Zero Trust Network

ゼロトラストネットワークに関する勉強結果をアウトプットしました。

Transcript

1. ゼロトラストネットワークとは、 a. 次世代のネットワークセキュリティ概念である。 b. ゼロトラストネットワークでは「社内は安全である」という前提の下で境界を守るセキュリティ対策ではなく、 「全て信頼できない（ゼロトラスト）ことを前提として、全てのデバイスのトラフィックの検査やログの取得 を行う」という性悪説に基づいている。 ゼロトラストネットワークは概念なので、それ単体では何の意味もない。 ただ、ローカルブレークアウト構成には相性の良い考え方だと思う。 従来オンプレを経由してアクセスさせていたものを、エンドポイントからクラウドに直接アクセスさせるとなれば、 情シスも黙ってないですよね。 真っ先にセキュリティは大丈夫なのかー とか どうやってアクセス制御するんだーとかなるわけです。 「最近ではゼロトラストネットワークという新しい考え方があってですね。すべて信頼できないという前提に立っ て設計することで、従来のセキュリティレベル以上で直接アクセスを実現できるんですよ（どや）」 おまけ：既に実装されておりました（汗 BeyondCorp(https://cloud.google.com/beyondcorp/?hl=ja) 以下、紹介文抜粋 Google での 8 年に及ぶゼロトラスト ネットワークの構築を基に、コミュニティから寄せられた最善のアイデアや ベスト プラクティスを加味して設計されたゼロトラスト セキュリティ モデルを Google が実装したものです。
2. Xx部 専用線 WAN インターネット 企業内ネットワーク プロキシサーバ Mobile 網 社内サーバ 携帯で最低限の社内システムにはアクセスでき るが、基本的には仕事は会社でする。 そんな時代にはこんな仕組みで良かった。 インターネットへのアクセスコントロールは、 プロキシサーバやFWで実施する。 クラウドサービスが増えていくにつれて、WAN 回線やプロキシサーバを逼迫し、増強が必要と なっていった。 従来のシステム構成
3. Xx部 ｲﾝﾀｰﾈｯﾄ 回線 専用線 WAN インターネット 企業内ネットワーク プロキシサーバ 社内サーバ 働き改革も進む中、企業側はオフィスに縛られ ないリモートワークを推進していく必要が出て きた。 しかし、従来の中央集権型のシステム構成では WAN回線やプロキシサーバの増強が必要になり コストがかさみすぎる。 そこで、SD-WANを利用したローカルブレーク アウト(*1)という考え方が生まれた。 *1) ローカルブレークアウト 特定のクラウドサービスだけは拠点から直接インターネットに通すことでWANのトラフィック負荷を低減する手法 リンク(https://www.keyman.or.jp/kn/articles/1908/19/news029.html) 許可されたクラウドサービス 今後のシステム構成