こんにちは。富士通クラウドテクノロジーズの鮫島です。
今回は、ニフクラ エンジニアミートアップの話ではなく、2020年代注目のキーワードといえるセキュリティの概念「ゼロトラストネットワーク(ZTN)」について説明します。 ※2021年1月若干加筆済
昨今のIT環境は、巧妙化するサイバー攻撃や内部不正など、内外からさまざまな脅威にさらされているのはご存知と思います。そういった脅威に対して、ファイアウォールやVPNといった境界防御型のセキュリティだけではIT環境を必ずしも守れなくなった現状を踏まえ、外部・内部問わずすべてのトラフィックを信頼しない「性悪説」を前提として、都度認証することで脅威を防ぐというセキュリティの概念が「ゼロトラストネットワーク(ZTN)」です。
ゼロトラストネットワークをざっくり解説
性悪説だけど許すセキュリティ
ゼロトラスト＝誰も信用しないという字面だけ見ると、何やらネガティブな印象を受けるかもしれませんが、ゼロトラストネットワークは「許すセキュリティ」です。働き方改革によって広がりつつある、場所・時間・立場を問わない多様なビジネス環境に最適な概念であることも理解してください。
ゼロトラストネットワークの基本的な考え方をざっくりまとめるとこういう感じです。
- ネットワークの内外は常に脅威が存在
- ネットワークのセグメント≠セキュリティセグメント
- ネットワークの内外全てのユーザー・デバイス・フローを信用せず、都度認証
しつこいようですが、基本的には「性悪説」です。
境界型防御の弱点とは
従来のネットワークやセキュリティ設計では、大前提として下記のような区別がまかり通っていました。
- 外側（インターネット）＝信用できない
- 内側（ローカルネットワーク）＝信用できる
しかし、ゼロトラストネットワークでは
「ネットワークのセグメント≠セキュリティセグメント」
だと考えてください。この違いを図で説明してみます。
境界内部にいったん悪意のある脅威が侵入してしまうとやりたい放題です！
つい先日、内部不正でHDDが個人情報ごと流出する事件が起きましたが、安全と思われていた内部からセキュリティインシデントが発生するリスクが顕在化しています。
また、サイバー攻撃についても、ITリテラシーの低いIT利用者を介してマルウェアを侵入させてデータを流出させるような標的型の攻撃が増加しています。 安全だという前提の内側（ローカルネットワーク）に一旦侵入されると、「横移動（ラテラルムーブメントと言うそうです）」 されて、顧客情報を手に入れたり、アプリケーションサーバーで勝手な操作をされたり、被害がどんどん拡大します。前述の「やりたい放題」です。 VPNとかVDIを使えば安心でしょ？という意見もありますが、社外からアクセスする環境そのものを乗っ取られると多層防御の最深部にあっさり到達されてしまうリスクがあります。
続いて、ゼロトラストの図をご覧ください。
ゼロトラストのメリットとは
ここでは、悪意のある脅威が内部に存在したとしても、法定速度で車間距離をしっかりあけないと走行できないし、知らない人の建物に入ることもできないのです。しかしディストピアな「管理社会」のイメージではなく、リアルタイムに個別の確認・評価がなされて、安全かつ高度な自動運転が実現し、駐車場のゲートもいちいち駐車券を入れなくても利用できるようなスマートな世界を想像してください。
ゼロトラストのメリットは、すなわち情報セキュリティへの脅威に対してシンプルな仕組みでありながらより強固なセキュリティ環境に変えていくことが可能になることです。 インターネットを介してどこからでもアクセスできるパブリッククラウドにありがちな「クラウドはセキュリティが不安」という前提は無くなり、都度認証を行われアクセスの信用度を確認してセキュアな状態か否かを判断されるため、利用者は、BYODを含むさまざまな端末を利用してどこからでもアクセスできるようになります。また、インフラを管理する側も、IPアドレス制限やVPNの複雑な設定 から解放され、情報セキュリティの脅威に対してシンプルかつ強固な環境を構築できるようになります。
ゼロトラストネットワークの仕組み
ゼロトラストネットワークの三要素
ゼロトラストネットワークは、いったいどのような仕組みでそれを実現してるのかをご説明します。まず、コントロールプレーンというユーザー認証とアプリケションの認証、デバイス認証の評価を一元管理する司令塔と、データ転送など単純な作業を行うデータプレーンがあります。コントロールプレーンは、ユーザー／アプリケーション認証とデバイス認証の評価を信用スコア（信頼度）として管理してポリシー適用を行い、データプレーンを動的に設定して暗号化の上で通信を許可します。
この仕組みで、コントロールプレーンとデータプレーンが信用スコアを元に利用者のアクセス可否を動的に判断して通信を許可できるようにするためには、自動化は必須と言われているようですが、自動化の方法論に関しては、専門外なのでここでは触れません（おいおい）。
ニフクラでゼロトラストは実現できるのか？
ここまで、ゼロトラストネットワークの概念と仕組みについて説明してきましたが、読者の皆様の興味は、ニフクラでゼロトラストは実現できるのか？という点だと思います。
現時点では、一部しか実現できません！
しかし、耳寄りな情報があります。デバイス認証の部分に「ネットワーク利用に関するアクセスのコントロール」という要素があります。これは、いわゆるマイクロセグメンテーションという技術で可能であり、ニフクラは標準でその機能を実装しています。要するに、ローカルネットワーク内での「横移動」を防止できるということです。これを実現するためにはかなり高額なコストがかかりますが、ニフクラなら追加料金なしにゼロトラストモデルのネットワークをすぐに実現可能です。
こんな恐ろしい状態から・・・
ニフクラならばデフォルトで、マイクロセグメンテーションを実装。
1仮想マシン単位でファイアウォールグループ設定ですよ！
まとめ
ゼロトラストネットワーク(ゼロトラストアーキテクチャ)はあくまで概念であり、特定の機能・ソリューションの導入で完成するような方法論が現時点で確立しているわけではありません。セキュリティベンダー、ネットワークベンダーのゼロトラスト対応と言われる製品はかなり高額であり、慎重に導入を検討する必要があるでしょう。
コストだけではなく、従来の境界型の防御を前提として構築されている現システムに対してゼロトラストを適用することは一筋縄ではいかないはずです。また、ゼロトラストネットワークを実現する過程で、「利用者が使いにくい」「情シス担当者・IT管理者の負荷が大きい」システムになってしまうリスクもあります。
※このリスクについて質問があったので、コメントしておきます。
認証がスマートな形で導入されなければ、恐ろしく利用者にとってストレスフルなシステムになる可能性があります。
また、ゼロトラストネットワークの構築が高度な自動化を伴っていなかったとしたら、「情シス担当者・IT管理者」は手作業で運用する部分が増えてしまい、作業ミスによるセキュリティリスクが生じやすくなります。
まずは、自社の持つ重要な情報とそれの漏洩リスクを特定・把握することから始めて、現在導入している境界型防御のセキュリティで不足している対策を優先的に選択し、少しずつゼロトラストネットワークの実現に近づけていく(要するにハイブリッド型ゼロトラストアーキテクチャから始める)ことが重要ではないでしょうか？
こちらの関連記事もぜひご覧ください
