はじめに
はじめまして、2023年10月より研修に来ました谷本です。
ゼロトラストとはと聞かれたとき、なんと答えますでしょうか
私はいままでゼロトラストをそのままの訳で「何も信用しないでセキュリティ対策を施すこと」だとしか思っていませんでした。
ゼロトラストとは概念であり、会社や製品によってゼロトラストの定義が異なってきたりします。
今回の記事ではゼロトラストの定義について掘り下げていきたいと思います。
ゼロトラストの定義
実は 米国国立標準技術研究所（NIST）というところがNIST Special Publication 800-207 ゼロトラスト・アーキテクチャという文書にてゼロトラストの定義・理念について整理して公開してくれています。
その中でゼロトラストとは基本の概念が７つあるとの紹介があります。
- すべてのデータソースとコンピューティングサービスをリソースとみなす
- ネットワークの場所に関係なく、すべての通信を保護する
- 企業リソースへのアクセスはセッション単位で付与する
- リソースへのアクセスはクライアントアイデンティティ、アプリケーション/サービス、リクエストする資産の状態、その他の行動属性や環境属性を含めた動的ポリシーにより決定する
- すべての資産の整合性とセキュリティ動作を監視し、測定する
- すべてのリソースの認証と認可を動的に行い、アクセスが許可される前に厳格に実施する
- 資産、ネットワークインフラストラクチャ、通信の現状について可能な限り、多くの情報を収集し、セキュリティ体制の改善に利用する
この上記の7つの概念は全体のゼロトラストの基本の概念になります。
また、この7つの基本の概念を根幹として、ネットワークでのゼロトラストの観点として以下の6点が前提条件として紹介されています。
- 企業のプライベートネットワークは、暗黙のトラストゾーンとみなさない
- ネットワーク上のデバイスは企業が所有していないか、構成可能なものではない場合がある
- どんなリソースも本質的に信頼されるものではない
- すべての企業リソースが企業のインフラストラクチャ上にあるわけではない
- リモートの企業主体と資産は、ローカルネットワークの接続を完全に信頼できない
- 企業のインフラストラクチャと非企業のインフラストラクチャとの間で移動する資産とワークフローには、一貫したセキュリティポリシーが必要
ゼロトラストのポイント
この7つの基本概念と6つの前提条件をもとにゼロトラストを構築することが推奨とされているのですが、主な点としては以下のものを挙げました。
- 境界の外部内部にかかわらず脅威である
- 認証・認可を与える条件であるポリシーは動的すべきである。
- すべてのリソースの認証・認可をアクセスが許可する前に実施すべきである。
1. 境界の外部内部にかかわらず脅威である
プライベートネットワーク内にあるから脅威はないという考えに基づいたVPN構成で考えるとわかりやすいと思います。
VPN接続というのは、VPN内に入った人を信頼しており、入った時点でVPN内のありとあらゆる情報・資産に接続できます。しかし、攻撃者からの観点からみると、VPNにさえ入ることができれば、内部のあらゆる情報・資産を取得することができてしまうことになります。
VPNの内部にいるから信頼ではなく、しっかりと接続元のユーザーやアプリケーション、デバイスなどを逐一チェックすることが必要です。
信頼するために境界を設けるという設計はゼロトラストとは対にあるものです。境界という概念に縛られるのではなく、個々のすべてのリソースの通信で認証・認可を行うべきという3の点にもつながります。
2. 認証・認可を与える条件であるポリシーは動的にすべきである。
例えば、IP制限等でこのIP範囲にあるからを信頼として、そのIP範囲を固定して、認証・認可を与えているケースが少なからずあると思います。この設定は基本変更することは前提とされていないケースが多いです。
しかし、そのように静的な条件ではなく、どのデバイスで、どの部署に配属されたどのユーザーならば、認証・認可を与えるとしておけば、ユーザーからある権限を外したいときでもそのユーザー情報を変更すれば、権限をピンポイントではずすことが可能です。
また、その条件式も簡単に変更できるような状態であれば、デバイスやユーザーの状況に応じて変更や調整が可能な動的ポリシーとなり、よりセキュアになります。
3. すべてのリソースの認証・認可をアクセスが許可する前に実施すべきである。
アプリケーション/ユーザー、デバイスの状態等、あらゆる条件を加味して認証・認可を与えることがゼロトラストでは理想とされています。
すべてのリソースについて認証・認可を行うことによって、アクセス元がネットワーク等の物理的な位置に縛られないというメリットもあります。
AWSが提唱するゼロトラストについて
ゼロトラストは概念なので、会社や製品によって様々な捉え方ができます。
ここでAWSはどのようにゼロトラストを考えているのでしょうか。以下のブログを参考に以下の2点に自分なりにまとめてみました。
- ネットワーク中心とアイデンティティ中心の考え方の両方を組み合わせるべきである。
- ゼロトラストは目的ではなく、手段である。
1.ネットワーク中心とアイデンティティ中心の考え方の両方を組み合わせるべき
先ほど述べましたようにゼロトラストの原則には境界の内部外部にかかわらず脅威であるというのがあります。
「境界の内部でも脅威がある。
とはいえ、ネットワークという境界における信頼はやはり重要である。
なので、ネットワーク制御と境界の信頼に加えて、ユーザー/アプリケーション・デバイスといったアイデンティティの信頼の両輪で認証・認可、アクセス制御を行うべき。」
とAWSは捉えているようです。
2.ゼロトラストは目的ではなく、手段である。
「ゼロトラストの概念はうまく適用すると、セキュリティの基準を大幅に高めることができる。
しかし、ユースケースを満たすことが大事であって、ゼロトラストの考え方にしばられるべきではない。
何を達成したいかを考えたときにゼロトラストという考え方を取り入れたらよいのではないか。
ゼロトラストの概念は置き換えではなく、既存のセキュリティコントロールや概念に追加するものである。」
とAWSは捉えているようです。
まとめ
今回はゼロトラストの原則からAWSの捉え方までを見ていきました。
原則を把握した上で、各社のゼロトラストの捉え方を見るという視点はいいなと思いました。AWSのゼロトラストへの捉え方もこれで定まったわけではなく、また流動的に変化していくものだと思います。
ゼロトラストという考え方を自身の設計に組み込んでみてはどうでしょうか。
