ゼロトラスト
ゼロトラストとは
ゼロトラストのID/アクセス管理アプローチでは、どのユーザーやソフトウェアも無条件に信頼されることはありません。ユーザー、デバイス、アプリケーションはすべて、リソースにアクセスする際に自身のIDと認証レベルを証明する必要があります。
ゼロトラストと従来のセキュリティの違い
従来の境界型セキュリティとは異なり、最新のゼロトラストセキュリティ アーキテクチャーは信頼を脆弱性ととらえます。ネットワークへのユーザーの接続が許可されたとしても、そのユーザーが感染しているかもしれないので、そのまま信頼すべきではないと考えます。ネットワーク全体をとおしてIDとデバイスの証明および認証が求められます。ネットワーク上の各コンポーネントは単独で自身の信頼性を確立し、従来のポイントセキュリティ機能を含め、交信する別のコンポーネントに認証してもらう必要があります。
ユーザーはどのようにして信頼性を確立するのか
信頼性の確立には、システムの各コンポーネント (ハードウェアを含む) が自称するとおりのものであり、攻撃者に侵入を受けておらず、発信したメッセージが感染していないことを主張する必要があります。
ゼロトラストアーキテクチャーのメリット
従来のセキュリティモデルでは、一度認証が行われると無制限に信頼が引き継がれるため、ハイブリッドの動的環境で業務を行っている企業のニーズに応えられません。境界やファイアウォールはかつて、外の脅威からデータを保護するのに適していると考えられていました。一方で、Edge-to-Cloudの世界は様々なエッジデバイスやクラウド上のサービスにまたがっているため、それらを完全には信頼できず常に認証が必要です。
多くのITシステムには、サプライチェーン、シリコン、オペレーティングシステム、ハイパーバイザー、プラットフォームソフトウェア、アプリケーションワークロードなどのレイヤーの間に隙があり、サイバー犯罪者はそこにマルウェアなどの攻撃を潜ませます。そのため、2020年のSolarWindsへのハッキングに見られるように、ネットワークは不正に対して脆弱になります。ゼロトラストの原則では、安全性が損なわれたアップデートは、たとえ信頼できるベンダーからのものであっても、ゼロトラストフレームワーク内で完全に検査されるまでインストールされません。
ゼロトラストセキュリティアーキテクチャーの継続的な検証と認証で、各種のサイバー攻撃をすばやく検出し、多くの場合侵入前に防ぐことができます。ゼロトラストモデルはマイクロセグメンテーションに対応しているので、IT部門はネットワークリソースを分離し、潜在的脅威を簡単に封じ込めることができます。また、機密扱いのシステムやデータへのロールベースのアクセスに必要な、きめ細かいポリシー適用ができます。
ゼロトラストはセキュリティを強化するだけでなく、コスト効率も良く、組織の環境のニーズに応じてセキュリティを俊敏で柔軟なものにできます。ゼロトラストセキュリティシステムは、ユーザーの行動が何を意図しているのか理解し、その行動のコンテキストに基づいて適切なセキュリティポリシーを導入するので、ユーザーエクスペリエンスも向上します。
ゼロトラストとSASEの違い
ゼロトラストとSecure Access Service Edge (SASE、「サシー」と読む) の2つのアプローチは、従業員のリモート勤務や分散化が進み、組織の攻撃対象領域が広がる中で、セキュリティを強化できます。どちらも目的は似ていますが、はっきり異なる面もあり区別されます。
SASEは、エッジで安全なアクセスを提供するために必要な要素を定義しています。ソフトウェア デファインド ワイドエリアネットワーク (WAN) と、ネットワーキングのサービスおよび機能を組み合わせ、クラウドベースのセキュアなネットワークを構築します。SASEソリューションは、機密データの特定に加え、リスクレベルと信頼レベルを継続的に監視してコンテンツを暗号化/復号化できなくてはなりません。このアプローチは、複数のリモート/ブランチオフィスやモノのインターネット (IoT) およびエッジ環境がある組織や、従業員の分散化が進んでいる組織に特に役立ちます。
ゼロトラストは、企業全体のセキュリティリスクを軽減するモデルおよび概念を指します。これには、セキュアなアクセスだけでなく、企業を襲うサイバー脅威の監視、データガバナンスおよびコンプライアンスの要件、ネットワーク環境の保守まで含まれます。ゼロトラストアーキテクチャーは、あらゆるネットワーク通信から信頼というものをなくし、その通信が正当であることの確信を求めます。SASEのやり方では、コアコンポーネントテクノロジーを通じてこれを実現します。そのため、ゼロトラストとSASEには重複する原理はありますが、SASEソリューションを実装していても、完全なゼロトラストセキュリティアーキテクチャーを実装していることにはなりません。
ゼロトラストの基本原理
米国国家安全保障局は、ゼロトラストセキュリティ戦略の3つの指針を示しています。
決して信頼せず、必ず確認する
すべてのユーザー、デバイス、アプリケーション、ワークロード、データフローを、信頼できないものとして扱います。動的なセキュリティポリシーを使って認証し、それぞれに対して必要な最小権限を明示的に許可します。
侵害があると想定する
環境内に敵がすでに入り込んでいると想定し、意識してリソースを運用および防御します。ユーザー、デバイス、データフロー、アクセス要求をすべて、デフォルトで拒否し、念入りに調べます。構成変更、リソースへのアクセス、ネットワークトラフィックはすべて、疑わしい動きがないか記録および検査し、継続的な監視を行います。
明示的に検証する
信頼できるレベルでコンテキストに沿ったリソースアクセスの決定ができるよう、すべてのリソースへのアクセスは、複数の属性 (動的および静的) を用いて一貫したセキュアな方法で行う必要があります。
前述の1つ目の原則に出てきた最小権限の原則 (POLP) では、ユーザーの権限を、作業に必要なリソースのみへのアクセス (読み取り、書き込み、実行) に限定し、その権限の許可はできる限り短い時間にすべきだとされています。この原則もアクセス制御の原則として知られています。
権限が許可される時間の長さはPOLPの重要な要素です。ソフトウェア開発者は、ユーザーの作業に必要な範囲を越えて、アプリケーションのアクセス権を徐々に増やしがちです。これは「権限のクリープ」と呼ばれますが、不要な権限が累積するとデータの損失や盗難につながるおそれがあるため、組織のサイバーセキュリティリスクが増加することになります。
HPEはどのようにゼロトラストアーキテクチャーの実現を支援するのか
Project Auroraは、エッジからクラウドまでカバーするHPEのゼロトラストセキュリティアーキテクチャーで、今日の極めて高度なマルウェア攻撃のいくつかからお客様を保護します。HPEのSilicon Root of Trustをベースに構築したProject Auroraは、対象が有効化またはリリースされて実行される前に対処し、ランタイム中は継続的にこれを繰り返します。
Project Auroraはポイントソリューションとは異なり、シリコンレベルから始まる新しい組み込みの統合セキュリティソリューションで、エッジからクラウドまでエンドツーエンドのセキュリティに対応します。設計時から組み込まれたセキュリティテクノロジーと、検証と認証の自動化を組み合わせ、シリコンという最下層の基盤から始まる多層防御を確立しています。
Project Auroraで、シリコンからワークロードまでセキュアな信頼の鎖全体にセキュリティを組み込むことで、組織は自身の分散ソフトウェアシステムに大きな信頼を寄せ、アジリティと柔軟性を向上させて、独自のソリューションをコスト効率良く市場に投入できるようになります。
Project Auroraは、HPE GreenLakeとその他のHPE製品全体にわたってさらにゼロトラストサービスを提供するための基盤を築きます。まずは、ハードウェア、ファームウェア、オペレーティングシステム、プラットフォーム、ワークロード (セキュリティベンダーのワークロードも含む) の完全性を自動的かつ継続的に検証できるよう、HPE GreenLake Lighthouseに組み込まれます。またこれは、貴重な企業データと知的財産の損失や不正な暗号化 (および破損) を最小限に抑えるのにも役立ちます。
将来は、HPE GreenLakeクラウドサービスにProject Auroraが組み込まれ、プラットフォームに依存せずにエッジからクラウドまで分散されたゼロトラストアーキテクチャーを定義、作成、展開できるようになります。