ゼロトラストのその次へ- サイバーハイジーンのためのマルチクラウド基盤の考え方
日本マイクロソフト株式会社
Chief Security Officer
河野省二, CISSP

Copyright Microsoft | 無断転載を禁じますゼロトラストの整理を簡単に・・・

Copyright Microsoft | 無断転載を禁じますAPT攻撃による境界型防御の限界
サイバー
キルチェーン

ファイアウォール
による信頼されたネットワーク

メールやウェブからの侵入

APTによる内部からの継続的攻撃
2008年ごろTCP/IP v4を利用するにあたってネットワークのアクセス制御をファイアウォールで行っていた

アプリケーション層からの攻撃はフィルタリングできず、新たなフィルタリングを検討しなくてはならなくなった

多層防御による侵入対策

SASE

エンドポイント
セキュリティ

ゼロトラスト

脱ネットワーク

セキュリティ

2010年ごろネットワークセキュリティを拡張する形とエンドポイントセキュリティを充実させる形の2つに分かれ、SASEとゼロトラストにつながっている

Copyright Microsoft | 無断転載を禁じますさまざまなゼロトラスト
ゼロトラストネットワークゼロトラストゼロトラストアーキテクチャ

IT部門やセキュリティ部門の都合の良い解釈で遠回りした数年間・・・Copyright Microsoft | 無断転載を禁じますゼロトラストの目的はガバナンスとサイバーハイジーン
デバイス

アプリ

データアカウント

権限管理

標準デバイス

最新環境の維持

データの把握と管理なりすまし対策

動的ポリシー制御

デバイス構成管理

クラウド利用

データガバナンス

多要素認証

最小権限

ゼロ トラスト環境の構築による脆弱性の低減

サプライチェーン全体でこれらの対策を実施することで、攻撃に強い社会を作ることができる
Copyright Microsoft | 無断転載を禁じますどんな攻撃があっても事故が起きないようにするには

Copyright Microsoft | 無断転載を禁じます

事故が起きるのは「脆弱性」があるから

脅威

脆弱性

様々な攻撃や災害など攻撃の対象攻撃が増加しても、巧妙になっても、攻撃の対象となる「脆弱性」がなければ、攻撃は成功しない

Copyright Microsoft | 無断転載を禁じます

事故が起きるのは「脆弱性」があるから

脅威

脆弱性

安全の証明＝脆弱性がないことの証明
様々な攻撃や災害など攻撃の対象攻撃が増加しても、巧妙になっても、攻撃の対象となる「脆弱性」がなければ、攻撃は成功しない

Copyright Microsoft | 無断転載を禁じます脆弱性を許容できる範囲に維持する

脅威脆弱性

サイバーハイジーン環境の維持
様々な攻撃や災害など攻撃の対象攻撃が増加しても、巧妙になっても、攻撃の対象となる「脆弱性」がなければ、攻撃は成功しない

Copyright Microsoft | 無断転載を禁じます脆弱性対策アプローチを一元化するために

Copyright Microsoft | 無断転載を禁じますソフトウェアの脆弱性管理

Common Vulnerabilities and Exposures (CVE)
脆弱性

放置されているソフトウェアに脆弱性が見つかったら、修正プログラムを適用する。修正プログラムができていない、もしくはパッチが充てられていない状況を確認するためにCVEがある。マルウェア対策などには有効だが、攻撃全体を見ることは難しい

Copyright Microsoft | 無断転載を禁じますクラウドサービスの脆弱性管理

Cloud Security Posture Management (CSPM)
セキュリティ対策の状態

クラウドサービスは修正プログラムをユーザ側で適用する必要がないため、CVEのような概念は必要ない。その代わり、セキュリティ対策が期待通りになっているかを確認することで、脆弱性管理を行う。マルチクラウドにおけるセキュリティに課題がある

Copyright Microsoft | 無断転載を禁じます侵入に対する脆弱性管理

Attack Surface Reduction (Management)
攻撃が成功するポイント

ネットワークセキュリティや多層防御においては攻撃されるポイントを明確にし、それらを削減していくことで脆弱性のない環境を構築したいと考えていた。Surfaceといいながらも、その考え方はPoint的なものが多い

Copyright Microsoft | 無断転載を禁じますサービスレベルの脆弱性管理

多層防御 + サイバーキルチェーン
対策の単位を定義

単体のソフトウェア対策では十分ではないことから、レイヤーセキュリティを前提としたセグメントを定義し、それぞれのセキュリティ対策を計画。レイヤー間の関連性については十分に対応できなかった

Copyright Microsoft | 無断転載を禁じますここまでやってるのに事故が起きてるのはなぜか

Copyright Microsoft | 無断転載を禁じますゼロトラストによるセキュリティ対策の統合アプローチ

ゼロ トラスト アーキテクチャー
常に信頼できる状態

これまでばらばらだった様々な管理をまとめ、常に信頼できる状態を維持していくことを目的に、脆弱性管理の関連性を明確にした。しかし、境界防御の代替手段として捉えられることによって、本質的なアプローチができないことが多かった

Copyright Microsoft | 無断転載を禁じますゼロトラストと多層防御は相性が悪い

Copyright Microsoft | 無断転載を禁じます真のサイバーハイジーンを実現するためのアプローチ
ソフトウェアの脆弱性管理

クラウドサービスの脆弱性管理

ネットワークの脆弱性管理

サービスレベルの脆弱性管理

CVE

CSPM

Attack Surface Mgt

サイバーキルチェーン

SIEMの活用、ゼロトラストの実現による統合管理組織における包括的な弱点の把握と攻撃の予兆管理 = Exposure management
Copyright Microsoft | 無断転載を禁じますExposure Managementによるサイバーハイジーン
CMDB

Exposure graph
Vulnerability
Management

Endpoint
Security
SaaS
Security
Application
Security
CloudSecurity
External
Attack Surface

運用状況

構成データ

ポリシー

セキュリティ調査

サービス状態

従来のサイロ化されたアプローチからの脱却、攻撃者の視点を考慮して脆弱性対策の優先順位を決定

User

AWS S3

DeviceCloud Workload

Attack Surface管理
組織の資産を継続的に判別、コンテキストを整理、管理し、攻撃者の視点を提供

Security Risk
Container
IOT

Container

Asset ValueBusiness Owner
RelationshipAttack Path
Risk PostureThreatIntelligence

攻撃パス分析

OutputIdentity
Security

SaaS App

DeviceInput

アセットメタデータ

整理、正規化、集約、重複排除、コンテキスト

EmailSecurity

エンティティ把握の解像度を向上

User

一元管理
セキュリティ状況を把握し、既成概念にとらわれない洞察力で担当者からの問いに積極的に対応

Optimization

Copyright Microsoft | 無断転載を禁じますExposure Managementによる弱点の一元管理
個別のセキュリティ管理の関連づけによる新たな発見と対応
脆弱性管理
Attack Surface管理
クラウドサービスセキュリティエンドポイントセキュリティ
アイデンティティセキュリティ
CASB
電子メールセキュリティ
OT/IoTセキュリティ
資産管理
構成管理

Copyright Microsoft | 無断転載を禁じますマルチクラウド・オンプレミス統合管理

エージェントレスによるマルチクラウド管理

マルチクラウドポスチャー管理

ISOやNISTなどの標準対応状況
Copyright Microsoft | 無断転載を禁じます規制・コンプライアンス管理
各国・業界の規制を分析
Microsoft Cloud Security
Benchmark
それぞれの規制に再マッピング

各サービスでのリアルタイム監査

必要に応じて修正
Copyright Microsoft | 無断転載を禁じますセキュリティ対策の一元化によるガバナンス
Exposure
Management

ThreatManagementXSPM

XDR + SIEM

予防的対策によるサイバーハイジーンの実現

インシデント対応の自動化と深い洞察の実現
Copyright Microsoft | 無断転載を禁じますSIEMとかUEBAとか・・・ではない基盤構築

SIEM

XDR

UEBA

セキュリティログから何がわかるの？

複数のサービスのセキュリティ基準をどうする？

行動を管理するための基準は？

侵入検知主体の記録

いつもと違う状態の記録アクセス管理の記録

ゼロトラストの目的 ＝ サイバーハイジーン（脆弱性のない状態）
グラフデータベースによるリアルタイムガバナンス、マイクロサービスによるレジリエンス
Copyright Microsoft | 無断転載を禁じますCopyright Microsoft | 無断転載を禁じます