結局ゼロトラストってなんだっけ、ってまとめ

ゼロトラストモデルとは

  • 可用性を損なわないセキュアなネットワークの構築と管理を実現するためのデザインパターンや考慮事項

    • 内外問わず、すべてのアクセスリクエストに対してチェックと権限の確認が実施される
    • すべてのホストがインターネット(安全でないネットワーク)に存在しているかのように扱われる
  • 境界モデルが信頼されるリソースと信頼されないリソースを区別するのに対して、ゼロトラストはすべてのネットワークが完全に危険にさらされていることを前提とする

  • ゼロトラストは、脅威モデルで言う、「信頼されたインサイダー」以下のレベルの脅威に対して有効

  • ゼロトラストでは、権限は従来のネットワークと比べて動的となる

    • ネットワーク上のアクティビティの属性に基づいて、現在要求されるアクセスの危険度が評価される
      • 活動時間、アクセス場所などの地理的要因、普段と異なる行動など
  • 現状、ゼロトラストネットワークの標準化は実現していない

ゼロトラストネットワークの5つの原則

  1. ネットワークは常に安全ではないとみなされる
  2. ネットワーク上には、外部および内部の脅威が常に存在する
  3. ネットワークを信頼できると判断するには、ローカルネットワークでは不十分
  4. デバイス、ユーザー、ネットワークフローは1つ残らず、認証および認可される
  5. ポリシーは動的で、できるだけ多くの情報源に基づいて作成される必要がある

ゼロトラストネットワークの構成要素

  1. ユーザー・アプリケーション認証
  2. デバイス認証
  3. 信用

認可

  • 認可はゼロトラストの中で最も重要なプロセス

  • 認可アーキテクチャの4つの構成コンポーネントは、セキュリティ上分離されていることが望ましい

認可アーキテクチャの構成コンポーネント

  1. エンフォーサ

    • データプレーン
    • ロードバランサ、プロキシ、FWとして実装される
    • リクエストをポリシーエンジンに送信する
  2. ポリシーエンジン

    • コントロールプレーン
    • リスク分析にトラストエンジンを使用する
  3. トラストエンジン

    • コントロールプレーン
    • 信用スコアを計算する
  4. データストア

    • コントロールプレーン
    • 様々なデータストアであり、信用スコア計算のための情報の情報源となる

ゼロトラストにおけるネットワークアクセスの流れ

  1. データプレーンのデバイスが、コントロールプレーンにアクセス権限の付与を要求
  2. コントロールプレーンは、リクエスト側のシステム、アクションによって、危険度を評価し、ポリシーを照会して信用スコアを特定する
  3. コントロールプレーンは、一時的なアクセス権の付与、データプレーンシステムの設定を変更する
  4. デバイスはサービスにアクセスできる

ゼロトラストが求められる背景

  • すべての通信が盗聴されるリスクにさらされている
    • 脆弱性攻撃、ソーシャルエンジニアリング、内部不正、スパイ活動
  • ゾーン内のトラフィックが検知されないリスク
  • 境界モデルのセキュリティ対策が突破され続けている現状
  • 従来の役割ベースのポリシーでは、管理者に信頼が集中し、ネットワーク全体のセキュリティが弱体化する

クラウドとゼロトラスト

  • ゼロトラストはクラウド環境に最適
    • パブリッククラウドのネットワークは信用できない
    • 同じデータセンター内でも、すべてのパケットを暗号化するべき

ゼロトラストのリスク

  • 1人の人間の信用の量が過剰になることは避ける必要がある
    • 機密性の高いアクションに権限を与える場合は、複数の承認を得るべき

なりすまし

  • アイデンティティが盗まれた場合は、攻撃者が認証・認可のチェックを突破する可能性がある
  • デバイス・ユーザ、アプリケーションの2つのアイデンティティを盗み出す必要がある
  • トラストエンジンの行動分析を利用すれば、なりすましされるリスクはさらに下がる

DDoS

  • DDoS攻撃は、ゼロトラストネットワークにおいても脅威であり、特別に対策が必要

脆弱なプラットフォーム

  • ゼロトラストではコンピューティングプラットフォームが信用できることが前提となる
  • 悪意の有無にかかわらず、脆弱なコンピューティングプラットフォームはゼロトラストのリスクとなる

ソーシャルエンジニアリング

  • フィッシングやソーシャルエンジニアリングはゼロトラストネットワークにおいても脅威である

物理的な脅威

  • ゼロトラストネットワーク環境であっても、現実世界の攻撃は脅威
  • 認証やクレデンシャルのローテーションなどでリスクを軽減する

コントロールプレーンへの攻撃

  • コントロールプレーンが乗っ取られた場合、ゼロトラストネットワーク自体が破壊されるリスクがある

キーワード

ゼロトラスト

  • コントロールプレーン

    • 保護されているリソースへのアクセスリクエストが送信される
    • デバイスとユーザの両方が認証・認可される必要がある
    • 組織の細かいポリシーを適用することができる
    • コントロールプレーンのイベントやアクションはすべてログに記録する
  • データプレーン

    • 単純な処理を担当するレイヤで、ネットワーク上のトラフィックを管理する
    • 大量のトラフィックを扱うため、ロジックはシンプルに保たれる
  • ネットワークエージェント

    • ゼロトラストにおけるユーザーとデバイスの組み合わせ
    • ネットワークリクエストをするエンティティについてわかっているデータの組み合わせ
      • ユーザ、アプリケーション、デバイスなど
  • 信用スコア

    • ネットワーク上の各リクエストを評価し、その活動情報をもとに更新される
    • 新型の攻撃に対応するためには、信用スコアがリアルタイムに近い頻度で更新される必要がある
  • トラストチェーン

  • クレデンシャルのローテーション

    • 公開鍵、秘密鍵、パスワードなどの更新によって、流出した認証情報の影響範囲を抑える
    • 運用コストは、ローテーションの頻度に反比例する
  • 最小権限の原則

    • エンティティに付与する権限のを、そのエンティティの作業に必要なものだけに限定する考え方
    • ゼロトラストでは、ユーザだけでなくアプリケーションの実行にもこの原則が求められる
  • TMP(Trusted Platform module)

    • 暗号プロセッサとも呼ばれ、信頼できる安全な方法で暗号処理を行う
  • mTLS(相互認証TLS)

    • サーバ側だけでなく、クライアント側の証明書の有効静も検査する

境界モデル

  • 境界モデル:従来のアーキテクチャ
  • 横断的侵害:まず内部のセキュリティの低いゾーンに侵入し、厳重なセキュリティのゾーンに侵入すること
    • RATなどのマルウェアによて実現される場合も
  • NAC(Network Access Control)
    • デバイスを機密性の高いネットワークに接続させるために設計された一連のテクノロジ
    • ネットワークへのアクセス許可に焦点を合わせているため、ゼロトラストの要件は満たさない

その他

  • 脅威モデル
    • 潜在的な攻撃者や、攻撃者の能力・リソース、標的を洗い出したもの
    • 脅威モデルの構築の際には、より対処しやすい項目から始める

メモ

  • ゼロトラストは透過的に実行され、セキュリティが高くなるほど可用性も高くなる
  • 従来のネットワークにおいて、VPNは考え方によっては最高のバックドア
  • 認証はセッションごとに実施されるが、認可はリクエストごとが一般的
    • 認可リクエストの結果はキャッシュしても良いが、認証結果はNG
  • ゼロトラストでは、ポリシーは個々のリソースに範囲を絞ったきめ細かいものが良いとされている
  • ゼロトラストネットワークのユーザは、デバイスと同様にシステムのセキュリティに積極的に参加する必要がある
    • 「セキュリティを一手に担う担当」の存在と組織の他チームとの軋轢は、セキュリティレベルを低下させる
  • ゼロトラストネットワークでは、内部の通信に対しても外部の通信と同じレベルのセキュリティ対策を講じる
  • クライアント-サーバ間の通信はmTLS、サーバ間の通信はIPsecが扱いやすそう

一般的な脅威モデル

  1. STRIDE
  2. DREAD
  3. PASTA
  4. Trike
  5. VAST
  • RFC3552

    • インターネット脅威モデルが定義
  • X.509

    • エンジニアならよく知っている規格(煽り)
    • トラストチェーンを通してアイデンティティを検証できる証明書の標準を規定
    • TLS/SSL認証のための主要なメカニズム

参考リスト

Book

alt

結局ゼロトラストってなんだっけ、ってまとめ

https://alumi-mic.github.io/security_kb/2020/07/System/2020_07_18_zero_trust/

Author

Kashiwaba Yuki

Posted on

2020-07-18

Updated on

2020-09-22

Licensed under