クラウドインフラストラクチャを設計して、ZT ポリシーを作成する
学習の目的
この単元を完了すると、次のことができるようになります。
- クラウドインフラストラクチャの設計に関する考慮事項を説明する。
- ゼロトラスト (ZT) ポリシーを作成して適用する手順を挙げる。
- ZT 環境の監視と維持の方法を定義する。
クラウドインフラストラクチャを設計する
クラウドでの ZT セキュリティモデルへの移行における Karen の目標は、パブリッククラウド、サービスとしてのソフトウェア (SaaS) アプリケーション、プライベートクラウド、データセンターにわたって、ユーザーが組織のアプリケーションとデータに安全にアクセスできるようにすることです。この目標を達成するためには、クラウドアセットに誰がアクセスし、どのように使用できるかを制御および制限する、1 つに統合されたセキュリティアーキテクチャを整備する必要があります。また、常にアーキテクチャでトラフィックが検査され、継続的にセキュリティポリシーが適用されるようにする必要もあります。
クラウドにおける ZT セキュリティモデルへの移行にあたり、Karen はさまざまな種類のクラウドアーキテクチャ (パブリック、プライベート、マルチクラウド) を考慮し、ZT の実装を可能にする上でのそれぞれの欠点と利点を理解する必要があります。
「クラウドセキュリティエンジニアリング」で説明されているように、モジュールパブリッククラウドとプライベートクラウドの主な違いは、パブリッククラウドではインフラストラクチャを制御できないことです。Karen はこれが厄介なことだとわかっています。クラウド環境の設定を 1 つでも間違えれば、攻撃を受けやすくなり、機密データが失われる可能性があるためです。また、パブリッククラウド環境に保存されているデータは、プライベートデータセンターにあるデータよりも漏洩するリスクが高いことも理解しています。
Karen は、機密性が高および中のデータやアプリケーションがパブリッククラウド上に存在する場合、ゼロトラストの一環として、クラウドインフラストラクチャを保護し、クラウド環境に保存されたデータを管理しなければならないことを承知しています。とはいえ、すべてのアプリケーションとサービスを次世代のファイアウォールの内側でセグメント化する必要があることも認識しています。さらに、パブリッククラウドでは、インターネットから発生したトラフィックと組織内から発生したトラフィックとで、インフラストラクチャへのパスが異なる可能性があることも考慮しています。
インフラストラクチャへのパスが複数ある場合は、アプリケーションやサービスに到達する前に、すべてのパスが次世代のファイアウォールを必ずトラバースするように注意しなければなりません。プライベートデータセンターと同様、どのようにセグメンテーションを行うかは、パブリッククラウドプロバイダーによって異なります。また、プライベートデータセンターとパブリッククラウドのアプリケーションとサービスを保護するには、内部ネットワークからのトラフィック受信に対するセキュリティルールを適切なユーザーグループに制限する必要もあります。クラウドベースのリソースに最先端のセキュリティを提供するために使用できる方法の 1 つは、Web アプリケーションファイアウォール (WAF) を使用することです。WAF では、クロスサイトスクリプト (XSS) や構造化クエリ言語 (SQL) インジェクションなど、悪意のあるトラフィックがカスタム定義のルールで絞り込まれます。
Karen は、今日の多くの企業がすでにマルチクラウドのアーキテクチャとリリースに移行しつつあり、複数のパブリッククラウドやハイブリッドクラウドのプロバイダーを活用していることを把握しています。マルチクラウド戦略によって、企業は複数のプラットフォームにワークロードをリリースできるようになり、1 つのクラウドプラットフォームのみを使用するよりもはるかに柔軟性が高まります。また、マルチクラウドのリリースは複雑性が高いため、攻撃面とサイバー攻撃のリスクも増大し、クラウドセキュリティに関する新たな懸念も生じます。そのため、マルチクラウドアーキテクチャでは、多様なセキュリティの脆弱性に対処し、複数の異種環境間で一貫したセキュリティコントロールを確立する包括的なアプローチが必要です。
Karen がクラウドに ZT を実装する際に検討した方法の 1 つは、クラウドアクセスセキュリティブローカー (CASB) を使用して SaaS アプリケーションを保護することです。CASB はファイアウォールのようなもので、組織はネットワーク境界を越えてセキュリティコントロールを拡張できます。CASB では、誰がクラウドサービスを使用しているのか、またどのように使用されているのかを可視化できます。また、CASB を使用すると、組織の外部に保存されたデータが規制要件に従って確実にすべてのコンプライアンスを満たすように管理することもできます。クラウドに保存されたデータへのアクセスを監視し、場所、インターネットプロトコル (IP) アドレス、ブラウザー、オペレーティングシステム、デバイスなどのさまざまなパラメーターでアクセスを制御することも可能です。その上、CASB には、ユーザーの行動に基づいて、組織のユーザー内で検知された脅威について、IT チームに通知するためのさまざまなアラート機能も装備されています。
Karen が検討しているもう 1 つの方法は、ゼロトラストネットワークアクセス (ZTNA) です。ZTNA は、仮想プライベートネットワーク (VPN) のような従来のテクノロジーを代替するものであり、広範なネットワークのアクセス権を付与することなく、アプリケーションへの安全で綿密なアクセスを可能にします。ZTNA によって提供される分離によりセキュリティが向上し、アプリケーションをインターネットに直接公開する必要がなくなります。インターネットは信頼できないトランスポートとなり、アプリケーションへのアクセスは仲介者を介して行われます。仲介者は、サードパーティプロバイダーが管理するクラウドサービスでも、自己ホスト型サービスでもかまいません。
組織にとって最適なアーキテクチャを決定するために、Karen は IT セキュリティおよびインフラストラクチャチームと協力して次の事項を文書化します。
- ZT を可能にする環境内の既存コンポーネント
- ZT をサポートするためにインストールが必要な追加の機能とテクノロジー
- 組織の IT 環境全体で機能する新規および既存の技術ツールまたはサービスの実現可能性
- 分析のためにプロセスとトランザクションフローをログに記録するワークフロー
- ユーザーが新しい ZT モデルを理解し、新しいセキュリティコントロールを適用できるようにするためのポリシーとトレーニングの要件
- ZT 実装をサポートするために必要な人員と予算
このリストを作成することで、組織は、最も有益で拡張しやすい方法で ZT を実装するための適切なアーキテクチャ、ツール、ポリシー、タイムラインを設定できます。Karen は、この分析から得た結果を組織のインフラストラクチャアーキテクトのリーダーに提示したら、他のサイバーセキュリティチームメンバーと協力して、ZT をサポートするために必要なリソースを確保してリリースするための最善策を決定します。
ZT ポリシーを作成して適用する
ZT セキュリティモデルの実装を成功させるために、Karen は次に、技術的および非技術的な ZT ポリシーの作成と適用に取り組みます。ユーザーとデバイスによってもたらされるリスク、およびコンプライアンス要件を検討して、許可ルールを設定、テスト、実装することから始めます。このルールは、ユーザーが適切な場所で適切な時間に、指定されたデバイスとアプリケーションを使用して特定のリソースにアクセスすることを承認するものです。そのためには、ロールベースのルールを使用すると、適切な従業員のみが安全な領域やリソースにアクセスできるようにすることができます。すべてのユーザーに対してルールを作成する必要はありません。
Karen は、このようなポリシーが、環境内のユーザー、デバイス、アプリケーションの ID 属性に対するリアルタイムの可視化に基づいていることを理解しているため、ID とアクセス管理 (IAM)、アセット管理、監視ツールを介してその情報を収集します。次に、このようなツールで取得したデータを使用して、最小権限の原則に従い、すべてのアカウントに厳格なポリシーと権限を実装し、サービスアカウントの接続権限を制限します。どの ID が特定のホストにアクセスできるか、また多要素認証 (MFA) を必要とするかどうかなど、アクセスと承認の適用を決定するために、他のポリシーも作成して適用します。さらにポリシーを追加して、組織のセキュリティ標準やメンテナンス標準を満たしていないデバイスがリソースにアクセスすることを防止するためのアクセス制限を定義します。
ZT ポリシーが確立されると、Karen は環境に実装するために計画的に作業します。まず、アセットやリソースへのアクセス要求、ユーザーやサービスのアカウント動作、トランザクションフローやコミュニケーションパターンなどの活動に関するベースラインを設定することから始めます。その後、ポリシーの実装によって環境にどのような影響が及ぶかを監視し、それに応じて調整します。Karen は、ZT セキュリティモデルへの移行に要する時間は、組織の環境の複雑さによって異なることを知っています。そのため、このことをリーダーに伝え、プロセスは段階的に進んでいき、場合によっては数年に及ぶこともあると強調します。
環境を監視して維持する
このような最初のステップで、ZT を導入し、すべてが意図したとおりに機能することを確認した後も、Karen の仕事はこれで終わりではありません。設定したポリシーが想定どおりに機能しているかどうかを確認するために、クラウド環境を監視して維持する必要もあります。たとえば、特定のリソースで MFA が必要な場合、MFA を使用しない要求は失敗するのでしょうか?
Karen は自分が設定したコントロールとポリシーによって、既知の攻撃者が制御するアドレスや破壊された IP アドレスからの要求が正常に拒否されているかどうかも確認します。次に、正当なアクセス要求が拒否されていないことを確認します。また、新しいセキュリティコントロールとポリシーによって、ユーザーが通常のビジネス機能を実行する際の操作にどのような影響が及ぶかを監視します。Karen は、チームが必要とするレベルの監視を可能にするために、適切なログが生成されていることも確認し、必要に応じて、ZT 環境を更新し続けるために監視データを使用します。
最後に、Karen は ZT クラウド環境への初期のビジネスプロセス移行から学んだ教訓を活かし、今後さらにワークフローを移行するための計画を立てます。新しいワークフローを ZT クラウド環境に移行する各フェーズにおいて、新しいコントロールとポリシーの実装、および環境の監視を行う場合に同様のプロセスに従います。その際にも、適宜、環境のベースラインを更新し続けます。また、今後、組織がクラウド環境に ZT を実装して維持する方法を把握できるように、幅広いチームと協力してポリシーと手順を文書化します。