「検証し、信頼しないこと」が前提の「ゼロトラストモデル」とは?

パロアルトネットワークスは1月27日、データセンター事業者向け次世代セキュリティセミナーをマイナビパレスサイドビルで開催した。ビジネスセッションの最初の講演には、米調査会社Forrester Researchのアナリストであるジョン・キンダーバグ氏が登壇し、次世代のネットワークセキュリティの概念として「ゼロトラストネットワーク」を紹介し、そのアーキテクチャについて解説した。

「信頼を前提として検証する」というセキュリティ概念は破綻した

Forrester Research アナリストジョン・キンダーバグ氏

キンダーバグ氏は講演の冒頭で、「2011年は重大なセキュリティ侵害、情報漏洩が多発した1年だった。これは従来のセキュリティのあり方が破綻している証拠であり、セキュリティの方向性を抜本的に変える必要に迫られている」と指摘した。

同氏は、昨年にEMCのセキュリティ部門であるRSA Securityや防衛産業のL-3コミュニケーションズがターゲットになった標的型攻撃を挙げ、それらの特徴が「個別のセキュリティ侵害ではなく相関関係を持っていること、また念入りに計画したうえで数ヵ月をかけて侵害が続けられたこと」と説明した。そして、こうしたセキュリティを最重要経営課題とする企業が侵害を受けたことは、従来のセキュリティ概念やネットワーク構造が時代遅れになっていることを示していると強調した。

「ネットワークセキュリティの世界は『Trust but verify』――信頼を前提とした検証の上に成り立ってきた。セキュリティ対策として、ユーザー、デバイス、アプリケーション、インタフェースなど、ネットワークに関わる人・モノを信頼して検証することが行われてきた。しかし、この概念そのものが悪意を持った攻撃者に侵害を許す環境を作ってしまった。つまり、これまでのトラストモデルは破綻しており、『検証して、信頼しない』という概念に変える必要がある。それが『ゼロトラスト』モデルだ」

ゼロトラストモデルとは、インタフェース、ネットワーク上のユーザー、アプリケーション、パケットなど、ネットワークに関わるものすべてを信頼しないことを前提とするセキュリティモデルだという。ゼロトラストをもとに構築するネットワークのポイントとしては、次の5点が挙げられた。

すべてのリソースは、社内・社外ネットワークを区別せずに、安全な方法でアクセスされる
アクセスコントロールは、「必要な情報だけを知ること」ということをベースに、厳密に適用する
検証して信頼しないことを前提とする
すべてのトラフィック、パケットを検査するとともにログを取る
ネットワークは、「最も機密性の高い情報は何か」「そこに対してどう保護できるか」を起点に、内側から外側に向けたセキュリティ設計のアプローチをとる

ゼロトラストはセキュアネットワークを根本から再構築

次にキンダーバグ氏は、ゼロトラストモデルのアーキテクチャ、次世代のネットワークデザインについて解説した。

ゼロトラストネットワークとは、セキュリティのあり方を再構築し、パケットフォワードエンジンをベースに、ファイアウォール、IPS、アクセスコントロール、コンテンツフィルタリング、暗号化機構などのセキュリティのあらゆる要素を1つのセキュリティゲートウェイを基盤として構築するものだという。「セキュリティゲートウェイは『セグメンテーションゲートウェイ』と呼ばれ、セグメント化されたネットワークの中核機能を担う。これが最終的に完成すれば、セキュリティはネットワークのDNAに組み込まれることになる」

実際のネットワークデザインについては、基本となるMCAP(Micro Core and Perimeter)というコンセプトが紹介された。セグメンテーションゲートウェイはあらゆるセキュリティ機能を包含し、グローバルセキュリティポリシーが共有化されているが、それに基づいて、各セグメントのインタフェースでポリシーやルールを実行する役割を担うのがMCAPだ。各MCAPに提供するサービスのモニタリングや制御は、1台のマネジメントサーバが担う。

ゼロトラストネットワークのコンセプトとして、すべてのトラフィック/パケットの検査とログの重要性が挙げられていたが、そのためのMCAPとしてDAN(Data Accession Network)を設けている。DANは、セグメンテーションゲートウェイにおけるインバウンド、アウトバインドのすべてのパケットがキャプチャ・解析されてレポーティングする機能を持つという。

また、ゼロトラストネットワークの特徴を、「プラットフォームに依存せず仮想化にも対応するほか、拡張性がありながら柔軟性を持つアーキテクチャだ」と、キンダーバグ氏は強調した。「ゼロトラストモデルはデフォルトでセグメント化が行われているが、ユーザーアクセスの領域、データベースの領域、WWWの領域など、セグメントごとのトラフィックの切り分けが重要。MCAPの目的を明確にすることによって、各エリアが独自のセキュリティ属性を持つことができる。必要に応じてMCAPを追加したり、負荷分散装置などのスイッチを混在させたりすることもできる」と同氏。