信頼性ゼロ：ネットワークセキュリティの新しい「境界」

近日発表された「産業インターネットセキュリティ10大トレンド（2021）」では、「ゼロ信頼アーキテクチャの着地応用普及期への歩み」が将来の10大トレンドの1つに挙げられている。同報告書は、ネットワーク保護が伝統的な境界セキュリティ理念から信頼ゼロ理念へと進化することに伴い、ゼロ信頼はデジタルセキュリティ時代の主流構造になると指摘した。

「信頼ゼロ」とは、実際にはForresterアナリストが2010年に提案したセキュリティ概念であり、デフォルトではネットワークの内部と外部の誰も/デバイス/システムを信頼すべきではなく、認証と承認に基づいてアクセス制御を再構築する信頼基盤が必要だという考えが中心となっています。

簡単に言えば、「信頼ゼロ」の戦略は誰も信じないことだ。既存の従来のアクセス検証モデルはIPアドレスやホスト情報などを知るだけでよいが、「信頼ゼロ」モデルでは、ユーザーの身元を知らない、または授権ルートを知らない要求はすべて拒否するために、より明確な情報が必要である。

信頼性ゼロのセキュリティは長い間提案されてきたが、実際にはこの2年間になって、国内のネットワークセキュリティ分野で台頭してきた。2019年、工業・情報化部が発表した「サイバーセキュリティ産業の発展促進に関する指導意見（意見聴取稿）」において、ゼロ信頼セキュリティは初めてサイバーセキュリティの突破が必要な重要技術に登録された。中国情報通信研究院が発表した「中国サイバーセキュリティー産業白書（2019年）」も、初めてゼロ信頼セキュリティー技術と5 G、クラウドセキュリティーなどを我が国のサイバーセキュリティー重点細分化分野の技術に並べた。

「信頼性ゼロのセキュリティ」の話題をめぐって、21世紀の経済報道記者は複数の業界専門家を取材した。彼らはいずれも、信頼性ゼロのセキュリティが強調する永遠の不信と一貫した検証は、サイバーセキュリティ分野で非常に確実なトレンド性の方向となり、将来、信頼性ゼロのセキュリティアーキテクチャを採用する企業も増えていくだろう。

クラウド時代のセキュリティアーキテクチャ

2020年6月、中国産業インターネット発展連盟標準専門委員会の指導の下、騰訊は国家インターネット応急センター、中国移動通信グループ設計院、公安部第三研究所など16の機関と企業を連合し、国内初の「ゼロ信頼産業標準ワーキンググループ」を共同で設立し、ゼロ信頼産業の需要発掘、技術研究開発、技術基準の開発及び普及応用などの仕事。

テンセント安全社長の程文傑氏は21世紀経済報道に対し、テンセントは早ければ2016年にテンセントの企業イントラネットにゼロ信頼安全を導入し、テンセントが自研したゼロ信頼安全管理システムiOAは現在、テンセントの従業員6万人超、サービスデスクトップ端末10万台の実践検証を経ていると述べた。

程文傑氏によると、ゼロ信頼セキュリティがこの2年間人気を集めているのは、企業のクラウド化に伴い、伝統的なネットワーク境界がなくなりつつあるためだ。特に突然の疫病発生では、ほとんどの企業がリモートオフィスを余儀なくされているため、過去、多くの企業がゼロ信頼セキュリティに懸念を持っていたかもしれないが、リスクが拡大してきた場合、彼らもゼロ信頼セキュリティアーキテクチャを受け入れることを選択し始めた。

国信証券が2020年に発表した研究報告書によると、クラウドとモバイルインターネットの台頭は、伝統的な境界防御を徐々に崩壊させているという。これは、伝統的な安全哲学が境界隔離を核心理念とし、ファイアウォール、IPSなどの設備を通じて、「塀」を広く構築してイントラネットを保護し、デフォルトの内部は安全で信頼できるからだ。

クラウド応用の台頭により、元企業の「塀の中」の一部の応用が雲の上に移されるとともに、モバイルオフィスの普及に伴い、元企業内で働いていた従業員も徐々に「塀の外」に出てきた。境界セキュリティが破壊されると、ハッカーはさまざまな手段で企業内のデバイスに浸透することができるため、境界に「壁を築く」ことで、ますます無力化し、「境界なき」時代には新たな保護方法が切実に求められている。

21世紀の経済報道のインタビューを受けた360雲安全研究院の魏小強副院長は、信頼のない安全と伝統的な安全の違いをイメージの比喩で説明した。彼は、以前やっていた安全防御システムには、境界があり、ファイアウォールは城の堀のようなもので、外の人は城に入りたいと思って、城門の検査を通過しなければならなかったが、入ってからは、デフォルトでは信頼でき、城内を自由に歩くことができます。

「このシステムは過去には可能だったが、現在では、企業の従業員のオフィスが空港やネットカフェなどのどこかにある可能性があり、状況は非常に複雑になっている」と魏小強氏は述べた。信頼ゼロのセキュリティの枠組みの下では、城の外の人も城の中の人も信頼されておらず、彼らのアクセスニーズも検証する必要があると述べた。

Cybersecurity InsidersとZscalerが発表した「2019信頼セキュリティ市場普及業界レポート」によると、現在最大のアプリケーションセキュリティ課題について、回答者の62%がデータセンターとクラウド環境に分散しているプライベートアプリケーションへのアクセスセキュリティを確保していると答えた。

これもゼロ信頼が重点的に解決する問題である。報告書によると、現在78%のITセキュリティチームが将来的にゼロ信頼ネットワークアクセスを実現したいと考えており、そのうち15%の企業がゼロ信頼を実施している。

身分を基礎とする

実際、過去10年間、安全を信頼するゼロの理念も進化してきた。網宿科学技術副総裁の呂士表氏は21世紀経済報道に対し、この概念が提案された当初、主にマイクロ隔離によるネットワークへの細粒度のアクセス制御に集中し、攻撃者の横方向の移動を制限したが、次第に身分中心のアーキテクチャシステムが形成されてきたと述べた。

呂士表によると、信頼性ゼロセキュリティの主な3つのセキュリティ特性：まず「ネットワークステルス、デフォルト拒否」であり、企業業務応用システムはデフォルトですべてのポートを閉鎖し、内外のすべてのアクセスを拒否し、合法的なクライアントのIP指向性動的開放ポートだけに対して、いかなる不法スキャンや攻撃も直接回避できる。

次に「継続的に検証し、必要に応じて権限を付与する」。信頼性ゼロのセキュリティは、合法的なアクセスユーザーのアクセス動作を検証し続け、ユーザーのアクセス権限を動的に、必要に応じて調整します。

最後に「マイクロアイソレーション、アクセス許可の最小化」です。ゼロ信頼セキュリティは最小授権及びマイクロ隔離の原則に従い、効果的に横方向攻撃の攻撃面を縮小し、攻撃伝染を最大限に回避する。

これに対し、魏小強氏も、ゼロ信頼セキュリティは実際にはネットワークからセキュリティを逸脱し、ネットワークに依存するのではなく、アイデンティティを中心に構築されていると述べた。さらに、「いかなるセキュリティも完全無欠ではなく、脆弱性も完全に解消されることはありませんが、ゼロ信頼が従う最小許可の原則は、最小のアクセス権限を限定しているため、ゼロ信頼セキュリティ防御システムが破壊されても、従来のセキュリティネットワークが突破されると、1つのエンドポイントになるのではなく、損失が最小化される可能性があります」と指摘しています。

もちろん、魏小強が言ったように、ゼロ信頼の安全は完璧ではなく、いくつかの弊害もある。「例えば、セキュリティを信頼していない認証と許可は別々で、認証は意思決定プロセスであり、意思決定プロセスが攻撃されれば、システム全体も崩壊する」と魏小強氏は言う。

程文傑氏によると、ゼロ信頼セキュリティの弊害にはコストの上昇や、セキュリティアーキテクチャの再構築がユーザーの使用習慣に衝撃を与えるなどが含まれている。「例えば、今では金融系アプリの中には、開くたびに指紋を検証するものがありますが、すべてのアプリを厳格に検証すると、ユーザーの受け入れ度に大きな影響を与えるに違いありません。そのため、企業は信頼性ゼロのセキュリティを導入する際に最適な実践に従う必要があり、ユーザーのアクセスと行動を全面的に評価し、よりインテリジェントな判定を行い、低下させることを提案していますセキュリティ上のリスクを回避しながら、ユーザーのアクセス体験に影響を与えないようにしてください。」

しかし、全体的には、信頼性ゼロの安全がもたらす利益は弊害よりも大きい。程文傑氏によると、テンセントの現在の自身の安全実践と顧客からのフィードバックを見ると、信頼セキュリティゼロはデジタル化のモデルチェンジ過程における企業の安全リスク耐性を大幅に高めることができ、安全イベントの数も指数級の低下が現れたという。

呂士表氏は記者団に、企業のITアーキテクチャは「境界がある」から「境界がない」へと変化していると述べた。広範囲にカバーされた信頼性ゼロのセキュリティネットワークに基づいて、いつでもどこでも安全なアクセス要件を満たすことができ、従来のVPNの代わりにネットワークを構築することで、企業のIT導入を簡素化し、将来のオフィス方式の多様化による企業の安全なアクセス要件に適応することができます。

世界的に見ると、インターネット会社は現在、信頼性ゼロのセキュリティを最も積極的に導入しており、上記のテンセント事例のほか、Googleも内部アプリケーションのセキュリティアクセスにBeyondCorpアーキテクチャを実装しており、従業員がいつでもどこでも会社のアプリケーションにアクセスでき、VPNを必要としないことができます。

しかし、信頼性ゼロのセキュリティはネットワークセキュリティの将来のトレンドですが、それは究極の目標のようなものです。「今では、すべての企業が従来のセキュリティアーキテクチャを捨ててゼロ信頼セキュリティシステムに置き換えるのも現実的ではありません。同じ企業内を含めて、ビジネスによってゼロ信頼セキュリティへの適応度が異なるため、将来の長い間、ゼロ信頼セキュリティと従来のセキュリティは常に両立している状態になります」と魏小強氏は述べた。