ゼロトラストリモートアクセス

従来のセキュリティでは、堀に囲まれた城のように、ネットワーク境界の内側にいるすべての人を信頼していました。

VPNを通過すると、ユーザーは多くの場合、多数の内部システムに自由にアクセスできました。

クラウドアプリ、リモートワーク、モバイルデバイスによって、明確なネットワーク境界はなくなりました。

さらに、攻撃者が内部に侵入すると、暗黙の信頼によって自由に移動できました。そのため、新しいモデルが必要になりました。

ゼロトラストでは、ネットワークの内外を問わず、ユーザーやデバイスをデフォルトでは信頼しないと考えます。

そのモットーは、決して信頼せず、常に検証することです。

ゼロトラストでは、アクセスリクエストを一つずつ確認します。

• ユーザーは誰ですか？
• デバイスは正常な状態ですか？
• ポリシーはこの特定のリソースへのアクセスを許可していますか？

ユーザーには必要な特定のリソースだけへのアクセスを許可し、それ以上は許可しません。

これにより、アカウントやデバイスが侵害された場合の被害を抑えられます。

アイデンティティが新たな境界になります。

ゼロトラストでは、多要素認証と信頼性の高いアイデンティティプロバイダーを活用して、実際に接続しているのが誰なのかを確認します。

デバイスの正常性も重要です。

アクセスを許可する前に、システムはデバイスの状態を確認します。パッチが適用され、暗号化され、セキュリティツールが実行されていますか？正常でないデバイスはアクセスを拒否されるか、アクセスを制限されます。

ZTNA（Zero Trust Network Access）は、広範なVPNアクセスをアプリケーション単位のアクセスに置き換えます。

ユーザーをネットワーク全体に接続するのではなく、利用を許可された一つのアプリだけに接続します。

ZTNAは、内部アプリをパブリックインターネットから見えない状態に保ちます。

ブローカーが最初にアイデンティティとポリシーを確認し、その後で接続を仲介します。攻撃者は、見えないものをスキャンしたり攻撃したりできません。

一度信頼したら、そのまま放置するわけではありません。

ゼロトラストではセッションを継続的に再評価します。新しい場所からの接続やデバイスチェックの失敗などによってリスクが高まった場合は、再認証を要求したり、アクセスを取り消したりできます。

ゼロトラストはマイクロセグメンテーションと相性がよい仕組みです。

アクセスが許可された後も、きめ細かな制御によってシステム間の移動を制限し、侵害が発生した場合の被害範囲を縮小します。

ゼロトラストによるリモートアクセスについて、理解度を確認します。

ゼロトラストによるリモートアクセス：

• 内外を問わず、決して信頼せず、常に検証します
• 最小権限、強固なアイデンティティ、デバイスの状態を適用します
• アプリ単位のアクセスと継続的な検証にZTNAを使用します

従来の境界型VPNモデルから前進した仕組みです。