※ 本ブログは、2022年2月8日にHP WOLF SECURITY BLOGにポストされた Zero Trust in Reverse: Why the Current Definition of Zero Trust is Only Half Full の日本語訳です。

• アプリケーションとデータの安全性を確保するために、ゼロトラストは必須です。
• ゼロトラスト・モデルを逆にして、すべてのアプリケーションとデータを信頼することをやめる必要があります。
• エンド・ツー・エンドで双方向のゼロトラストを実現するためには隔離技術が鍵となります。

ハイブリッドワークや、ビジネスアプリケーションとデータに対するクラウドサービス前提のアプローチへの移行に伴い、侵害によるデータ流出のリスクを低減するための重要な要素として、ありがたいことにゼロトラスト・セキュリティ・アーキテクチャの採用が進んでいます。この記事では、ゼロトラスト・セキュリティの現在の定義が50%しか完成していない理由と、アタックサーフェスと侵害のリスクを減らすために双方向のゼロトラストが必要な理由を詳しく説明します。

ゼロトラストはすでによく定義されていますが、簡単にまとめてみましょう。ゼロトラストとは、ユーザーやデバイスが特定のデバイスやネットワーク上にいる、あるいは一度でも認証に成功したという理由だけで、データやアプリケーションへのアクセスを自動的に許可しないセキュリティ・アプローチです。ゼロトラストでは、全てのアプリケーションやデータ・サービスへの接続は、ユーザーや接続が認可されるべきかを確認するために、その都度検証され認証されます。

ゼロトラストがどのように保護を提供するかを理解するために、次のようなシナリオを想像してみましょう。あるユーザーが悪意のあるリンクをクリックし、マルウェアがそのユーザーのPCにロードされたとします。レガシー環境では、脅威アクターが起動したプロセス（隠れて実行することが可能）はすべて、自動的にユーザーのデバイス上でユーザーとして実行されます。つまり、脅威アクターはあらゆるデータやアプリケーション・サービスにアクセスすることができ、あたかもユーザーがそれを行っているかのように見えわけです。さらに悪いことに、暗黙の信頼とレガシーSSOにより、アプリケーションやデータリポジトリのどれもが認証を要求しないため、脅威アクターは自由に好きなことができるようになります。適切なゼロトラスト環境では、脅威アクターによって開始された新しいプロセスには再認証が要求され、リモートの脅威アクターがアプリケーションやデータにアクセスすることを防ぐことができます。

専門家による、より詳細な定義については、ゼロトラストのために書かれたNIST標準SP800-207をチェックしてみてください。

今日のゼロトラストの定義とアーキテクチャは、すでに侵害されたデバイスやユーザー認証からアプリケーションとデータを保護するという面にしか焦点を合わせていません。ゼロトラストは、アプリケーションやデータリポジトリは、デフォルトであなたやあなたのデバイスを信頼すべきではないと言っています。しかし、なぜゼロトラストのアプローチを逆転させ、あなたとあなたのデバイスがデフォルトでWebアプリケーションやデータを信頼しないようにできないのでしょうか？

今日の世界では、情報漏えいの大半はPCを使用するユーザーから始まります。ユーザーがリンクをクリックする、メールの添付ファイルを開く、USBドライブからファイルを開くなどです。このような状況で、ユーザーは自分のPCに悪意のあるアプリケーションやコンテンツを取り込んでしまいます。この通常のユーザー活動は、自分の家に誰かを招き入れるこのに似ています。PCがあなたの家だと想像してみてください。リンクをクリックしたり、インターネットからファイルをダウンロードしたり、メールの添付ファイルを開いたりするたびに、そのコンテンツを家に招き入れていることになります。もし、あなたがインターネット上でクリックしたり、見たりするものがすべて実在の人物だとしたら、あなたはその人物を信頼して家に入れるでしょうか？

ゼロトラストの原則を、この問題を解決し起点となる侵害の多くを未然に防ぐために使用することができます。なぜ、PCでメールの添付ファイルを開き、デバイスへアクセスすることを許しているのでしょうか？なぜ、ランダムなリンクをクリックし、PC上でそのWebページを実行させているのでしょうか？あなたは、その添付ファイルやリンクを明確に信頼できると判断しているのでしょうか？

隔離技術はゼロトラストを完成させ、双方向のゼロトラストを実現するために欠けている部分です。隔離技術により、あらゆるWebサイト、電子メールの添付ファイル、ファイルを暗黙かつ自動的に信頼することなく、PC上でネイティブに実行させるセキュリティアーキテクチャを実装することができます。

エンドポイントでゼロトラストを実現するために、隔離技術を実装する方法はいくつかあります。これらの方法は、信頼されていないコンテンツを使い捨てのコンテナ内で実行するものです。Webサイト、ファイルのダウンロード、電子メールの添付ファイルなど、コンテンツはコンテナ内で開くことができます。コンテナは、あなたのPCの真のオペレーティング・システムのコンテキストから隔離され、あなたのPCやデータにアクセスすることはできません。コンテナ内でコンテンツを最初に実行させることで、ユーザーはコンテンツに安全にアクセスすることができます。Webサイトやダウンロードしたファイルが悪意のあるものであったとしても、それは使い捨てのコンテナ側であり、ユーザーやPC側ではありません。コンテナは中に隔離されたマルウェアと一緒に簡単に捨てることができます。これらのコンテナは、PC上で安全に実行することも、クラウド上で実行することも可能です。

ここHPでは、2019年にBromium買収の一環として取得した隔離技術を開発し継続的に強化しています。現在、当社のSure Click隔離技術は中小企業向けのWolf Pro Securityの提供機能として採用され、大規模または成熟した組織向けのエンタープライズ版でも利用可能です。当社のSure Clickソフトウェアを使用することで、HP製以外のWindows PCを含むWindows 10/11のエンドポイント上でセキュアなコンテナをシームレスに実行することができます。エンドポイント上でコンテナを実行することで、よりシームレスなエンドユーザー体験を提供できるほか、USBメモリ上のファイルなど、Webやメールにとどまらないコンテンツや脅威の経路を保護することが可能になります。当社のSure Click Enterprise隔離技術がどのように機能するかを紹介した以下のデモビデオをご覧ください。

Sure Clickのような技術を導入してエンドポイントで隔離コンテナを実行する場合でも、クラウドプロキシを使用してクラウドベースの隔離コンテナを実装する場合でも、隔離をゼロトラスト戦略の一部にすることは、ゼロトラストを一方向から真の双方向のゼロトラスト・アーキテクチャにする方法であり、グラスを満杯にすることなのです。

Author : Dan Allen

監訳：日本HP