F5 GLOSSARY

ゼロ トラストとは何か

ゼロ トラストが浸透し始めています。ゼロ トラストとは何か、そしてそれをどのようにして改善するかを理解することは、サイバーセキュリティにとって不可欠です。

ゼロトラスト モデルは、John Kindervag氏がForrester Research Inc.の主席アナリストを務めていた2010年に考案したものです。ゼロトラスト アーキテクチャは、ビジネスをより速くより安全に推進するための強力で包括的なセキュリティ戦略です。

ゼロ トラスト アーキテクチャとは何か

ゼロトラストを実現するために、現在のネットワークを構成するシステムに対して実施すべき対策の総称を「ゼロ トラスト アーキテクチャ」と呼びます。

従来、多く利用されていた「境界の外は信じず、境界の内だけを信じる」という境界型セキュリティを拡張した考え方です。

ゼロ トラスト アーキテクチャは、クラウド活用や、働き方の多様化、特にリモートワーク化によって増大する脅威に適合するために、社内システムの内部における攻撃者の自由な行動を阻害しようとするセキュリティ対策の考え方です。

例えばユーザーやデバイス、サービスなどあらゆるものは、信頼できる証明が認証されるまで、最小限の権限のみを与えます。そしてアクセスを許可する場合は、認証・承認後に権限の制限を緩和するという対策となります。

このような設計対策をもとに、ネットワークセキュリティを強化するよう設計します。

ゼロトラスト モデル

ゼロトラスト アーキテクチャでは、定義された境界内の信頼できるネットワークという考え方を排除します。つまりアクセスを許可する前に、組織の境界の内外を問わずすべてのユーザーとデバイスを検証することに重点を置いたセキュリティ モデルです。ゼロトラスト モデルは次のように説明できます。

  • 攻撃者が既にネットワーク上に潜んでいると想定する
  • どのような環境も信頼しない
  • 絶対の信頼はないと考える
  • リスクを継続的に分析して評価する
  • リスクを軽減する

ゼロトラスト アプローチは主にデータとサービスの保護を重視していますが、すべてのエンタープライズ資産(デバイス、インフラストラクチャ コンポーネント、アプリケーション、仮想およびクラウド コンポーネント)と主体(エンド ユーザー、アプリケーション、およびリソースに情報を要求するその他の人間以外のエンティティ)を含むように保護を拡大する必要があります。

ゼロトラストネットワークと従来の境界型ネットワークの違い

ゼロトラストネットワークは、従来の境界型ネットワークの代替策として用いられることが多くあります。

では、境界型ネットワークとの違いはどこにあるのでしょうか。

境界型ネットワークは、境界で内側と外側を遮断することにより、外部からの攻撃や内部からの情報流出の防止を試みるネットワークです。信頼できないものは内部に入り込まないことが前提となります。

従来、企業では、このように社内ネットワークは安全、社外ネットワークは危険、という前提で、社内ネットワークと社外ネットワークの間に境界線を引くイメージでセキュリティ対策を行ってきました。しかし、リモートワークやクラウド利用の普及、サイバー攻撃の高度化などで、この境界型セキュリティではリスクが生じてきました。

なぜなら、何者かが悪意を持って内部になりすましなどで侵入してさえしまえば、自由に活動できてしまうためです。

また近年、クラウド型サービスの利用が進んでいることもリスクが増大してきた要因です。例えばクラウド型サービスで使用するクラウドサーバーは、サービス提供会社のものを利用しますが、そのサーバー上に自社の重要な情報を保存したとすれば、その情報はインターネット経由で取得することができるため、境界型セキュリティが効力をなしません。

こうした背景により、企業では社内ネットワーク内であっても信じないゼロトラストネットワークを導入するところも増えており、今後、ますます重要になるでしょう。

ゼロトラストネットワークのメリット・デメリット

ゼロ トラスト ネットワークのメリット・デメリットをそれぞれご紹介します。

メリット

・データ流出や情報漏えいのリスクを軽減できる

すべてのアクセスを信頼しないことをベースに、セキュリティ設計するゼロトラストネットワークでは、社内外問わず、その都度、認証と権限付与を行うため、コントロールすることにより、データ流出や情報漏えいのリスクを軽減できます。

・万が一のことが起きても追跡しやすい

都度認証を行い、管理しているため、万が一、情報漏えいが起きた場合でも、追跡や原因究明がしやすいため、被害を最小限に抑えることができます。

・従業員は時間や場所を問わず業務が可能に

ゼロトラストネットワークは、従業員の働き方の自由度を拡張します。社内だけでなく社外からも社内ネットワークにつなぐことが可能となります。厳重な認証を行い、安全性を確認することで、リモートワークが実現しやすくなるでしょう。

・クラウドサービスの利用促進

従来、クラウドサービスのセキュリティに不安があった場合も、しっかりとしたセキュリティ環境を構築することで、すべてのトラフィックをチェックすることができるので、安心感が生まれます。クラウドサービスの利用促進につながるでしょう。

デメリット

・導入・維持コストが必要

ゼロ トラスト ネットワークは環境構築など導入する際や、保守・運用などの維持コストがかかります。新しいものを導入する際には避けられないことですが、いかにコストを効率的に実現するかが求められます。

・認証が増えてログインが面倒になる

ゼロ トラスト ネットワークでは、セキュリティを強化するために、すべてのアクセスで認証を行うだけでなく、2段階認証や多要素認証など、より安全性の高い認証方式が取り入れられています。その場合、ログインするユーザー側にとって、ログイン時に手間がかかるので、利便性が下がることがあります。

ゼロ トラスト ネットワークが注目される理由

これまで境界セキュリティ アプローチは、「信ぜよ、されど確認せよ」というシンプルなパラダイムに従っていました。ユーザー エクスペリエンスは向上しましたが、進化するサイバーセキュリティの脅威によって、企業はその姿勢を見直す必要に迫られています。近年、一般的な企業インフラストラクチャはさらに複雑化しており、境界セキュリティ モデルを凌駕しています。

こうした新たなサイバーセキュリティの複雑さを示す例を以下に示します。

  • 1つの企業で、複数の内部ネットワーク、ローカル インフラストラクチャを備えたリモート オフィス、リモート ユーザー、モバイル ユーザー、クラウド サービスを運用している場合がある
  • 複雑さが境界ベースのネットワーク セキュリティという従来の手法を超えている
  • 簡単に識別できる単一の企業境界はもはや存在しない
  • 境界ベースのネットワーク セキュリティでは今や不十分であり、攻撃者が境界を突破すれば横方向に自由に移動できる

このような複雑さに加え、アプリケーションが複数のクラウド環境にわたって存在し、企業の81%が2社以上のクラウド プロバイダのアプリケーションを利用しているため、ネットワーク境界を守るだけでは不十分です(IBMモバイル ワーカー レポート)。また、グローバルなリモート ワークの傾向は続いており、65%の労働者が自宅またはリモートで仕事を続けたいと回答しています(Gallupによる調査)。さらに、Gartnerの「企業がマルチクラウド戦略を選ぶ理由」レポートによると世界的にモバイル ワーカーの増加は続き、2022年までに世界のモバイル ワーカーは18億7,000万人になると推定されています。

ゼロ トラストのWebセミナーの映像

ゼロ トラスト アーキテクチャを実現する方法

まず、ゼロ トラスト モデルを成功させるには、ユーザー、デバイス、場所、アプリケーションを問わず、すべてのトラフィックを可視化する必要があります。さらに、内部トラフィックのゾーニング機能も可視化する必要があります。また、ゼロトラスト環境で新たな制御点を適切に保護する機能の強化も検討すべきです。

適切なアクセス ポリシー マネージャは、ユーザーとそのアプリケーションがどこにあってもアプリケーション、API、データへのアクセスを保護し、簡素化し、一元化します。このためには、コンテキストとIDのきめ細かい認識に基づいてゼロトラスト モデルを検証し、すべてのアプリケーションアクセス要求のセキュリティを確保することが鍵となり、アプリケーションアクセス セッション全体を通じて各ユーザーのデバイスの整合性、位置情報、その他のアプリケーションアクセス パラメータを継続的に監視する必要があります。

また、ゼロトラスト アプローチによる強固なアプリケーション セキュリティ ポートフォリオを持つことも重要です。適切なソリューションであれば、行動分析機能やアプリケーションの稼働状況を継続的に監視することで、レイヤ7に対するDoS攻撃を阻止できます。攻撃者がユーザーのアカウントに不正にアクセスするのを防ぐための認証情報保護機能は、ゼロトラスト セキュリティ体制を強化するのに役立ちます。さらに、APIの使用が増えるにつれ、APIを保護し、API攻撃からアプリケーションを保護するソリューションが必要になります。

F5のゼロ トラストへの取り組み

F5はゼロ トラストへの取り組みにおいて「NIST Special Publication 800-207ゼロ トラスト アーキテクチャ」を根拠としています。これは、ゼロ トラストが企業全体の情報技術のセキュリティ体制を向上させる可能性のある業界固有の一般的な導入モデルとユース ケースについて、この文書で解説されているためです。この文書は、企業のセキュリティ設計者向けにゼロ トラストについて説明しており、民間の非機密システム向けのゼロ トラストを理解するのに役立ちます。さらに、ゼロ トラスト セキュリティの概念をエンタープライズ環境に移行および導入するためのロード マップを提供しています。

現在の資産、ネットワーク インフラストラクチャ、通信状態の情報を収集してセキュリティ体制を改善することは、ゼロ トラストの改善に不可欠です。このプロセスに沿って組織を進めていくには、以下の手順に従うことをお勧めします。

  • アクセス、脅威、信頼を継続的に見直して評価する
  • アプリケーションへのアクセスとトラフィックの傾向を可視化し、長期的なフォレンジック分析用のデータを集約し、インシデント対応を加速して、問題や予期せぬ事態が発生する前に特定する
  • 必要に応じて特定のアクセス セッションの終了など迅速な対応を開始する
  • アクセスの健全性の概要をすばやく把握する

F5では、当社のTrusted Application Access、Application Infrastructure Security、Application Layer Securityの各ソリューションを活用した、効果的なゼロ トラスト モデルの導入を特にサポートしています。詳細については、こちらをご覧ください。

リソース

ゼロ トラスト セキュリティ モデルによる社内アプリケーションの保護

ソリューション

ゼロ トラスト セキュリティ モデルによる社内アプリケーションの保護

詳細はこちら ›

White Paper

ゼロ トラスト セキュリティ:ゼロ トラストが重要な理由

詳細はこちら ›

ゼロ トラストについてハリウッドが教えてくれたこと

ブログ

ゼロ トラストについてハリウッドが教えてくれたこと

詳細はこちら ›

イチから考えるゼロトラスト

Webinar

イチから考えるゼロトラスト

詳細はこちら ›

ゼロトラストネットワーク実現に向けて

デモ動画

ゼロトラストネットワーク実現に向けて

詳細はこちら ›

F5 Labs

F5 Labs

What Is Zero Trust Architecture (ZTA)?

詳細はこちら ›

Security Rule Zero is a Core Component of Zero Trust

ブログ

Security Rule Zero is a Core Component of Zero Trust

詳細はこちら ›

Zero Trust - Making use of a Powerful Identity Aware Proxy (Hands on lab)

ブログ

Zero Trust - Making use of a Powerful Identity Aware Proxy (Hands on lab)

詳細はこちら ›

ゼロトラストを分かりやすく解説

マンガ解説

ゼロトラストを分かりやすく解説

マンガを読む ›

20種類以上にわたる
ITセキュリティお役立ち資料

ダウンロードはこちら
F5