ゼロトラストとは、すべてのユーザーやデバイス、コンポーネントを常に信頼できないと見なし、厳格なID認証と認可を適用することで、組織を保護するセキュリティ対策の考え方です。
接続対象のレベル設定と深度設計
よく映画などでハッカーが重要システムに侵入する際に、
「レベル１クリア、現在レベル２突破中」
なんてセリフを聞いたことがあると思います。
これ、映画の中の話ではなく、実際多くの企業が実施している現実です。
例えばです。
- 「社員」と「構内常駐の協力会社の人」は同じネットワークに入れるでしょうか？
- 「社員」でも「役職者」に応じて入れるネットワークやホストに制限はないでしょうか？
こう訊けば、「あります」と企業人の多くはお答えいただけると思います。
- 協力会社 ------> Level-1
- 社員 ------> Level-1 -------> Level-2
- 社員役職者 ------> Level-1 -------> Level-2 -------> Level-3
Level-1,2,3 をサブネットで管理とした場合、利用者が当該 subnet にアクセス可能とするかのポリシー設定はなかなかに大変なものです。 ですが、企業はNIerの助け、あるいは自社情シスの努力によって、これらを実現しています。
🔹 ゼロトラスト
冒頭に説明した通り、ゼロトラストとは、
- なにも信用することなく、
- すべての接続するもの、されるものをピックアップして、
- それら個々に接続設定をあたえていく
といったものです。
🔹サブネットのアクセスポリシーはゼロトラストか？
サブネットとは言ってもも netmask 32 ならホストは固定できますし、接続するもの、されるものをきちんと抽出して、その上で例えば netmask 28など限定して、アクセスポリシーを設定するのであれば、これは立派なゼロトラストです。
ゼロトラストとは「考え方」です。
すべての接続対象と接続が制御下にあるならば、それはゼロトラストです。
これを導入すればゼロトラストなんてことはありませんし、VPN利用であってもゼロトラストの実現は可能です。
リモナビによるセキュリティ・レベルの深度設計の実現
ご存知リモナビは、接続されるものへのL4レベルでのPtoP接続を提供するシステムです。
「接続されるもの」への経路を設定し、その経路の利用権限を利用者ごとに与えることができます。
まさにゼロトラストそのものです。というより、そうした概念を元に開発されたものなのです。
ではこのリモナビを使って、先に話した 接続Levelの制御をどう実現するのか？
🔹実現構成図
深度設計、こと社内の深いアクセス制御は、SaaS利用では限界があるため、今回はオンプレ版の導入による実現方法の一つを示します。
詳細な説明は骨が折れるので、要点をピックアップすると
- Level ごとに リモナビ・オンプレを個別に配備します
- Level間接続では、下位 →上位 への接続を許可した踏み台サーバを設置します
- この踏み台サーバに Level[n-1] Receiver と Level[n] Sender を配備接続することで Level間接続を実現します
基本的な実現方法はこれだけです。
あとは、図の(*1) の運用をどうするか、どう厳格化するか、必要ならリモナビの接続利用に」「ワークフロー」を導入するか、です。
現在リモナビに「利用申請と承認のワークフロー」機能はありませんが、こうした利用が本格して要望されるのなら、すぐにでも実装する用意はあります。