ブログニフクラやクラウドの技術について、エンジニアが語るブログです。ブログニフクラやクラウドの技術について、エンジニアが語るブログです。マイクロセグメンテーションこんにちは。富士通クラウドテクノロジーズの鮫島です。エンジニアミートアップの話ではなく、2020年注目のキーワードといえるセキュリティの概念「ゼロトラストネットワーク」について説明します。昨今のIT環境は、巧妙化するサイバー攻撃や内部不正など、内外からさまざまな脅威にさらされているのはご存知と思います。いった脅威に対して、ファイアウォールやVPNといった境界防御型のセキュリティだけではIT環境を必ずしも守れなくなった現状を踏まえ、外部・内部問わずすべてのトラフィックを信頼しない「性悪説」を前提として、都度認証することで脅威を防ぐというセキュリティの概念が「ゼロトラストネットワーク」です。性悪説だけど許すセキュリティゼロトラスト=誰も信用しないという字面だけ見ると、何やらネガティブな印象を受けるかもしれませんが、ゼロトラストネットワークは「許すセキュリティ」です。問わない多様なビジネス環境に最適な概念であることも理解してください。ゼロトラストネットワークの基本的な考え方をざっくりまとめるとこういう感じです。ネットワークの内外は常に脅威が存在ネットワークのセグメント≠セキュリティセグメントネットワークの内外全てのユーザー・デバイス・フローを信用せず、都度認証しつこいようですが、基本的には「性悪説」です。境界型防御の弱点とは従来のネットワークやセキュリティ設計では、大前提として下記のような区別がまかり通っていました。外側(インターネット)=信用できない内側(ローカルネットワーク)=信用できるしかし、ゼロトラストネットワークでは「ネットワークのセグメント≠セキュリティセグメント」だと考えてください。この違いを図で説明してみます。境界内部にいったん悪意のある脅威が侵入してしまうとやりたい放題です!つい先日、内部不正でHDDが個人情報ごと流出する事件が起きましたが、安全と思われていた内部からセキュリティインシデントが発生するリスクが顕在化しています。サイバー攻撃についても、ITリテラシーの低いIT利用者を介してマルウェアを侵入させてデータを流出させるような標的型の攻撃が増加しています。されて、顧客情報を手に入れたり、アプリケーションサーバーで勝手な操作をされたり、被害がどんどん拡大します。前述の「やりたい放題」です。VPNとかVDIを使えば安心でしょ?という意見もありますが、社外からアクセスする環境そのものを乗っ取られると多層防御の最深部にあっさり到達されてしまうリスクがあります。続いて、ゼロトラストの図をご覧ください。ゼロトラストのメリットとはここでは、悪意のある脅威が内部に存在したとしても、法定速度で車間距離をしっかりあけないと走行できないし、知らない人の建物に入ることもできないのです。ディストピアな「管理社会」のイメージではなく、リアルタイムに個別の確認・評価がなされて、安全かつ高度な自動運転が実現し、駐車場のゲートもいちいち駐車券を入れなくても利用できるようなスマートな世界を想像してください。ゼロトラストのメリットは、すなわち情報セキュリティへの脅威に対してシンプルな仕組みでありながらより強固なセキュリティ環境に変えていくことが可能になることです。インターネットを介してどこからでもアクセスできるパブリッククラウドにありがちな「クラウドはセキュリティが不安」という前提は無くなり、都度認証を行われアクセスの信用度を確認してセキュアな状態か否かを判断されるため、利用者は、BYODを含むさまざまな端末を利用してどこからでもアクセスできるようになります。解放され、情報セキュリティの脅威に対してシンプルかつ強固な環境を構築できるようになります。ゼロトラストネットワークの仕組みゼロトラストネットワークの三要素ゼロトラストネットワークは、いったいどのような仕組みでそれを実現してるのかをご説明します。コントロールプレーンというユーザー認証とアプリケションの認証、デバイス認証の評価を一元管理する司令塔と、データ転送など単純な作業を行うデータプレーンがあります。コントロールプレーンは、ユーザー/アプリケーション認証とデバイス認証の評価を信用スコア(信頼度)として管理してポリシー適用を行い、データプレーンを動的に設定して暗号化の上で通信を許可します。この仕組みで、コントロールプレーンとデータプレーンが信用スコアを元に利用者のアクセス可否を動的に判断して通信を許可できるようにするためには、自動化は必須と言われているようですが、自動化の方法論に関しては、専門外なのでここでは触れません(おいおい)。ニフクラでゼロトラストは実現できるのか?ここまで、ゼロトラストネットワークの概念と仕組みについて説明してきましたが、読者の皆様の興味は、ニフクラでゼロトラストは実現できるのか?という点だと思います。現時点では、一部しか実現できません!しかし、耳寄りな情報があります。デバイス認証の部分に「ネットワーク利用に関するアクセスのコントロール」という要素があります。これは、いわゆるマイクロセグメンテーションという技術で可能であり、ニフクラは標準でその機能を実装しています。要するに、ローカルネットワーク内での「横移動」を防止できるということです。これを実現するためにはかなり高額なコストがかかりますが、ニフクラなら追加料金なしにゼロトラストモデルのネットワークをすぐに実現可能です。こんな恐ろしい状態から・・・ニフクラならばデフォルトで、マイクロセグメンテーションを実装。1仮想マシン単位でファイアウォールグループ設定ですよ!まとめゼロトラストネットワークはあくまで概念であり、特定の機能・ソリューションの導入で完成するような方法論が現時点で確立しているわけではありません。セキュリティベンダー、ネットワークベンダーのゼロトラスト対応と言われる製品はかなり高額であり、慎重に導入を検討する必要があるでしょう。ゼロトラストネットワークを実現する過程で、「利用者が使いにくい」システムになってしまうリスクもあります。17:222020年に流行るらしいゼロトラストネットワークって何?Tweet関連記事2019-10-03Linuxサーバーへのログインを2段階認証にしてみたこんにちは、ニフクラテクニカルアカウントチームです。Gatewayを使用したWindowsサーバーへのリモートデスクトップ接続の手順こんにちは、ニフクラテクニカルアカウントチームです。ミートアップ「クラウドのネットワークやルーターでハマりがち...こんにちは。クラウド・バイ・デ...こんにちは。公開しました!(リモートアクセスVP...こんにちは!富士通クラウドテクノロジーズの蓮沼です。»プロフィールニフクラとは、VMwareを基盤とした国産のパブリック型クラウドサービスです。LIMITEDスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。