ゼロトラストとは？ゼロトラストの意味と実現イメージ

みなさんこんにちは。長谷川まりです。

ここ数年、「ゼロトラスト」という言葉をよく聞きますが、実はこの意味、わかっているようで本当はわかっていないかも？と、感じる方はいらっしゃいませんか。ゼロトラストは、ゼロトラストソリューションを掲げるベンダーによって捉え方が微妙に違っているため、その本質が掴みづらい言葉だと思います。今回は、そんな方に少しでもお役に立てるよう、その意味と実現イメージについて解説します。

ゼロトラストとは

Trustが意味するもの

まず、ゼロトラストという言葉の意味を確認してみましょう。実は、英語のTrustは、「信頼」から「信用」まで、広いニュアンスを含んでいます。そして、ゼロトラストに関する本や、ゼロトラストという言葉と概念を最初に打ち出したJohn Kindervag氏の講演動画などを見ると、ゼロにしたいトラストは「信頼」を指していることがわかります。

「信頼」とは、家族や親友に対する感情です。根底には、絆や愛があります。一度信頼を得れば、ちょっとやそっとではその信頼はゆらぎません。例えばオレオレ詐欺はこういった家族の信頼に付け込んだ、現実世界の攻撃と言えます。信頼すると信頼しないの間にはグラデーションがなく、くっきり色が別れているイメージです。一方で、本来のTrustは「信用」という意味も含みますが、こちらはビジネスライクなもので、信用させたい相手が期待する基準を満たしたり、行動を繰り返すことによって信用を積み重ねることができます。銀行がお金を貸すときは返済能力を確かめるために信用調査が行われます。また継続して取引するかどうかは期限通りにお金を払ってくれているかどうか、という過去の取引履歴を基に評価します。支払いが滞れば、信用度は下がるわけです。信用には「度合い」があり、細かいグラデーションが存在するイメージです。

このように、Trustには「信頼」から「信用」までの広いニュアンスを含んでいる、ということを踏まえた上で、ゼロにしたいトラストは「信頼」のことを言っているとまずは捉えてみましょう。つまり、最初から信頼して何でも許す「なあなあの関係」を排除し、毎回信用できるかをチェックしましょう、というのが、ゼロトラストの「Never Trust, Always Verify」の原則です。

「信頼」してはいけないもの

では、ゼロトラストで言う「信頼」してはいけないものとは、何でしょうか。代表的なものは、「内部ネットワーク」であると言えます。現状は、インターネットの外は信頼しない、ファイアウォールなどのセキュリティ機器で守られた境界の内側は信頼する、という境界防御モデルがまだ主流です。しかし今は、以下の理由から、もう時代遅れと言わざるを得なくなってしまいました。

境界の内側こそが狙われる

ほとんどのサイバー攻撃は、標的型メールなどで内部ネットワークの端末を感染させ、内部ネットワークを掌握し、特権ユーザーへの昇格を経て、情報窃取やランサムなどの破壊や妨害に及んでいます。硬い防御壁を正面から打ち崩すよりも、内側に忍び込むほうが簡単だからです。

情報資産は境界の外側にも存在する

クラウドの普及により、情報資産は境界の外側に移動しています。どういう情報がどこに存在し、適切に保護・活用されているのかを一元的に把握する手段が必要です。

境界の外側からのアクセスがある

テレワークが普及し、境界の外からのアクセスが増えました。端末からインターネットとクラウドへの通信を安全にするため、内側（オンプレミス）のデータセンターにセキュリティ対策を集約している場合、テレワーク時にクラウドを利用する場合であってもVPNで一度内部ネットワークに入り、セキュリティチェックをくぐらせてから外に出なければなりません。VPNはテレワーカーからのアクセス集中により逼迫し、ユーザビリティは低下し、VPNの脆弱性は攻撃者が内部に侵入するための格好の標的にされています。

なお信頼してはいけないのは、内部ネットワークだけではありません。端末も、ユーザーも、アプリケーションも全て信頼してはいけません。ゼロトラストの祖であるJhon氏は、信頼（トラスト）とは人間の感情であり、信頼をコンピューターネットワークに持ち込んでしまうと、その信頼こそが攻撃者に付け込まれる脆弱性になる、としています。そして、あらゆる要素を検証し信用を積み上げ、その信用に応じたアクセスを提供しよう、というのがゼロトラスの考え方です。

ゼロトラストの実現イメージ

では、ゼロトラストアーキテクチャとはどういうものでしょう。ゼロトラストは、信頼をベースにした性善説と異なり、最初から全てを疑ってかかる性悪説です。

ゼロトラストの原則「Never Trust, Always Verify」にある、検証（Verify）の対象は、非常に多岐に渡ります。上の図のように、何も信頼しない、用心深い名探偵がコントロールプレーンとして下記のような項目を検証し、獲得した信用のレベルに基づいてアクセス許可するアプリケーションを決定します。

検証する項目の例

端末のセキュリティ状態（ハードウェア、OSのバージョンとパッチ適用状況、ハードディスク暗号化の有無、持ち主など）
端末のアイデンティティ（クライアント証明書）
スレットインテリジェンス（侵害の痕跡の有無）
ユーザーのアイデンティティ（多要素認証）
アクセス要求を出している場所、時間、頻度
どのアプリケーションやデータへのアクセス要求か

そのコントロールプレーンの指示を受けて、アセットへのアクセスを制御するのが、頼れる門番のエンフォーサです。名探偵の指示があるまでは、目的のアプリケーションやデータなどのアセットに触ることを許しません。

セッションが確立した後、端末とアプリケーションの間の通信は、たとえ内部ネットワークの通信であっても暗号化されますので、通信の中間に攻撃者がいても、通信の中身を知ることはできなくなります。

なお、これらの一連の検証は、ゼロトラストシステムがバックグラウンドで実行するものなので、ユーザーは意識をする必要がありません。それどころか、ID管理と認証が一元化されることで必要なアプリケーションへのSSOが実現し、使い勝手は向上します。