ゼロトラスト定義の何が間違っているのか、そしてそれを正しくする方法

数年前、私は最悪の誤解を招くマーケティングを表すバッジを身に着けた車を持っていました。シルバーの3次元ロゴには、Partial Zero Emissions Vehicleの略であるPZEVの頭字語が綴られていました。

これが矛盾しているように聞こえるという最初の反応であれば、あなたは良い直感を持っています。この場合、説明は意外と正確です。

問題は、この宣伝されている機能が本質的に価値がないことです。この誤解を招く用語と目立つバッジが正確に説明しているのは、唯一の推進源として汚染物質を排出する内燃エンジンを搭載しているが、エンジンを切っても汚染物質を排出しない車両です。

より正直なバッジは、ガソリンの蒸発による排出を防ぐために燃料システムに Pretty Good ガスケットを使用したことを示す PGG です。それでも基本的な問題は、部分ゼロは存在せず、矛盾的であるということです。

私はここで異端者になるのは嫌ですが、ゼロが明確に定義されていることに気づかずにはいられません。

0.1 はゼロではありません。

どちらも .0001 ではありません。

0.0000000000000000000000000000000000000000000000001 でもゼロではありません。

ゼロトラストと最小特権の原則

それでは、車と基本的な算術からコンピューター ネットワーク セキュリティに切り替えてみましょう。

ゼロトラストネットワークセキュリティの重要な信条(いいえ、「テナント」ではありません)は、その定義に過剰な権限がゼロでなければならないという定義を含む 最小権限の原則 を実装する必要があるということです。最小権限、またはトランザクションが正しく機能するために必要な絶対的な最小権限は、ゼロトラストを確立するには必要かつ賞賛に値するが十分ではない少ない権限と同じではありません。

ここでの問題の簡単な例は、IP アドレス w.x.y.z のポート 80 で Web ページを公開するネットワーク リソースです。ポート 80 以外のすべてのポートへのアクセスをブロックすることは、正しい方向への大きな一歩です。ただし、特定のユーザーのみを実際に許可する必要がある場合でも、任意のクライアント アドレスがこのポートにアクセスできます。これは、特定のクライアント送信元 IP アドレスのみを許可することで排除できる過剰な権限です。

ただし、これにより、許可されたユーザーがポート 80 で公開されているすべてのリソースにアクセスしようとし、意図したユース ケースの一部である GET 操作と、そうでない PUT 操作の両方に対してアクセスできるシナリオが発生します。アクセスをさらに制限して PUT 操作を防止し、単一の特定の Web リソースへの GET のみを許可することは、意図したユースケースを実装するために必要な最小特権である最小作業特権 (MWP) を取得する最後の制限です。

MWP は、特定のユースケースで達成される最小権限の設定です。上記のその後の各動作制限は、 攻撃対象領域 を減らし、MWPに近づきますが、 ゼロトラストの実装について話すことができるのは、最後の過剰な権限が削除されたときだけです。

ゼロトラストは旅ではありませんが、そこに到達するための作業は旅です

そして、これは、ゼロトラストは部分的なゼロトラストの無意味な状態を暗示しているように見える「旅」であるという一般的な主張につながります。ゼロトラストの「レベル」についての議論は、あたかもさまざまなゼロトラストセキュリティ体制があるかのように聞くのが一般的です。

ゼロトラストは旅ではなく、目的地です。

ゼロトラストの「旅」について言及するとき、実際にはゼロトラストを達成するための作業は旅であるということです。この目的地に向けたステップは有用で重要ですが、ゼロトラストという最終目標の達成とは区別する必要があります。

誇張や緩い用語はどの業界にも共通していることは事実ですが、場合によっては、特にサイバーセキュリティにおいて、行き過ぎて誤解を招き、長期的な損害を与える可能性があります。セキュリティの大きなリスクは、ゼロトラストに近づくことができるベンダーやソリューションとの関係につながることですが、目的地まで連れて行く計画や能力はありません。

部分ゼロを持つことは不可能です。

ゼロトラストは自由と安全に関するものです。アプリケーションがゼロトラストを実装するネットワークサービスを使用する場合、それらのアプリケーションには、悪意のある攻撃者から身を守るために複雑で脆弱なロジックを含める必要はありません。同社のゼロトラストインフラストラクチャプラットフォームは、これらのリスクが排除されたことを保証しています。

ゼロトラスト:可能な限り最小限の攻撃対象領域

たとえば、米国の裁判所にいる場合、入り口が 1 つに 1 つあり、入る人ごとに磁力計がスキャンされ、誰も悪意のあるものを持ち込んでいないことを確認するため、安全を確保できます (ゼロトラスト)。そのようなセキュリティ対策(攻撃対象領域の縮小)のない別の入り口がある場合、脅威の欠如の保証はサポートできず、誰もが自分の安全を心配する必要があります。2つの入り口があるこのシナリオでは、ほとんどの人(悪意のあるもののない人)が安全なインターフェイスを通過するという事実は、安全性がないことを意味するものではありません。

攻撃対象領域の縮小とゼロトラスト(可能な限り最小限の攻撃対象領域)の違いは、自己防衛について心配しない自由を可能にするかどうかです。真のゼロトラストだけが、アプリケーション開発者がアプリケーションの防御機能を省くことができるため、コスト、複雑さ、市場投入までの時間を短縮できます。

多くのベンダーは、現在よりも安全にできるソリューションを販売しており、それにはある程度の価値があります。ただし、ゼロトラストの目的地にどのように到達する必要があるか、そしてそこに連れて行ってくれるかどうかを理解することが重要です。

ゼロトラストは、サービスの利点を提供するために何らかのネットワーク相互作用を許可する必要があることを考えると、可能な限り最高のセキュリティ体制と考えることができます。このゼロトラストの定義は、現在利用可能なセキュリティソリューションのいくつかから達成することができます。

特定のネットワークベースのアプリケーションやサービスでは、そのようなソリューションを導入するコストは、それらを使用せずに導入するコスト、つまり侵害のコストよりもはるかに小さくなります。この分析を開始するには、アプリケーションの最小作業特権を理解するのが最適です。

アプリケーション所有者は、アプリケーションのセキュリティ要件を理解して、ゼロトラストがビジネス全体の観点からどのように費用対効果が高いかを判断する必要があります。しかし、サイバーセキュリティ環境が進化し、より洗練されるにつれて、組織は、信頼を低く実装するだけでは十分ではないため、ゼロトラストを採用しないわけにはいかないことに気付くでしょう。

イルミオゼロトラストセグメンテーションは、ゼロトラストの達成に役立ちます

ゼロトラストは特定の製品やソリューションではなくセキュリティ戦略ですが、Forresterはゼロトラストアーキテクチャの基礎的かつ戦略的な柱として、マイクロセグメンテーションとも呼ばれるゼロ トラストセグメンテーション(ZTS)を検証しています。ZTSは、完全なゼロトラストの達成を支援することを約束するものではありませんが、ゼロトラストにとって重要なテクノロジーです。

ZTSは、侵害が避けられないと想定し、ネットワークをセグメント化し、最小権限のアクセスを確立することで侵害に備えます。侵害が発生した場合、ZTS はネットワーク全体のラテラル ムーブメントを阻止することで、侵害の拡散を封じ込めます。

イルミオZTSプラットフォームは、ハイブリッド攻撃対象領域全体で侵害を封じ込めるための業界初のプラットフォームです。

Illumio ZTSを使用すると、次のことができます。

• リスクの確認:ワークロードとデバイスの通信方法を継続的に視覚化する
• ポリシーの設定: 必要な通信と必要な通信のみを許可する詳細なポリシーを設定します
• 侵害の拡大を阻止する:横方向の動きをプロアクティブに制限するか、アクティブな攻撃中に制限することで、侵害を自動的に切り分けます

ZTSとは何ですか?詳しくは こちらをご覧ください。

ZTSの詳細と、ZTSがゼロトラスト戦略にどのように適合するかを学ぶ準備ができている場合は、今すぐお問い合わせください。