ゼロトラスト入門
ゼロトラストとは
従来型モデルのセキュリティは境界型、つまりトラスト＝信頼モデル。
境界の中は安全という考え方です。
ただ、情報漏洩ってどこからおきますか？？？
昨今報道されている情報漏洩って境界の中から起きてますよね？
つまり現代でいうと安全じゃないってことです。
逆に言うと境界内の方が危険ともいえます。
じゃあどうすればいいんだよ！という意見もありますよね。
従来型モデルの限界
そもそもとして従来型のトラストモデルって境界内にあるから信頼している。
だからそれが本物かどうか確認していないってケース多いですよね。
これって侵入済みの脅威に対しては何も対策取られていないというのが現状です。
中にいるから安全ではなく、確認していないから危険なのです。
昨今日本は遅れていますが、世界的には上記の従来型モデルを崩そうと動いています。
特にコロナ禍による働き方の急激な変化に従来型のトラストモデルって役に立ってないですよね。
テレワークやリモートワークに順応する必要が出てきています。
現状必要とされているモデル
ゼロトラストという言葉は最近耳にする機会が増えていると思います。
じゃあ、ゼロトラストって？って思いますよね。
簡単に言うと信頼しないモデル。
つまり本物であることを毎回確認すると言うことです。
* 情報へのアクセス権
* ルール（デバイスやネットワークなど）は守られているか？
* アクセスしている人物は本人なのか？
* デバイス利用者は本物？
これらを確認して正常であるかどうか、正常であればアクセスさせる。といったセキュリティモデルが必要となってきているのです。
ゼロトラスト実現に向けての必要なこと
色々と必要なことはあります。
会社内の制度の革新は必須です。
昭和な考え方ではだめなのです。
時代は令和です。考えを変えましょう。
考えを変えないことにはシステム管理も変わりません。
では、何が必要なのか。
- 分析
- 監視
- 保護
- 制御
- 管理
上記の項目について再検討が必要です。
具体的には？
分析
クラウド型の SIEMやSOARが必要です。
監査ログの長期保管やSIEMによる分析・運用を検討しましょう。
監視
機密情報の可視化・自動修復や内部・外部犯行の可視化と防止が必要となります。
機密情報の保管場所や公開範囲やアクセス状況を可視化しましょう。
また、アプリに対する不正操作を検出できるような仕組みを作りましょう。
保護
ファイルの分類・保護や、DLPによる機密情報の投稿の防止が必要になります。
保存場所に依存しない機密情報の分類・暗号化が出来る仕組みを作りましょう。
内部からの情報漏洩を防ぐことを考えましょう。
制御
アクセス制御やリスクベース認証、アクセス権のチェックや管理の自動化を考慮しましょう。
なりすましリスクに応じたアクセス権の制御や、アクセス権が正しいかの定期的な棚卸しを習慣づけしましょう。
管理
デバイスのセキュリティ管理や脅威検出・自動修復の仕組みを作りましょう。
デバイスの脆弱性の可視化、セキュリティレベルの維持や不正侵入の検出・阻止が出来る環境を作りましょう。
じゃあどうやって実現するのか
Microsoft 365では前述のゼロトラストを実現するサービス・プロダクトが用意されています。
セキュリティ・コンプライアンス
- Office 365 Advanced Threat Protection
- Advanced Compliance + more
ID保護、特権管理
- Azure AD Premium
機密情報の可視化、自動的な情報保護
- Azure Information Protection
AD へのIDベース攻撃検知
- Azure Advanced Threat Protection
Cloud Access Security Broker
- Microsoft Cloud App Security
脅威検出と自動的な修復
- Microsoft Defender ATP
デバイス管理
- Microsoft Intune / System Center Configuration Manager
ADへのIDベース攻撃検知
- Microsoft Advanced Threat Analytics
クライアント保護
- Windows Defender System Guard / Application Guard / Exploit Guard / Application Control
PC管理・展開
- Azure AD Join + AutoPilot
様々なサービス群があり従来の境界型防御はもちろん、未知の攻撃に対する防御や情報流出してしまってからの対策など従来型では考慮されていない部分についてもゼロトラストを実現するサービスが用意されています。
自分の一番得意とする分野はこの中ではAzure ADですが、最低限条件付きアクセスを設定することでアカウントからのなりすまし防御は作れます。
費用や導入における敷居の高さが企業それぞれ違うと思いますので、その企業にあった構成を検討して新たな時代にあったセキュリティを作ってみてはいかがでしょうか？
