ゼロトラストについて確認すべき質問

F5

「ゼロトラスト戦略」を掲げることは、「クラウド戦略」を掲げることとよく似ています。何を達成しようとしているのか、現在どの段階にあるのかという背景がなければ、ほとんど意味をなしません。何らかの対象を信頼する必要があるため、その名称自体が誤解を招くことさえあります。ゼロトラストは、基本的には「ネットワーク上の場所を根拠にユーザーやデバイスを信頼しないこと」と定義できます。しかし、それほど単純であれば、誰もがすでに導入を終えているはずです。F5のグローバルソリューションアーキテクトとして、私は多くのアクセスアーキテクチャを目にする機会があります。ゼロトラストの実現を目指している組織は多いものの、その目標を達成している組織はごくわずかです。

より適切に定義するなら、信頼境界をネットワーク境界ではなく、アイデンティティ、デバイス、アプリケーションを含む範囲に設定し直すことになるでしょう。これは決して新しい考え方ではなく、多くのお客さまがこの方向へ前進しているのを見てきました。しかし現在では、独自のソリューションを構築する大規模な開発チームを持たない環境でも実際に機能させるための中核的な課題にベンダーが取り組むようになり、さらに注目が高まっています。さらに、プロキシ、マイクロトンネル、マイクロセグメンテーション、プロキシレスなど、さまざまなモデルから選択できるうえ、マイクロセグメンテーションやSoftware Defined Perimeter（SDP）といった競合する用語や関連概念もあり、混乱に拍車をかけています。これほど曖昧で選択肢も多いものについて、何をもって成功と定義し、どこからソリューションの評価を始めればよいのでしょうか。まず、自社の目標と要件を把握する必要があります。そこで、次のような質問から始めるとよいでしょう……

どのような種類のアプリケーションを保護したいですか？

プロキシは一般にWebアプリケーションの処理に適しており、SSO機能と優れたユーザーエクスペリエンスを提供するほか、導入や管理も比較的容易です。サーバーアクセスにもゼロトラストを適用する必要がありますか。一部のソリューションでは、SSHおよびRDPプロキシを提供しています。これら3つのプロトコルすべてについて、アプリケーションコードやサーバー認証モジュールに直接統合するプロキシレスソリューションも利用できます。ただし、この方式ではトラフィックがサーバーやアプリケーションに到達する前に遮断できないため、より大きなリスクを負うことに注意してください。

アプリケーションの接続先がこれら以外にもある場合は、トンネルベースのソリューションへの拡張が必要になる可能性があります。ただし、トンネルソリューションはどれも同じではありません。従来型のVPNを利用するものもありますが、その場合、接続先は単一のゲートウェイに制限されます。マイクロトンネルは、多くの場合、より適したアプローチです。異なるエンドポイントへのトンネルを複数確立できるため、アプリケーションがどこにあっても、アクセス要件への対応に役立ちます。

どのような保護対策を実装する必要がありますか？

これは、すべてのアプリケーションの前段に多要素認証を導入し、クレデンシャルスタッフィングやブルートフォース攻撃への対策、ボット対策、データ損失防止（DLP）や侵入防止システム（IPS）などのセキュリティサービスと連携したトラフィックの可視化、さらにWebアプリケーション向けのWebアプリケーションファイアウォールを確実に導入する絶好の機会です。一貫したアクセスモデルを実装することで、これらすべてのサービスを組み込む場所も統一できます。エンドツーエンドの機密性を確保するソリューションには注意が必要です。一見魅力的ですが、すべてのセキュリティサービスを迂回しなければならないことに気付くでしょう。ゼロトラストによってセキュリティ態勢が低下することがあってはなりません。ゲートウェイでトンネルを終端し、可視化およびセキュリティアプライアンスを経由するようにトラフィックをルーティングすることが有効な戦略です。

シングルサインオン（SSO）は必要ですか？

トンネルソリューションでは通常、ID情報をアプリケーションに渡すことができず、環境内に別のシームレスな認証方式が導入されていることを前提とする場合があります。必要なSSOを実現するには、プロキシまたはコードへの直接統合が必要になる可能性があります。SSOの実現は、多くのステークホルダーから支持を得るうえで重要な鍵となるでしょう。適切なソリューションを適切に導入することで、セキュリティを強化しながら、ユーザーエクスペリエンスも向上できます。

アナリティクス戦略をどのように策定していますか？

ここでは、高い水準を求めるべきです。組織全体のアクセスに一貫したポリシーフレームワークを導入する主なメリットの1つは、誰が、どのデバイスから、どこで、いつ、どのリソースにアクセスしたかを把握できることです。収集したデータは、他のセキュリティツールのデータと併せて活用・分析し、脅威の特定と緩和に役立てる必要があります。これにより、可視化、脅威の特定、緩和を含むキルチェーンの各段階を強化し、組織内のリスクに対処できます。この分野では、必要な機能をすべて提供できるベンダーはまだ存在しないため、サードパーティの分析機能をソリューションに統合して強化する方法を検討してください。単一のプラットフォームですべてを提供しようとするベンダーではなく、自社ソリューションに加えてパートナーとの統合にも注力しているベンダーを探すことが有効です。

どのようなユーザーエクスペリエンスを期待できるか

プロキシは、ユーザーがブラウザーの操作方法を変える必要がなく、クライアント側で必要となるコンポーネントも少ないため、Webアプリケーションでより優れたユーザーエクスペリエンスを提供する傾向があります。ただし、他のソリューションではトンネルクライアントが必要になる場合があります。エンドユーザーは、トンネルの存在をまったく、またはほとんど意識せずに利用できると考えられます。従来型VPNは、マイクロトンネルと比べてユーザーエクスペリエンスが低下する傾向があり、前述のような制約もあります。

どのプラットフォームをサポートする必要がありますか？

デスクトップ向けには優れたプラットフォームを提供していても、モバイルデバイスには対応していないソリューションもあります。ソリューションを評価し、主要なデスクトップOS、モバイルデバイス、必要に応じてネイティブモバイルアプリを利用するユーザーのニーズに対応できるか、また、一貫したユーザーエクスペリエンスと機能セットを提供できるかを必ず確認してください。

次のステップ

まず、目標を明確にします。目標には、ユーザーエクスペリエンスの向上、セキュリティサービスの連携強化、あらゆるアクセスへの多要素認証の適用、アナリティクス連携戦略の策定などを含めるとよいでしょう。これにより、時間をかけて詳細に評価する価値のあるベンダーやアーキテクチャを絞り込めます。次に、優れたパートナーシップ戦略を持つベンダーに注目してください。このアーキテクチャに求められるすべてを単一のベンダーが提供することはないため、拡張の基盤となるプラットフォームが必要です。長期的に見れば、その選択に満足できるはずです。ぜひ信じてください。

著者について

F5

F5のその他のブログ記事