アプリケーション中心の世界におけるゼロトラスト
Zero Trustは、ビジネスをより迅速かつ安全に推進するための、強力で包括的なセキュリティ戦略です。データ侵害を防ぐには、企業アプリケーションのセキュリティを確保することが不可欠です。適切に実践すれば、ビジネスプロセスの効率とユーザーの生産性も向上できます。Zero Trustセキュリティモデルはこうしたビジネス価値をもたらす可能性がありますが、Zero Trustは製品ではありません。むしろ、安全なネットワークおよびアプリケーションアーキテクチャとして具現化されるアプローチであり、原則です。つまり、ネットワークの内外を問わず、どのユーザーやデバイスもデフォルトでは信頼せず、アプリケーションへのアクセス前に検証を必須とするために、複数のソリューションが連携するエコシステムです。
近年、ゼロトラストは大きな注目を集めています。決して新しい概念ではありませんが、世界中の企業がパンデミックをはじめ、自然災害や人為的な緊急事態における事業運営と対応のあり方を模索するなか、その関連性と重要性はかつてないほど高まっています。世界各地の組織がデジタルトランスフォーメーションの取り組みを加速させる今、ゼロトラストはあらゆる組織が理解を深めるべき重要な概念です。
従来のネットワーク境界セキュリティで定着していた「堀と城」のアプローチ、つまり、既知の信頼できる人物だけが「堀」を渡って「城壁」の内側に入り、アクセス権限を持つアプリケーションやリソースを利用できるようにする手法では、もはや十分ではありません。オンプレミス、複数のクラウド環境、Software-as-a-Service（SaaS）アプリケーションにまたがってアプリケーションの導入や移行が進み、モバイルワーカーやリモートワーカーも増加する中、ネットワーク境界は事実上消滅しています。
ゼロトラストでは、定められた境界の内側に信頼できるネットワークが存在するという考え方を排除します。現在は、攻撃者がすでにネットワーク内に潜伏し、攻撃を仕掛ける機会をうかがっていると想定しなければなりません。最小権限に基づくユーザーアクセスを適用し、ユーザー、デバイス、アクセスなどを可能な限り精査するとともに、内部および外部の制御ポイントから、より多くのコンテキストと可視性を得る必要があります。
Zero Trustを実現するには、「信頼するが検証する」というアプローチを捨て、以下の原則に従う必要があります。
- 決して信頼しない
- 常に検証する
現在、Zero Trust環境の実現に必要なすべてを提供できるベンダーは存在しません。しかしF5は、包括的なZero Trustアプローチの導入に必要となる主要なコンポーネントを提供し、価値をもたらします。F5は、堅牢なアプリケーションセキュリティポートフォリオと、Zero Trust環境における新たな制御ポイントを保護する機能により、今日のアプリケーションを保護するための「決して信頼せず、常に検証する」というアプローチに必要な構成要素を提供します。さらに、Zero Trustに「継続的に監視する」という第3の原則を加えます。
F5の観点では、保護すべきコントロールポイントは次の4つです。
- アプリケーションにアクセスするエンドポイント
- アプリケーション（クラウドネイティブアプリやSaaSアプリ、従来型アプリケーションやカスタムアプリケーションのいずれであるかを問いません）
- アイデンティティサービス
- ネットワークインフラストラクチャ
では、F5は各コントロールポイントのセキュリティ確保にどのように役立つのでしょうか。
- アプリケーションにアクセスするエンドポイントに対して、F5のTrusted Application Accessソリューションは、最新の認証機能と、すべてのアプリケーションへのアクセスおよびその制御を一元的に提供します。
- ネットワークインフラストラクチャ向けのF5 Application Infrastructure Securityソリューションは、攻撃や侵入からネットワークを保護するのに役立ちます。
- アプリケーション向けに、F5はApplication Layer Securityソリューションを提供しています。アプリケーションまたはその近くでセキュリティを提供し、レイヤー4～7のアプリケーションスタックを保護します。
- アイデンティティサービスについては、F5はMicrosoft、Okta、Pingをはじめとする各社と緊密なパートナーシップを築いています。F5のTrusted Application AccessソリューションをこれらのIdentity-as-a-Service（IDaaS）プロバイダーと統合することで、クラウドネイティブアプリやSaaSアプリと、ミッションクリティカルな従来型アプリやカスタムアプリとの間にあるアイデンティティおよび認証のギャップを埋め、すべてのユーザーがあらゆるアプリケーションに統一されたセキュアな方法でアクセスできるよう支援します。
F5は、Trusted Application Access、Application Infrastructure Security、Application Layer Securityの各ソリューションを活用し、ゼロトラストモデルの導入を具体的に支援します。
Trusted Application Access
アプリケーションへのアクセスに関して、組織はサイトにアクセスするすべてのユーザーを悪意のある存在と想定する必要があります。アクセスに関連する侵害は増加し続けており、近い将来に収まる兆しはありません。
F5 BIG-IP Access Policy Manager (APM)は、ユーザーやアプリがどこにあっても、アプリ、API、データへのアクセスを保護、簡素化、一元化します。Identity Aware Proxy（IAP）機能により、BIG-IP APMは、詳細なコンテキストとアイデンティティ認識に基づくゼロトラストモデルの検証を導入し、アプリケーションへのすべてのアクセス要求を保護します。また、アプリケーションへのアクセスセッション中、各ユーザーのデバイスの整合性、所在地、その他のアプリケーションアクセスパラメーターを継続的に監視します。
BIG-IP APMは、ホストされている場所や、最新または従来型の認証方式など必要な認証方式の種類を問わず、ユーザーがアクセスを許可されたあらゆるアプリケーションにシングルサインオン（SSO）でアクセスできるようにし、すべてのアプリで一貫したユーザーエクスペリエンスを実現します。IAPを採用することで、アプリケーションとそのアクセスのセキュリティを強化し、ゼロトラストに基づくアプリケーションアクセスの実現を支援します。また、BIG-IP APMはハイブリッド環境向けの共通アーキテクチャを提供し、複数のクラウドにまたがるアプリケーションへのアクセスに対して、共通のアクセスポリシーを作成して適用できるようにします。
不正行為を行う悪意ある攻撃者を特定する機能に加え、Shape Securityを導入したことで、F5は正規ユーザーをより的確に識別し、ユーザーがパスワードの入力を求められる回数を減らせるようになりました。これにより、ユーザーは新たなユーザー名とパスワードの組み合わせを作成することなく、利用を許可されたより多くのサービスにアクセスできます。こうした組み合わせは、認証情報の窃取やクレデンシャルスタッフィング攻撃、パスワード忘れの主な原因となります。さらに、サポートコストの削減と売上の向上にもつながります。
アプリケーションインフラストラクチャのセキュリティ
ネットワーク境界の重要性は低下しているものの、近い将来になくなるわけではありません。Zero Trustを実現するには、オンプレミス、データセンター、プライベートクラウドにあるアプリケーションのセキュリティと可用性を維持するうえで、ネットワークインフラストラクチャが重要な役割を果たします。ネットワーク、ユーザー、データに重大な影響を及ぼす可能性がある危険の1つが、暗号化トラフィックに潜む脅威です。
暗号化は今や当たり前になり、ほとんどのWebページ読み込みが暗号化されています。これはプライバシー保護には有効ですが、攻撃者が暗号化トラフィック内にマルウェアやその他の悪意あるペイロードを隠し、セキュリティ制御を回避することも可能にします。現在では、受信する暗号化トラフィックにマルウェアが潜んでいることを前提にする必要があります。また、送信する暗号化トラフィックには外部に流出しつつある機密データが含まれているか、さらなる攻撃や大規模な攻撃を開始しようとしている悪意あるコマンド＆コントロールサーバーと通信していることも前提にする必要があります。
F5 SSL Orchestratorは、ネットワークへの侵入を試みる暗号化トラフィックの脅威に対処します。暗号化トラフィックに潜むマルウェアを可視化してセキュリティの死角を解消し、盗まれたデータの流出を阻止します。これは、受信および送信する暗号化トラフィックのオーケストレーションに特化したソリューションです。コンテキスト認識型ポリシーエンジンとポリシーベースのトラフィックステアリングを活用して、動的なセキュリティサービスチェーンを構築できるため、セキュリティスタック内のソリューションを手作業で数珠つなぎにする必要がなくなります。また、インテリジェントバイパスにより、業界および政府のプライバシーコンプライアンス規制への違反を回避できます。SSL Orchestratorは、既存のセキュリティソリューションを監視し、負荷を分散して、正常性を確保します。さらに、暗号化制御を一元化し、管理者の時間と労力を削減します。
アプリケーション層のセキュリティ
実際のところ、どのような組織でもアプリケーションには脆弱性があります。依然として、侵害の最初の標的となるのは圧倒的にアプリケーションです。攻撃者は、企業にとってアプリケーションがいかに重要かを理解しており、積極的に侵害を試みます。どのアプリケーションも、貴重な知的財産やデータに通じる裏口（あるいは正面玄関）になり得るためです。あらゆるゼロトラスト戦略の一環として、アプリケーションを継続的に保護することが不可欠です。
F5は、ゼロトラストアーキテクチャでアプリケーションスタックを保護します。F5のWebアプリケーションファイアウォール（WAF）ソリューションには、Advanced WAF、Essential App Protect、Silverline WAFなどがあり、OWASP Top 10に挙げられる脆弱性やSQL／PHPインジェクションなど、一般的な脆弱性やエクスプロイトを防ぎます。さらに、NGINX App Protectは、F5の業界をリードするWAFテクノロジーを基盤とし、NGINX Plusソフトウェア上で動作する、最新のアプリケーション環境向けの軽量かつ高性能なWAFです。
F5のWAFソリューションは、行動分析機能によってアプリケーションの健全性を継続的に監視し、レイヤー7 DoS攻撃から保護することもできます。また、攻撃者によるユーザーアカウントへの不正アクセスを防ぐため、認証情報保護機能も提供します。さらに、APIの利用が拡大する中、F5はAPIを保護し、API攻撃からアプリケーションを守ります。
F5は、WAFおよびAPIセキュリティソリューションでアプリケーションの脆弱性を保護するとともに、Shape Securityソリューションでビジネスロジックを不正行為や悪用から保護します。
さらにF5は、お客さまの組織のゼロトラスト導入戦略に合わせて、セルフマネージド、as-a-Service、またはSilverlineおよびShape Securityによるフルマネージドサービスとしてセキュリティ製品を提供します。
