ゼロ トラスト モデルについて説明する
ゼロ トラストは、単一の製品やテクノロジではなく、セキュリティ戦略です。 これは、"信頼する人はいません。すべて検証します。" という原則に基づいています。企業ネットワーク内のすべてのものが安全で信頼できると想定するのではなく、ゼロ トラストは、要求の発生元に関係なく、アクセスのすべての要求を認証および承認する必要があります。
従来のセキュリティアプローチは、多くの場合、"城と堀" モデルに依存していました。強力な境界制御によって信頼されていないトラフィックが除外され、ネットワーク内のすべてのものが安全であると見なされていました。 このモデルは、従業員が固定オフィスで働き、データが完全にオンプレミスに住んでいる場合に、合理的にうまく機能しました。 しかし、その環境は、ほとんどの組織を説明しなくなりました。
今日では、どこからでも作業が行われます。 従業員は個人および企業のデバイスを使用し、ホーム ネットワークとパブリックの場所から接続し、複数のクラウド サービス間でデータにアクセスします。 企業データは、オンプレミスのデータセンター、クラウド プラットフォーム、およびサードパーティのアプリケーション間で移動します。 この環境では、ネットワーク境界だけでは信頼性の高いセキュリティ境界ではなくなりました。 攻撃者は、フィッシング、資格情報の盗難、アプリケーションの脆弱性を通じて境界制御を日常的にバイパスします。そして、内部が既定で信頼されていると見なされる場合、攻撃者はネットワーク内を移動できます。
ゼロ トラストは、既に認証されている、または信頼されたネットワークに接続されているネットワーク、デバイス、ユーザー、またはアプリケーションを既定で信頼する必要がないと仮定することで、この現実に対処します。
ゼロ トラストについては、このビデオをご覧ください。
ゼロ トラストの基本原則
ゼロ トラスト モデルは、組織のあらゆる部分でセキュリティ上の決定がどのように行われるかを形成する 3 つの基本原則に基づいて構築されています。
明示的に確認する: パスワードやネットワークの場所などの単一の要素だけでなく、使用可能なすべてのシグナルに基づいて常に認証と承認を行います。 シグナルには、ユーザーの ID、サインイン場所、使用しているデバイス、コンプライアンスの状態、アクセスされるサービスまたはアプリケーション、関連するデータの分類、異常なサインイン時間や場所などの異常が含まれます。 評価できるシグナルが多いほど、適切なユーザーが適切なリソースにアクセスしていることを確信できます。
最小限の特権アクセスを使用する: ユーザーとシステムに、必要な限り、ジョブを実行するために必要な最小限のアクセス権のみを付与します。 この原則は、Just-In-Time (JIT) アクセス (必要な場合にのみアクセスを許可し、後で取り消す) と just-enough-access (JEA) を通じて実装され、広範なアクセス許可ではなく、タスクに必要な特定のアクセス許可のみを付与します。リスクベースのアダプティブ ポリシーでは、通常とは異なるアクティビティまたは危険なアクティビティが検出されたときに、アクセスを自動的に制限することもできます。
侵害を想定する: 攻撃者が最終的に防御を通過するかのようにセキュリティ戦略を設計します。 侵害を想定する場合は、侵害されたアカウントまたはデバイスが他のすべてに自由にアクセスできないように、アクセスをセグメント化します。 インターセプトされたデータを読み取れないように、データをエンドツーエンドで暗号化します。 監視と分析をデプロイして、侵害が発生したときにそれを迅速に検出し、アクセスされた内容を理解し、損害を制限できるようにします。
これらの 3 つの原則は、ユーザーの認証方法、デバイスの信頼方法、アプリケーションの承認方法、データの保護方法など、セキュリティのあらゆる側面がどのように実装されるかを示しています。
基本となる 7 つの柱
ゼロ トラスト モデルでは、相互接続された 7 つの柱にセキュリティが実装されます。 これらの 6 つの柱は、信号ソース、実施のためのコントロール プレーン、および防御する重要なリソースです。 7 番目の柱は、6 つすべての信号を収集し、脅威に対応して軽減するために必要な可視性、自動化、オーケストレーションを提供します。
ID には 、ユーザー、サービス、またはデバイスを指定できます。 ID がリソースにアクセスしようとすると、アクセスが許可される前に、強力な認証で確認する必要があります。 認証後、アクセスは最小特権の原則によって制御されます。特定のタスクに必要なアクセス権のみを付与します。 ID は、ほとんどの成功した攻撃が最終的に ID の侵害または悪用に依存するため、最新のセキュリティの主要なコントロール プレーンです。
デバイス は、デバイスからオンプレミスのワークロードとクラウドにデータが流れるにつれて、大規模な攻撃対象領域を作成します。 リソースにアクセスするすべてのデバイスは、攻撃者の潜在的なエントリ ポイントを表します。 デバイスの正常性状態とコンプライアンスを監視し、その状態に基づいてアクセスを決定することは、ゼロ トラストの重要な側面です。 コンプライアンス違反のデバイスや侵害の兆候を示すデバイスは、ブロックされたり、アクセスが制限されたりする可能性があります。
アプリケーション は、データを使用する方法です。 ゼロ トラスト戦略では、従業員が正式な承認なしに使用する承認されていないアプリケーション (シャドウ IT とも呼ばれる) を含め、環境内で使用されているすべてのアプリケーションを可視化する必要があります。 この柱には、アプリケーションがプラットフォームから要求するアクセス許可と、ユーザーがデータにアクセスするアプリケーションに付与するアクセス許可の管理も含まれます。
データ は、その属性と機密度に基づいて分類、ラベル付け、暗号化する必要があります。 他のすべての柱にわたるセキュリティの取り組みは、最終的にはデータの保護に役立ちます。 データは分類と暗号化によって独自の保護を行う必要があるため、組織が制御する環境の外部でもセキュリティが維持されます。
インフラストラクチャは、オンプレミスでもクラウド ベースでも、重要な攻撃対象領域を表します。 ゼロ トラストでは、インフラストラクチャは、バージョンの通貨、構成のコンプライアンス、異常な動作について継続的に評価されます。 管理インターフェイスへの Just-In-Time アクセスにより、公開期間が制限されます。 インフラストラクチャからのテレメトリにより、チームは攻撃や異常を検出し、自動的に対応できます。
ネットワーク の一部の侵害が他の場所に無制限のアクセスを提供しないように、ネットワークをセグメント化する必要があります。 これには、境界だけでなく、ネットワーク ゾーン内に境界を作成する、より深いネットワーク内マイクロセグメント化が含まれます。 リアルタイムの脅威保護、ネットワーク トラフィックのエンドツーエンドの暗号化、継続的な監視、分析はすべて、ネットワーク レイヤーに適用する必要があります。
可視性、自動化、オーケストレーションは、 7 番目の柱であり、他のすべての要素を結び付ける統合レイヤーです。 6 つの柱はそれぞれ、独自のシグナルとアラートを生成します。 これらのシグナルを集約し、相互に関連付け、一元的に操作する方法がなければ、セキュリティ チームは膨大な量の個別のアラートに直面します。これは、見逃された脅威やアナリストの疲労につながる問題です。 この柱は、データの流入を管理するための統合された機能を提供し、セキュリティ チームに信頼の決定を下し、検出された脅威に対する自動応答を可能にするためのより良い情報を提供します。 セキュリティ情報とイベント管理 (SIEM) とセキュリティ オーケストレーション、自動応答 (SOAR) テクノロジは、この柱の中心です。SIEM は、脅威を検出するためにすべての柱にわたってシグナルを取り込んで関連付けますが、SOAR はこれらの検出を使用して自動応答プレイブックをトリガーします。
ゼロトラストの実践
7 本の柱は単独では動作しません。 実際のシナリオを考えてみましょう。ユーザーは、管理されていない個人デバイス上の未知の場所からサインインし、機密性の高い金融アプリケーションにアクセスしようとします。
ゼロ トラスト環境では、複数の柱からの信号が同時に評価されます。 ID の柱は、ユーザーの資格情報をチェックし、通常とは異なるサインイン場所をリスクシグナルとして検出します。 デバイスの柱は、デバイスが登録されていないか、準拠していないことを検出します。 アプリケーションの柱は、機密性の高いアプリに準拠したデバイス アクセスを必要とするポリシーを適用します。 ネットワークの柱は接続を監視し、試行をログに記録します。 データの柱は、財務データが暗号化され、データ層でアクセス制御されることを保証します。 インフラストラクチャの柱は、アクセス試行をテレメトリに記録します。
可視性、自動化、オーケストレーションの柱は、これらすべてのシグナルを統合します。 重要度の低いイベントを個別にログに記録するのではなく、結合された信号は信頼度の高いリスク検出に関連付けられます。 自動化されたポリシーは、"侵害の想定" と "明示的な検証" の原則に従って、認証要件をステップアップし、機密性の高いアプリケーションへのアクセスをブロックし、すべて手動で介入することなくセキュリティ チームに警告します。
実際にゼロ トラストは次のようになります。すべての柱にわたる継続的な検証、損害を制限する自動応答、セキュリティ チームに何が起こったのか、その理由を完全に把握できる一元化された可視性です。