継続的な検証と監視

ゼロトラストは認証で終わりません。アクセスの判断は、リアルタイムのリスクシグナルに基づいて、セッション中も継続的に再評価する必要があります。午前 9 時には信頼されていたセッションでも、デバイスが侵害されれば午前 9 時 5 分には信頼できない状態になる可能性があります。

継続的な検証に使用するシグナル：

• デバイスのコンプライアンスステータスの変化（EDR アラート、更新の失敗）
• ユーザー行動の異常（通常とは異なるアクセス時刻、アクセス量）
• 場所の変化（Impossible Travel）
• ネットワーク脅威インテリジェンス（C2 通信の検出）
• アプリケーションアクセスの異常

適応型認証は、リスクに基づいて認証要件を動的に調整します。低リスクのアクセス（既知のデバイス、通常の時間帯）では、追加の負担はありません。高リスクのシグナルが検出された場合は、再認証または MFA のステップアップを要求します。コンテキスト対応 IdP（Okta、Azure AD）がこれを実装します。

リスクシグナルが発生した場合、セッションは直ちに失効できなければなりません。実装方法：

• 短いトークン有効期間（15 分）とリフレッシュトークン
• トークン失効リスト
• IdP での SSO セッション無効化
• OIDC backchannel logout による再認証の強制

SIEM は、すべてのソース（IdP、エンドポイント、ネットワーク、アプリケーション）からログを集約し、イベントを相関分析して攻撃を検出します。ゼロトラスト環境の SIEM が監視する対象：

• 認証イベントと異常
• 権限昇格
• 通常とは異なるデータアクセスまたはデータ流出
• ポリシー違反

UEBA は、ユーザーとエンティティの行動ベースラインを構築し、そこからの逸脱を検出します：

• ユーザー X は常に NYC からアクセスしている — Moscow からのアクセスがあればアラート
• サービスアカウントは外部接続を一切行わない — 外部接続を行ったらアラート
• データダウンロード量の異常 — 通常の 100 倍のダウンロードがあればアラート

脅威ハンティングとは、自動化ツールで検出されていない脅威を能動的に探索することです。ハンターは、脅威インテリジェンスと ATT&CK TTP に基づいて仮説を立て、証拠を求めてログを検索します。アラートを待つのではなく、環境内に潜む攻撃者を積極的に探します。

ゼロトラスト監視のための包括的なオブザーバビリティスタック：

• ログ：Elasticsearch + Kibana (ELK)、Splunk
• メトリクス：Prometheus + Grafana
• トレース：Jaeger、Zipkin（分散トレーシング）
• ネットワーク：Zeek、Suricata、VPC Flow Logs

ゼロトラストは、継続的なコンプライアンスにも拡張されます：

• CSPM ツールは、定期的ではなく継続的にクラウド設定をスキャンします
• Policy as Code（OPA/Rego）は、コンプライアンスを自動的に適用します
• ドリフト検出は、設定がベースラインから逸脱した際にアラートを発します

継続的な監視は、自動対応（SOAR）につながります：

• IdP から侵害されたデバイスを隔離 → すべてのアクセスを直ちにブロック
• ファイアウォールと CDN で悪意のある IP を同時にブロック
• インシデントチケットを作成し、オンコール担当者に通知して、システムを隔離

速度が重要です — 自動対応は、手動対応にかかる数分に対して数秒で実行されます。

ゼロトラストの進捗を測定する指標：

• フィッシング耐性 MFA を使用するユーザーの割合
• MDM に登録され、コンプライアンスを満たしているデバイスの割合
• VPN ではなく ZTNA 経由でアクセスされるアプリケーションの割合
• 異常なアクセスを検出するまでの平均時間
• 相互 TLS を使用する東西トラフィックの割合

Impossible Travel や異常なデータダウンロードなどの異常を検出するために、ユーザーとエンティティの行動ベースラインを構築するシステムはどれですか？

ゼロトラストには、初回認証後も継続的な検証が必要です。リアルタイムのリスクシグナル（デバイスの健全性、行動の異常、脅威インテリジェンス）によって、適応型認証またはセッションの失効がトリガーされます。SIEM と UEBA は攻撃を検出し、脅威ハンティングは自動化で見逃された脅威を発見します。SOAR は数秒で対応を自動化します。MFA の適用範囲、MDM への登録率、東西トラフィックにおける mTLS の割合によって、ゼロトラストの成熟度を追跡します。