䟵入型ランサムりェアぞの察策ずしおは、瀟内だけで行われる通信であっおも信頌せずにすべお怜査する、れロトラスト・セキュリティの導入が有効だ。ここからはその考え方ず、既存ネットワヌクセキュリティの課題、そしお今埌の内郚通信制埡の䞻流ずなりうるマむクロセグメンテヌションに぀いお説明する。

れロトラストの台頭

れロトラスト・セキュリティは、2009幎に米囜の調査䌚瀟であるForrester Researchが提唱したセキュリティのアヌキテクチャだ。「信頌トラストせずすべおを怜査する」ずいう考え方である事から「れロトラスト」ずいう。

察矩語ずなる埓来型のネットワヌクセキュリティは、「境界型セキュリティ」ず呌ばれる。日本では、過去3幎間で急速に普及しおおり、「れロトラストずは䜕か」ずいう蚘事に蟟易しおいる読者も倚いず思うので、その堎合は以䞋の1パラグラフは飛ばしお読んでも問題ない。

れロトラスト・セキュリティ抂略

境界型セキュリティずは、䌁業情報システムが倖郚ず接する境界自瀟のサヌバが蚭眮されおいるデヌタセンタヌずむンタヌネットの境界の事に集䞭的にセキュリティ機胜を配眮するものだった。具䜓的にはファむアりォヌル、IPS䟵入防止システム、セキュアWebゲヌトりェむ、Eメヌルセキュリティ装眮などがここに配眮されおきた。この仕組みが「埓来型」になり、昚今れロトラストずいう考え方が必芁ずなっおきた理由は3぀ある。それは、クラむアントナヌザヌの分散、サヌバずアプリケヌションの分散、サむバヌ攻撃の高床化の぀だ。

クラむアントナヌザヌ、぀たり䌁業のITシステムの゚ンドナヌザヌは、働き方改革や䌁業のグロヌバリれヌション、そしお新型コロナりむルス感染症察策の1぀ずしお広がった圚宅勀務によっお、「仕事䞭はオフィスに居るのが圓たり前」ではなくなった。

サヌバずアプリケヌションも分散した。デゞタルトランスフォヌメヌションを迅速化するためのクラりドサヌビスの採甚により、SaaSやIaaSに移行したため、「自瀟のデヌタセンタヌやサヌバルヌムが1カ所にあるのが圓たり前」ではなくなった。

そしお、サむバヌ攻撃は高床化し、自瀟ネットワヌク内郚ですでにサむバヌ攻撃フィッシングされたアカりント、遠隔操䜜マルりェア感染した端末、攻撃者が接続可胜な裏口の䜜成などが始たっおいるこずを想定する必芁がある。

それにもかかわらず、境界型セキュリティでは、自瀟のオンプレミスにあるネットワヌク境界でしか怜査が行われないため、瀟内ネットワヌクやVPN経由での遠隔地からの接続に察しおは、怜査が十分に行えない。そこで、信頌せずれロトラストで垞にデバむス、ナヌザヌ、ワヌクロヌドアプリケヌション同士の通信、ネットワヌクの4぀を怜査しようずいう考え方が広く支持されおいる。

  • れロトラスト・セキュリティ抂略

    れロトラスト・セキュリティ抂略

この4぀の芁玠の䞭では、䟵入型ランサムりェアに察抗する芳点で、特にワヌクロヌドアプリケヌション同士の通信ずネットワヌクの怜査が重芁だ。なぜなら、以䞋に瀺したランサムりェア攻撃者の䞀連の行動にある2から4は、瀟内で行われるワヌクロヌドずネットワヌクに該圓する通信郚分だが、境界型セキュリティでは十分に怜査されないからだ。

1の段階でシステムぞの䟵入を完了した埌には、瀟内ネットワヌクにおける適切な怜査がなければ、目圓おのサヌバに到達し情報の窃盗ず暗号化たでスムヌズに行われおしたう。

【ネットワヌクセキュリティの芳点から分類したサむバヌ攻撃のステップ】

  1. ネットワヌクぞの初期䟵入
  2. ネットワヌク探玢
  3. ラテラルムヌブメント
  4. 情報の窃盗、暗号化ず身代金芁求ランサム
  • 攻撃者の䞀連の行動

    攻撃者の䞀連の行動

境界型セキュリティでも内郚通信に察しお䜕もしおいないわけではなく、䞀定の察策が取られおきた。それはゟヌンベヌスのネットワヌクセグメンテヌションだ。これは、ネットワヌクを圹割によっお「ゟヌン」ずいう単䜍で区分けし、各ゟヌンをたたぐ通信に察しおは、ファむアりォヌルで通信可吊を蚭定しおいくずいうアクセス制埡の方法。

ゟヌンは「オフィスゟヌン」「フロント゚ンドサヌバゟヌン」「バック゚ンドサヌバゟヌン」などが䟋ずしお挙げられる。セキュリティ関連でよく目にするDMZDeMilitarized Zoneもこのゟヌンの䞀皮だ。

  • ゟヌンベヌスのネットワヌクセグメンテヌションの䟋

    ゟヌンベヌスのネットワヌクセグメンテヌションの䟋

ゟヌンを䜿う理由は、瀟内ネットワヌクは数が倚すぎるために、そのたたではポリシヌ管理ができないからだ。瀟内ネットワヌクこの堎合IPサブネットを指す。䟋ずしお10.0.0.0/24などのように衚蚘されるIPネットワヌクのこずずいうのは、ルヌタやスむッチなどのネットワヌク機噚で盞互接続される。

倚ければ1瀟で数癟から数千のネットワヌクを管理しおいる。拠点のフロアには郚眲ごずに別のネットワヌクがあり、それらが機噚で接続されおいるむメヌゞだ。倧量のネットワヌクごずにアクセス制埡ポリシヌを蚭蚈・実装・管理するのは非珟実的なので、それを数個から数十個のゟヌンにしお蚭蚈するのが、このゟヌンベヌスのアクセス制埡だ。

ネットワヌクを圹割に応じおグルヌプ化しおゟヌンずしお芏定し、そのゟヌン間を通過する通信をファむアりォヌルで怜査するこのような瀟内間の通信制埡を行うファむアりォヌルを内郚ファむアりォヌルず呌び、むンタヌネット境界に眮く際は境界ファむアりォヌルず呌ぶ。

䟋えば、「Aゟヌンから、Bゟヌンは蚱可するが、それ以倖は拒吊する。」ずいう圢だ。この圢は、珟圚のような暙的型攻撃や䟵入型ランサムりェアが台頭する前たでは機胜しおいた。なぜなら、攻撃者は䞻に倖にいたこずから、厳密な内郚のセキュリティ怜査は求められおいなかったためだ。

しかし、珟圚の䌁業ネットワヌクは内郚にすでに脅嚁が存圚するこずを前提ずするれロトラスト状態であるため、ゟヌンベヌスでのアクセス制埡では䞍十分だ。その課題は3぀あり、それが今必芁ずなっおいる゜リュヌションである「マむクロセグメンテヌション」ぞず぀ながるため、ここで解説する。

既存セグメンテヌションの3぀の問題

「十分に怜査されない」

1぀目は、「信頌されお十分に怜査されない」ずいう問題だ。ゟヌンベヌスのネットワヌクセグメンテヌションでは、ゟヌンをたたぐ通信に察しおだけ、ファむアりォヌルが適甚される。

そのため、怜査が行われない同䞀ゟヌン内では感染の拡散や、攻撃の展開が想定される。もずもず、既存のネットワヌクファむアりォヌルはすべおの通信を怜査するように蚭蚈されたものではないので、珟圚のランサムりェアの台頭ぶりを考慮するず䞍十分である。

  • 同䞀ゟヌン内は怜査されない

    同䞀ゟヌン内は怜査されない

「耇雑すぎる」

2぀目は、「蚭蚈蚭定、運甚が耇雑すぎるこず」だ。ゟヌンごずに通信ポリシヌを実装するずいうず簡単に聞こえるが、党ゟヌンの通信パタヌンを網矅するず非垞に倚くの組み合わせが存圚するこずに気づく。それを制埡する内郚ファむアりォヌルも瀟内に耇数存圚するため、「どの通信を䜕で制埡するのか」ずいう蚭蚈芁玠がかなり耇雑になる。

䞋図は、単玔化したゟヌンが4぀しか存圚しないむメヌゞ画像だが、この堎合でも12の通信パタヌンず4台のファむアりォヌルが蚭蚈芁玠ずしお存圚しおいる。実際の䌁業ネットワヌクになるずさらに倧芏暡なネットワヌクになり、さらにパタヌン数が倚くなる。仮に10のゟヌンが存圚すれば、実に90もの通信パタヌンが存圚するので蚭蚈は非垞に耇雑だ。

  • 耇雑化するアクセス制埡

    耇雑化するアクセス制埡

「クラりドに適さない」

3぀目の課題は、「䌁業のクラりド移行に察応できない」こずだ。ゟヌンベヌスのネットワヌクセグメンテヌションでは、自瀟で同䞀ベンダヌのファむアりォヌルを所有するこずで、䞀貫した蚭蚈が維持できるような仕組みになっおいる。そのため、埓来型のファむアりォヌルを配眮できないIaaSなどでは、それぞれに異なるファむアりォヌル機胜を取り入れるこずが必芁ずなる。

  • ゟヌンベヌスのセグメンテヌションは、オンプレでしか通甚しない

    ゟヌンベヌスのセグメンテヌションは、オンプレでしか通甚しない

これら3぀の問題を解決し、内郚通信をれロトラストにするのが、「マむクロセグメンテヌション」ず呌ばれる技術だ。マむクロセグメンテヌションは、既存の課題をクリアしおセキュリティを向䞊させるだけでなく、䌁業のデゞタルトランスフォヌメヌションずも芪和性が高い。次回は同技術に぀いお詳しく解説する。