ゼロトラスト・セキュリティ・アーキテクチャ：マイクロセグメンテーション
この記事は、5 部構成のブログシリーズの、第2部です。
はじめに
このブログシリーズの第1部で、 ゼロトラスト・セキュリティ のアーキテクチャ概念の概要について述べました。主たる概念は、ユーザーがネットワーク上のどの場所にいるかに基づいて決して信用してはならない、ということです。「内部」に位置するからといってそのユーザーまたはデバイスが信用できる、という概念は無くなりつつあります。その代わりにくるのが、ネットワークにアクセスするすべてのリクエストは認証されたうえで認可される必要がある、という概念です。詳細は、第1部「イントロダクション」の記事をご覧ください。
この回では、ゼロトラスト・アプローチの一つ「ネットワーク マイクロセグメンテーション」を中心にお話します。このモデルは、次世代ファイアウォール（NGFW）を使い、ネットワークをより小さいセグメントに分割するという、従来のファイアウォールのアプローチを拡張する考えです。NGFWで定義されたルールに基づいてアプリケーションや他のリソースへのアクセスを制御できます。ファイアウォールのベンダーは、セグメンテーションゲートウェイ（マイクロ境界内でさまざまなセキュリティ機能を実行するハードウェア）を導入し、マイクロセグメンテーションとゼロトラストに取り組んでいます。
ネットワークのマイクロセグメンテーション
マイクロセグメンテーションとは、ネットワークを小さな論理セグメントに分割して、許可されたエンドポイントだけがそれらのセグメントに格納されたアプリケーションおよびデータにアクセスできるようにする方法です。セグメントが小さくなればその分悪意あるユーザーの攻撃対象領域が減少するため、メリットが得られます。マイクロセグメンテーションによって、組織は、例えば特定のオフィスに所在する人事部門ユーザーのみがその地域の人事関連アプリケーションやサーバーにアクセスできるように、アクセスを制御することができます。
マイクロセグメンテーションは、一般に、ネットワークセグメントをセキュリティゾーンに接続するように設定された多数のファイアウォールインターフェイスを使用します。このゾーンは、許可されたユーザー、デバイス、アプリケーションだけがそこにアクセスできるようにする、独自のルールセットで保護されています。マイクロセグメンテーションの概念は新しいわけではありません。組織は、VLAN、ルーター、ファイアウォール、ネットワークアクセスコントロール、およびアクセス制御リスト（ACL）を使い、長い間、ネットワークをセグメント化してきましたが、マイクロセグメンテーションが推進しているのは、ワークフローを安全に保つためのセキュリティ粒度の強化と境界のより一層の小型化です。
マイクロセグメント化されたデータセンター
マイクロセグメンテーションが効果的に機能するためには、セキュリティゾーンを厳密に定義することが重要です。各ゾーンには独自のセキュリティ管理機能とワークフローがあり、通常は必要最小限のサービスのみを許可するように設計されています。ファイアウォールがセキュリティゾーンへのアクセスを許可すると、異なるゾーン間の通信は通常ブロックされますが、ゾーン内の任意の場所では、そのユーザーまたはデバイスからトラフィックが自由に流れることができます。したがって、ゾーンが小さくてロックされているほど、より厳密なアクセスが制御されます。
そして最大の課題が、効率的かつ適切にネットワークをセグメント化して囲い込み、しかもアクセスを提供することです。動的に変化する環境でこれを維持することは、新しいアプリケーション、ネットワーク、ユーザー、そしてデバイスが配置されるにつれて、これまでになく大きな課題となってきています。
課題の最初の部分は実装です。さて、誰が何にアクセスすべきで、最低限必要なアクセスとは何でしょうか？ この問いに答えるには、エンタープライズの膨大で複雑なワークフロー、ネットワーク、ユーザー、位置情報、アイデンティティおよびアクセス設定に関する可視性が必要となります。 そして、その可視性をアクセスポリシーに変換し、さらにそれらのポリシーを、ファイアウォール、スイッチ、ルーター、VPNアプライアンス、ロードバランサー、エンドユーザークライアントおよびアプリケーションに関する設定に変換する必要があります。さらにもしも、異なるアプリケーションをホストし、さまざまなニーズをサポートする複数のデータセンターとクラウド環境がある場合は、これを考慮する必要があります。そして設定するためのデバイスもルールもどんどん増えていくわけです。
課題の第2の部分は、メンテナンスです。ビジネスの変化に伴い、従業員や協力会社社員が組織に参加したり退職するにつれて、ユーザーの移動が激しくなります。新しいアプリケーションやワークフローが導入されても、マイクロ境界は維持されなければなりません。これは運用上の負荷が大きいだけでなく、緊急課題を解決するための誤った設定やany / any の「急場しのぎ策（Quick Fix）」を導入し、大きなセキュリティホールを作ってしまうリスクもあります。
理論上、マイクロセグメンテーションがなぜゼロトラストにとって好ましい概念であるかを理解するのは難しくありません。ただ、ここにはメリットとデメリットの両方が伴い、その結果、アカマイを含めた数社は、ネットワークセキュリティ実現のためのマイクロセグメンテーションのみへの依存をやめる事になりました。それでも、マイクロセグメント化されたネットワークが多層防御戦略の一部として提供するメリットは存在します。例えば、ネットワークセグメンテーションは、データセンター内のEast-West トラフィックを粗いレベルで分離し、North-South のクライアントアプリケーションレベルのアクセスは、ID認識型プロキシ（IAP）またはSDPソリューションで強化できます。
まとめ
ほとんどのセキュリティーアーキテクチャと同様に、ゼロトラスト・ネットワークを設計する際には、様々な選択肢とオプションがあり、これらのオプションは相互排他的である必要はありません。階層型のセキュリティアプローチを伴う多層防御を中心とした戦略は、ゼロトラストを中心に構築されたスケーラブルで安全なネットワークを構築する鍵となります。
これらの3つのアーキテクチャのそれぞれの概要を知ることは、セキュリティロードマップの策定に取り組んでいる組織にとって有益だと思います。この記事では、ネットワークのマイクロセグメンテーションというアプローチについて説明しました。次の2回では、あと2つのアーキテクチャについてお話します。
