ゼロトラストネットワーク［実践］入門

野村総合研究所 / NRIセキュアテクノロジーズ

ゼロトラストは，これまでの情報セキュリティにおける外部と内部の境界を防御するという概念ではなく，「接続されるモノには完全に信頼できるものはない」ということを前提としており，何かのツールやサービスを導入して実現するものではありません。リモートワークのように外部から企業内ネットワークに接続するような状況が多くなった昨今，さらに注目を集めています。
本書は，セキュリティエンジニアのみならず，CTO，システム部門長，アーキテクト，インフラエンジニアといったシステム環境全体の構想検討や，実際に製品を選定／導入／展開を担当するすべての方々を対象に，企業におけるシステム環境全体のセキュリティアーキテクチャと，ゼロトラストの導入／展開に重点を置いて解説しています。

• カテゴリ: ビジネス・実用
• ジャンル: IT・コンピュータ / 言語・プログラミング
• 出版社: 技術評論社
• ページ数: 304ページ
• 電子版発売日: 2022年02月21日
• コンテンツ形式: EPUB
• サイズ(目安): 30MB

[ブクログ · ★★★☆☆]

ゼロトラストの導入にあたってのシステム設計や計画策定時に抑えておくべきポイントを体系的に整理している。技術的内容に寄ってる部分もありつつ、運用面なども含めた俯瞰的な視点もあり、ゼロトラストというキーワードに携わるときには参考にしたい一冊。

[ブクログ · ★★★☆☆]

ゼロトラストはデジタル化したビジネスに柔軟性をもたらし
クラウド利活用・生産性向上・コスト削減といった経営効果生むセキュリティのパラダイムであり，
セキュリティ統制上人・物・情報に強いていた制限を技術で解決するもの．
簡単にいうとゼロトラストとは境界を抽象化するためのアイデアだなあと認識．

構成要素としてエンドポイント・ID・ログ管理・ネットワーク統制といったものが出てくるに過ぎない．

自動車のソフトウェア化のように技術が洗練していく過程で各種要求が抽象化・高度化しその実現方法としてハードウェアからソフトウェアへの依存が高まった結果がゼロトラストだと感じた．

セキュリティにおいてもネットワークやデータセンタという（ある意味）物理的な境界が防御に役立っていたんだけど，それをソフトの力で変えていきつつもセキュリティと利便性の両どりを目指すためには避けて通れない概念がこのゼロトラスト．

所々誤字があったりするがそこはご愛嬌．
「入門」と言いつつ，実践的内容が豊富です．

ーーーーーー

働く環境の多様化・情報資産の分散化
＝アタックサーフェスの増加・分散，影響の増加

境界防御：
守るべき資産は境界の中に．脅威は境界の外からやってくる．
境界はガチガチに，境界ではないエンドポイントやデータ，内部NWなどは補完的に防御
結果論的に多層防御へ．

ゼロトラスト：
守るべき資産もそれを狙う脅威は境界の内外に存在．

データセンターを中心としたアーキテクチャ
DCにある資産や端末リスクだけでなく，データセンター外で発生するトラフィックを拡張，制御できずビジネス要件を満たすITリソースを確保できないというリスクも．

”従来の境界型防御のようにデータセンターのインターネットゲートウェイを中心に対策するのではなく，業務上の一つ一つの通信に着目し，アクセス元からアクセス先までのエンドツーエンドでセキュリティを確保するのが特徴”
”アクセス元，アクセス経路，アクセス先それぞれに分割して対策をしたうえ，相互に情報を共有しながら，アクセス要求が発生する都度その安全性をチェックして接続を許可”

SoE：顧客向けシステム/サービス system of engagement
SoR：社内向けシステム system of record

CISコントロールv8 NIST SP800-207の考え方をマッピング（＝ゼロトラ対応）

Stuxnet→ウラン核燃料施設というスタンドアロンネットワークすら攻撃対象になるという事例

VPN機器は一般的にアクセス元制限ができないため，脆弱性が存在した場合狙われやすい
→ZTNAソリューションであればイントラネット入口がインターネットにさらされない（ソリューションがフロントに）

エドワードスノーデン事件
契約社員による機密情報の持出・暴露

GDPR：
個人情報の生成，保存，使用，共有，アーカイブ

p16 最下行

フロリダ水道局の水処理システム

マイクロセグメンテーションとは、ネットワークにおけるセキュリティーの区分けを物理的なネットワークセグメントよりも細かい単位で論理的に分離にすることです。

認証認可における考慮事項
だれ？（どんな属性）？
いつ？どの場所から？
どの端末で？
どこにアクセス？

4つの技術要素
認証認可　ネットワーク　エンドポイント　ログ集約と分析の高度化

資産もアクセス元も境界の外におかれるようになったのがゼロトラストが求められる背景。

認証＝当人確認。　
認証だけで何かを許す(アクセスを認める＝認可)ではない
認証なき認可→車の鍵

パスワード使い回し禁止の呼びかけは現実的ではない。
「ID、パスワードは漏洩する前提でリソースの認証仕様を設計・実装する」

認可→
これまで:必要な権限が付与されているか
これから:コンテキストから判断、時間・地理etc

FIDO サーバが持つ公開鍵と、クライアント端末が持つ秘密鍵で認証。
生体情報などをネットワークに送信しない。

IDプロビジョニングとは
IDや属性値などのユーザ情報を、
自動的に複数のシステムやアプリケーション、サービスに反映する機能

認可検証
ユーザー、エンドポイント、ネットワーク、データ
→従来は認可設定があるかどうかだけ。

casbのインライン方式→透過型みたいなものか。

広義のエンドポイント
→サーバ．クラウドのワークロードも含む

マルウェア・ウイルス対策
→シグネチャ型か振る舞い検知型

シグネチャ型のデメリット
・シグネチャ更新を欠かさずに実施しないといけない
・亜種に対応できないことがある
・ファイル実体を持たないマルウェアに対応できない

従来のシグネチャ＋振る舞い検知＝EPP

IoC Indicator of Comproise 侵害の痕跡
IoA Indicator of Attack 攻撃の痕跡

暗号化したファイルはスキャンできない→PPAPが嫌われる理由の一つ

FWではインバウンドだけ止めれば良いというのは誤り
→感染端末はC2とのコネクションを貼り、そこから遠隔操作が始まる。
これを止めるにはアウトバウンドを止めないといけない。

複数回認証失敗でロックは、総当たりなどへの完全な対策にならない。
ロックの閾値を下回るペースでログイン試行すればいいから。

多要素とEDRはセットに。
→認証クリアした後の端末がやられるとやりたい放題。