お問い合わせ

ゼロトラストとは特定のツールや機能ではなく、安全なシステム設計にかかわる考え方を指すが、具体的にはどのように構築すべきか、まだまだ認知がされていないのが現状だ。そこでNECの角丸貴洋はNIST(米国標準技術研究所)が公開する「SP800-207：Zero Trust Architecture(ZTA)」を読み解きながら、目指すべきゼロトラストアーキテクチャの姿を探った。

周知の通り、従来の境界型セキュリティモデルでは、組織のネットワークの内と外を画然と峻別し、その境界において外部からのアクセスに対し、認証をはじめとするさまざまなチェックを行って、安全性が認められればネットワーク内部のリソースへのアクセスを許可するというかたちとなる。

つまりネットワーク内については、アクセスの信頼性が暗黙裡に了解されているため、仮にそれがチェックを巧みにすり抜け侵入してきた悪意あるものでも、データや計算資源などのリソースへのアクセスを認めてしまうことになる。そのことが結果的に、ラテラルムーブメント(横方向への移動)によるシステムの中枢への脅威の侵入を許し、セキュリティ上の被害につながるというリスクを抱え込むことになる。

これに対し今日では、「ネットワークの接続形態が複雑になり、内と外に分け隔てする境界ベースの管理が困難になる中、『ネットワークは侵害されている』という前提で、リソースにフォーカスして信用(トラスト)をゼロから積み上げることで安全なシステム設計を図ろうというのがゼロトラストの考え方のベースです」と角丸は解説する。そこでは、認証・承認されたアクセス要求元のサブジェクトのみが、その必要とするリソースにアクセスできる状態を作ることが目指される。

安全性に加え効率性、利便性の実現も重要な視点

NIST(米国標準技術研究所)が公開している「SP800-207：Zero Trust Architecture(ZTA)」では、そうしたアクセスの許可を行う際の不確かさを低減・排除するために設計された概念・アイデアの集合体こそがすなわちゼトロラストであると定義している。

ゼロトラストアーキテクチャを構成する要素として同ドキュメントでは、アクセス要求を行う「サブジェクト」とアクセス先となる「リソース」、そして両者の間には「ポリシーエンジン(PE)」と「ポリシーアドミニストレータ(PA)」からなるPolicy Decision Point(PDP)、およびポリシーに則ったコントロールの実施を担う「ポリシーエンフォースメントポイント(PEP)」を置いている。つまり、サブジェクトからの要求に対して、PDP、PEPでポリシーに基づく判断・実施が行われたのち、サブジェクトはリソースへのアクセスが可能となるわけだ。

これら要素の具体的な実装についてNIST SP800-207では、「IDによる統制強化」「マイクロセグメンテーション」、およびオーバーレイネットワークを用いた「ネットワークベースでの分割」という3つのアプローチと、4つの実装パターンを提示している。それら実装パターンの中でも、最も典型的なものは「デバイスエージェントゲートウェイモデル」と呼ばれ、そこではポリシー実施機能、PEPがエージェントとゲートウェイ側の双方に配される。「サブジェクトからのアクセス要求がローカルエージェントで取得され、そこからPAに転送されてPEでアクセスの可否を判断。許可の判断がなされればそれがゲートウェイ側のPEPに伝えられて通信経路が開かれて、アクセスが可能になるというかたちです」と角丸は説明する。

また、ローカル側にエージェントを導入できないような場合には、もう1つの代表的な実装パターンである、ポリシー実施機能をゲートウェイ側のみに置くかたちの「リソースポータルモデル」が用いられる。ワークフロー(業務)に応じて、これらパターンのうち最適なものを実装していくことになるわけだ。

「ゼロトラストを考えるうえで大切なのは、何を守るのか、何を実現したいのかということを明確にするとともに、安全性に加えて効率性、利便性をいかに実現していくかという視点を持つことも重要。NIST SP800-207のドキュメントに常に立ち返りながら、理論と実践を適切に組み合わせるかたちで、より良いシステム設計を目指していくことが肝要」と強調した。

お問い合わせ