Illumio for Microsoft Azure Firewallは、ゼロトラストセグメンテーションの利点をAzure Firewallにもたらします

Vice President, Industry Strategy

2023年3月9日

23分読む

イルミオはマイクロソフトと協力して、現在パブリックプレビュー中のMicrosoft Azureファイアウォールのマイクロセグメンテーションサポートを追加しました。パブリックプレビューにサインアップするには、[ email protected] にメールを送信するか、 Azure Marketplace の一覧から。

Illumio for Azure Firewall は、Azureのお客様がゼロトラストセグメンテーションを実施し、ネットワークとアプリケーションのフィルタリングを超えて支援します。これは、ファイアウォール運用チームが保護しているリソースの豊富なコンテキストでルールを理解するのに役立ちます。豊富なコンテキストにより、管理者はルールによって保護されているリソースと、その所有者を簡単に判断し、ルールのライフサイクル管理をより自信を持って実行できます。

Illumio for Azure Firewallを使用すると、次のことができます。

Azure リソースタグを使用して、ファイアウォール規則を定義します。 ポリシーは定義しやすく、理解しやすく、リソースが行き来してもセキュリティは一貫しています
リソースがどのように通信しているかについての理解を深めます。 リソースタグを使用して Azure Firewall フローログを強化して依存関係マップを構築すると、リソースがどのように相互作用するかを明確に把握できます
デプロイする前に、Azure Firewall 規則を安全にテストします。 ポリシーが間違っていると、露出が過剰になったり、重要なアプリケーションが破損したりする可能性があるため、デプロイ前に新しいルールの効果を検証することで、これらのリスクを軽減できます

Illumio for Azure Firewallを使用したゼロトラストセグメンテーションの簡素化

Illumio for Azure Firewall は、Azureクラウドプラットフォームを使用して、Azure仮想ネットワーク全体およびAzure境界のリソース間の接続を保護します。

「Illumio for Azure Firewallは、従来のファイアウォール管理に対する最新の効率的なアプローチです。ネイティブのパブリッククラウドメタデータをルール管理に取り込みます。交通の視覚化は現在、交通管理に情報を提供し、これにより、指定された交通に対して必要な、より具体的なポートのみを開くように運用方法が変わる可能性があります。」

– マルクス・リントゥアラとミカ・ヴィルポ、エリサ

基盤となるインフラストラクチャに依存せずにリソースを参照

IP アドレスとホスト名はネットワークのインフラストラクチャの重要なプロパティであり、ファイアウォールポリシーを適用するために利用されますが、特に多くのクラウドリソースは一時的で動的な性質があるため、クラウドでの関連性は限られています。

Illumio for Azure Firewallは、Azure Resource Managerと統合して、Azureリソースとそのタグを取り込みます。リソースはIllumio for Azure Firewallのワークロードにマッピングされ、そのタグは各ワークロードに関連付けられたそれぞれのラベルにマッピングされます。これにより、Azureのリソースの表現とそのメタデータと、Illumioの関連するワークロードとラベルの間に1対1のマッピングが確実に行われます。

illumio-illumination-map — Illumio's Illumination map

このコンテキストベースのアプローチを使用すると、お客様は現在持っている分析情報を活用して、Azure リソースを保護するための最も適切で最小特権のセキュリティポリシーを構築できます。Illumio for Azure Firewallを使用すると、フローデータに通知し、強化するのと同じコンテキストを使用して、Azure Firewallのセキュリティルールを構築できます。

ファイアウォールルールを保護しているリソースのコンテキストで表現すると、ルールを理解しやすくなります。そうすることで、お客様は保険契約のライフサイクル管理プロセスを大幅に改善できます。これにより、所有権、関連性、有効性に関する会話が簡素化されます。

真に有用であるためには、セキュリティー・ポリシー自体も、ルールで指定されたコンテキストに一致するリソースのみに任意の時点でアクセスが許可されるように調整する必要があります。アダプティブポリシーのこの要件は、イルミオが長年にわたってデータセンターとエンドポイント製品で顧客のために解決してきたものであり、現在Azure Firewallにもたらしています-コンテキストベースのポリシーは、Azureデプロイと同様に本質的に動的であり、リソースとそのコンテキストの変化に対応するために常に適応します。

セキュリティポリシーをシミュレート – アプリケーションを壊さない

コンテキストベースの可視性とセキュリティポリシーにより、ゼロトラスト体制を達成するための重要な柱の2つが整います。しかし、多くの場合、組織は重要なアプリケーションの破損を懸念して、最小権限ポリシーの適用に苦労しています。

Illumio for Azure Firewallはこれをカバーしています。

ドラフトポリシーモードを通じて、セキュリティチームはセキュリティポリシーを全面的に施行する前に、セキュリティポリシーの結果を検証できます。シミュレーションモードでは、ポリシーに基づいて適用とトラフィックが許可された場合にブロックされたであろうファイアウォールを流れる実際のトラフィックをユーザは評価できます。

このシミュレーションモード分析により、お客様は安全で予測可能な方法を実現し、次の方法でセキュリティ体制を継続的に改善できます。