非常に高い場合に限り適切と考えられます。一方、銀行取引では、確信度がそれほど高くなくても追加認証を求めることが適切な場合があります。さらに、現代のサイバー攻撃は高度かつ迅速であるため、運用上の修復措置は自動化できなければならず、人が指定するポリシーは、意図に基づく目標として記述する必要があります。

「なぜ、どのように、何を」というフレームワークの最後の要素は「何を」です。つまり、上記のツールと手法を使用することで、目標を達成し、各種攻撃を防止または緩和できます。サイバー攻撃全般の完全な分類体系については今後の記事で取り上げますが、その予告として、ここで説明した「なぜ」と「どのように」は、高度で巧妙な「高度な脅威」全般に対応するものです。一例として、ゼロトラストの考え方は、「信頼された」ソフトウェアコンポーネントを起点とする場合（いわゆる「サプライチェーン攻撃」）であっても、ランサムウェアの脅威に対処できます。具体的には、アクセス制御ポリシーに組み込まれた最小権限の原則を適用し、ファイルの読み取り／書き込み権限を、その権限を必要とするアクターのみに制限することで、ファイルリソースの暗号化を防止する必要があります。さらに、何らかのアクター（たとえば、前述のサプライチェーン攻撃の経路を通じて侵害された、ファイル書き込み権限を持つ既存のソフトウェアコンポーネント）が多数のファイルを高速で暗号化しようとした場合でも、アクセスされたファイルの範囲とアクセス速度を把握することで、継続的な再評価と分析によって異常な動作を短時間で検知できるはずです。この検知を自動緩和と連携させることで、こうした活動を迅速にブロックできます。

では、冒頭で触れた別世界の話に戻りましょう……。宇宙艦隊のすべてのコンピューターサブシステムが最小権限の原則に従って動作していれば、光子魚雷を発射するAPIを重力制御サブシステムから呼び出すことはできないはずです。また、異星人の母船の制御システムは、生体認証に基づくMFAを実行するだけではありません。母船のセキュリティ制御は侵害の発生を前提とし、継続的な監視と再評価を行います。艦内を飛行する戦闘ドローンの異常を検知し、その異常なドローンがエンジンコアに向かえば、脅威を緩和します。こうしたわずかでも重要な予防策によって、その後の大騒動の多くを回避できます。ハリウッドにとっては都合が悪くても、サイバーセキュリティの実務担当者にとっては好都合です。

既存のビジネス環境を踏まえたゼロトラストの幅広い概念を包括するフレームワークと、アプリケーションビジネスのリーダーが取り入れるべきセキュリティの考え方について詳しくは、F5のホワイトペーパー「Zero Trust Security: ゼロトラストが重要な理由（アクセス制御だけにとどまらない）」をご覧ください。