SDPのここがすごい！ゼロトラスト勉強会 ～後編～

[APC勉強会8a1 #39 登壇資料]
嘉藤 育宏（カトウ ヤスヒロ）

Zero Trust Network Access（ZTNA）/ Software Defined Perimeter（SDP）のセキュリティが強固であると言われるのは何故でしょうか。本勉強会で、前編・後編の2回に分けて解説を致します。
前編では、Software Defined Perimeter（SDP）の中核技術について触れ、後編のSDPの仕組みを理解するための前提知識を得ました。
　前編資料：https://speakerdeck.com/apcom/20231109
　前編動画：https://youtu.be/m4T-54hr1Vw

この後編では、SDPとVPNの違いについて説明します。米国国立標準技術研究所（NIST）が公開している「ゼロトラスト・アーキテクチャ」とCloud Security Alliance (CSA)が公開している「SDP仕様書v2.0」を読み解き、SDPの仕組みについて説明します。
　後編動画：https://youtu.be/fyIeNyMKDSc

Transcript

1. 2023/11/16 嘉藤育宏 ※本資料は、配布者限り・複製・転載を禁じます
2. © APCommunications Co., Ltd. 2023 SDPのここがすごい！ ゼロトラスト勉強会 ～ 後編 ～ 2023/11/16（木）APC勉強会 #39 株式会社エーピーコミュニケーションズ 嘉藤育宏（ya_kato@ap-com.co.jp） ※ 本資料は、配布者限り・複製・転載を禁じます
3. © APCommunications Co., Ltd. 2023 Page 2 自己紹介 所属：(株)エーピーコミュニケーションズ iTOC事業部 BzD部 0-WAN 氏名：嘉藤育宏（カトウヤスヒロ） 略歴：HW保守（チェンジニア）数年、 運用監視/管理COTSの設計･構築数年、 インフラ設計･構築数年、 2022年6月エーピーコミュニケーションズ入社 目標：CCIE SP（Service Provider）挑戦中 資格：CCNP､DEVASC､ITILv3､Zscaler(ZIA/ZPA) 好き：アイス、ベルギービール、ジーパン 嫌い：パクチー
4. © APCommunications Co., Ltd. 2023 Page 3 Agenda 1. はじめに 2. Zero Trust Network Access 3. VPNとSDPの比較 4. Zero Trust Architecture の論理構成 5. SDPの仕組み 6. おわりに
5. © APCommunications Co., Ltd. 2023 Page 4 1. はじめに 2. Zero Trust Network Access 3. VPNとSDPの比較 4. Zero Trust Architecture の論理構成 5. SDPの仕組み 6. おわりに
6. © APCommunications Co., Ltd. 2023 Page 5 はじめに 8a1にご参加いただきありがとうございます。 前回に引き続きセキュリティに関するVPNの課題に焦点を当てて、VPNと SDP(ZTNA)の比較、SDPの仕組みについてお話します。SDP(ZTNA)について学 びたい方、VPNとSDP(ZTNA)の違いを理解したい方、ゼロトラストに興味のあ る方に、是非聞いて頂ければと思います。
7. © APCommunications Co., Ltd. 2023 Page 6 事前アンケート結果 事前アンケートのご協力ありがとうございました。
8. © APCommunications Co., Ltd. 2023 Page 7 コンセプト 「Zero Trust Network Accessとは？」 が理解できる 興味 「ゼロトラストアーキテクチャ、SDPの仕 組み」が理解できる 体感 Level2 「脱VPNへの一歩：VPNとSDPの違い」 を理解・説明できる 体験 Level3 Level1 「Zero Trust Network Accessって何？」⇒「ゼロトラストア ーキテクチャ、SDPの仕組みが理解できた」となってもらうこと が目標 対象者 • ゼロトラストを勉強中の方 • ZTNA、SDPに興味のある方 本セッションの目標 = Level2到達
9. © APCommunications Co., Ltd. 2023 Page 8 ゼロトラスト勉強会の内容（概要） ＃１ ポートノッキング ＃２ Single Packet Authorization（SPA） ＃３ VPN v.s. SDP（従来のVPNとSDPを比較） ＃４ Software-Defined Perimeter（SDP） SDP 分からん SDP 完全に理解した SDP Dive into Software-Defined Perimeter ☺ VPN v.s. SDP SPA Port Knocking 本日は ココ！
10. © APCommunications Co., Ltd. 2023 Page 9 前回の振り返り Port knocking概要 Port Knocking Client SSH Client SSH Client Ｆ Ｗ Client Server Deny access from Client Port Knocking Client SSH Client SSH Client Ｆ Ｗ Client Server Deny access from Client Port Knocking Client SSH Client SSH Client Ｆ Ｗ Client Server Allow access from Client 最初の状態ではポート22は 閉じられています。 ClientからPort knockingに 定義されたTCP SYNのシー ケンスが送信される。 ServerはTCP/22を開放しま す。 Deny-Allの状態を維持しつつ、決められたノックシー ケンスが送られてきた時のみアクセスを許可するとい うことが実現できます。
11. © APCommunications Co., Ltd. 2023 Page 10 前回の振り返り Port knockingのデメリット Port Knocking Client SSH Client SSH Client Ｆ Ｗ Server Deny access from Client これって、真似したらワ ンチャンサーバにアクセ スできるんじゃね？ 暗号化していないから丸見え リプレイ攻撃に弱い ノックシーケンスは、暗号化されずにそのままネットワーク上を流れます。 １ ノックシーケンスの破壊 第三者がノックシーケンスの一部を送ることで、シーケンスそのものを破壊可能です。 ２ IDS、ポートスキャンに弱い ノックシーケンスは、一連のパケットの流れになるので探索が可能です。 ３
12. © APCommunications Co., Ltd. 2023 Page 11 前回の振り返り Single Packet Authorizationの概要 SDP Client SSH Client SSH Port22 Ｆ Ｗ Client Server Deny access from Client SDP Client SSH Client SSH Port22 Ｆ Ｗ Client Server Deny access from Client SDP Client SSH Client SSH Port22 Ｆ Ｗ Client Server Allow access from Client SPA パケット 最初の状態ではポート22は 閉じられています。 ClientがSPAパケットを送信 します。 Serverは一定時間TCP/22を 開放します。 SDP Server SDP Server SDP Server Deny-Allの状態を維持しつつ、正規のSPAパケットが 送られてきた時のみアクセスを許可するということが 実現できます。 chapter “Trusting the Traffic” in Zero Trust Networks by Evan Gilman and Doug Barth (O’Reilly Media, Inc., 2017).
13. © APCommunications Co., Ltd. 2023 Page 12 前回の振り返り SPAの特徴 SPAの特徴は以下のとおりです。 特 徴 Deny-All 対リプレイ攻撃 対DDoS攻撃 対スニッフィング 認証の強化 SPAパケットでないものは全てドロップ 過去に来たパケットが来た場合にリプレイ攻撃であると判断 シーケンスではないのでDDoS攻撃の可能性を低減 詳しくは※を参照ください。 1パケットであることから、スニッフィングすることが困難 クライアントのユーザ名など、ユーザに対応した追加の 認証等の処理が可能 ※ Software-Defined Perimeter as a DDoS Prevention Mechanism https://cloudsecurityalliance.org/artifacts/software-defined-perimeter-as-a-ddos-prevention-mechanism/
14. © APCommunications Co., Ltd. 2023 Page 13 1. はじめに 2. Zero Trust Network Access 3. VPNとSDPの比較 4. Zero Trust Architecture の論理構成 5. SDPの仕組み 6. おわりに
15. © APCommunications Co., Ltd. 2023 Page 14 Internet 話の位置づけ ゼロトラストの主要な技術要素とZTNA（SDP）の位置づけを以下に示します。 External Application Internal Application SASE※ FWaaS CASB SD-WAN SWG ZTNA（SDP） 端末 EDR NGAV MDM ログの監視と収集 SIEM SOC UEBA SOAR IdP IDaaS 本日は ココ！ ※ Secure Access Service Edge, SASE
16. © APCommunications Co., Ltd. 2023 Page 15 SASE/SSEとは セキュリティサービスとネットワークサービスを融合したものを、 Secure Access Service Edge, SASEといいます。 セキュリティサービス SWG ZTNA FWaaS 認証サービス など CASB ネットワークサービス MPLS/VPN インターネット NW最適化 QoS など SD-WAN SASE Secure Access Service Edge ＋ ＝ またSASEのセキュリティ面を担うものを、 Security Service Edge, SSEといいます。 出典：CXO REvolutionaries、「Security Service Edge (SSE) reflects a changing market: what you need to know」 SASE SSE ZTNA CASB SWG 3つのコアコ ンポーネント FWaaS DLP など 複数のオプシ ョンコンポー ネント
17. © APCommunications Co., Ltd. 2023 Page 16 Zero Trust Network Accessとは Zero Trust Network Access（ZTNA）は2種類あります。 PROXY-Based Service-Initiated ZTNA 以降、ZTNAと省略します。 SDP-Based Endpoint-Initiated ZTNA 以降、SDPと省略します。 Zero Trust Network Access（ZTNA） 他にも色々 今回は こっち
18. © APCommunications Co., Ltd. 2023 Page 17 1. はじめに 2. Zero Trust Network Access 3. VPNとSDPの比較 4. Zero Trust Architecture の論理構成 5. SDPの仕組み 6. おわりに
19. © APCommunications Co., Ltd. 2023 Page 18 VPNの攻撃例 認証に関する攻撃を多く受けます。以下に代表的な攻撃例を示します。 ブルートフォース攻撃 リバースブルートフォース攻撃 同じ ログインID パスワード① パスワード② パスワード③ パスワード④ パスワード⑤ パスワード⑥ パスワード⑦ 同じ パスワード ログインID① ログインID② ログインID③ ログインID④ ログインID⑤ ログインID⑥ ログインID⑦ 一つのアカウントに対して、想定されるパスワードを総当た り的にログイン認証を繰り返す攻撃手法。 試行するパスワードを固定して、IDを変えながら総当たり的 にログイン認証を繰り返す攻撃手法 パスワードスプレイ攻撃 同じ パスワード 同じ パスワード 同じ パスワード 同じ パスワード パスワードスプレー攻撃は複数のアカウ ントに対して「同じパスワード」を使っ て、同時にログイン試行します。
20. © APCommunications Co., Ltd. 2023 Page 19 2023年の新しい脆弱性 VPNの脆弱性 VPNは脆弱性が大変多いです。 2022年最も悪用された脆弱性TOP12（CISA※） https://www.bleepingcomputer.com/news/security/fbi-cisa-and-nsa-reveal-top-exploited-vulnerabilities-of-2022/ ※ Cybersecurity and Infrastructure Security Agency, CISA 1位 2020年、2021年 もランクイン！！ 2019年5月 修正済み TunnelCrack 攻撃 Citrix NetScaler の脆弱性 CVE-2023-3519 CVE-2023-4966 BIG-IP の脆弱性 CVE-2023-43125 SoftEther VPN PacketiX VPNの脆弱性 CVE-2023-27395 CVE-2023-22325 CVE-2023-32275 CVE-2023-27516 CVE-2023-32634 CVE-2023-31192 Fortinet の脆弱性 CVE-2023-27997 VPNの脆弱性と攻撃の可能性 CVE-2023-36672 CVE-2023-35838 CVE-2023-36673 CVE-2023-36671 SonicWall の脆弱性 CVE-2023-41712 CVE-2023-41715 Cisco AnyConnect の脆弱性 CVE-2023-36672 CVE-2023-36673 Wireguard の脆弱性 CVE-2023-35838 Clario VPN の脆弱性 CVE-2023-36671 CVE-2023-36672
21. © APCommunications Co., Ltd. 2023 Page 20 VPNの脆弱性 ランサムウェア被害の多くはVPNからの侵入が多い傾向にあります。 62% 19% 9% 11% VPN機器からの侵入 リモートデスクトップからの侵入 不審メールやその添付ファイル その他 ランサムウェアの感染経路 （2022年） 有効回答 102件 （出典）警察庁「令和４年におけるサイバー空間をめぐる脅 威の情勢等について」 54% 20% 7% 20% VPN機器からの侵入 リモートデスクトップからの侵入 不審メールやその添付ファイル その他 有効回答 76件 ランサムウェアの感染経路 （2021年） 71% 10% 4% 14% VPN機器からの侵入 リモートデスクトップからの侵入 不審メールやその添付ファイル その他 有効回答 49件 ランサムウェアの感染経路 （2023年上半期） （出典）警察庁「令和３年におけるサイバー空間をめぐる脅 威の情勢等について」 （出典）警察庁「令和５年上半期におけるサイバー空間をめ ぐる脅威の情勢等について」
22. © APCommunications Co., Ltd. 2023 Page 21 VPNが狙われる理由 何故、VPNが狙われてしまうのでしょうか。 企業リソース 情報 （サービス） PPTP ＝ 1723/TCP L2TP ＝ 1701/UDP IPSec ＝ 500/UDP、4500/UDP OpenVPN ＝ 1194/UDP、443/TCP 各種メーカー固定のポート番号 （定義変更によりDefaultから変更可能） VPN 認証は最初だけ
23. © APCommunications Co., Ltd. 2023 Page 22 VPNとSDPの違い 何度も異なる認証プロセスを行います。 コントロールプレーン データプレーン Policy Decision Point（PDP） SDP コントローラ Policy Enforcement Point（PEP） ユーザー（主体） IH（SDP Initiating Host） 情報（リソース） AH（SDP Accepting Host） TLS 通信開始前 認証① 通信開始前 認証② 通信開始前 認証③ クライ アント 相当 サーバ 相当 詳しくは後ほど説明します。
24. © APCommunications Co., Ltd. 2023 Page 23 ZTNA / SDPはシステムを隠蔽します SDPはシステムを隠蔽します。 有効なSPAパケットを受信する まで応答しません。 SDP コント ローラ IH AH ホストどこ？ F W ファイアウォール の先にいるのか 企業リソース 情報 （サービス） VPN ファイアウォールの先にサー ビスが存在することが分かる。
25. © APCommunications Co., Ltd. 2023 Page 24 SDPは攻撃を検出します 攻撃を検出します。 データプレーン Policy Enforcement Point（PEP） ユーザー（主体） IH（SDP Initiating Host） 情報（リソース） AH（SDP Accepting Host） TLS 通信開始前 認証 最初のパケットが SPAじゃないから攻撃だ！ 最初のパケットはSPAパケットである必要があります。 それ以外のパケットをAHが受信した場合、攻撃とみなす必要があります。 1パケットで攻撃か否かを判断できます。
26. © APCommunications Co., Ltd. 2023 Page 25 VPNとZTNA / SDPの違い ＶＰＮ ＳＤＰ 認証の複雑性 一般的に1度かつ単純なログイン検証 × 複数回の異なる認証プロセス ◦ システム隠蔽性 ファイアウォールのポート固定 × Deny-allでシステムを隠蔽 ◦ 攻撃の検出 なし × 1stパケットはSPAのみを許可し、 攻撃を検出します ◦ 総合評価 × ◦ ここまでの比較をまとめます。
27. © APCommunications Co., Ltd. 2023 Page 26 1. はじめに 2. Zero Trust Network Access 3. VPNとSDPの比較 4. Zero Trust Architecture の論理構成 5. SDPの仕組み 6. おわりに
28. © APCommunications Co., Ltd. 2023 Page 27 Zero Trust Architectureとは？ Zero Trust Architecture（NIST SP800-207）とは一体何か。 序章 ゼロトラスト・アーキテクチャの論理的構成要素 導入シナリオ／ユースケース ゼロトラスト・アーキテクチャに関連する脅威 米国政府のガイダンスとの整合性や関連性 ゼロトラスト・アーキテクチャへの移行 ゼロトラス トが生まれ た背景 ゼロトラス トの基本的 な考え方 ゼロトラス トの実践方 法 ゼロトラストを実践・学習する最良のドキュメント 世界標準 ガイド ゼロトラストの考え方
29. © APCommunications Co., Ltd. 2023 Page 28 Zero Trust Architectureの勘所① 大変重要なゼロトラストにおける7つの基本原則！！ 序章 ゼロトラスト・アーキテクチャの論理的構成要素 導入シナリオ／ユースケース ゼロトラスト・アーキテクチャに関連する脅威 米国政府のガイダンスとの整合性や関連性 ゼロトラスト・アーキテクチャへの移行 ゼロトラス トが生まれ た背景 ゼロトラス トの基本的 な考え方 ゼロトラス トの実践方 法 ゼロトラストを実践・学習する最良のドキュメント ゼロトラストの考え方 1. データソースとコンピュータサービスは、全てリソースと見なす 2. 「ネットワークの場所」に関係なく、通信は全て保護される 3. 組織のリソースへのアクセスは、全て個別のセッションごとに許可される 4. リソースへのアクセスは動的なポリシーによって決定される 5. 組織が保有するデバイスは、全て正しくセキュリティが保たれているように継続的に 監視する 6. リソースの認証と認可は、全てアクセスが許可される前に動的かつ厳密に実施される 7. 資産・ネットワーク・通信の状態について可能な限り多くの情報を収集し、セキュリ ティを高めるために利用する
30. © APCommunications Co., Ltd. 2023 Page 29 Zero Trust Architectureの勘所② ゼロトラストアーキテクチャの大変重要な論理構成図！！ ゼロトラストの考え方 ゼロトラスト・アーキテクチャの論理的構成要素 導入シナリオ／ユースケース ゼロトラスト・アーキテクチャに関連する脅威 米国政府のガイダンスとの整合性や関連性 ゼロトラスト・アーキテクチャへの移行 ゼロトラス トが生まれ た背景 ゼロトラス トの基本的 な考え方 ゼロトラス トの実践方 法 ゼロトラストを実践・学習する最良のドキュメント
31. © APCommunications Co., Ltd. 2023 Page 30 Zero Trust Architectureの勘所③ 様々な展開シナリオや事例を紹介！ ゼロトラストの考え方 ゼロトラスト・アーキテクチャの論理的構成要素 導入シナリオ／ユースケース ゼロトラスト・アーキテクチャに関連する脅威 米国政府のガイダンスとの整合性や関連性 ゼロトラスト・アーキテクチャへの移行 ゼロトラス トが生まれ た背景 ゼロトラス トの基本的 な考え方 ゼロトラス トの実践方 法 ゼロトラストを実践・学習する最良のドキュメント 1. リモートワークにおける一般的なユースケース 2. マルチクラウドを利用するユースケース 3. ゲストネットワークに関するユースケース 4. 企業間の連携に関するユースケース
32. © APCommunications Co., Ltd. 2023 Page 31 Zero Trust Architectureの勘所④ 既存ネットワークからのゼロトラスト移行方法の紹介！！ ゼロトラストの考え方 ゼロトラスト・アーキテクチャの論理的構成要素 導入シナリオ／ユースケース ゼロトラスト・アーキテクチャに関連する脅威 米国政府のガイダンスとの整合性や関連性 ゼロトラスト・アーキテクチャへの移行 ゼロトラス トが生まれ た背景 ゼロトラス トの基本的 な考え方 ゼロトラス トの実践方 法 ゼロトラストを実践・学習する最良のドキュメント
33. © APCommunications Co., Ltd. 2023 Page 32 Zero Trust Architectureの勘所⑤ ゼロトラスト・アーキテクチャに関連する脅威！！ ゼロトラストの考え方 ゼロトラスト・アーキテクチャの論理的構成要素 導入シナリオ／ユースケース ゼロトラスト・アーキテクチャに関連する脅威 米国政府のガイダンスとの整合性や関連性 ゼロトラスト・アーキテクチャへの移行 ゼロトラス トが生まれ た背景 ゼロトラス トの基本的 な考え方 ゼロトラス トの実践方 法 ゼロトラストを実践・学習する最良のドキュメント セキュリティに関する７つの脅威 1. ZTAの決定プロセスの転覆 2. DDoSまたはネットワーク障害 3. 盗まれたクレデンシャル/内部の脅威 4. ネットワーク上の可視性 ５. システムとネットワーク情報の保存 ６. 独自データフォーマットやソリュー ションへの依存 ７. ZTA管理におけるNPEの利用
34. © APCommunications Co., Ltd. 2023 Page 33 Zero Trust Architecture の論理構成 データプレーン（手・脚） コントロールプレーン（脳） Zero Trust Architecture 論理構成はコントロールプレーンとデータ プレーンに分かれています。
35. © APCommunications Co., Ltd. 2023 Page 34 Zero Trust Architecture の論理構成 データプレーン コントロールプレーン 実際にデータをやり取りするデータプレーンと、認証・認可を行うコ ントロールプレーンを分けて考えると以下のようになります。 システム ユーザー 企業リソース 情報 （サービス） まだ認証・認可されていないの で、ユーザーは情報にアクセス することができません。 Untrust
36. © APCommunications Co., Ltd. 2023 Page 35 Zero Trust Architecture の論理構成 データプレーン コントロールプレーン コントロールプレーン、データプレーンの名称を以下に示します。 ※ Zero Trust Architecture（NIST SP800-207）で示されている名称に合わせます。 システム ユーザー Policy Decision Point(PDP) Policy Engine(PE) Policy Enforcement Point(PEP) Policy Administrator(PA) 企業リソース 情報 （サービス） Untrust Zone Implicit Trust Zone 認証・ アクセ ス管理 単純な 処理
37. © APCommunications Co., Ltd. 2023 Page 36 Zero Trust Architecture の論理構成 データプレーン コントロールプレーン ユーザーがゼロトラストネットワークで企業リソースにアクセスする 流れを以下に示します。 Policy Decision Point(PDP) Policy Engine(PE) Policy Administrator(PA) ⑤ 企業リソース 情報 （サービス） ① Untrust システム ユーザー Policy Enforcement Point(PEP) Implicit Trust Zone
38. © APCommunications Co., Ltd. 2023 Page 37 Zero Trust Architecture の論理構成 データプレーン コントロールプレーン ユーザーがゼロトラストネットワークで企業リソースにアクセスする 流れを以下に示します。 ① Untrust システム ユーザー Policy Engine(PE) ⑤ 企業リソース 情報 （サービス） Policy Decision Point(PDP) Policy Enforcement Point(PEP) ② Implicit Trust Zone
39. © APCommunications Co., Ltd. 2023 Page 38 Zero Trust Architecture の論理構成 データプレーン コントロールプレーン ユーザーがゼロトラストネットワークで企業リソースにアクセスする 流れを以下に示します。 ① Untrust システム ユーザー Policy Enforcement Point(PEP) ② 企業リソース 情報 （サービス） Policy Decision Point(PDP) Policy Engine(PE) Policy Administrator(PA) ③ 認証・認可 PASS Implicit Trust Zone
40. © APCommunications Co., Ltd. 2023 Page 39 Zero Trust Architecture の論理構成 データプレーン コントロールプレーン ユーザーがゼロトラストネットワークで企業リソースにアクセスする 流れを以下に示します。 ① Untrust システム ユーザー Policy Engine(PE) ③ 認証・認可 PASS ② 企業リソース 情報 （サービス） Policy Decision Point(PDP) Policy Enforcement Point(PEP) Policy Administrator(PA) ④ Implicit Trust Zone
41. © APCommunications Co., Ltd. 2023 Page 40 Zero Trust Architecture の論理構成 データプレーン コントロールプレーン ユーザーがゼロトラストネットワークで企業リソースにアクセスする 流れを以下に示します。 ① Untrust システム ユーザー Policy Decision Point(PDP) Policy Engine(PE) Policy Administrator(PA) ③ 認証・認可 PASS ② ④ 企業リソース 情報 （サービス） Policy Enforcement Point(PEP) ⑤ Implicit Trust Zone
42. © APCommunications Co., Ltd. 2023 Page 41 Zero Trust Architecture の論理構成 データプレーン コントロールプレーン ユーザーがゼロトラストネットワークで企業リソースにアクセスする 流れを以下に示します。 ① Untrust システム ユーザー Policy Decision Point(PDP) Policy Engine(PE) Policy Administrator(PA) ③ 認証・認可 PASS ② ④ ⑤ Policy Enforcement Point(PEP) ⑥ Trust 企業リソース 情報 （サービス）
43. © APCommunications Co., Ltd. 2023 Page 42 Zero Trust Architecture の論理構成 データプレーン コントロールプレーン ユーザーがゼロトラストネットワークで企業リソースにアクセスする 流れを以下に示します。 ① Untrust システム ユーザー Policy Decision Point(PDP) Policy Engine(PE) Policy Administrator(PA) ③ 認証・認可 PASS ② ④ Policy Enforcement Point(PEP) ⑥ Trust 認証・認可をPASSしたので、ユーザーは企業 リソースにアクセスすることができます。 企業リソース 情報 （サービス） ⑤
44. © APCommunications Co., Ltd. 2023 Page 43 Zero Trust Architecture の論理構成 データプレーン コントロールプレーン 不審なユーザーが企業リソースにアクセスする場合はどうなるでしょ うか。 システム 不審な ユーザー Policy Decision Point(PDP) Policy Engine(PE) Policy Enforcement Point(PEP) Policy Administrator(PA) 企業リソース 情報 （サービス） Untrust Zone Implicit Trust Zone
45. © APCommunications Co., Ltd. 2023 Page 44 Zero Trust Architecture の論理構成 データプレーン コントロールプレーン 不審なユーザーが企業リソースにアクセスする場合はどうなるでしょ うか。 Policy Decision Point(PDP) Policy Engine(PE) Policy Administrator(PA) 企業リソース 情報 （サービス） ① Untrust システム 不審な ユーザー Policy Enforcement Point(PEP) Implicit Trust Zone
46. © APCommunications Co., Ltd. 2023 Page 45 Zero Trust Architecture の論理構成 データプレーン コントロールプレーン 不審なユーザーが企業リソースにアクセスする場合はどうなるでしょ うか。 ① Untrust システム 不審な ユーザー Policy Engine(PE) Policy Administrator(PA) 企業リソース 情報 （サービス） Policy Decision Point(PDP) Policy Enforcement Point(PEP) ② Implicit Trust Zone
47. © APCommunications Co., Ltd. 2023 Page 46 Zero Trust Architecture の論理構成 データプレーン コントロールプレーン 不審なユーザーが企業リソースにアクセスする場合はどうなるでしょ うか。 ① Untrust システム 不審な ユーザー Policy Enforcement Point(PEP) Policy Administrator(PA) ② 企業リソース 情報 （サービス） Policy Decision Point(PDP) Policy Engine(PE) ③ 認証・認可 FAIL Implicit Trust Zone
48. © APCommunications Co., Ltd. 2023 Page 47 Zero Trust Architecture の論理構成 データプレーン コントロールプレーン 不審なユーザーが企業リソースにアクセスする場合はどうなるでしょ うか。 ① Untrust システム 不審な ユーザー Policy Engine(PE) ③ 認証・認可 FAIL ② 企業リソース 情報 （サービス） Policy Decision Point(PDP) Policy Enforcement Point(PEP) Policy Administrator(PA) ④ Implicit Trust Zone
49. © APCommunications Co., Ltd. 2023 Page 48 Zero Trust Architecture の論理構成 データプレーン コントロールプレーン 不審なユーザーが企業リソースにアクセスする場合はどうなるでしょ うか。 ① Untrust システム 不審な ユーザー Policy Decision Point(PDP) Policy Engine(PE) Policy Administrator(PA) ③ 認証・認可 FAIL ② ④ 企業リソース 情報 （サービス） Policy Enforcement Point(PEP) ⑤ Implicit Trust Zone
50. © APCommunications Co., Ltd. 2023 Page 49 Zero Trust Architecture の論理構成 データプレーン コントロールプレーン 不審なユーザーが企業リソースにアクセスする場合はどうなるでしょ うか。 ① Untrust システム 不審な ユーザー Policy Decision Point(PDP) Policy Engine(PE) Policy Administrator(PA) ③ 認証・認可 FAIL ② ④ 企業リソース 情報 （サービス） Policy Enforcement Point(PEP) ⑥ Untrust Implicit Trust Zone ⑤
51. © APCommunications Co., Ltd. 2023 Page 50 Zero Trust Architecture の論理構成 データプレーン コントロールプレーン 不審なユーザーが企業リソースにアクセスする場合はどうなるでしょ うか。 ① Untrust システム 不審な ユーザー Policy Decision Point(PDP) Policy Engine(PE) Policy Enforcement Point(PEP) Policy Administrator(PA) ③ 認証・認可 FAIL ② ④ ⑤ ⑥ Untrust 認証・認可をPASSしないので、ユーザーは企 業リソースにアクセスすることができません。 企業リソース 情報 （サービス） Implicit Trust Zone
52. © APCommunications Co., Ltd. 2023 Page 51 PDP/PEP 暗黙のトラスト領域を最小化せよ！ GATE 1 企業リソース 情報 （サービス） ユーザー Untrust Zone Implicit Trust Zone （搭乗エリア） G A T E 空港における乗客の検閲モデルについて考えてみましょう。 ここの領域は可能な限り 最小化すべきです。
53. © APCommunications Co., Ltd. 2023 Page 52 1. はじめに 2. Zero Trust Network Access 3. VPNとSDPの比較 4. Zero Trust Architecture の論理構成 5. SDPの仕組み 6. おわりに
54. © APCommunications Co., Ltd. 2023 Page 53 SDPの仕様書 Software-Defined Perimeter(SDP)仕様書v2.0とは何か？ はじめに SDPのデザイン SDPプロトコル まとめ 参考文献 付録 SDPが生ま れた背景 SDPの基本 的な考え方 SDPプロト コル詳細 Software-Defined Perimeter(SDP) とは何かを把握する最良のドキュメント 約８年、ゼロトラスト の原則に対する熱意は 凄いです！
55. © APCommunications Co., Ltd. 2023 Page 54 SDPの仕様書と重要ドキュメント Software-Defined Perimeter(SDP)仕様書v2.0とアーキテクチャガイド
56. © APCommunications Co., Ltd. 2023 Page 55 SDPの論理構成 SDPもコントロールプレーンとデータプレーンに分かれています。 コントロールプレーン PDP Policy Decision Point データプレーン PEP Policy Enforcem ent Point IdP
57. © APCommunications Co., Ltd. 2023 Page 56 SDP（Software Defined Perimeter） SDPの仕組み データプレーン コントロールプレーン Software-Defined Perimeter(SDP)仕様書v2.0を基にZTAの簡易モデルを書き換えます。 Policy Enforcement Point(PEP) AH （Accepting Host） 企業リソース 情報 （サービス） Policy Decision Point(PDP) Controller サーバー 相当 IH （Initiating Host） クライア ント相当
58. © APCommunications Co., Ltd. 2023 Page 57 SDP（Software Defined Perimeter） SDPの仕組み データプレーン コントロールプレーン ① 大前提として、SDPコントローラーがオンライン（使用可能状態）である必要があります。 Policy Enforcement Point(PEP) AH （Accepting Host） 企業リソース 情報 （サービス） IH （Initiating Host） Policy Decision Point(PDP) Controller ① Ready
59. © APCommunications Co., Ltd. 2023 Page 58 SDP（Software Defined Perimeter） SDPの仕組み データプレーン コントロールプレーン ② AHがコントローラーと認証する必要があります。 IH （Initiating Host） Policy Enforcement Point(PEP) AH （Accepting Host） 企業リソース 情報 （サービス） Policy Decision Point(PDP) Controller ② AHがコントローラーと 認証する必要があります。 SPAを使って認証します。
60. © APCommunications Co., Ltd. 2023 Page 59 SDP（Software Defined Perimeter） SDPの仕組み データプレーン コントロールプレーン ③ IHがコントローラーと接続して認証を行います。 Policy Enforcement Point(PEP) AH （Accepting Host） 企業リソース 情報 （サービス） IH （Initiating Host） Policy Decision Point(PDP) Controller ③ IHがコントローラーと 認証する必要があります。 SPAを使って認証します。
61. © APCommunications Co., Ltd. 2023 Page 60 SDP（Software Defined Perimeter） SDPの仕組み データプレーン コントロールプレーン ④ IHの認証完了後、コントローラはIHの通信が許可されているサービスのリストをAHからの 情報を基に決定します。 IH （Initiating Host） Policy Enforcement Point(PEP) AH （Accepting Host） 企業リソース 情報 （サービス） Policy Decision Point(PDP) Controller ④ IHの認証完了後、コントローラはIHの 通信が許可されているサービスのリスト をAHの情報を基に決定します。
62. © APCommunications Co., Ltd. 2023 Page 61 SDP（Software Defined Perimeter） SDPの仕組み データプレーン コントロールプレーン ⑤ コントローラは、AHに「IHとTLS通信をするための情報」を渡します。 AHは、IHからのSPAパケットの受信待ち状態となります。 IH （Initiating Host） Policy Enforcement Point(PEP) AH （Accepting Host） 企業リソース 情報 （サービス） Policy Decision Point(PDP) Controller ⑤コントローラは、AHに 「IHとTLS通信をするた めの情報」を渡します。
63. © APCommunications Co., Ltd. 2023 Page 62 SDP（Software Defined Perimeter） SDPの仕組み データプレーン コントロールプレーン ⑥ コントローラは、IHに「AHとTLS通信をするための情報」を渡します。 Policy Enforcement Point(PEP) AH （Accepting Host） 企業リソース 情報 （サービス） IH （Initiating Host） Policy Decision Point(PDP) Controller ⑥コントローラは、IHに 「AHとTLS通信をするため の情報」を渡します。
64. © APCommunications Co., Ltd. 2023 Page 63 SDP（Software Defined Perimeter） SDPの仕組み データプレーン コントロールプレーン ⑦ IH が SPA パケットを AH に送信します。 Policy Decision Point(PDP) Controller IH （Initiating Host） Policy Enforcement Point(PEP) AH （Accepting Host） 企業リソース 情報 （サービス） ⑦ IH が SPA パケットを AH に送信します。
65. © APCommunications Co., Ltd. 2023 Page 64 SDP（Software Defined Perimeter） SDPの仕組み データプレーン コントロールプレーン ⑧ IH から送信された SPA パケットを AH が認証すると、TLS通信を開始できるようになります。 Policy Decision Point(PDP) Controller IH （Initiating Host） Policy Enforcement Point(PEP) AH （Accepting Host） 企業リソース 情報 （サービス） ⑧ IH から送信された SPA パケットを AH が認 証すると、TLS通信を開始できるようになります。 TLS
66. © APCommunications Co., Ltd. 2023 Page 65 SDP（Software Defined Perimeter） SDPの仕組み データプレーン コントロールプレーン ⑨ IH が AH と TLS通信を行い、AHと同居している企業リソースに到達することができます。 IH （Initiating Host） Policy Enforcement Point(PEP) AH （Accepting Host） 企業リソース 情報 （サービス） Policy Decision Point(PDP) Controller TLS ⑨ IH が AH と TLS通信を行い、AHと同居している 企業リソースに到達することができます。
67. © APCommunications Co., Ltd. 2023 Page 66 まとめ VPN と SDPの違い 一般的なVPNと比較すると、認証のプロセス ／ システムの隠蔽性 ／ 攻撃の検出など、 SDPの方がセキュリティ強度が強い。 1 Zero Trust Architectureの論理構成 ポリシーの決定をしているコントロールプレーンと、ポリシーを適用・実施するデータプ レーンに分かれている。 2 SDPの仕組み 通信を開始する前に接続前認証を複数個所で行い、認証に必要な情報をコントローラーか ら得て、異なる認証プロセスを経て通信を暗号化してます。 3
68. © APCommunications Co., Ltd. 2023 Page 67 1. はじめに 2. Zero Trust Network Access 3. VPNとSDPの比較 4. Zero Trust Architecture の論理構成 5. SDPの仕組み 6. おわりに
69. © APCommunications Co., Ltd. 2023 Page 68 ６．おわりに SDP 分からん SDP 完全に理解した SDP SPA Port Knocking Dive into Software-Defined Perimeter ☺ 今は ココ！ VPN v.s. SDP ＃１ ポートノッキング ＃２ Single Packet Authorization（SPA） ＃３ VPN v.s. SDP（従来のVPNとSDPを比較） ＃４ Software-Defined Perimeter（SDP）
70. © APCommunications Co., Ltd. 2023 Page 69 本セッションを振り返って 「Zero Trust Network Accessとは？」 が理解できる 興味 体感 Level2 「脱VPNへの一歩：VPNとSDPの違い」 が理解・説明できる 体験 Level3 Level1 対象者 • ゼロトラストを学習中の方 • VPNとゼロトラストの違いに興味のある方 本セッションの目標 = Level2到達 「ゼロトラストアーキテクチャ、SDPの仕 組み」が理解できる 「Zero Trust Network Accessって何？」⇒「ゼロトラストア ーキテクチャ、SDPの仕組みが理解できた」となってもらうこと が目標
71. © APCommunications Co., Ltd. 2023 Page 70 Zero Trust Network Accessとは Zero Trust Network Access（ZTNA）は2種類あります。 PROXY-Based Service-Initiated ZTNA 以降、ZTNAと省略します。 SDP-Based Endpoint-Initiated ZTNA 以降、SDPと省略します。 Zero Trust Network Access（ZTNA） 他にも色々 今回は こっち もう一方も知りたい
72. © APCommunications Co., Ltd. 2023 Page 71 告知 Internet Week 2023で続きをお話いたします。 https://internetweek.jp/2023/archives/program/c12 C12 脱VPNへの一歩!! ～ZTNAの必要性と技術解説～ ZTNA羅針盤～攻撃対象領域の極小化の必要性とZTNAについて～ ZTNA展開図～Zero Trust Network Access技術解説～ 日時：11/21(火) 15:00～16:30 会場：東京大学 伊藤謝恩ホール 多目的スペース
73. © APCommunications Co., Ltd. 2023 Page 72 ご清聴ありがとうございました
74. © APCommunications Co., Ltd. 2023 Page 73 appendix
75. © APCommunications Co., Ltd. 2023 Page 74 参考URL ▪SDP Specification v1.0 https://cloudsecurityalliance.org/artifacts/sdp-specification-v1-0/ ▪Software-Defined Perimeter (SDP) Specification v2.0 https://cloudsecurityalliance.org/artifacts/software-defined-perimeter-zero-trust-specification-v2/ ▪ SDP Architecture Guide v2 https://cloudsecurityalliance.org/artifacts/sdp-architecture-guide-v2/ ▪ Software-Defined Perimeter (SDP) and Zero Trust https://cloudsecurityalliance.org/artifacts/software-defined-perimeter-and-zero-trust/ ▪ Software-Defined Perimeter as a DDoS Prevention Mechanism https://cloudsecurityalliance.org/artifacts/software-defined-perimeter-as-a-ddos-prevention-mechanism/ ▪Zero Trust Architecture（NIST SP800-207） https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207.pdf ▪ソフトウェア定義の境界とは https://www.zscaler.jp/resources/security-terms-glossary/what-is-software-defined-perimeter ▪How to choose a Zero Trust architecture: SDP or Reverse-Proxy? https://cloudsecurityalliance.org/blog/2021/02/15/how-to-choose-a-zero-trust-architecture-sdp-or-reverse-proxy ▪SPA （Single Packet Authorization）解説 https://cloudsecurityalliance.jp/newblog/2019/08/27/448/ ▪Single Packet Authorization A Comprehensive Guide to Strong Service Concealment with fwknop https://www.cipherdyne.org/fwknop/docs/fwknop-tutorial.html
76. © APCommunications Co., Ltd. 2023 Page 75 192.168.12.0/24 192.168.12.0/24 192.168.12.0/24 Q&A Q１：SPA認証後、IPを詐称した攻撃者は正規のユーザになりすますことができますか？ A１：はい。攻撃者はファイアウォールを開けることはできませんが、正規のClientを偽って 送信元IPを詐称すれば接続することが可能になります。 SDP Client SSH Client SSH Port22 Ｆ Ｗ Client Server Deny access from Client SDP Client SSH Client SSH Port22 Ｆ Ｗ Client Server Deny access from Client SDP Client SSH Client SSH Port22 Ｆ Ｗ Client Server Allow access from Client SPA パケット SDP Server SDP Server SDP Server SDP Client SSH Client Attacker SDP Client SSH Client Attacker SDP Client SSH Client Attacker 192.168.12.2 192.168.12.1 192.168.12.2 192.168.12.1 192.168.12.2 192.168.12.1 192.168.12.254 192.168.12.1 192.168.12.254
77. © APCommunications Co., Ltd. 2023 Page 76 Q&A Ｑ２：TunnelCrack攻撃について詳しく説明している書籍等はありますか。 Ａ２ー１：以下をご参照ください。 専用サイト：https://tunnelcrack.mathyvanhoef.com/details.html 論文： https://www.usenix.org/system/files/usenixsecurity23-xue.pdf Nian Xue, New York University; Yashaswi Malla, Zihang Xia, and Christina Pöpper, New York University Abu Dhabi; Mathy Vanhoef, imec-DistriNet, KU Leuven. "Bypassing Tunnels: Leaking VPN Client Traffic by Abusing Routing Tables". August 9–11, 2023. https://www.usenix.org/system/files/usenixsecurity23-xue.pdf .(参照 2023-11-14) LocalNet attacks
78. © APCommunications Co., Ltd. 2023 Page 77 Q&A Ｑ２：TunnelCrack攻撃について詳しく説明している書籍等はありますか。 Ａ２ー２：以下をご参照ください。 https://ja.softether.org/9-about/news/905-TunnelCrack なお、TunnelCrack 保護機能を有効にすると、VPN 接続中は、物 理的なローカル LAN 上の TCP および UDP 接続が禁止されます。 信頼できない公衆 Wi-Fi を利用する場合には、この保護機能は有 益です。一方で、ローカル社内 LAN 上でTunnelCrack 保護機能を 有効にすると、ローカル社内 LAN など信頼できる LAN 上のサー バーにもアクセスしながら VPN 接続先のリモートサーバーにも同 時にアクセスすることができなくなります (VPN 接続を切断する まで、VPN 接続先とのサーバーは通信できますが、ローカルの LAN 上のサーバーと通信できなくなります)。ご注意をお願いしま す。 TunnelCrack 保護機能がアクティブになる場合、アクティブにな るよりも前にすでに確立された TCP 接続は切断されることなく維 持されます。アクティブになった後に確立される新たな TCP 接続 および UDP 接続が遮断されます。
79. © APCommunications Co., Ltd. 2023 Page 78 Q&A Ｑ２：TunnelCrack攻撃について詳しく説明している書籍等はありますか。 Ａ２ー３：以下をご参照ください。 専用サイト：https://tunnelcrack.mathyvanhoef.com/details.html 論文：https://papers.mathyvanhoef.com/usenix2023-tunnelcrack.pdf Nian Xue, New York University; Yashaswi Malla, Zihang Xia, and Christina Pöpper, New York University Abu Dhabi; Mathy Vanhoef, imec-DistriNet, KU Leuven. "Bypassing Tunnels: Leaking VPN Client Traffic by Abusing Routing Tables". August 9–11, 2023. https://www.usenix.org/system/files/usenixsecurity23-xue.pdf .(参照 2023-11-14) SeverIP attacks
80. © APCommunications Co., Ltd. 2023 Page 79 Q&A Ｑ３：ゼロトラスト・アーキテクチャ難しいのですがおススメの書籍等はありますか？ Ａ３：ゼロトラストの考え方、アーキテクチャのイメージを理解するのに最適なものは 以下の通りです。 https://www.pwc.com/j p/ja/knowledge/column /awareness-cyber- security/zero-trust- architecture-jp.html NIST SP800-207 「ゼロトラス ト・アーキテクチャ」の解説と日 本語訳 ゼロトラストネットワーク[実践]入門 ゼロトラストアーキテクチャ入門
81. © APCommunications Co., Ltd. 2023 Page 80 Q&A Ｑ４：目を通しておいた方が良いNISTのSpecial Publication を教えてください。 Ａ４：ゼロトラスト・アーキテクチャの本文に含まれるものや参考文献をご参照ください。 ※ SP800シリーズは、コンピュータセキュリティ関係のレポートやガイドラインです。 番号 名称 和訳 備考 SP 800-63 Digital Identity Guidelines あり 日本語訳はあるものの旧版です。 最新版はSP 800-63-3で、第4版改定中です。 https://csrc.nist.gov/pubs/sp/800/63/3/upd2/final SP 800-63A Digital Identity Guidelines: Enrollment and Identity Proofing なし 最新版：includes updates as of 03-02-2020 https://csrc.nist.gov/pubs/sp/800/63/a/upd2/final SP 800-162 Guide to Attribute Based Access Control (ABAC) Definition and Considerations なし 最新版：includes updates as of 08-02-2019 https://csrc.nist.gov/pubs/sp/800/162/upd2/final SP 800-160 v1 Engineering Trustworthy Secure Systems なし 最新版：Revision1（November 2022） https://csrc.nist.gov/pubs/sp/800/160/v1/r1/final SP 800-160 v2 Developing Cyber-Resilient Systems: A Systems Security Engineering Approach なし 最新版：Revision1（December 2021） https://csrc.nist.gov/pubs/sp/800/160/v2/r1/final SP 800-37 Risk Management Framework for Information Systems and Organizations: A System Life Cycle Approach for Security and Privacy あり 最新版：Revision 2（December 2018） https://csrc.nist.gov/pubs/sp/800/37/r2/final
82. © APCommunications Co., Ltd. 2023 Page 81 Certificate of Competence in Zero Trust (CCZT) Certificate of Competence in Zero Trust (CCZT) ゼロトラスト能力認定試験 https://cloudsecurityalliance.org/press-releases/2023/11/15/cloud- security-alliance-launches-the-industry-s-first-authoritative-zero- trust-training-and-credential-the-certificate-of-competence-in-zero- trust-cczt/ Cloud Security Alliance Launches the Industry’s First Authoritative Zero Trust Training and Credential, the Certificate of Competence in Zero Trust (CCZT) Zero Trust Foundational Concepts Zero Trust Architecture Software Defined Perimeter NIST and CISA Best Practices Zero Trust Planning Zero Trust Implementation ゼロトラスト 哲学の提唱者 John Kindervag氏 を含む著名な 方々の手引き 90分のオンラ イン試験です。 年内は特価で 175$で受験 できます。