全4106文字
PR

 ゼロトラストネットワークを実現するにはどうしたらよいのか。ゼロトラストネットワークの基本は、「デバイスがリソースにアクセスする際にその可否を判定する」である。これを実現するためには、大きく次の3つの要素が必要になる(図2-1)。

図2-1●ゼロトラストネットワークの基本構造
図2-1●ゼロトラストネットワークの基本構造
デバイスがリソースにアクセスする際に、必ずその可否を判定する。このため、必要なものが(1)情報収集、(2)アクセスレベルの決定、(3)アクセス制御だ。デバイスにはサーバーも含まれる。
[画像のクリックで拡大表示]

 1つめはデバイスの状態や利用者などの情報収集。現在出回っている攻撃などの情報も集める。

 2つめは収集した情報と企業ネットワークのセキュリティーポリシーを組み合わせて、アクセスできるレベルを決定すること。

 最後の3つめは、決定したレベルに基づくアクセス制御を実施することである。

NISTが定義する7原則

 NISTの文書では、ゼロトラストネットワークが満たすべき内容を7つの原則としてより細かく定義している(図2-2)。ただし、挙げているのは原則であってその実現方法については触れていない。

図2-2●NISTが定義するゼロトラストネットワークの7原則
図2-2●NISTが定義するゼロトラストネットワークの7原則
NISTが2020年内に公開予定の「ゼロトラストアーキテクチャー」では、ゼロトラストネットワークが満たすべき7つの原則を定義している。
[画像のクリックで拡大表示]

 例えば2つめの原則「ネットワークの場所に関係なく、すべての通信が保護される」を見てみよう。通信を保護する具体的な方法は示していない。

 一般には、通信データを暗号化することで実現する。ゼロトラストネットワークではデータが流れる場所はどこも安全ではないことを前提とする。データを暗号化していない平文の状態でやりとりすれば、盗聴される危険がある。従ってすべての通信データを暗号化する必要がある。

 3つめの原則「リソースへのアクセスはセッションごとに許可される」と4つめの原則「リソースへのアクセスは動的なポリシーによって決定される」を満たすために、すべてのネットワークのフローを処理前に認証し、アクセス制御を実施する。

IDとデバイス情報が基礎データ

 こうした3要素や7原則を満たすゼロトラストネットワークを具体的な要素まで落とし込んだ構成例を図2-3に示した。米マイクロソフトが公開した構成例「Zero Trust strategy-whatgood looks like」を基に作成した。

図2-3●ゼロトラストネットワークの構成例
図2-3●ゼロトラストネットワークの構成例
図2-1で示した要素を具体的なコンポーネントや作業に落とし込んだ。米マイクロソフトが公開した「Zero Trust strategy―what good looks like」に基づいて本誌が作成した。
[画像のクリックで拡大表示]

 図の左側は情報収集とアクセスレベルの決定で、右側がアクセス制御と対象とするリソースだ。

 利用者からはユーザーIDと多要素認証の実施状況、デバイスからはインベントリーとして組み込んだアプリケーションや最新のセキュリティー更新プログラムの適用状況などを収集する。アクセスするデバイスやユーザーの健全性を評価するためだ。

 例えば多要素認証は、現在のセキュリティーの常識として組み込んでおきたい。ユーザーIDとパスワードの組み合わせだけでは、リスト攻撃や辞書攻撃によって突破されてしまうことが少なくないからだ。企業の機密情報を守るためには不可欠といえる。

 デバイスの情報は、そのデバイスが攻撃されて乗っ取られていないかを知るためにも必要だ。企業が配布したデバイスのみ接続できるようにするなら、例えばTPMを利用して安全な領域に電子証明書を格納しておき、それでデバイスの正当性を証明する方法がある。逆にBYODのデバイスも接続できるようにする考え方もある。

 その際にアクセスできるリソースを、同じ利用者でも変えるなどのセキュリティーポリシーを定めておく必要があるだろう。