ゼロトラストアーキテクチャってなんだろうか

記事をお読みいただきありがとうございます。
この記事では、私がゼロトラストアーキテクチャについて勉強した内容を書きたいと思います。

---

この記事を読むと解決できること

• ゼロトラストアーキテクチャって結局なんなのか

• どのようなソリューションがあるのか

• 自社環境をゼロトラストアーキテクチャに変える現実的な方法

ゼロトラストアーキテクチャとは

ゼロトラストアーキテクチャとは、「ネットワーク内部のものを基本的には信頼せず常に検証する」というゼロトラストの考え方を反映したアーキテクチャのことです。
ゼロトラストアーキテクチャが生まれた背景には昨今のサイバー攻撃の高度化とネットワーク環境の複雑化があります。従来から存在する境界防御の考えに基づいたアーキテクチャでは、内部ネットワークを信頼し外部ネットワークからの攻撃を防ぐことを重要視しています。しかし、内部ネットワーク内の防御策が不十分であり、一旦内部侵入を許すと攻撃者は簡単に内部リソースにアクセスできてしまうというデメリットがあります。最近では標的型攻撃や内部不正といった境界防御だけでは防げない攻撃が増えたことがこのアーキテクチャが生まれた理由の一つです。加えて、リモートワークやクラウドが普及した現在、今までは非信頼ゾーンと認識していたインターネット上（リモート環境やパブリッククラウド）に会社の重要な資産（データベースや個人端末）が存在するようになりました。このような状況では、文字通り境界が曖昧になり従来の境界ベースのアーキテクチャだけではセキュリティレベルが担保できなくなってしまったというのも背景としてあります。
ただ、ここで誤解してほしくないのは、ゼロトラストアーキテクチャ自体は従来の境界型防御を否定していないということです。つまり、境界型防御も優れたアーキテクチャではあるけど、それにプラスしてゼロトラストの考え方を導入していくのが大事、ということです。
そんな背景で生まれたゼロトラストアーキテクチャですが、実現したいこととしては下記の三つです。

• ネットワークの場所に限らず（内側でも、リモート環境でも）通信の保護と検証を行うこと

• 通信の検証は動的ポリシーにより行うこと

• 企業が持つリソース（ネットワーク機器やサーバ）の現状を把握し脆弱性のない状態を作ること（サイバーハイジーンな環境を作ること）

ネットワークの場所に限らず通信の保護と検証を行うこと

通信の保護と検証は今までも行なっていましたが、どちらかというと外側と内側にゲートウェイを設けてそこで検証や暗号化/複合化を行うのが一般的だったと思います。ゼロトラストの考えでは、検証や暗号化を内部間通信でも行うことが重要とされています。また、テレワークやクラウド利用に対応するためネットワーク上の場所基準だけの検証だけでなくアカウント情報やデバイスの情報、地理的場所などの情報を考慮して検証していくことが大切です。

通信の検証は動的ポリシーにより行うこと

ゼロトラストアーキテクチャを考える中でよく出てくるのがこの動的ポリシーによる検証です。動的ポリシーによる検証では、アカウント情報やそのアカウントに紐づくロールだけでなく、デバイスの種類、時間、地理的情報、アクセス履歴、デバイスのセキュリティ状態を加味して検証を行い、その通信が正当なものであるかを判断します。
例えば以下のようなイメージです。

• 普段東京からアクセスしているアカウントが深夜帯にヨーロッパからアクセスしているため、通信をブロックする

• アカウント情報は正しいが、デバイス搭載されているセキュリティ製品の機能が有効化されておらず脆弱性もあるため通信をブロックする

このような動的ポリシーを用いることで、組織内部のアカウントが奪取されたことによる攻撃を防ぐことができます。

企業が持つリソースの状態を把握し脆弱性のない状態を作ること（サイバーハイジーン）

攻撃者は攻撃対象の企業に存在する脆弱性を狙って攻撃を行います。そのような攻撃に対処するために日頃から社内のリソースをチェックし脆弱性がないか把握し、リスクレベルを考慮してパッチを適用していくことが大切です。この状態をサイバーハイジーンと呼びます。

ゼロトラスト実現のためのソリューション

1. ネットワークの場所に限らず（内側でも、リモート環境でも）通信の保護と検証を行うためのソリューション

ソリューション: Secure Access Service Edge (SASE)やSSE

• SASE・SSEは、ネットワークセキュリティ機能をクラウドサービスとして提供するアーキテクチャモデルです。これにより、ユーザーがどこからでも安全にリソースにアクセスできるようにします。

• 機能：
• SD-WAN（Software-Defined Wide Area Network）：広域ネットワークの最適化と管理（SSEはSD-WANを含まない）
• CASB（Cloud Access Security Broker）：クラウドサービスへのアクセス管理とセキュリティ強化
• SWG（Secure Web Gateway）：インターネットアクセスの保護と監視
• ZTNA（Zero Trust Network Access）：ゼロトラストモデルに基づくアクセス制御

2. 通信の検証は動的ポリシーにより行うこと

ソリューション: Identity and Access Management (IAM) と Security Information and Event Management (SIEM)

• IAM：動的ポリシーの適用と認証・認可をリアルタイムで行うためのソリューション。ユーザーやデバイスの認証、アクセス権の管理を動的に行います。

• SIEM：継続的な監視とリアルタイムのアラートを提供し、動的ポリシーに基づいたセキュリティイベントの管理を行います。

3. 企業が持つリソース（ネットワーク機器やサーバ）の現状を把握し脆弱性のない状態を作ること（サイバーハイジーンな環境を作ること）

ソリューション: Attack Surface Management (ASM) と Endpoint Detection and Response (EDR)

• ASM：企業の全ての資産を継続的に発見、評価、モニタリングし、攻撃可能な箇所を最小化するためのソリューションです。

• EDR：エンドポイントの動作を監視し、異常を検出、対応するためのソリューション。脅威の検出と迅速な対応をサポートします。

ゼロトラストを実現する時に大切なこと

多くの企業が従来型アーキテクチャからゼロトラストアークテクチャへの移行を考えているまたはその最中であると思われます。ゼロトラストアーキテクチャへの移行を考える上で大切なことは下記二点であると思われます。

• 社内リソースを正確に把握すること

• 既存の境界防御アーキテクチャの活用も考えること

移行をする際にまず大切になるのが社内リソースを正確に把握することです。特に社内で管理しているアカウントやデータベースやアプリケーションといった社内資産を正確に把握しなければゼロトラストアーキテクチャの実現は不可能といえます。ゼロトラストでは動的ポリシーで通信の制御を行うため、そもそも社内に誰がいてアクセスに使うアカウントはなんなのかを把握しなければポリシーの適用ができません。また、アクセス先の社内リソースを把握していなければ制御できませんし、サイバーハイジーンの達成も難しくなります。移行の前に、社内にどんなリソースがあるのか確認することが大切です。
そして、忘れてはいけないのが今ある境界防御アーキテクチャを無理に壊す必要はないということです。境界防御は残しつつ、ゲートウェイをクラウド化するなどして既存のセキュリティレベルを強化していくという移行の仕方もあると思います。
境界防御も洗練させれば十分に活用できるアーキテクチャですので、今までの技術と新しい技術を組み合わせて使っていくことが大切です。