Zero Trust Network Access (ZTNA) と BeyondCorp による実践的セキュリティ対策

Tech

本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。

Zero Trust Network Access (ZTNA) と BeyondCorp による実践的セキュリティ対策

はじめに

現代のサイバー脅威は巧妙化し、従来の「社内ネットワークは安全」という境界防御モデルは限界を迎えています。この課題に対し、Zero Trust Network Access (ZTNA) と Google が提唱する BeyondCorp モデルは、「決して信頼せず、常に検証する (Never Trust, Always Verify)」という原則に基づき、あらゆるアクセスを厳格に制御することでセキュリティを強化します。本記事では、実務家のセキュリティエンジニアの視点から、ZTNAとBeyondCorpの具体的な対策、脅威モデル、攻撃シナリオ、そして導入・運用における実践的な注意点を解説します。

1. 脅威モデルとゼロトラストの原則

従来のセキュリティモデルでは、ファイアウォールやVPNによって企業のネットワーク境界を保護し、一度内部に入ったユーザーやデバイスは「信頼できる」ものとして扱われがちでした。しかし、このモデルは、内部からの脅威（従業員の誤操作、マルウェア感染）、リモートワークの普及、クラウドサービスの利用拡大により破綻しています。

ゼロトラストモデルは、このような限界を克服するため、以下の核となる原則に基づきます [1]:

  • すべてのアクセスは信頼できないと仮定する: ユーザー、デバイス、アプリケーション、データ、ネットワークパスのいずれであっても、アクセス要求は常に不正である可能性を考慮します。

  • 継続的な検証: アクセス要求ごとに、アイデンティティ、デバイスの健全性、コンテキスト（場所、時間、アクセス先のデータ機密性など）を継続的に評価し、認証・認可を行います。

  • 最小特権の原則: ユーザーやアプリケーションには、業務遂行に必要な最小限の権限のみを与え、不要なアクセスを制限します。

  • 侵害を想定した設計: 常に侵害が発生する可能性を前提とし、迅速な検出と対応、影響範囲の限定を考慮したシステム設計を行います。

GoogleのBeyondCorpは、このゼロトラスト原則を大規模に実践した先駆的なモデルであり、VPNを使わずに従業員がどこからでも安全に社内アプリケーションにアクセスできる環境を実現しています [2]。

2. 攻撃シナリオとZTNAによる防御

一般的なサイバー攻撃シナリオにおいて、ZTNAがどのように防御機能を発揮するかを具体的に見ていきます。

攻撃シナリオ：認証情報窃取からの内部侵入

以下は、フィッシングによって認証情報が窃取され、攻撃者が不正に内部リソースへアクセスを試みるシナリオです。

graph LR
    A["フィッシング攻撃"] -->|ユーザーのクレデンシャル窃取| B("認証情報悪用");
    B -->|窃取したクレデンシャルでZTNAログイン試行| C{"ZTNAゲートウェイ"};
    C -- 登録外デバイス検出/高リスク判定 --> D("アクセス拒否 & アラート発報");
    C -- 認証情報＋登録デバイスと判定 --> E{"ZTNAポリシーエンジン"};
    E -- ポリシー違反(例: 国外IPからのアクセス) --> D;
    E -->|デバイスの健全性OK/アクセス元条件合致| F["特定リソースへの最小権限アクセス"];
    F -->|ラテラルムーブメント試行（他の重要リソースへ）| G{"マイクロセグメンテーション"};
    G -- アクセス権限なし --> D;
    G -->|権限内でのみアクセス許可| H["限定された機密データ/システム"];
    H -->|データ窃取/改ざん試行| I("ログ記録/監視");

    subgraph ZTNA防御
        C
        E
        G
    end

このシナリオでは、ZTNAは複数の段階で攻撃を阻止または限定します。

  1. ZTNAゲートウェイ (C): 認証情報が悪用されても、ZTNAゲートウェイは、デバイスの登録状況、IPアドレス、地理的位置、時間帯などのコンテキスト情報を評価します。例えば、登録されていないデバイスや通常と異なるアクセス元からのログインは、多要素認証 (MFA) の追加要求やアクセス自体を拒否します。

  2. ZTNAポリシーエンジン (E): 認証を通過しても、ポリシーエンジンがユーザー、デバイス、アプリケーション、データの組み合わせに基づいてアクセスを厳格に認可します [5]。例えば、危険なIPアドレスからのアクセスや、パッチ未適用デバイスからのアクセスは拒否されます。

  3. マイクロセグメンテーション (G): たとえ一部のリソースへのアクセスが許可されても、ZTNAはネットワークを論理的に細かく分割（マイクロセグメンテーション）し、ユーザーが必要とするアプリケーションやデータへの直接的な経路のみを提供します。これにより、攻撃者が一度侵入しても、他のシステムへのラテラルムーブメント（横展開）が極めて困難になります [4]。

3. 検出・緩和のための具体的な対策

ZTNA/BeyondCorpの導入にあたっては、以下の具体的な対策が不可欠です。

3.1. 強固な認証と認可

  • 多要素認証 (MFA): パスワードに加え、生体認証、ワンタイムパスワード、FIDOキーなどを必須化します。フィッシング耐性のあるFIDO2の導入を推奨します。

  • 条件付きアクセス: ユーザーのロール、デバイスの状態（健全性、MDM登録状況）、アクセス元IPアドレス、アクセス先アプリケーションの機密性、リアルタイムのリスク評価に基づいてアクセス許可を動的に調整します [5]。例えば、高リスクな場所からのアクセスや、検出された脆弱性を持つデバイスからのアクセスはブロックします。

3.2. デバイスの健全性評価

アクセス要求を行うデバイスが信頼できる状態にあるかを継続的に評価します。

  • エンドポイントセキュリティ連携: EDR/EPPソリューションと連携し、マルウェア感染の有無、不審なプロセス実行がないかを確認します。

  • OS/アプリケーションパッチ状況: オペレーティングシステムや主要アプリケーションのパッチが最新の状態にあることを確認します。

  • MDM/EMM連携: モバイルデバイス管理 (MDM) やエンタープライズモビリティ管理 (EMM) と連携し、デバイスが企業ポリシーに準拠しているか（画面ロック設定、暗号化状況など）をチェックします。

3.3. 鍵・秘匿情報の安全な取り扱い

ZTNA環境下でも、アプリケーションやサービスが利用するAPIキー、データベース認証情報などの秘匿情報の管理は極めて重要です。

  • 誤用例: ソースコードや環境変数への直書き APIキーを直接コードに埋め込んだり、単純な環境変数として設定ファイルに記述したりする行為は、コードリポジトリやサーバーへの不正アクセスがあった場合に容易に漏洩するリスクがあります。

    # 誤った例: APIキーをシェルスクリプトに直書き

#!/bin/bash

API_KEY="sk-XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX" # リポジトリに上がると危険
curl -H "Authorization: Bearer $API_KEY" https://api.example.com/data

    # 誤った例: PythonコードにAPIキーを直書き

import requests

API_KEY = "sk-XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX" # ソースコードに直書き
headers = {"Authorization": f"Bearer {API_KEY}"}
response = requests.get("https://api.example.com/data", headers=headers)
print(response.json())

  • 安全な代替策: 鍵管理サービス (KMS) やシークレットマネージャーの利用 クラウドプロバイダーが提供するKMS (AWS KMS, Azure Key Vault, Google Secret Managerなど) や、HashiCorp Vaultのような専用ツールを活用し、秘匿情報を集中管理します。アプリケーションは、実行時に一時的なアクセス権限（IAMロールなど）を用いてこれらのサービスから秘匿情報を取得します。

    # 安全な例: AWS Secrets ManagerからAPIキーを取得

#!/bin/bash


# AWS CLIがインストールされ、認証情報が設定されている前提


# --query SecretString --output text でJSONからシークレット値のみを抽出

API_KEY=$(aws secretsmanager get-secret-value --secret-id my-application-api-key --query SecretString --output text)
if [ -z "$API_KEY" ]; then
    echo "Error: Failed to retrieve API key from Secrets Manager."
    exit 1
fi
curl -H "Authorization: Bearer $API_KEY" https://api.example.com/data

    • 前提: aws-cliがインストールされていること。aws configureでアクセスキー/シークレットキー、リージョンを設定済みであること。IAMロールが付与されたEC2インスタンスなどから実行する場合は、インスタンスプロファイル経由で権限が付与されるため、クレデンシャル設定は不要です。

    • 計算量: API呼び出し1回。

    • メモリ条件: 最小限。 

      # 安全な例: 環境変数またはシークレットマネージャーからAPIキーを取得

    import os import requests

    # 例: boto3 (AWS SDK) を使用してSecrets Managerから取得

    # import boto3

    # client = boto3.client(‘secretsmanager’)

    # response = client.get_secret_value(SecretId=’my-application-api-key’)

    # api_key = response[‘SecretString’]

    # 環境変数からの取得を優先する（KMS/Secret Managerから環境変数に注入する運用も可能）

    api_key = os.getenv(“APPLICATION_API_KEY”)

    if not api_key: print(“Error: APPLICATION_API_KEY environment variable not set.”) exit(1)

    headers = {“Authorization”: f“Bearer {api_key}“} response = requests.get(“https://api.example.com/data”, headers=headers) print(response.json())

    • 前提: requestsライブラリがインストールされていること。環境変数APPLICATION_API_KEYが設定されていること。

    • 計算量: 環境変数読み込みはO(1)。API呼び出し1回。

    • メモリ条件: 最小限。

  • 鍵のローテーション: APIキーや認証情報は定期的に（例: 90日ごとに）自動でローテーションする仕組みを導入します。これにより、万が一漏洩しても被害を限定できます。

  • 最小権限の原則: 秘匿情報へのアクセス権限は、必要な最小限のサービスアカウントやIAMロールにのみ付与します。

  • 監査ログ: 秘匿情報へのアクセス、作成、更新、削除のすべてをログに記録し、不審なアクセスがないか定期的に監査します。

3.4. ネットワークとアプリケーションのマイクロセグメンテーション

ZTNAはネットワークレベルだけでなく、アプリケーションレベルでのマイクロセグメンテーションを可能にします。

  • アプリケーション単位でのアクセス制御: 特定のユーザーグループやデバイス群が、特定のアプリケーションにのみアクセスできるよう詳細なポリシーを設定します。

  • コンテキスト依存のポリシー: ユーザーの場所、時間、デバイスの健全性などのコンテキストに基づき、アクセス可能なアプリケーションや機能の範囲を動的に変更します。

4. 運用上の注意点と落とし穴

ZTNAの導入は多くのメリットをもたらしますが、その複雑性ゆえに運用上の落とし穴も存在します。

4.1. 誤検知と検出遅延

  • 過剰なポリシーによる業務影響: 厳しすぎるアクセス制御ポリシーは、正当なユーザーのアクセスを誤ってブロックし、業務の停滞を招く可能性があります。例えば、新しいアプリケーションの導入時にアクセス要件を正確に把握していないと、利用開始時に多くのユーザーがアクセスできなくなる事態が発生します。

  • リアルタイム分析の負荷: 継続的な認証・認可、デバイスの健全性評価、ログ分析は大量のデータを生成し、ZTNA基盤に高い処理能力を要求します。システムの設計が不十分だと、検出遅延が発生し、脅威対応が後手に回るリスクがあります。

4.2. 可用性とのトレードオフ

  • ユーザーエクスペリエンスの低下: 厳格なMFAの頻繁な要求や、複雑なデバイスチェックは、ユーザーに負担をかけ、生産性を低下させる可能性があります。セキュリティと利便性のバランスを適切に取る必要があります。

  • システムパフォーマンスへの影響: すべてのアクセスを検査・評価するため、ZTNAゲートウェイやポリシーエンジンにボトルネックが生じると、アプリケーションの応答速度が低下し、サービスの可用性に影響を与える可能性があります。性能要件を考慮した設計とスケーラブルなインフラが必要です。

4.3. レガシーシステムとの統合課題

  • ZTNA非対応システムへの対応: 既存のレガシーシステムの中には、ZTNAの細かい認証・認可要求に対応できないものも存在します。これらに対し、プロキシサーバーを介してZTNAポリシーを適用する、あるいは段階的にモダナイズする戦略が求められます。

  • 移行計画の複雑さ: 従来のVPNベースのアクセスからZTNAへの移行は、既存のネットワーク構成、アプリケーション、ユーザー認証システムを包括的に見直す必要があり、計画的なアプローチが不可欠です。CISAのZero Trust Maturity Model v2.0 [3] は、段階的な導入のための有用なガイダンスを提供しています。

4.4. ポリシー管理の複雑化

組織が拡大し、アプリケーションやユーザーが増えるにつれて、アクセス制御ポリシーの数も飛躍的に増加します。

  • ポリシー競合の発生: 複数のポリシーが異なる結果を生む場合、予期せぬアクセス許可や拒否が発生する可能性があります。ポリシーの一貫性を保つための厳格な管理体制とツールが必要です。

  • 継続的なポリシーレビュー: ビジネス要件や脅威環境の変化に合わせて、ポリシーを継続的にレビューし、最新の状態に保つ必要があります。

まとめ

Zero Trust Network Access (ZTNA) と BeyondCorp モデルは、現代の複雑な脅威環境において、企業組織のセキュリティを根本から強化するアプローチです。2024年7月26日現在、NISTやCISAといった公的機関から最新のガイダンスが提供され、Google Cloudなどの主要ベンダーもBeyondCorp Enterpriseのようなソリューションを継続的に更新しています。

しかし、その導入は単なる技術的な課題に留まりません。強固な認証、デバイスの健全性評価、鍵・秘匿情報の安全な取り扱いといった具体的な技術的対策に加え、誤検知、可用性とのトレードオフ、レガシーシステムとの統合、そしてポリシー管理の複雑性といった運用上の落とし穴を深く理解し、慎重な計画と段階的な導入が不可欠です。実務家のセキュリティエンジニアとしては、これらの課題を見据え、セキュリティとビジネスのバランスを取りながら、組織に最適なゼロトラスト戦略を策定・実行していくことが求められます。

ライセンス：本記事のテキスト/コードは特記なき限り CC BY 4.0 です。引用の際は出典URL（本ページ）を明記してください。
利用ポリシー もご参照ください。

コメント

タイトルとURLをコピーしました