ゼロトラスト アーキテクチャーとは

ゼロトラスト アーキテクチャーとゼロトラスト ネットワーク アクセスの違い

ゼロトラスト アーキテクチャーについて掘り下げる前に、関連性の高いこれらの2つの用語の違いを整理しましょう。

• ゼロトラスト アーキテクチャー(ZTA)は、隙のないアクセス管理、厳格なデバイスとユーザーの認証、強力なセグメンテーションなどといった、ゼロトラストの原則をサポートする構造です。これは、ネットワーク内にあるものをデフォルトで信頼する「城と堀」のアーキテクチャーとは明確に異なります。
• ゼロトラスト ネットワーク アクセス(ZTNA)は、ユーザー、データ、アプリが従来の境界内に存在しない可能性がある場合にアプリやデータへの安全なアクセスをユーザーに提供します。これは、クラウドやハイブリッド ワークが普及した現代では一般的なゼロトラストのユース ケースになります。

両者を組み合わせることで、ゼロトラスト アーキテクチャーはZTNAの基盤を提供し、場所や時間やデバイスを問わず、組織のシステム、サービス、API、データ、プロセスにアクセスできるようになります。

ゼロトラスト アーキテクチャーのニーズ

過去数十年にわたり、多くの組織は複雑かつ広範囲にわたるハブ＆スポーク型のネットワークの構築と再構成を行ってきました。こうした環境では、ユーザーや拠点からデータ センターへの接続は、プライベート接続で行われます。必要なアプリケーションにアクセスするには、ユーザーはネットワーク上に存在する必要があります。ハブ＆スポーク型ネットワークは、「城と堀」のネットワーク セキュリティとして知られるアーキテクチャーを使用しており、VPNや「次世代ファイアウォール」などのアプライアンス スタックで保護されます。

このアプローチは、アプリケーションがデータ センターに存在する場合には効果的でしたが、クラウド サービスが普及し、データ セキュリティに関する懸念が増大するなか、組織の足を引っ張る存在となっています。

現在、アジリティーや競争力を高めるべく、多くの組織がクラウド テクノロジーやモバイル テクノロジー、AI、IoT、運用テクノロジー(OT)を導入しており、デジタル トランスフォーメーションが加速しています。ユーザーはあらゆる場所に存在するようになり、組織のデータはもはや自社のデータ センターだけに存在するものではなくなりました。コラボレーションや生産性維持のためには、ユーザーが場所や時間を問わずアプリケーションに直接アクセスできる必要があります。

トラフィックをデータ センターにルーティングすることでクラウド内のアプリケーションに安全にアクセスする方法は合理的ではありません。これこそ、組織がハブ＆スポーク型モデルからクラウドへの直接接続を提供するゼロトラスト アーキテクチャーに移行している理由です。

こちらの動画は、セキュア デジタル トランスフォーメーションについて簡潔に説明したものです。

ゼロトラストの核となる原則

ゼロトラストは、ユーザーのアイデンティティー、セグメンテーション、セキュア アクセスを組み合わせただけのものではなく、完全なセキュリティ エコシステムを構築するためのセキュリティ戦略です。その核となるのが以下3つの原則です。

1. すべての接続を終了：従来のテクノロジー(ファイアウォールなど)に共通するパススルー検査とは違い、効果的なゼロトラスト アーキテクチャーでは、すべての接続を中断し、インライン プロキシ アーキテクチャーによってあらゆるトラフィック(暗号化されたトラフィックを含む)を宛先に到達する前にリアルタイムで検査します。
2. きめ細かなコンテキストベースのポリシーでデータを保護：ゼロトラスト ポリシーは、ユーザーのアイデンティティー、デバイス、場所、コンテンツの種類、要求されたアプリケーションなどのコンテキストに基づいて、アクセス要求と権利を検証します。ポリシーは適応性を備えているため、妥当性やユーザーのアクセス権はコンテキストの変化に応じて継続的に再評価されます。
3. 攻撃対象を排除することでリスクを低減：ゼロトラスト アプローチでは、ユーザーは必要なアプリやリソースに直接接続され、ネットワークには接続されません(ZTNAを参照)。直接接続によってラテラル ムーブメントのリスクが排除され、侵害されたデバイスが他のリソースに感染することを防ぎます。さらに、ユーザーやアプリはインターネットから不可視化されており、発見されたり攻撃されたりすることはありません。

ゼロトラスト アーキテクチャーの5つの柱

ゼロトラストの5つの「柱」を最初に示したのは、米国サイバーセキュリティおよびインフラ セキュリティ庁(CISA)です。政府機関(およびその他の組織)がゼロトラスト戦略に求めるべき重要機能についての指針として提示されました。

この5つの柱の内容は以下のとおりです。

• アイデンティティー：アイデンティティー管理は、最小特権アクセスのアプローチに移行すること。
• デバイス：サービスおよびデータへのアクセスに使用されるデバイスの整合性を担保すること。
• ネットワーク：従来のネットワーク セグメンテーションにおける暗黙の信頼を排除し、アプリケーション ワークフローのニーズに応じてネットワークをセグメンテーションおよび保護すること。
• アプリケーションとワークロード：保護機能をアプリケーション ワークフローとより緊密に統合し、アイデンティティー、デバイス コンプライアンス、その他の属性に基づいてアプリケーションへのアクセスを提供すること。
• データ：データ アセットの特定、分類、インベントリー作成から取りかかり、サイバーセキュリティをデータ中心のアプローチに移行すること。

各機能の整備はそれぞれのスピードで進行し、成熟度にばらつきが出ることもあるため、どこかの時点でそれぞれの柱の間での調整(特に相互運用性と依存関係)を行い、整合性を担保する必要があります。これによりゼロトラストへの段階的な進化が可能になり、コストや労力を長期に分散させることができます。

ゼロトラスト アーキテクチャーの仕組み

ゼロトラストの土台となっているのは、「決して信頼せず常に検証する」というシンプルな考え方です。原則として、ネットワーク上に存在するものはすべて悪意を持っているか侵害されていると仮定します。ユーザーのアイデンティティー、デバイス ポスチャー、ビジネス コンテキストを検証し、ポリシー チェックを適用して初めてアプリケーションへのアクセスが許可されます。すべてのトラフィックのログの作成とインスペクションが必須となり、従来のセキュリティ制御では実現不能な水準の可視性が求められます。

真のゼロトラスト アプローチを実装するには、ユーザーをネットワークではなくアプリケーションに直接接続し、接続が許可またはブロックされる前に追加の制御を適用できるようにする、プロキシベースのアーキテクチャーが最適です。

ゼロトラスト アーキテクチャーでは、すべての接続が以下の3段階のプロセスを経たうえで確立されます。

1. アイデンティティーとコンテキストの検証。ユーザー、デバイス、ワークロード、IoT/OTから接続リクエストがあると、基盤となるネットワークに関係なくまず接続を終了し、「誰が、何を、どこで」リクエストしたかを把握してアイデンティティーとコンテキストを検証します。
2. リスクの制御。リクエスト元となるエンティティーのアイデンティティーとコンテキストが検証され、セグメンテーション ルールが適用されると、ゼロトラスト アーキテクチャーは接続リクエストに関連するリスクを評価し、トラフィックにサイバー脅威や機密データがないか検査します。
3. ポリシーを施行します。最後に、ユーザー、ワークロード、デバイスのリスク スコアが算出され、許可するか制限するかを判断します。許可された場合、ゼロトラスト アーキテクチャーによって、インターネットやSaaSアプリ、IaaS/PaaS環境への安全な接続が確立されます。

ゼロトラスト アーキテクチャーのメリット

ゼロトラスト アーキテクチャーは、マルウェアやその他のサイバー攻撃からユーザーとデータを保護しつつ、現代のビジネスを求められるスピードに求められる正確かつコンテキストに応じたユーザー アクセスを提供します。ZTNAの基盤として、効果的なゼロトラスト アーキテクチャーは以下をサポートします。

• 安全かつ高速なアクセス：データやアプリケーションにアクセスする従業員やパートナーなどのリモート ワーカーに場所を問わず優れたユーザー エクスペリエンスを提供します。
• 信頼性の高いリモート アクセスの提供：VPNなどの従来型のテクノロジーよりも簡単かつ一貫したセキュリティ ポリシーの管理および適用を実現します。
• 機密データとアプリの保護：暗号化や認証などの厳格なセキュリティ制御により、オンプレミスやクラウド環境内、転送中または保存状態のデータ、アプリケーションを保護します。
• 内部脅威の阻止：ネットワーク境界内のユーザーやデバイスにデフォルトの暗黙の信頼を与えないようにします。
• ラテラル ムーブメントの制限：リソース レベルのきめ細かいアクセス ポリシーによって侵害の可能性を低減します。
• 検出、対応、復旧：発生した侵害に対してより迅速かつ効果的に対処し、その影響を軽減します。
• より詳細な可視化：セッションと実行されたアクションの詳細な監視とログ記録により、ユーザーとエンティティーのアクティビティーの内容、時期、方法、場所をします。
• リアルタイムでのリスク評価：詳細な認証ログ、デバイスとリソースの正常性チェック、ユーザーとエンティティーの行動分析などを使用して評価を行います。

(アメリカ国立標準技術研究所(NIST)特別出版物「Implementing a Zero Trust Architecture」から翻案)

ゼロトラスト アーキテクチャーが従来のセキュリティ モデルと比べて優れている点

ゼロトラスト アーキテクチャーは、プロアクティブで適応性を備えたデータ中心のアプローチによって、従来のセキュリティ モデルより優れた効果を発揮します。従来のモデルは境界による防御に依存していますが、ゼロトラストでは脅威がネットワークの外部だけでなく内部にも存在することを前提に、ユーザーおよびデバイスのアイデンティティーとセキュリティ態勢を継続的に検証します。

ゼロトラストでは、きめ細かな最小特権アクセス制御を適用することにより、ユーザーとデバイスに必要最小限のアクセスのみを許可します。また継続的なモニタリング、MFA、行動分析により、脅威をリアルタイムで検出し、攻撃の被害を未然に防ぎます。この適応性はゼロトラストのアジリティーをいっそう高めており、現在のリモート ワークやクラウド主導の世界に必ずつきまとう膨大な攻撃対象領域や新たな脆弱性から組織を守るうえで、従来のモデルより適したものになっています。

ゼロトラストが保護するのはネットワークではなくデータであり、データの場所(ネットワーク、クラウド、リモート デバイスなど)を問わずセキュリティを確保できるという点が非常に重要です。

真のゼロトラスト アーキテクチャー：Zscaler Zero Trust Exchange

Zscaler Zero Trust Exchange™は、最小特権アクセスの原則と、どのユーザー、ワークロード、デバイスも本質的に信頼できないという考えの上に構築された、クラウド ネイティブな統合プラットフォームです。アイデンティティーをはじめ、デバイスの種類、場所、アプリケーションやコンテンツなどのコンテキストに基づいて、ゼロトラスト アクセスを付与します。また、ネットワークや場所を問わず、ユーザーやワークロード、デバイス間の安全な接続をビジネス ポリシーに基づいて仲介します。

Zero Trust Exchangeは組織に以下のようなメリットをもたらします。

• インターネットの攻撃対象領域と脅威のラテラル ムーブメントの排除。ユーザー トラフィックがネットワークに接触することはありません。ユーザーを1対1の暗号化トンネルを介してアプリケーションに直接接続することで、外部からの発見や標的型攻撃を防止します。
• ユーザー エクスペリエンスを改善します。データを処理センターにバックホールする「フロント ドア」を備えた、静的な従来型のネットワーク アーキテクチャーとは異なり、Zero Trust Exchangeは、任意のクラウドまたはインターネットの宛先へのダイレクト接続をインテリジェントに管理、最適化し、適応型ポリシーと保護を可能な限りユーザーに近いエッジでインラインで施行します。
• クラウド、アイデンティティー、エンドポイント保護、SecOpsの主要プロバイダーとのシームレスな統合。Zscalerの総合的なプラットフォームは、中核的なセキュリティ機能(SWG、DLP、CASB、ファイアウォール、サンドボックスなど)と、ブラウザー分離、デジタル エクスペリエンス モニタリング、ZTNAなどの新興のテクノロジーを組み合わせ、フル機能のクラウド セキュリティ スタックを実現します。
• コストと複雑さの軽減。コストと複雑さの削減。Zero Trust Exchangeは、VPNや複雑なネットワーク境界でのファイアウォール ポリシーを必要とせず、展開と管理が簡単です。
• 大規模かつ一貫したセキュリティの実現。Zscalerは、世界中の150か所を超えるデータ センターに分散された世界最大のセキュリティ クラウドを運用し、ピーク時には2,400億件を超えるトランザクションを処理し、毎日84億件の脅威をブロックしています。