今月の学び：「ゼロトラスト」2022年2月
ゼロトラストとは
ゼロトラストとは、「境界防御」に対するセキュリティパラダイムのこと。 セキュリティといっても、個人のPCを守るとかではない。会社などでネットワークに繋がった一連のコンピューターをどう守るか、ということに関するパラダイムである。 （ここでは、わかりやすく会社とする）
境界防御というのは、安全な社内のネットワークと危険なインターネットにわけ、この「境界」だけを固めればOKという考え方である。 ゼロトラストは反対に、この「境界」も一つの判断基準として使いはするけれどもそれだけには頼らないというものだ。
何がゼロなのか
「何も信用しない」ゼロトラストなどという人もいるが、何も信用しないことはできない。何が「ゼロ」なのか、ちょっとキャッチーすぎる名前だと思う。 何がゼロなのかというと、「認証・認可しないリクエスト」がゼロということかなと思う。
どういうことか。これまでの境界防御の考え方では、「安全」なはずの社内ネットワークからのリクエストについては認証せずにファイルサーバーへのアクセスを許可するようなこともあっただろう。 一方で、ゼロトラストの考え方では、社内からのアクセスであろうが誰(何)からのアクセスなのかの「認証」とそのファイルへのアクセスをして良いのか(認可)を個別に行う。
参考文献の「ゼロトラストネットワーク ―境界防御の限界を超えるためのセキュアなシステム設計」において、ゼロトラストを実現するために”MUST”とされているのは以下の3点。
- ネットワークフローは全て処理される前に認証されなければならない
- 認証と暗号化はネットワーク内のエンドポイントで実行されなければならない
- システムがアクセス制御を実行できるようにするために、ネットワークフローは全て列挙されなければならない
というわけで、本質的には個別のリクエストを全て検証せよということである。
その個別のリクエストをどう信用するかしないか、多要素認証を使うとか機械学習を使うとか色々な選択肢があるが、それらは個別製品の特徴となっていくだろう。
「ゼロトラスト」のセキュリティモデルはWebアプリのセキュリティとよく似ていることに気付いた。
Webアプリのセキュリティを考える際に、前回このIPアドレスからきたリクエストはまともだったから、このIPアドレスからくるリクエストは無条件に信用しようなんてことは基本的にはしない。
そもそもHTTPはステートレスでもあり、HTTPの仕組みに則ったセキュリティ対策を撮るのが普通である。 一度ユーザー認証をしたら、CookieなりJWTなりの有効期限のある「トークン」が払い出され、それをクライアントは毎回のリクエストに付与するしサーバーは毎回のリクエストで検証する。 このモデルを、HTTP Webに限らず情報システム全体に拡大したものがゼロトラストなのではないだろうか。
というわけで、Webアプリ開発者だったら、「いつもやっているCookieなりJWTなりを使ったユーザー認証の考え方をHTTP以外の通信にも拡張したのがゼロトラスト」ということで一言でわかるんじゃないだろうか。
ゼロトラストを学ぶ意義
働く場所が自由になるし色々な働き方のパートナーが関わるようになっていく上で、「出社してオフィスから安全なネットワークにつながるコンピューターを使う」ことを暗に前提とした境界防御の考え方では不都合が生まれている。ということで、ゼロトラスト的な対策をとっていくことが多くの企業に求められる。
しかしGoogleのような会社こそともかく多くの企業は自分たちでは実現できず、セキュリティ製品を導入したりベンダーにやってもらったりといったことになるだろう。その上で、何が必要で何が余計なのか、言いなりにならないように知識をつけておくというのが多くの人にとっての学ぶ意義になるのではないだろうか。
ゼロトラストを学ぶべき人
CIOや企業の情報システム担当者。
勉強に使ったもの(参考文献)
「ゼロトラスト Googleが選んだ最強のセキュリティ」
ビジネス寄りの本。ゼロトラストとはなんなのかを知るため・セキュリティに対する投資をどれくらいするのか、ベンダーの言いなりにならないように武装するためといった目的ではこれで十分なように思う。
「ゼロトラストネットワーク ―境界防御の限界を超えるためのセキュアなシステム設計」
ゼロトラストセキュリティを導入する側にもオーバーで、「ゼロトラスト」というキーワードに引っかかる製品やサービスを売る側になりたいならいいのかも。 でも、ゼロトラストって何？といった理解をしたい程度なら、これを読むとむしろ混乱してくると思う。
来月の学び(予定)
バックパッカー文化について調べてみたい。
自分自身は無限にお金を使えるわけではないが、なるべく効率的に・快適に旅をしたいという考えしかない。海外での一人旅で深夜バスや夜行列車といった手段も使ったことがあるけれども、お金をなるべく使わず長期間旅行する、というモチベーションがいったいどこから湧いてくるのか昔から気になっていた。
ちなみに
こっちにも書いてみた。
