ゼロトラストネットワークと、ビデオ監視への影響

Wayne Dorris

ネットワークが、ますます脆弱化しています。多数の巧妙化したサイバー攻撃に加えて、エンドポイントとして攻撃対象となるコネクテッドデバイスの急激な増加により、企業はネットワークを安全に保つための終わりなき戦いを強いられています。

歴史的に見ると、自社のファイアウォールをできる限り堅牢にすることが企業にとっては頼みの綱でした。このようなアプローチでネットワークアクセスのセキュリティが確保されるように見えますが、何者かがファイアウォールを突破すると、ネットワークの内部でかなり自由に動き回ることができます。ひとたびネットワークに侵入されると、取り返しのつかない損害を引き起こす情報漏洩が現実となるばかりか、侵入者は、発見されるまで数週間、数か月間も活動を続けます。

ネットワークがファイアウォールで分離されているという考え方は時代遅れです。前述のように、ネットワークに接続するデバイスの数の多さから、1つのソリューションでネットワークの境界を保護することは、実際問題として不可能です。また、ネットワークの向こう側にあるクラウドサービスの利用や、「透過的」ネットワークの境界を作成するメリット、すなわち、顧客やサプライヤーのシステムのシームレスな接続によるサプライチェーンの効率性の向上によって、ネットワークセキュリティの性質がすでに変わっています。

 

ネットワークで誰も信じない、何も信じない

その結果、「ゼロトラスト」の概念が出現し、これに基づくゼロトラストネットワーク、ゼロトラストアーキテクチャが出現しています。名前が示唆するように、ゼロトラストネットワークの基本姿勢は、ネットワークに接続したり、ネットワークの内部に存在したりするすべての実体を、人間であっても、マシンであっても、その位置や接続方法にかかわらず、一切信用しないという考え方です。

ゼロトラストネットワークの最も重要な基本方針は、「何も信じるな、常に検証せよ」です。そのため、ネットワークにアクセスしたり、ネットワークの内部に存在したりするすべての実体の身元を、挙動や、アクセス対象となるネットワーク内のデータの機密性に応じて、さまざまな方法で何回も検証する必要があります。基本的に、それぞれの実体は、各自のタスクを実行するために必要な最小限のアクセスしか許可されません。

ゼロトラストで採用されている技法としては、ネットワーク上で特に重要なデータが存在する部分に他とは異なるセキュリティレベルを適用するマイクロセグメンテーションに加えて、ユーザーやデバイスの物理的な位置などの識別データに基づいて、そのユーザーやデバイスの認証情報を信用してネットワークにアクセスさせるかどうかを判定する、きめ細かなネットワーク境界セキュリティなどがあります。

ユーザーに、各人の役職上必要なネットワークとデータへのアクセスしか許可しないことは、セキュリティ上、明らかなメリットがあります。しかし、このような身元に関連する挙動には変則性があるため、別レベルのセキュリティが必要になります。

たとえば、ネットワーク管理者は、メンテナンス目的でR&Dサーバーや財務サーバーへのアクセスなど、幅広いネットワークアクセスを実行する場合がありますが、それと同じ認証情報を使用して、深夜に特定のファイルやデータがダウンロードされ、ネットワークの外部に送信された場合には、セキュリティのレッドフラグが立てられます。このような動きは、セキュリティ認証情報の盗難、不満を持つ従業員の行動、企業スパイ活動で利益を得ようとする何者かの存在などを示している可能性があります。

ゼロトラストネットワークでは、追加の認証を採用するか、変則的な動きにリアルタイムでフラグを立てて、セキュリティオペレーションセンターの注意を喚起し、調査を行うことができます。

 

ルールの定義と適用

ゼロトラストネットワークの中枢部には、ポリシーエンジンが存在します。ポリシーエンジンとは、ネットワークリソースと企業データへのアクセスに関するルールを作成、監視、実施するためのソフトウェアです。

ポリシーエンジンは、ネットワークアナリティクスとプログラミングされたルールを組み合わせて使用し、多くの要因に基づいて、役割ベースの権限を付与します。ポリシーエンジンは、ネットワークへのアクセスが要求されるたびに、その要求と要求の文脈をポリシーと比較し、アクセスを許可するか、しないかをルールの実施者に伝達します。

ゼロトラストネットワークでは、ポリシーエンジンが、あらゆるホスティングモデル、場所、ユーザー、デバイスに渡る形で、データセキュリティとアクセスに関するポリシーを定義し、実施します。そのため、企業では、次世代ファイアウォール (next-generation firewalls: NGFW)、メールとクラウドのセキュリティゲートウェイ、情報漏えい対策 (data loss prevention: DLP) ソフトウェアなどの重要なセキュリティコントロールの内部で、ルールとポリシーを慎重に定義する必要があります。

これらのコントロールを組み合わせ、ホスティングモデルや場所の枠を超えて、ネットワークのマイクロセグメンテーションを実施します。現在は、ソリューションごとに管理コンソールでポリシーを設定する必要がありますが、コンソールの統合が進むにつれて、さまざまな製品を横断する形で、自動的にポリシーを定義し、更新できるようになります。

身元とアクセスの管理 (Identity and Access Management: IAM)、多要素認証、プッシュ通知、ファイルパーミッション、暗号化、セキュリティオーケストレーションのすべてが、ゼロトラストネットワークのアーキテクチャの設計において一定の役割を果たします。

 

ゼロトラストネットワークのビデオ監視への影響

ネットワークに接続する実体で、最も多いのがデバイスです。現在、その数は増え続けています。これには、ネットワーク監視カメラと関連するネットワーク接続デバイスも含まれます。企業におけるゼロトラストネットワークアーキテクチャへの移行が進む現在、これらのデバイスが、検証のために必要とされる原則に従うことが非常に重要です。企業を物理的に安全な状態に保つためのデバイスが、サイバーセキュリティ上の脆弱性につながるとすれば、これほど皮肉なことはありません。

繰り返しになりますが、従来の形式のデバイスセキュリティでは、もはや不十分です。従業員のアクセス認証情報が犯罪者に盗まれるおそれがあるのと同様に、デバイスのセキュリティ証明書も漏洩するおそれがあります。ゼロトラストネットワークでは、デバイスがネットワークに対して自身の信頼性を証明する新しいアプローチが必要です。

 

ハードウェアデバイスの身元を確認

接続先のハードウェアデバイスの信頼源を提供できるテクノロジーの一つが、ブロックチェーンテクノロジーです。多くのブロックチェーンが暗号通貨と密接に結び付いているのは事実であり、それゆえの風評被害もあるかもしれませんが、ブロックチェーン自体は、二者間で行われたトランザクションを検証可能で永続的な方法で効率よく記録することができるオープンな分散型台帳です。ブロックチェーンの実装形式には、パブリックとプライベートがあり、企業ではプライベートブロックチェーンを採用して、ハードウェアの信頼源として利用し、それによって、デバイスの内部で不変の信頼の鍵を確立することができます。

ブロックチェーンを構築すると、先行するすべてのトランザクションの、その全部が暗号的にリンクしているコンセンサスノードの同意がなければ、チェーン内のデータトランザクションを変更できなくなります。そのため、ハードウェアデバイスの識別可能な部分に対応する信頼の鍵がブロックチェーンに組み込まれていれば、それによって、デバイスの不変の認証情報が作成されます。

 

ゼロトラストの未来に備える

ゼロトラストというアプローチは、豊富な資金力や技術力を持つサイバー犯罪者が絶えずネットワークの脆弱性を悪用する今の時代に対する悲しい批判のように思えるかもしれませんが、実際には、ネットワークに接続する実体が日々増え続ける状況において、最も回復力に富む、セキュアなネットワークを構築するための論理的なアプローチです。そのため、多くの企業がネットワークアーキテクチャにおいて、ゼロトラストアプローチの採用を始めています。

Axisを含む、すべてのハードウェアメーカーが、ゼロトラストの未来に備えることが必要不可欠です。その未来は、予想以上に早く訪れるでしょう。

Axis の Cybersecurity