海外ブログ

ゼロトラストと最小権限の原則はどのように連動するか

2023.11.06

2023年10月27日、Christine Barry

最小権限の原則（PoLP）とゼロトラスト・ネットワークアクセス（ゼロトラスト、または ZTNA）は、堅牢でプロアクティブなセキュリティ対策を実施する上で、互いに補完し合う２つのセキュリティフレームワークです。

最小権限の原則は、ユーザーのアクセス制御に重点を置きます。その根底にあるのは、ユーザーやデバイスが業務を遂行するために必要なアクセスのみを提供することで侵害されたアカウントや悪意のある従業員による潜在的な損害を抑えられる、という考え方です。PoLP は、アクセスの範囲を大幅に縮小し、ネットワーク全体の横の動きを制限し、被害を減らすことができます。PoLP のベストプラクティスとは、グループおよびロールベースのアクセスコントロールの割り当て、管理者アカウントと標準アカウントの使い分け、定期的な権限監査の実施などです。最も基本的なベストプラクティスは、PoLP をデフォルトとし、作成するすべてのアカウントには役割に必要な権限のみを付与することです。

一方、ゼロトラストは、アクセス制御に加えて認可にも重点を置きます。保護されたリソースへのリクエストはすべて脅威であると想定し、ユーザーとデバイスの認証と認可を継続的に検証するのです。検証プロセスでは、誰が何のためにアクセスを要求しているのか、その要求が正常なのか疑わしいのかを判断します。ZTNA の導入を成功させるには、攻撃対象領域と保護すべきリソースを徹底的に理解する必要があります。

組織は、強力なセキュリティ手法を構築するために、前述した両方のフレームワークを統合すべきです。では、ユーザーがネットワークやアプリケーションにログインする際のアクセスチェーンに、両フレームワークがどのようにマッピングされるかを見てみましょう。

1. 本人確認：アクセスチェーンの最初のステップは、ユーザー、アプリケーション、システムを認識し、区別することです。

ゼロトラストでは、リクエストごとに本人確認を行う必要があります。

PoLP の焦点は最小限の権限を付与することであり、これは後の段階でより顕著な意味を持ってきます。

2. 認証：ユーザー認証情報は、保存された情報と照合してユーザーやアプリケーション、またはシステムの主張された身元を確認します。

ゼロトラストは、要求が潜在的な脅威であると仮定します。米国国立標準技術研究所（NIST）は、こちらのレポート（p.7）でその詳細を説明しています。

すべてのリソースの認証と認可は動的に行われ、アクセスの許可される前に厳格に実施されます。これは現行のコミュニケーションにおいて、アクセスを取得し、脅威をスキャン・評価し、適応し、信頼を継続的に再評価するという絶え間ないサイクルなのです。

最小権限の原則は認証メカニズムを規定しません。ゼロトラストは、PoLP ポリシーが確実に実施され、正しい権限を持つ者だけがリソースにアクセスできるようにします。

3. 認可：ユーザーの認証された ID に基づいて、どのようなアクションを実行できるか、どのようなリソースにアクセスできるかを決定します。

ゼロトラストは、多くのデータポイントをリアルタイムで評価します。これには、ユーザーの行動、デバイスの健全性、時間帯、位置情報などが含まれます。事前に設定されたパーミッションに厳密に依存することはありません。

PoLP は、ユーザーがタスクを実行するために必要な最小限の権限のみを付与されることを規定しています。権限はデフォルトでは制限的であり、真の必要性がある場合にのみ拡張されるべきです。

4. アクセス：認証された ID および許可された権限に基づいて、リソースと対話する能力を付与または拒否するプロセスです。

最初のアクセスが許可された後、ゼロトラストはセッションが終了するまで検証プロセスを繰り返します。これにより、ユーザーの行動が許容されるパラメータから逸脱した場合、アクティブなユーザーが突然アクセスを失う可能性があります。

システム内の移動は、適切に設定された PoLP 戦略によって制限されます。脅威行為者がこのポイントまでアクセスチェーンをうまくナビゲートできたとしても、侵害されたアカウントでできることは限られています。

5. 監査と説明責任：このステップでは、ユーザーとアプリケーション、およびシステムの活動を監視し、記録します。

ゼロトラストでは、ユーザーの行動とコンテキストを継続的に評価するため、包括的な監査証跡が必要です。監査証跡は、潜在的な脅威を特定し対応するシステムの能力を向上させるために使用されます。つまり、このデータは脅威の発見とインシデントレスポンスにおける重要な要素なのです。

PoLPの権限セットは、ユーザーの真のニーズと一致していないかもしれません。監査ログは、許可されていないリソースへのアクセスを試みるパターンを明らかにしたり、特定のリソースが期待通りに使用されていないことを示したりすることができます。管理者はこの情報を利用して、従業員が必要なものを確実に利用できるようにしつつ、可能な限り最高のセキュリティを維持できるのです。

組織は、強力なセキュリティ手法を構築するために、両方のフレームワークを統合する必要があります。バラクーダは、ゼロトラストアクセスをはじめとする堅牢なセキュリティおよびデータ保護ソリューションを迅速かつ容易に導入できるよう支援します。詳しくは、https://www.barracuda.co.jp まで。