効果の高いゼロトラスト アーキテクチャーの7つの要素
アーキテクト向けのZscaler Zero Trust Exchangeのガイド
セクション1の概要：アイデンティティーとコンテキストの検証
ゼロトラスト アーキテクチャーの特徴は、明示的に許可されない限り、アクセスが完全にブロックされる点です。これは、ネットワーク アクセスが暗黙の了解として許可され、時代遅れのネットワーク制御によって管理されていた、従来の多くの環境とは異なります。通信開始者が正しいアイデンティティーを提示すると、許可された一部のサービスにのみアクセスが許可され、それ以外へのアクセスは一切付与されません。この「決して信頼せず、常に検証する」アプローチは、ゼロトラスト アーキテクチャーにおける基盤です。したがって、信頼できるアイデンティティー プロバイダーとの正しい統合を行うことが不可欠です。
リクエストを行っているエンティティーのアイデンティティーとプロファイルは、要素7で実装された詳細なポリシーに基づいて検討されます。例は以下のとおりです。
正常なプロファイル値を持つ検証済みユーザー
- SAPへのアクセスが必要
- IoTセンサーへのアクセスは必要なし
- YouTubeへのアクセスが必要な場合あり
正常なプロファイル値を持つ検証済みのIoT/OTデバイス
- IoTエンジンへのアクセスが必要
- YouTubeへのアクセスは必要なし
検証済みのワークロード
- 似た性質のワークロードへのアクセスが必要
- インターネットへのアクセスが必要な場合あり
この簡略化された例では、アクセス ポリシーは通信開始者の種類を区別するだけで特定できるものとします。その後、アイデンティティーをさらに検証してコンテキスト(例：会社のデバイスからログインする正当なユーザー)を加えることで、アイデンティティーに関するより完全な情報を提供することができるものとします(要素2を参照)。
この時点で、認証は単にコンテキストを基に条件を満たすか満たさないかという判断から承認の段階に移行し、役職や職責、場所などの認証されたアイデンティティーに関連する値を使用して、通信開始者をさらに検証できるようになります。
これらの値を組み合わせることで、アイデンティティー制御は非常に強力になり、各アイデンティティーは承認時点で一意になります(再評価については、動的なリスク スコアリングを用いながら要素4で説明します)。
攻撃に対する脆弱性が残る
従来のアーキテクチャー
アプリケーションがクラウドに移行し、ユーザーが場所を問わず作業するようになるなか、VPNやファイアウォールなどの従来のネットワークとセキュリティのアプローチは、その効果を失いつつあります。これらのアプローチでは、ユーザーがネットワークに接続する必要があるため、攻撃者が機密データを侵害し、ビジネスに大きな損害を与えてしまう可能性が生じてしまいます。
ゼロトラスト アーキテクチャー：
デジタル トランスフォーメーションのための包括的なセキュリティ
現在のハイブリッドな働き方を成功させるために、IT部門とセキュリティ部門はネットワークとセキュリティのあり方を再編する必要があります。そこで鍵を握るのが、ゼロトラスト アーキテクチャーです。
ゼロトラストとは、最小特権アクセスに加え、ユーザーやアプリケーションは本質的に信頼されるべきではないという考えに基づく、包括的なセキュリティ アプローチです。すべての接続に悪意があると仮定したうえで、アイデンティティーとコンテキストを検証し、ポリシー チェックを実行した後にのみアクセスを許可します。
Zscalerは、統合型クラウドネイティブ プラットフォームであるZero Trust Exchangeを通してゼロトラストを提供します。本プラットフォームでは、ネットワークに接続することなく、ユーザー、ワークロード、およびデバイスがアプリケーションに安全に接続されます。この独自のアプローチによって、攻撃対象領域の排除や脅威の水平移動の防止、侵害や情報漏洩の阻止を実現します。
ゼロトラストの7つの要素
ゼロトラスト アーキテクチャーの仕組み
ゼロトラストはセキュリティが新たな進化を遂げた概念であり、ハブ＆スポーク ネットワークの保護のために「城と堀」のセキュリティ モデルに依存する必要性を解消するものです。真のゼロトラスト アーキテクチャーは、ユーザー、ワークロード、デバイスを、アクセスが認証されたアプリに対してのみ、いかなるネットワークや場所からでも接続できます。そしてその際、通信開始者や接続先のアプリを、発見、悪用される可能性があるルーティング可能なネットワークには配置しません。
アイデンティティーとコンテキストの検証
接続がリクエストされると、ゼロトラスト アーキテクチャーは接続を終了してアイデンティティーとコンテキストを検証します。
- 接続元の確認 – ユーザー/デバイス、IoT/OTデバイス、ワークロードのアイデンティティーを検証します。
- アクセス コンテキストの検証 – 接続のリクエスト元の役職や職責、リクエストの時間、状況などの属性を調べ、コンテキストを検証します。
- 接続先の確認 – 接続先が既知のもので、詳細が把握されており、コンテキストに基づいた分類によってアクセスが許可されているかを確認します。
コンテンツとアクセスの制御
次に、ゼロトラスト アーキテクチャーは、接続リクエストに関連するリスクを評価し、サイバー脅威や機密データがないかトラフィックを検査します。
- リスクの評価 – AIを活用して、リクエストされたアクセスのリスク スコアを動的に算出します。
- 侵入の防止 – インバウンド トラフィックを検査して、悪意のあるコンテンツを特定、ブロックします。
- 情報漏洩の防止 – アウトバウンド トラフィックとコンテンツを復号化して検査し、機密データの流出を防止します。
ポリシーの施行 - セッションごとの決定と施行
リスクを制御した後、ポリシーを施行してから最終的に内部、外部アプリケーションへの接続を確立します。
- ポリシーの施行 – リクエストされた接続に関して実行する、条件付きアクションを決定します。
「許可」の決定が下されたら、インターネットやSaaSアプリ、または内部アプリケーションへの安全な接続が確立されます。内部アプリケーションの場合、暗号化されたアウトバウンド専用トンネルで接続が確立されるため、攻撃対象領域が排除されます。
ゼロトラストの7つの要素
ゼロトラスト アーキテクチャーの仕組み
ゼロトラストはセキュリティが新たな進化を遂げた概念であり、ハブ＆スポーク ネットワークの保護のために「城と堀」のセキュリティ モデルに依存する必要性を解消するものです。真のゼロトラスト アーキテクチャーは、ユーザー、ワークロード、デバイスを、アクセスが認証されたアプリに対してのみ、いかなるネットワークや場所からでも接続できます。そしてその際、通信開始者や接続先のアプリを、発見、悪用される可能性があるルーティング可能なネットワークには配置しません。
アイデンティティーとコンテキストの検証
接続がリクエストされると、ゼロトラスト アーキテクチャーは接続を終了してアイデンティティーとコンテキストを検証します。
- 接続元の確認 – ユーザー/デバイス、IoT/OTデバイス、ワークロードのアイデンティティーを検証します。
- アクセス コンテキストの検証 – 接続のリクエスト元の役職や職責、リクエストの時間、状況などの属性を調べ、コンテキストを検証します。
- 接続先の確認 – 接続先が既知のもので、詳細が把握されており、コンテキストに基づいた分類によってアクセスが許可されているかを確認します。
コンテンツとアクセスの制御
次に、ゼロトラスト アーキテクチャーは、接続リクエストに関連するリスクを評価し、サイバー脅威や機密データがないかトラフィックを検査します。
- リスクの評価 – AIを活用して、リクエストされたアクセスのリスク スコアを動的に算出します。
- 侵入の防止 – インバウンド トラフィックを検査して、悪意のあるコンテンツを特定、ブロックします。
- 情報漏洩の防止 – アウトバウンド トラフィックとコンテンツを復号化して検査し、機密データの流出を防止します。
ポリシーの施行 - セッションごとの決定と施行
リスクを制御した後、ポリシーを施行してから最終的に内部、外部アプリケーションへの接続を確立します。
- ポリシーの施行 – リクエストされた接続に関して実行する、条件付きアクションを決定します。
「許可」の決定が下されたら、インターネットやSaaSアプリ、または内部アプリケーションへの安全な接続が確立されます。内部アプリケーションの場合、暗号化されたアウトバウンド専用トンネルで接続が確立されるため、攻撃対象領域が排除されます。
Zero Trust Exchangeのより詳細な仕組み
アプリケーションにアクセスするプロセスに沿って、Zscaler Zero Trust Exchangeがゼロトラストの7つの要素をどのように適用するか確認しましょう。
関連するリソース
eBook
ゼロトラスト アーキテクチャーを成功させる7つの要素
概要
ZscalerのZero Trust Exchangeのメリットに関する概要
ウェビナー