NoOpsイベントで紹介したZero Trust Network アーキテクチャ資料となります。

1. 2019.02.06

2. •
•
•
•

3. 境界境界境界境界セキュリティセキュリティセキュリティセキュリティ
• 外部外部外部外部
• 内部内部内部内部
性善説前提性善説前提性善説前提性善説前提？？？？
内部内部内部内部からからからから発生発生発生発生
信頼済み信頼済み信頼済み信頼済み
非信頼非信頼非信頼非信頼

4. 危険危険危険危険なゾーンなゾーンなゾーンなゾーン
＝＞＝＞＝＞＝＞不正不正不正不正ログインログインログインログイン
Compromised

5. Company Confidential

6. Zero Trust アーキテクチャアーキテクチャアーキテクチャアーキテクチャ
John Kindervag
Zero trustのののの基本方針基本方針基本方針基本方針:
常常常常にににに 敵意敵意敵意敵意ありありありあり(信用信用信用信用しないしないしないしない)
常常常常にににに存在存在存在存在

7. 信頼度信頼度信頼度信頼度スコアスコアスコアスコア
許可許可許可許可

8. トラフィックのセキュリティトラフィックのセキュリティトラフィックのセキュリティトラフィックのセキュリティ化化化化
• 認証済認証済認証済認証済
• 暗号化暗号化暗号化暗号化

9. 信頼信頼信頼信頼モデルのモデルのモデルのモデルの変更変更変更変更がががが必要必要必要必要ではではではでは？？？？
web.sec530.com
pc1.sec530.com

10. クライアントクライアントクライアントクライアント証明書証明書証明書証明書

11. ネットワークエージェントネットワークエージェントネットワークエージェントネットワークエージェント

13. Company Confidential
アイデンティティに応じたアクセス制御
ネットワーク接続ユーザ認証と
デバイス情報
アプリケーション
死活監視・リスク
+ +

14. Company Confidential
Zero Trust Security アーキテクチャ
ユーザやデバイス情報に応じたアクセス – ネットワーク非依存
全アクセスに対して認証・認可・暗号化を実施
Internet
Attacker
User
Azure
AWS
Google
クラウドサービス
オンプレサービス

15. Company Confidential
Zero Trust Security アーキテクチャ
ユーザやデバイス情報に応じたアクセス – ネットワーク非依存
全アクセスに対して認証・認可・暗号化を実施
Internet
Attacker
User
Azure
AWS
Google
クラウドサービス
オンプレサービス
オンプレへの接続性やセキュリテイ
一貫性をどう担保するの？

17. Company Confidential
【参考URL】
https://docs.microsoft.com/ja-jp/azure/active-directory/active-directory-conditional-access-azure-portal
https://docs.microsoft.com/ja-jp/azure/active-directory/active-directory-conditional-access-vpn-connectivity-windows10
目的
・予め設定した条件に基づき、許可されたユーザだけがVPN接続を行いたい
・その際、二要素を実施したい
主な動作ポイント
・MS Azure側が１時間だけ有効なクライアント証明書を発行
・上記クライアント証明書を用いて、VPN接続

18. Company Confidential
動作の流れ
１：VPNクライアントが
MS Azureへアクセス
２：デバイスやユーザの正当性を確認
３：一時的なクライアント証明書を配布
４：証明書をユーザローカルストアに
格納。
５：VPNサーバへアクセス。
＊認証情報として上記証明書を利用

19. PowerShell ISEで作成した
VPN Profile選択
MS Azure側に通信が発生し、
以下のサインイン画面が表示される。
MSアカウント情報を入力
パスワードを入力

20. パスワード入力後、MS側で
登録した２要素認証用のデ
バイスに対してOTPが発行
されるため、その番号を
入力
TPM証明書を利用するため、以下の
ポップアップ画面が表示される
OKを選択
Connectedとなれば無事に
VPNアクセス終了

21. Company Confidential
セキュリティゲートウェイという考え方
場所やデバイスに関係なく全てのアプリケーションに認証・認可・SSOを提供
Network Access
Identity Federation
& SSO
Secure Web Gateway
Web Access
Management
モバイル端
末
WEBアプリ
ケーション
エンタープラ
イズネット
ワーク
クラウド
SaaS,
WEBサイト
やアプリケー
ション
Enterprise
Mobility Gateway
仮想デスク
トップシステ
ム
Native VDI

25. Company Confidential© 2017 F5 Networks 25