ゼロトラスト的なことを始める時に注意すべきだと思ったこと


自社内でゼロトラスト的な取り組みを行っていますが、設計や選定の時に注意すべきと感じたことを書きたいと思います。実際やってみてどうだったかも簡単に書きたいと思います。実は2020年10月28日の Akamai Gaming Leadership Summit でウェビナー登壇させて頂いた時の資料です。せっかくスライドを作ったので少し補足も加えつつ公開してみました。スライドは下記にもアップロードしてあります。

スライド版
https://www.slideshare.net/ssuser8200d3/ss-239010449

---

![ゼロトラストの取り組みと最初の注意点_ページ_02.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/401138/a1538b7c-a04b-a67e-01c4-0a91e5f595b5.png)

---

![ゼロトラストの取り組みと最初の注意点_ページ_03.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/401138/937a30e3-fae6-f46a-fca5-69b5154240b0.png)

---

![ゼロトラストの取り組みと最初の注意点_ページ_04.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/401138/be86ac6f-ebe5-c8dc-17b7-2f20194baf2f.png)

---

**補足**
どこかしらで信頼するのと、本などを読むと何故かゴチャゴチャしているため。

---

![ゼロトラストの取り組みと最初の注意点_ページ_05.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/401138/59b4a94b-42a1-312e-4f74-aa3c64a1ad60.png)

---

![ゼロトラストの取り組みと最初の注意点_ページ_06.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/401138/47d48f93-d931-da60-9d3c-0e695c1f753e.png)

---

![ゼロトラストの取り組みと最初の注意点_ページ_07.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/401138/1e86d52a-4b4e-3730-f64d-52df35aea265.png)

---

![ゼロトラストの取り組みと最初の注意点_ページ_08.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/401138/4a2793f5-e8e5-0bfe-63aa-50adbe71c4e3.png)

---

![ゼロトラストの取り組みと最初の注意点_ページ_09.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/401138/65078fd5-988b-dabb-ba09-137b70a303b3.png)

---

![ゼロトラストの取り組みと最初の注意点_ページ_10.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/401138/e9e55628-4f35-73d4-f873-c2a7c31d1a48.png)

---

![ゼロトラストの取り組みと最初の注意点_ページ_11.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/401138/05dca42c-8c28-9a46-4e08-c4efb0725cd2.png)

---

![ゼロトラストの取り組みと最初の注意点_ページ_12.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/401138/107e4e0e-3588-3cb0-55e7-8f2f5b02268c.png)

---

![ゼロトラストの取り組みと最初の注意点_ページ_13.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/401138/222a9bd8-af1a-47b2-c76b-048bc982bd07.png)

---

![ゼロトラストの取り組みと最初の注意点_ページ_14.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/401138/8a600c82-8b57-b77c-ed1a-79134f0dedf8.png)

---

![ゼロトラストの取り組みと最初の注意点_ページ_15.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/401138/910021b3-ebee-473c-b141-58efa58fc7b0.png)

---

![ゼロトラストの取り組みと最初の注意点_ページ_16.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/401138/3713dc4c-b6e7-c3ba-0348-2c46da1161e1.png)

---

![ゼロトラストの取り組みと最初の注意点_ページ_17.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/401138/a04c32c4-4880-8825-a5d5-d302a3122ebe.png)

---

**補足**
上記はあくまで危ないと思う一例です。他にもPolicyで評価されない攻撃リクエストがEnterprise Resourceに届いてしまう実装パターンはあるかもしれません。実際に出会ったことはありませんが、例えば社員が操作するノートPC等のクライアントに配置されるエンフォーサの実装があった場合にも、同様の問題が発生する可能性があります。

---

![ゼロトラストの取り組みと最初の注意点_ページ_18.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/401138/aafe5121-f3dc-1691-02a0-fc4d73df0ed4.png)

---

**補足**
エンフォーサはEnterprise Resourceに近い場所に配置しつつ、どのようなクライアントからリクエストが来ても、漏れなくPolicy通りのチェックと制御が行えることが重要になります。私がプロキシ型を好むのは、Enterprise Resourceを扱うApplicationの認証やセッションチェックに問題があったとしても、認証やポリシーによる防御を一律に被せられるためです。

---

![ゼロトラストの取り組みと最初の注意点_ページ_19.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/401138/375ee24c-c4ab-4ed6-6cc2-4bd0e6c78656.png)

---

Auth Proxy で通信を実際に止めたり通したりします。図の経路以外からは App にアクセス出来ないようにするのが重要です。将来的にデバイス認証やポリシーを追加してゆくために IDP か Auth Proxy の部分で拡張が行えるようにしておくと良いと思います。IDP は API が提供されているものだと、SIEM や EDR や デバイス管理系ツール と連携したポリシーを追加しやすいと思います。なお、冗長化などの細かい部分は省いています。

---

![ゼロトラストの取り組みと最初の注意点_ページ_20.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/401138/0b8f6ef3-09b3-f4ec-1717-ff2630896a81.png)

---

![ゼロトラストの取り組みと最初の注意点_ページ_21.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/401138/9b076fb0-6f90-cea2-c8ad-3e1d95582c74.png)

---

**補足**
上記は両方とも 機密性/完全性/可用性 への影響を全て「高」のままで計算していますが、このくらいリスクレベルが下がる。というサンプルです。逆に言うと前に図で説明した 認証不要＆権限不要＆ネットワーク越しに悪用可能な脆弱性 はそれだけ危険ということになります。

---

![ゼロトラストの取り組みと最初の注意点_ページ_22.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/401138/c6699b3a-64ab-3139-786b-eb5c948d5c73.png)

---

![ゼロトラストの取り組みと最初の注意点_ページ_23.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/401138/30e65ba7-2193-2e62-cb40-f2d18bb52942.png)

---

**補足**
実装パターンは様々なのと接続方法もいくつかパターンがありますが、ここまでの要件や注意点のほかに暗号化など一般的なセキュリティ対策が施されている必要はあります。また、通信速度/安定性/運用保守のしやすさも重要なポイントだと思います。通信速度に関しては中継点のロケーションによって大きく左右されるため、海外製品は特に注意が必要でした。

インターネット上に公開する部分がマネージドサービスであったり、自身で配置するコネクタへのインバウンド通信許可が不要なもののほうが、安心で運用も楽だとは思っています。例えば Akamai EAA のように Enterprise Resource のあるローカルネットワーク側のコネクタからクラウドプロキシにトンネルをはるようなものです。自身のサーバをインターネット公開するものだと、セキュリティパッチなど手入れが大変なため、運用体制に不安がある時に重宝します。

---

![ゼロトラストの取り組みと最初の注意点_ページ_24.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/401138/a9e2f095-b58a-9835-dfb6-c41fc38cb11e.png)

---

![ゼロトラストの取り組みと最初の注意点_ページ_25.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/401138/e9e2ea1f-e595-865e-f358-1871bb769d8e.png)

---

**補足**
我々にとっては、今まで防がれてきた攻撃が逆に防がれなくなるということを避けるために、きちっとしたエンフォーサの実装がまずは最重要でした。さらなるセキュリティ強化や自動化はメリットを見極めつつ計画的にやってゆこうと考えています。

---

![ゼロトラストの取り組みと最初の注意点_ページ_26.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/401138/ac4ed478-4be3-b960-d32a-8bed39da52e5.png)