多層化セキュリティ機能を使用する

学習の目的

この単元を完了すると、次のことができるようになります。

コンピューターネットワークとそのセキュリティ機能の構造、動作、標準、ポリシーを特定する方法を説明する。
多層化セキュリティアプローチの実施方法を説明する。
テクノロジーソリューションを組織全体にデプロイする方法を説明する。

ビジネスとテクノロジーのニーズをプロダクトに組み込む

あなたが金融機関のサイバーセキュリティアーキテクトであるとします。この機関では、バンキングアプリケーションを迅速に開発してデプロイし、運用コストを削減するために、オンプレミスからクラウドベースのアーキテクチャに移行したいと考えています。この目標を安全な方法で達成するにはどうすればよいでしょうか?

すでに組織の重要なアセットやテクノロジーの現況のほか、予想される脅威や改善点は把握しています。次にすべきことは、組織のビジネス上やテクノロジー上のニーズを満たすサイバーセキュリティアーキテクチャの計画を立てることです。あなたの任務は、選択したアーキテクチャフレームワークを実践計画に落とし込むことです。

最初に、コンピューターネットワークとそのセキュリティ機能の構造、動作、標準、ポリシーを特定します。この作業は料理本を執筆するようなものです。すべての材料を挙げ、どのように使うか説明し、材料を順番に組み合わせてサイバーセキュリティの傑作に仕上げる手順を示します。

セキュアなアーキテクチャというレシピの材料を考えているシェフの画像。

多層化セキュリティアプローチを設計する

多層化セキュリティアプローチでは、境界だけでなく、IT 環境全体に防御策を講じます。つまり、リソースの保護において特定の 1 つのコントロールに過度に依存しないようにします。この概念を多重防御ということもあります。

従来のセキュリティアプローチは境界防御が中心で、ネットワークの境界に強力な対策を講じ、攻撃者が検知されないまま侵入することの阻止に重点が置かれていました。現在、サイバー関連の経験豊富な専門職ならば、あらゆる侵害を阻止することなど不可能であることを知っています。特に、クラウドコンピューティングやモバイルワーカーのリモート勤務によって従来のネットワークの境界が曖昧になり、複雑性が増す中で、この傾向が顕著になっています。また、境界で防御する従来のアプローチは、インサイダー脅威には効果がありません。最善の方法は、ネットワークを信頼できないものとして扱うことです。テクノロジーの各レイヤーにセキュリティコントロールのフルスイートを実装し、検出されないまま境界コントロールをすり抜けた敵対者も確実に捕獲できるようにします。そのために、デバイス、ユーザー、データの各レベルにコントロールを実装します。

ここで、アーキテクチャの一般的なトレンドの数例とセキュリティに関する考慮事項を見てみましょう。

アーキテクチャ	説明
ゼロトラストアーキテクチャ	多層化コントロールを実装して、攻撃対象領域を減らすことを目的とします。従来はネットワークを信頼できる空間とみなし、境界のセキュリティ保護を重視して、その内部にあるものすべてにアクセスできるようにしていましたが、このモデルではアプリケーションレベルやユーザーレベルでコントロールを配置します。システムに接続しようとするあらゆるものを検証したうえで、アクセス権を付与します。
コンテナ	コンテナは、コードとその連動関係をまとめてパッケージ化したソフトウェアの標準ユニットで、あるコンピューティング環境のアプリケーションが別の環境で迅速かつ確実に実行されます。コンテナを使用するサイバーセキュリティアーキテクチャでは、開発、配布、デプロイするソフトウェアをこの標準化されたユニットにパッケージ化します。このため、ソフトウェアがインフラストラクチャに関係なく、常に同じように実行されます。コンテナアーキテクチャを使用した場合は、ファイアウォールをはじめとする強化ツールなど、セキュリティ保護をアプリケーションレイヤーに実装できます。セキュリティオペレーション担当者は、コンテナをデプロイする前に脆弱性の事前排除に取り組むことができます。さらに、コンテナは変更不能にできるため、攻撃者がコンテナを侵害しても、ソフトウェアをインストールや変更して命令を実行することができません。
マイクロサービスアーキテクチャ	これまでは、多くの組織がアプリケーションのすべての機能を 1 つのプロセスに配置するモノリシックなアーキテクチャを使用していました。そのため、アプリケーションを拡張する場合、全体を複製する必要がありました。他方、マイクロサービスは、疎結合されたサービスのコレクションとしてアプリケーションが構築され、ビジネス機能ごとにまとめられます。このため、大規模かつ複雑なアプリケーションの継続的なデリバリーとデプロイメントが可能になり、単一障害点や大規模な停止を回避できます。それぞれのマイクロサービスが 1 つの機能を担当します。マイクロサービスもコンテナと同様に、1 つのモノリシックなシステムではなく、拡張可能な分散型のアプリケーションを安全に構築して運用することができます。ただし、トランザクションや分散型コミュニケーションのセキュリティ保護が困難な場合があります。このアーキテクチャでは、アプリケーションを構築してデプロイするときに、開発者がセキュリティポリシーを組み込むという積極的な役割を果たす必要があります。特に、マイクロサービスの場合は、アクセスコントロールのチェックという余分な作業が必要です。
イベント駆動型アーキテクチャ	この種のアーキテクチャは、イベントの発生時に分離されたサービス間の通信をトリガーします。マイクロサービスを使用して構築された昨今のアプリケーションで広く使用されています。イベントが状態の顕著な変化として定義されることがあります。この種のアーキテクチャは、ユーザーやシステムが生成したアクションに反応します。たとえば、消費者がオンラインで品目を購入すると、その品目の状態が「販売中」から「販売済み」に変化し、これがイベントになります。このアーキテクチャでは、サービスを個別に拡張、更新、デプロイすることができます。また、1 つのサービスに障害が生じても、残りのサービスは稼働し続けます。このアーキテクチャでは、アプリケーションの監査やポリシーの定義を一元的に行い、どのユーザーやリソースにデータへのアクセス権を付与するかを制限できます。また、転送中や保存中の暗号化も可能です。
サイバーセキュリティファブリック	Lookingglass によると、サイバーセキュリティファブリックとは、オープンの標準やプロトコルによって実現するセキュリティアーキテクチャの設計アプローチです。組織がさまざまなセキュリティ機能を一体型のセキュリティ対応機能に接続して連携させ、活用することができます。ファブリックソリューションは通常、組織全体のさまざまなテクノロジーソリューションに簡単に拡張でき、サードパーティインテグレーションがすべて 1 つのツール内で管理されます。このソリューションは、多種多様なシステムで構成され、相互通信が容易ではない大規模かつ複雑な IT 環境に対処する場合に大きなメリットがあります。ファブリックを導入すれば IT 環境の可視性と管理が向上します。セキュリティに対するファブリックアプローチは、攻撃に突破され、阻止できないことを前提にしています。そのため、不正アクセスを検知するまでの時間と、不正行為者を隔離するまでの時間を最小化して、被害を食い止めることに重点を置いています。セキュリティファブリックで、脅威を自動的に防止する人工知能のような他のツールや、ゼロトラストなどここで説明した他のアプローチが利用される場合があります。
インテントベースのネットワーキング	インテントベースのネットワーキングは、ビジネスポリシーをネットワーク設定に落とし込むためのソフトウェアです。サイバーセキュリティアーキテクトがインフラストラクチャ全体のネットワークの変更を自動的に設定でき、データの取り込みや分析によってネットワーク状態に対する認識が向上します。このアーキテクチャは、ネットワークの変更を認識して適応する機能を備え、ユーザー、アプリケーション、デバイスに関する詳しいインサイトを提示します。また、ネットワーク全体のセキュリティポリシーを自動化し、パフォーマンス上の問題を迅速にトラブルシューティングし、暗号化トラフィック内の検出困難な脅威なども検知して緩和します。

サイバーセキュリティアーキテクチャをデプロイする

組織にとって適切なセキュリティ対策の組み合わせをどこに、どのように実装するかを決定したら、次は作成した計画をどのようにデプロイするか検討します。テクノロジーの具体的なニーズがどのようなものでも、使用可能なツールが無数にあります。組織のテクノロジー部門やビジネス部門のリーダーに最新のテクノロジーの選択について助言し、新しいテクノロジー環境 (クラウドプラットフォームなど) への移行をサポートすることも、サイバーセキュリティアーキテクトの職務の一環です。そのため、常に新興のテクノロジープロバイダーの動向を把握し、問題をすばやく解決するために特定のテクノロジー領域のプロバイダーを見つけられるようにしておく必要があります。つまり、常に学び続けることを意味します。決して退屈することがありません!

テクノロジーソリューションを選択したら、必ず概念実証をテストしたうえで、組織全体にデプロイします。このテストは、家全体にペンキを塗る前に、壁の一部に試し塗りするようなものと考えることができます。サイバーセキュリティアーキテクチャのデプロイは複雑なため、テクノロジーを実際の組織に実装する前に、テスト環境でバグを解決しておくことをお勧めします。こうすれば、社内ネットワークを誤ってダウンさせたり、その他の問題を引き起こしたりすることを回避できます。

デプロイメントのテストとデバッグを行い、リアルタイムで実装したら、次の任務は、この新しいテクノロジーのツールの使用について組織に指導することです。たとえば、開発チームが新しいコンテナ化やマイクロサービスによるアプローチを採用して、アプリケーションを設計しメンテナンスできるようにサポートすることが考えられます。デプロイしたアーキテクチャを使用して、開発する新しいアプリケーションを最も効率的な方法でセキュリティ保護する方法を開発チームに教示します。この瞬間にあなたのビジョンが実現します!

習得度チェック

では、これまでに学んだ内容を復習しておきましょう。この習得度チェックは簡単な自己診断テストで、採点対象ではありません。左側の機能を右側の対応するカテゴリにドラッグしてください。全項目を結び付けたら、[送信] をクリックして習得度をチェックします。もう一度挑戦する場合は、[再開] をクリックしてください。

おつかれさまでした。次の単元では、サイバーセキュリティアーキテクトがリスクを検出し、サイバーセキュリティアーキテクチャの実効性を監視する方法を詳しく見ていきます。では、次に進みましょう。