境界型防御からゼロトラストへ – リモート社会でのセキュリティ構築

こんにちは、shibamです。

この記事は アイソルート Advent Calendar 2023、8日目の記事です。
7日目は、namikitさんによる【Step Functions なし】失敗した ECS RunTask を自動でリトライするでした。

コロナ禍によって、リモートワークという概念が普及し、多くの企業が１つの働き方として取り入れるようになりました。
リモートワークを実施していくために頭を悩ませるのが、セキュリティ。
今回は、従来のセキュリティ構築である”境界型防御”の課題と弱点についてと、これからのセキュリティ構築の考え方であるゼロトラストとは何かについて簡単に説明します。

目次

1. はじめに
2. 境界型防御の課題と限界
3. 境界型防御からゼロトラストへ
4. まずはIDaaSから
5. まとめ

1.はじめに

今回の記事では、昨今のリモートワーク中心の社会における「境界型防御」の課題と弱点についてと、その解決のための「ゼロトラスト」という考え方について解説します。
その後、ゼロトラストセキュリティの実現に向けた第一歩として、IDaaSを導入するメリットについて考えていきます。

2. 境界型防御の課題と限界

境界型防御とは？

境界型防御とは、「社内」と「社外」など、防御したい資産の境界線を明確にした上で、境界内の資産に対してセキュリティを構築する考え方です。
境界型防御においては、境界内部にある資産は信頼できるものとして扱いつつ、ファイアウォールやプロキシサーバを通じて境界外部からの攻撃への対処を行い、境界内部にある資産を防御します。

境界型防御の課題と限界

しかし、リモートワークやクラウドサービスの利用が増えてきた今、守るべき境界の範囲は非常に曖昧になりつつあります。
例えば…

1. 社員がリモートワーク中、個人の端末から社内の資産へアクセスする
2. クラウドストレージを利用し、社内の資産をクラウドストレージに配置する

などなど。その結果、境界型防御には以下のような課題が生じ始めました。

1. 外部資産に頼る機会が増えた結果、境界線がどこにあるか定義が困難になった
2. 境界外部から内部へのアクセスが増加し、不正なアクセスの検知が難しくなった
   ※境界型防御においては、境界内部の操作は基本信頼できるものとして扱うため、不正なアクセスが成立した場合、それに対する防御は困難となります。

上記のような課題を解決することが困難なことから、現代のIT社会においては「境界型防御」に取って代わる別のセキュリティ構想が必要となりました。
そこで注目された概念が、「ゼロトラスト」です。

3.境界型防御からゼロトラストへ

ゼロトラストとは？

「ゼロトラスト」という概念は、2009年にForrester ResearchのセキュリティアナリストであるJohn Kindervagによって提唱されました。
ざっくりと言えば、全てのアクセスやリソースを信頼せず、必要なヒト・モノ・コトに必要なだけの権限を与える、最小権限の原則に従ってセキュリティを構築していく考え方です。
そのためには、単に必要な分の権限を与えていくだけでなく、与えた権限が適切であるかをリアルタイムな監視・分析によって繰り返し評価していくことも重要になります。

ゼロトラストの実現

ゼロトラストを実現するには、一筋縄ではいきません。
NIST(National Institute of Standards and Technology:国立標準技術研究所)が提示する情報セキュリティのガイドラインのうち、ゼロトラストに関するガイドライン(NIST SP 800-207)にてゼロトラストの実現に必要な要素を以下のように定義しています。

1. すべてのデータソースとコンピューティングサービスは、リソースとみなされる。
2. ネットワークの場所に関係なく、すべての通信が安全である。
3. 個々の企業リソースへのアクセスは、セッション単位で許可される。
4. リソースへのアクセスは、動的なポリシーによって決定される。
5. 企業は、所有するすべての資産及び関連する資産の完全性及びセキュリティ態勢を監視及び測定する。
6. すべてのリソースの認証と認可は動的であり、アクセスが許可される前に厳格に実施される。
7. 企業は、資産、ネットワークインフラ、および通信の現状について可能な限り多くの情報を収集し、セキュリティ態勢を改善するために使用する。

上記の実現のために全ての資産を監視・分析し適切な権限を与えることが最終的な目標となりますが、実際のところこの全てを実現できている企業はまだ少なく、
Gatner社の調査によれば、2023年現在上記全てを満たす理想的なゼロトラストを実現できている企業は1%未満だと言われています。

ゼロトラストの成熟度モデル

そんなに大変なら導入なんてできるはずない…！
と感じてしまいますよね。同感です。
「理想的なゼロトラスト」を実現するには、5~10年単位の長いスパンがかかってしまいます。
ただ、「理想的なゼロトラスト」とまではいかなくとも、ゼロトラストの概念を導入することには意義があります。
Microsoft社が発行するペーパーの”Maturity Model”(成熟度モデル)において、ゼロトラストを段階的に実現するためのステップが質問形式で記載されています。
“first stage”では、以下を目標としています。

1. MFA のような強力な認証方法でパスワードのリスクを低減し、クラウドアプリへのSSOアクセスを提供しているか？
2. デバイスのコンプライアンス、クラウド環境、ログインを可視化し、異常なアクティビティを検出しているか？
3. ファイアウォール境界内での無制限の横方向の移動を防止するために、ネットワークをセグメント化していますか？

まずは上記目標を実現することを目指しながら、少しずつ環境作りを進めていくのが実際のゼロトラスト実現に向けた取り組みになります。
 

4. まずはIDaaSから

IDaaSとは？

IDaaSとは、”Identifier as a Service”の略称で、アイデンティティやアクセス管理をクラウド上で提供するサービスの総称です。
IDaaSプロバイダーを利用することで、管理者は認証・認可に関連する様々な機能を柔軟に利用することができます。
代表的なIDaaSプロバイダーとしては、Microsoft Entra ID(旧：Microsoft Azure AD),Okta,Auth0などが挙げられます。

ゼロトラスト実現のためにIDaaSを導入するメリット

IDaaSを導入することで、アクセス管理において以下の機能を実現することができ、ゼロトラストセキュリティの実現のために大いに役立ちます。

1. MFAなど、強力な認証手段の提供…先ほどのfirst stageでも挙げられていた、MFAなどの強力な認証を手軽に実現することができます。
2. SSOや生体認証などの提供による、ユーザーの認証の手間の削減…セキュリティをより強固にすることを目指す場合、認証の複雑化によるユーザーの手間が懸念されます。認証の手間の増大とともに、それを回避する手段を考える可能性が高まり、結果としてそれがセキュリティリスクに繋がる可能性もあるからです。SSOやパスワードレスの認証を提供することで、ユーザーの認証の手間を削減し、強固なセキュリティを手軽に利用することができるようになります。
3. ユーザーの属性によるアクセス管理…IDaaSを導入することで、ユーザーの属性に基づくアクセス管理(Atrribute-Base AccessControl)を実現できます。例えば「アクセスしているのはモバイルか、端末か」や、「その人の役職は何か」などのユーザーの持つリアルタイムな属性情報によってアクセスを管理します。これはゼロトラストの実現のための7つの原則のうち、「リソースへのアクセスは、動的なポリシーによって決定される。」を満たすために役立ちます。
4. アクセスログの監視や分析…ゼロトラスト実現のためには、「企業は、資産、ネットワークインフラ、および通信の現状について可能な限り多くの情報を収集し、セキュリティ態勢を改善するために使用する。」ことが必要であり、そのためにはユーザーのアクセスログの監視や分析、可視化が必要になります。IDaaSの導入をすることで、クラウド上にアクセスログを残すことができる他、ログの分析によってセキュリティリスクを検出する機能を備えているIDaaSも多くあります。

実際に導入を検討するために

前提として、現在提供されるIDaaSプロバイダの多くは、上記機能を満たしていることがほとんどであり、上記機能を満たすかどうかを検討の観点としても参考にならない場合が多いかもしれません。
実際には、機能面よりもコストや企業の信頼性、拡張性や柔軟性などを比較検討し、企業としての戦略や思想に即したIDaaSの導入を検討してください。

5.まとめ

ゼロトラストの市場は年々拡大傾向にあり、多くの企業が既に導入を検討しています。
デジタル庁の公表する資料なども多く見られ、国としてもゼロトラスト実現のための動きが見られます。
今回の記事がゼロトラストとは何か、どう実現していくか、ということを考える一助になれば幸いです。