クラウドにおける Zero Trust の考え方 PALO ALTO NETWORKS DAY 2019 | TOKYO

日本マイクロソフト株式会社
クラウドソリューションアーキテクト, CISSP
吉松龍輝
パロアルトネットワークス株式会社
クラウド・セキュリティアーキテクト
中村弘毅
クラウドにおける Zero Trust の考え方

2 | © 2019, Palo Alto Networks. All Rights Reserved.
自己紹介
中村弘毅（Hiroki Nakamura）
パロアルトネットワークス株式会社
クラウドセキュリティアーキテクト
経歴 (セキュリティ業界歴 15年以上)：
・インターネットセキュリティシステムズ(ISS)
・日本IBM
・2013年、パロアルトネットワークスに入社
パートナーSE、金融担当SE、金融担当SEマネジャー
・2018年12月〜 Public Cloud Consulting Engineer 担当
専門分野：
・サイバーセキュリティ、パブリッククラウドセキュリティ

自己紹介
吉松龍輝（Ryuki Yoshimatsu）
日本マイクロソフト株式会社
クラウドソリューションアーキテクト, CISSP
経歴：
・日本マイクロソフト株式会社
クラウドソリューションアーキテクト、
エスカレーションエンジニア
・パロアルトネットワークス株式会社
・アマゾンデータサービスジャパン株式会社
（現アマゾンウェブサービスジャパン株式会社）
専門分野：
・パブリッククラウド、Windows OS、セキュリティ（Active Directory）

本セッションの概要
• 想定する参加者
• クラウドの設計・構築/運用担当者
• IT インフラのクラウドの方針策定を行う CIO/マネジャー
• お伝えする内容
• Zero Trust の概念
• クラウドにおけるゼロトラストのデザインモデル
• ゴール
• ゼロトラストとクラウドのセキュリティを理解

ゼロトラストとは？

境界
保護対象
制御
マイクロセグメント
Zero Trust
監視

ゼロトラストとは何か？
• 外部からの攻撃および、内部の不正を防ぐこと
• ゼロトラストが提唱された背景
• 境界の外部からの攻撃は「脅威」として捉えられる
• 境界の中は「安全」な領域として考えられていた
• しかし、実際は境界の中でも不正は起こり、脅威も侵入する
• 外部・内部に関わらず用心するという考え方がゼロトラスト
• 攻撃手法
• マルウェア、エクスプロイト
• クレデンシャルの不正利用など
• 内部犯行、退職者による情報持ち出し

ゼロトラストのデザインコンセプト
ビジネスの
成果に焦点
を当てる
設計方針は
内部から
外部の順序
誰が、何に
アクセスす
るかを定義
すべてのト
ラフィック
を検査して
記録する

クラウドでゼロトラストモデルを構築するポイント
アクセス制御
ID & Network
コンプライアンスセキュリティ分析

• Azure の導入におけるガバナンスモデル
Microsoft Azure のクラウド導入フレームワーク
クラウドガバナンスの 5 つの規範
https://docs.microsoft.com/ja-jp/azure/architecture/cloud-adoption/governance/governance-disciplines

クラウドにおけるネットワークによる境界の分離
• 従来は、ネットワークによって「外部」と「内部」が定義されていた
• IaaS では従来の考え方を踏襲
• ExpressRoute/Internet VPN によるオンプレミス・クラウド間の閉域網の構築
内部外部
閉域網
Azure とインターネットの間の DMZ の実装
https://docs.microsoft.com/ja-jp/azure/architecture/reference-architectures/dmz/secure-vnet-dmz

PaaS を利用したシステムの構成例
• 「外部」ネットワークに企業資産が展開される
• ネットワークを用いて「外部」と「内部」を定義することができない
Azure Web アプリケーションのスケーラビリティを向上させる
https://docs.microsoft.com/ja-jp/azure/architecture/reference-architectures/app-service-web-app/scalable-web-app

身近な境界線
国境・国籍による境界

ID によって境界を実装し、ネットワークによる境界を補完
外国日本
日本の
パスポートで
認証
自国の
パスポートで
認証
信頼関係により
ビザを発行
密入国の監視

ID 基盤で保護するリソース
• 人（認証と認可）
• デバイス、API、アプリケーション、キーのようなシステム資産
Azure Active Directory による API 認証のフロー Azure Active Directory と Key Vault の連携

Azure Active Directory による保護の方法
• 資格情報に応じてデータへのアクセスを制御（RBAC）
• 多要素認証（MFA）
• 条件付きアクセス
• ユーザーの場所
• デバイスの状態
• サインインのリスク
• etc
条件付きアクセスとは
https://docs.microsoft.com/ja-jp/azure/active-directory/conditional-access/overview

条件付きアクセスのポリシーの例
方法:Azure Active Directory の条件付きアクセスの展開を計画する
https://docs.microsoft.com/ja-jp/azure/active-directory/conditional-access/plan-conditional-access

RBAC (Role-Based Access Control) による人の権限の分離
Azure リソースのロールベースのアクセス制御 (RBAC) の概要
https://docs.microsoft.com/ja-jp/azure/role-based-access-control/overview
• ロールの定義で行動を制限
• 所有者
• 共同作成者
• 閲覧者
• 特定の機能に権限を制限
• バックアップオペレーター
• セキュリティ閲覧者
• ユーザーアクセス管理者
• 権限付与のスコープを定義
• 所属部門が保有するリソース

サブスクリプションによる環境の分離
• 目的に応じて環境を分離
• 開発環境と本番環境
• プロジェクト
• 部門
• etc
• 分離した環境は統合された
ID 基盤で包括的に管理
従来のサブスクリプション管理者ロール、Azure RBAC ロール、および Azure AD 管理者ロール
https://docs.microsoft.com/ja-jp/azure/role-based-access-control/rbac-and-directory-admin-roles

PaaS でもネットワークによる境界を利用することも可能
• PaaS のエンドポイントを特定の仮想ネットワークのみに公開
仮想ネットワークサービスエンドポイント
https://docs.microsoft.com/ja-jp/azure/virtual-network/virtual-network-service-endpoints-overview
既定ではインターネットに公開される
エンドポイントに対して、アクセスを
許可するネットワークを制限

• Azure Blueprints
• Azure Policy
• Azure Cost
Management
• Azure Advisor
• Azure Portal
• Azure EA Content
Pack
• Azure Policy
• Azure Security Center
• Subscription Design
• Encryption
• Hybrid Identity
• Azure Networking
• Azure Automation
• Azure Policy
• Azure Monitor
• Resource Manager
Templates
• Resource Graph
• Management Groups
• RBAC
• Azure AD
• Azure AD B2B
• Azure AD B2C
• Directory Federation
• Directory Replication
• Azure Blueprint
• Azure Policy
• Resource
Grouping &
Tagging
• Resource Manager
Templates
• Azure DevOps
• Azure Site Recovery
• Azure Backup
• Azure Automation
クラウドガバナンスの運用を自動化して漏れを防ぐ

ゼロトラストポリシーの適用を自動化する代表的な技術
Azure Policy による
コンプライアンスの
強制
Just in Time による
VM へのアクセスの
承認、特権の最小化
システム構成や
人のオペレーション
の標準化

ポリシー実装例：Azure Blueprints による標準化された環境のデプロイ
• Azure Blueprints でセキュアな環境を標準化し、デプロイを実行
Blueprint
Policy Assignment
Role Assignment(RBAC)
Azure Resource Manager Template
Built-in
Custom
Management Group
and

Demo
Azure Blueprints の管理画面
Just In Time VM アクセス

ネットワークセグメント実現方法
• Microsoft Azure
• VNetとサブネットはサーバーとサービスのグループを
定義
• ユーザー定義ルートは、セキュリティポリシーのために
VMシリーズファイアウォールにトラフィックを誘導
0.0.0.0/0
10.6.0.0/16
192.168.1.0/24
Subnet

Azure で実現する Zero Trust モデル

ネットワークセグメンテーション例
共通ゲート
重要度：高 DataCenter重要度：中重要度：中重要度：低
Inbound East/West/Outbound Backhaul

クラウドにおけるコンプライアンス
各クラウドベンダーは主要なコンプライアンスに準拠済み
• マイナンバー
• 政府機関等の情報セキュリティ対策のための統一基準
• 3省４ガイドライン
• CSVガイドライン
• FISC

クラウドにおけるコンプライアンスのポイント
ユーザはクラウドの内のセキュリティに責任がある
• ベストプラクティスに準拠したコンプライアンス対応
CIS (Center for Internet SEcurity)ベンチマーク
• マニュアル検査ではなく、自動化
• コンプライアンスの対応状況を全員で共有

コンプライアンスチェック、セキュリティ分析
API
クラウド管理者セキュリティ担当
可視化コンプライアンスの自動化インシデント調査

本日のまとめ
• 「外部」と「内部」に関わらず用心するというのがゼロトラスト
• PaaS/SaaS を考慮するとネットワークに加えて ID による境界を検討
• 自動化できるものは全て自動化
• ポリシーの展開と監視
• コンプライアンスの遵守状態の監視
• オペレーション
• インシデント発生時の原因調査に必要な情報の収集と分析

クラウドにおける Zero Trust の考え方 PALO ALTO NETWORKS DAY 2019 | TOKYO

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Similar to クラウドにおける Zero Trust の考え方 PALO ALTO NETWORKS DAY 2019 | TOKYO

Similar to クラウドにおける Zero Trust の考え方 PALO ALTO NETWORKS DAY 2019 | TOKYO (20)

More from Ryuki Yoshimatsu

More from Ryuki Yoshimatsu (6)

クラウドにおける Zero Trust の考え方 PALO ALTO NETWORKS DAY 2019 | TOKYO