自社内でゼロトラスト的な取り組みを行っていますが、設計や選定の時に注意すべきと感じたことを書きたいと思います。実際やってみてどうだったかも簡単に書きたいと思います。2020年10月28日の Akamai Gaming Leadership Summit でウェビナー登壇させて頂いた時の資料です。

1. ゼロトラスト的なことを始める時に
注意すべきだと思ったこと
株式会社ミクシィ
開発本部 CTO室
セキュリティ技術G
亀山 直生

2. BeyondCorp？ZeroTrust？
独自解釈も含まれるかもしれませんが我々の取り組みとあわせて説明します。

3. BeyondCorp？ZeroTrust？ざっくり
# BeyondCorp
ゼロトラストセキュリティモデルをGoogleが実装したもの。VPN を介さなくても従業
員がどこからでももっと安全に働けるようにしたもの。
https://cloud.google.com/beyondcorp/?hl=ja
# ZeroTrust（ネットワーク）
疑い深いネットワーク。ネットワークは常に安全ではない。ローカルネットワークだか
ら信用できるとは限らない。などの考えのもと色々疑いながら、認証や認可を行い
情報へのアクセスをコントロールすることで、安全性を保つためのネットワークモデ
ル。

4. 正直ゼロトラストという言葉はそんなに好きではありませんが、

5. もっと詳しく知りたい方は
私は下記を参考にしました。
ゼロトラストネットワーク ―境界防御の限界を超えるた
めのセキュアなシステム設計 (日本語)
と
NIST.SP.800-207
https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207.pdf

6. https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207.pdf p9
コンポーネント

7. https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207.pdf p9
コンポーネント
まずはここの実装が重要
エンフォーサ

8. エンフォーサとは？
エンフォーサには2つの役割があります。
①PolicyEngineとのやり取り
リソースへのアクセスのリクエストが認可されるかどうかを知る。
②認可の判断の実際の導入と継続的な適用。
リソースへのアクセスを実際にブロックしたり通過させたりする。

9. よくあるはなし
動的ポリシーとかAIとか脅威情報とか信頼うんぬんと色々と聞こえの良い言葉が
出てくるかもしれませんが、そういうところだけに注視してエンフォーサの実装やセ
キュリティが疎かになるのには注意が必要だと思います。私が出会った方の中に
は、エンフォーサにあたるものがZeroTrustには関係ないという人もいました。
ZeroTrust的なことをはじめるぞって時のモチベーションが「VPNを使わないリモー
トアクセス」「境界防御やめる」である場合、エンフォーサの実装がまずは一番重要
だと考えています。
AIや自動化おおいに結構ですが、エンフォーサの実装がキチンと出来ていない
と、今までよりセキュリティが下がりかねません。

10. エンフォーサの重要性
・全てのリクエストをチェックする必要がある。（通信）
・プロキシやアプリケーションロードバランサを利用したい。
・ユーザ認証が行えて全通信で認証と許可のチェックされるもの。
・IDPやアプリ本体の認証だけでは不十分なケースがある。
・これはチェックできないリクエストが存在するため。
・リクエスト自体はリソースを持つアプリに直接届いてしまう。
・アプリの脆弱性を突いた攻撃には十分な防御効果を発揮できない。
→ 少なくとも今までの境界防御より弱くなることがあってはいけない。

11. IDPやアプリ本体の認証だけで実装の場合

12. 理想の世界ではこうなる 図１

14. 実際はこうなる（場合がある） 図２

16. 更に言うとこう 図３

18. なにが言いたいかというと
・未認証や権限無しで突ける脆弱性は割と身近にある。 例：CVE-2019-3396
・Untrustedな場所には当然のように悪人がいる。
・Applicationを無条件に信頼しない。
・外部の攻撃者からのリクエストも評価して防ぐ必要がある。
・↑これが出来ない設計や実装には注意が必要。
・プロキシ型が私は好き。なるべくリソースに近い位置が良い。

19. こんな感じで始めた の図（抽象度高め）
認証の強化やポリシーの
管理 / 拡張はここで可能

20. どうだったか
・現状だと細かいものも含めると20以上のアプリ（リソース）に実装。
・完全なゼロトラストとは言えないかもしれないが成果があった。
・リモートワークへの対応。リモートアクセス。トラフィック量。
・少なくともVPNと同等のセキュリティを保った状態で利便性が向上。
・具体的にはVPNクライアント起動の手間とストレスが減った。
・社内での反応もわりと良かった。
・プロキシ型はリクエストが確実に評価/制御される事を確認しやすい。（POC）
・アプリケーションの認証とセッション管理を全て確認は難しい。（他で信頼？）

21. CVSSv3で見る効果（サンプル：CVE-2019-3396）
# エンフォーサなしで脆弱性が存在した未来
9.8 Critical
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
# エンフォーサありで脆弱性が存在した未来
6.3 Medium
CVSS:3.0/AV:A/AC:H/PR:H/UI:R/S:U/C:H/I:H/A:H
→ 侵害後の影響のでかさが変わらなくてもリスクが下がる。

22. エンフォーサの重要性（再掲）
・全てのリクエストをチェックする必要がある。（通信）
・プロキシやアプリケーションロードバランサを利用したい。
・ユーザ認証が行えて全通信で認証＆許可済みかチェックされるもの。
・IDPやアプリ本体の認証だけでは不十分なケースがある。
・これはチェックできないリクエストが存在するため。
・リクエスト自体はリソースを持つアプリに直接届いてしまう。
・アプリの脆弱性を突いた攻撃には十分な防御効果を発揮できない。
→ 少なくとも今までの境界防御より弱くなることがあってはいけない。

23. エンフォーサの実装パターン
当社で利用実績のあるものは下記です。
- AWS Application Load Balancer
- Auth Proxy（内製）
- Akamai Enterprise Application Access
- GCP Identity-Aware Proxy
細かい実装は割愛するのと私が全て導入しているワケではありま
せん。強み弱みありますが私はこれらは好きです。

24. Saasに関する注意
リソースがSaasやクラウドにあれば自分達でZeroTrustモデルを実装する必要が無いと
いう意見やそういったケースはありますが注意が必要です。
世の中にはオンプレ社内でしか使ってこなかったアプリケーションをそのままSaasとして
インターネット公開しているようなサービスも正直あると思います。そしてそれを使わざる
を得ないということも無くは無いかもしれません。はたして全てのクラウドやSaasでセ
キュリティは万全でしょうか。
私見ですがアプリケーションもいわばZeroTrustです。何を信じるのかよく考えて判断し
必要に応じて自分達でカバーすることも大事です。

25. 設計や検討で大事なこと（まとめ）
自分達にとって何が大事かを考える。
フワフワした言葉に踊らされない。何を防ぎたいか。エンフォーサ。
絵にかいた餅よりも現実をみる。
現状との比較。自動化のコストやメリットやレベル感の見極め。
最終的な理想は持ちながら進める。
段階的な強化や効率化。楽はしたい。セキュリティもあげたい。

26. 以上です。ありがとうございました。