ゼロトラストとは ― 境界型防御との違い

自宅で働く社員やクラウドのサービスは、会社のネットワークの壁の外にあります。ゼロトラストは、社内ネットワークの中にいるかどうかでは信頼しない考え方です。アクセスのたびに、利用者と機器を確認して守ります。

対になるのが境界型防御です。ネットワークの境目に壁を作って出入口をファイアウォールで守り、壁の内側を信頼します。社外からVPNでつなぐ社員も、つないだ後は壁の内側として扱われます。

アメリカの国立標準技術研究所（NIST）は、手引きSP 800-207でゼロトラストを説明しています。信頼を暗黙のうちに与えず、継続して評価することが前提です。ネットワークは、すでに侵害されているものとして扱います。

境界型防御では、会社のネットワークを壁で囲み、出入口をファイアウォールで守ります。壁の内側の機器は信頼し、外側からの通信は厳しく調べます。公開サーバを置くDMZも、この考え方の設計です。仕組みはDMZの記事で説明しています。

この設計には、NISTが指摘する限界が3つあります。

• 壁を破られると、内側での横方向の移動を妨げるものがありません。横方向の移動とは、侵入した機器から別の機器へ、攻撃が広がることです。
• 境界のファイアウォールは、外からの攻撃には強くても、内側からの攻撃の検知や遮断には向きません。
• テレワークの社員やクラウドのサービスは、壁の外にいます。壁だけでは守れません。

企業のネットワークは、拠点や在宅勤務、クラウドが入り混じるようになりました。NISTは、はっきりした単一の境界を見つけられなくなったと述べています。

違いは、同じ攻撃を並べると分かります。次の図は、経理担当のPCが乗っ取られた場面です。乗っ取られたPCは、経理サーバに正規の権限を持っています。

境界型防御では、PCが壁の内側にいるので、人事サーバと顧客情報サーバまで届きます。ゼロトラストでは、サーバごとに要求を確認します。経理サーバへの要求は通りますが、権限のない2台への要求は止まります。

ゼロトラストは、製品の名前ではなく、設計の考え方です。NISTは、守る対象をネットワークの区画ではなく、個々の資源に置いています。考え方の中心は、次の3つです。

• 場所で信頼しない：社内の機器からの要求も、社外からの要求と同じ条件で確認します。
• 要求ごとに確認する：ある資源に入れても、別の資源には自動で入れません。確認は、アクセスの前に行います。
• 最小権限で許可する：その作業に必要な権限だけを与えます。

確認は一度で終わりません。異常な動きを見つけたときや、新しい資源を求めたときに、確認し直すことがあります。

許可の判断は、方針を決める部分と、その方針を実行する部分に分かれます。NISTは、前者をPDP、後者をPEPと呼んでいます。PEPが資源の入口に立ち、PDPの判断に従って、通信を通すか止めるかを決めます。

判断の材料は、主に3つです。

• 利用者：本人であることの確からしさ。多要素認証が使われることもあります。
• 機器：ソフトウェアの版や、セキュリティ上の状態。管理外の機器か、脆弱性が知られている機器かも見ます。
• 場所や時間：ネットワーク上の場所、アクセスの日時、過去の行動など。

場所は、判断の材料の1つにすぎません。場所だけで許可を決めないことが、境界型防御との大きな違いです。

次の図は、場所・機器・利用者・つなぎ先の4点を変えた5通りの条件で、境界型防御とゼロトラストの結果を並べて示します。

社内にいる感染したPCは、境界型では通り、ゼロトラストでは止まります。社外の個人PCは、境界型では止まり、ゼロトラストでは通ります。場所が同じでも結果が変わり、場所が違っても通る場合がある点が、2つの考え方の違いです。判定の規則は説明用に単純にした例で、実際の製品の動きではありません。

マイクロセグメンテーションは、ネットワークを細かい区画に分け、区画の間の通信を制御する方法です。資源ごと、または小さな資源のまとまりごとに区画を作り、その入口で通信を確認します。前の図の「サーバごとの確認」が、この考え方に当たります。

区画が小さいほど、乗っ取られた機器から届く範囲が小さくなります。入口の役は、スイッチやルータ、次世代ファイアウォールなどが受け持ちます。機器にソフトウェアを入れて、機器自身が入口の役をする方法もあります。

ACLのような単純なルールでも、ある程度は区画を分けられます。ただしNISTは、管理の手間が大きく変更に素早く対応しにくいので、適さないと述べています。

ZTNAは、Zero Trust Network Accessの略です。ゼロトラストの考え方で、アプリや資源へのアクセスを制御する仕組みを指します。この語はSP 800-207にはなく、NISTの別の文書SP 800-215で使われています。

一般的なVPNは、利用者を社内ネットワークの一部にします。つないだあとは、社内の機器に広く届きます。これは、VPNの記事のゼロトラストの節で説明した境界型防御の前提です。

ZTNAでは、利用者は社内ネットワークに入りません。許可された資源にだけ、要求のたびに確認を受けてつなぎます。NISTも、利用者をVPNで企業ネットワークに入れる代わりに、クラウドのサービスへ直接要求させる形を挙げています。端末にデータを残さず、社内のデスクトップの画面だけを手元に送る方式には、シンクライアントとVDIがあります。

SASEは、ネットワークとセキュリティの機能をまとめて、クラウドのサービスとして使う構成を指します。NISTのSP 1800-35は、SASEに含まれる機能の1つにZTNAを挙げています。

境界型防御がすぐなくなるわけではありません。NISTは、境界のファイアウォールを、インターネットからの攻撃を防ぐ強い入口と評価しています。見直すのは、壁の内側を信頼する前提です。

NISTは、大きな組織が1回の更新でゼロトラストに移る可能性は低いとしています。境界型の仕組みと並ぶ期間が、長く続くことも想定しています。業務プロセスを1つずつ移してよいとも述べています。

• NIST SP 800-207 Zero Trust Architecture（ゼロトラストの定義、基本的な考え方、マイクロセグメンテーション、導入の進め方）
• NIST SP 800-215 Guide to a Secure Enterprise Network Landscape（ZTNAとSASEの説明）
• NIST SP 1800-35 Implementing a Zero Trust Architecture（SASEに含まれる機能）