技術概要:ゼロトラスト

概要

注:

ゼロトラストの新機能? ゼロトラストセキュリティとは何か、ゼロトラスト向けのCitrixソリューションについて学びます

情報システムとデータを保護するための従来の境界ベースのアプローチでは不十分です。

長年にわたり、サイバーセキュリティのパラダイムは、中世から身近な物理的セキュリティの形態、城と堀をエミュレートしてきました。これは、多くの企業が採用しており、クラウドの世界では不十分なアプローチです。

この古典的な防衛モデルでは、しっかりと固定されたチェックポイントとゲートウェイを備えた複数の保護層が、クラウンジュエルを取り囲み、保護します。すべてのアクセスは、認証と認可が付与されたゲートウェイで制御および検証されます。しかし、一度検証されると、人々は効果的に環境の自由な手目を与えられます。

このモデルには、不十分な認証と認可による過度のアクセスを許可する欠点があります。攻撃者は、多くの場合、ゲートウェイや壁を壊すために設計された優れたツールをバイパスするためにサブターフュージを使用します。

同様に、サイバーセキュリティでは、貴重なデータは、ファイアウォール、セグメンテーション、認証、および承認の複数の層で囲まれています。そして、これらのコンポーネントは必要ですが、クラウドとモバイルへの移行によって引き起こされる「境界外化」のために不十分です。

このセキュリティモデルの問題は、ネットワークの壁内の個人またはサービスに付与される暗黙的または暗黙的な信頼です。デバイスまたはユーザーが常駐する場所またはネットワークは、信頼レベルの価値が暗黙的に付与されることはありません。プライベートネットワークもそれ上のデバイスも本質的に信頼できるものではないという前提をする必要があります。

組織は次の変数を組み込んだ複雑なモデルでクラウンジュエルをどのように保護しますか?

  • ユーザー:企業のオフィスおよび公共の場所にあります
  • デバイス:モバイル、自分のデバイスを持参 (BYOD)、自分のデバイスを選択 (CYOD)、および企業独自の個人対応 (COPE)
  • アプリケーション:(イントラネット/SaaS、ブラウザ、仮想化、モバイル)
  • データアクセスとストレージ(オンプレミスとクラウド)

これらのアクセスのすべての側面を考えると、セキュリティ境界が責任になるように、堀に頼ります。

VPNは、ユーザーが企業以外の場所にいるときにエンタープライズアプリケーションやデータにアクセスするための従来の方法でした。このモデルは、エンドユーザーが承認された企業管理デバイスからのみ企業ネットワークにアクセスできるユースケースに有効です。

しかし、これが、VPN モデルが進化するユースケースのニーズを適切に満たしていない理由です。アプリは、Web ベースのアクセス用に最新化され、マルチクラウド環境にデプロイされています。アプリケーション、データ、サービスは、データセンターの壁の中だけではありません。場所を移動し、動的になり、ユーザーはどこからでもリソースにアクセスできるようになり、組織には生産性を低下させずにすべてのリソースに簡単にアクセスできるフレームワークが必要です。クラウドアプリへの途中で企業VPN経由でユーザーアクセスを強制することは、エンドユーザーエクスペリエンスの上ではありません。

新しい戦略の要件は、リモートワーカーの必要性とともに加速されています。組織では、複数の場所に同時に存在するリソースの周囲に壁をどのように構築するのですか?

指導原則

ゼロトラストは、「決して信頼せず、常に検証する」または生来の不信感(「デフォルト拒否」)を前提として動作します。ジョンキンダーヴォーグ, 造語「ゼロトラスト」の複合問題を解決する方法として「deperimeterization」— それはより多孔性になるにつれて周囲の拡大と溶解.

ゼロトラストアーキテクチャの目的は、データを保護することです。これは、単一のネットワークアーキテクチャではなく、ネットワークインフラストラクチャの設計と運用における指針のセットです。ゼロトラストアプローチは、どこからでも、デバイスや方法を問わず、どこからでも存在するデータにアクセスするための、一貫したセキュリティ戦略を提供します。

ゼロトラストでは、物理的な場所またはネットワークの場所に基づいて、システムに暗黙的な信頼が付与されることはありません。このアプローチでは、発信元のリクエストの場所に関係なく、継続的な承認が必要となり、ネットワーク全体の可視性と分析が向上します。

ゼロ信頼は、フレームワークの意図的な実装によって達成されます。統合され、ゼロトラストの原則が組み込まれた一連の製品を使用することで、目的のビジネス成果を達成するための集合的なアプローチが提供されます。

ゼロトラストは、ネットワークだけでなく、組織、ユーザー、デバイス、ネットワーク、アプリケーション、および人々の働き方にも適用される戦略として捉えています。

Citrix Zero Trust Architectureは、リソースの保護に重点を置いており、米国国立標準技術研究所(NIST) のゼロトラスト理念をモデルにした原則に従って設計および展開されています

  1. すべてのデータソースとコンピューティングサービスはリソースと見なされます
  2. 企業とリモートの両方のネットワークは、本質的に敵対的であり、信頼できないため、ネットワークの場所にかかわらず、すべての通信が保護されます
  3. 個々のエンタープライズリソースへのアクセスは、セッションごとに付与されます
  4. リソースへのアクセスは、アイデンティティ、デバイス、アプリケーション、ネットワークの監視可能な状態を含み、動作属性を含めることができる動的ポリシーによって適用されます
  5. 本質的に信頼されるデバイスが存在しないため、企業は資産を監視して、可能な限り安全な状態に維持します
  6. すべてのリソース認証と承認は動的であり、アクセスが許可される前に厳密に強制されます
  7. 企業は、ネットワークインフラストラクチャと通信の現在の状態について、可能な限り多くの情報を収集します。このデータを使用して、セキュリティ体制を向上させます

ゼロトラストの柱

エンタープライズ信頼からゼロトラストへの移行には、トラストファブリックを構築するための戦略が必要です。組織は、デジタルトランスフォーメーションをサポートするために、現在の懸念事項を特定し、信頼ファブリックを定義する必要があります。アクセスは、データの機密性とデータの要求および使用状況に合わせて調整する必要があります。ゼロトラストは、ネットワーク上の人、デバイス、データ、ワークロードをきめ細かく識別する必要があります。

Citrixはこのコンテキストアクセスと呼んでいます。アクセスポリシーは、5 W の Access 全体で信頼要素を精査し、特定の使用資格を付与します。コンテキストアクセスは、継続的なプロセスです。リクエストイベントから、データセキュリティのライフサイクルを管理する特定のデータ使用資格と動的ポリシーまで拡張されます。

  • 保護する必要があるデータはどれですか
  • データの要求はどこから送信され、ネットワーク内のどこにありますか。
  • データへのアクセス権を持っているのは誰ですか?
  • なぜこれらの人々にアクセス権限が必要ですか?
  • データへのアクセスが必要なのはいつですか

ユーザー

信頼されたユーザーの継続的な認証と承認は、ゼロトラストにとって重要です。アイデンティティーとは、リソースへのアクセスを要求している「誰が」です。ユーザー認証は動的であり、アクセスが許可される前に厳密に強制されます。それはアクセスの一定のサイクルです:

  • 脅威のスキャンと評価
  • 適応する
  • 継続的な認証
  • 監視
  • ユーザーの信頼性の検証

ID には、アイデンティティ、資格情報、アクセス管理などのテクノロジの使用が網羅されています。アイデンティティーは、企業が開発したユーザーおよび属性のセットです。ユーザーと属性は、リソースアクセスのポリシーの基礎を形成します。ユーザー ID には、論理 ID、生体認証データ、および動作特性の組み合わせを含めることができます。時間や地理位置情報などの ID 属性を使用して、信頼スコアを導き出し、リスクを動的に評価し、アクセスを適切に調整します。

認証(ユーザーとデバイスの両方)は、接続を確立する前に実行され、リソースへのアクセスは検証されたエンドユーザのみに最小化されます。ユーザーは継続的に認証され、各アクセス要求の ID とセキュリティポスチャが判断されます。これらの要件が満たされると、データリソースへのアクセスは、リソースが必要な場合にのみ許可されます。

デバイス

組織には、デバイスおよび所有権モデル全体で一貫したポリシー管理方法が必要です。管理者は、デバイス内でどのレベルの信頼性を判断できるかを判断できる必要があります。デバイスは、「場所」の質問の一部です。リクエストはどこから来ていて、デバイスのリスクレベルは何ですか?リアルタイムのセキュリティ姿勢とデバイスの信頼性はゼロトラストアプローチの基本属性です。

従来、エンドポイントデバイスを見ると、3つの一般的な所有モデル(企業所有、BYOD/CYOD、COPE)があり、それぞれ固有の信頼、信頼要素、検証の必要性が異なります。ゼロトラストでは、その固有の信頼が排除され、所有権に関係なくすべてのデバイスで検証が必要になります。

ネットワーク

ゼロトラストアーキテクチャは、ネットワークセグメントではなく、リソースの保護に重点を置いています。ユーザ、デバイス、またはリソースのネットワークロケーションが、セキュリティポスチャの主要コンポーネントとして認識されなくなります。しかし、ネットワークをセグメント化、分離、制御する能力は依然としてセキュリティの柱であり、ゼロトラストネットワークにとって不可欠です。また、適切なアプリとワークスペースの配信モデルを選択する機能は、「場所」の質問の 2 番目の部分です。

ゼロトラストネットワークは、「境界なし」として説明されることがあります。ネットワークと運用において、境界保護の重要性は低くなっていると主張する人もいます。実際には、境界はまだそこにあるが、はるかに細かい方法で。ゼロトラストネットワークは、実際にはネットワークエッジから境界を移動し、セグメントを作成して、重要なデータを他のデータから分離しようとします。保護と管理を強化するには、境界をデータに近づける必要があります。そのため、伝統的な城と堀の接近だけでは不十分です。

インターネットベースのテクノロジの移行時には、次のことを考慮することが重要です。

  1. 特権ネットワークアクセスの制御
  2. 内部および外部データフローの管理
  3. ネットワーク内での横方向の移動を防止
  4. ネットワークおよびデータトラフィックに関する動的なポリシーと信頼性の決定

ワークロード

アプリレイヤーとコンピューティングコンテナーと仮想マシンを保護し、適切に管理することは、ゼロトラストの採用の中心です。テクノロジースタックを特定して制御できるため、よりきめ細で正確なアクセス決定が容易になります。当然のことながら、ゼロトラスト環境でのアプリへの適切なアクセス制御を提供するうえで、MFA はますます重要になっています。

ゼロトラストモデルの重要な点は、エンドユーザーが業務を行うために必要な特定のアプリにのみアクセスを許可することです。ネットワーク自体にアクセスすることはなく、攻撃対象領域を縮小することで、組織のセキュリティ体制を大幅に向上させます。

データ

顧客、従業員、パートナーはますますモバイル化が進んでおり、接続先となるすべてのネットワークからアプリやデータを他のリソースに消費します。ユーザーがデータにアクセスする場合、ゼロトラストモデルでは、適切なユーザーがその場所にいて、安全なデバイスを使用してデータにアクセスする権限があるという保証に対して、データの価値を重くします。

リソースへのアクセスに関する最小要件には、MFA やシステム設定の要求など、オーセンティケータ保証レベルを含めることができます。その人が企業ネットワークの内側か外にいるかは、これら3つの保証のいずれの信頼できる指標でもありません。ただし、海外の IP アドレスや予期しない時間枠内でのアクセスを拒否するなど、明白な異常または認可されていないネットワークロケーションにフラグを付けます。

可視性、分析、オーケストレーション

ゼロトラストアーキテクチャでは、アクセスの可視性を高める必要があります。セキュリティ情報管理、高度なセキュリティ分析プラットフォーム、セキュリティユーザーの行動分析などのツールなしでは不完全です。これらのシステムは、時間の経過とともにアクセス要求とポリシーの変更を継続的に監視およびログ記録しています。セキュリティ専門家は、何が起こっているかをリアルタイムで観察し、よりインテリジェントに防御を向けるために、これらのツールを必要とします。

分析は、サブジェクトとエンタープライズリソース間の接続の有効化、監視、および最終終了を行うシステムです。分析ポリシーエンジンは、特定のクライアントまたはサブジェクトのリソースへのアクセスを許可する最終的な決定を担当します。エンタープライズポリシーと外部ソースからの入力を使用できます。

分析データは、別々に分析することも、他のセキュリティ監視データセットやログデータセットと組み合わせることもできます。複数のサービスは、複数の外部ソースからデータを取得し、新たに発見された攻撃や脆弱性に関する情報を提供します。データには、DNS ブロックリスト、検出されたマルウェア、またはポリシーエンジンがエンタープライズシステムからのアクセスを拒否するコマンドおよび制御システムが含まれます。脅威インテリジェンスフィードを使用すると、ポリシーエンジンは、実際のインシデントが発生する前にプロアクティブなセキュリティ対策を開発するのに役立ちます。Analytics では、条件に基づくスコアリングを使用できます。このスコアリングでは、リソースへのアクセスを許可する前に満たす必要がある一連の修飾属性を前提としています。

Citrix ゼロトラストアーキテクチャ

境界ベースのセキュリティモデルからリソースベースのセキュリティモデルに移行する場合、Citrix Workspaceは、包括的なコンテキスト対応のVPNレスアプローチを使用します。

ゼロ・トラスト・ダイアグラム

Citrix Workspaceは、アプリケーションとデータへのアクセスを制御する強制ポイントとして機能します。Access は、固有の信頼に基づくのではなく、「デフォルトの拒否」から始まります。アクセスは、ユーザ、デバイスクレデンシャル、および時間、ロケーション、デバイスポスチャなどのその他の要因によってエンティティを検証した後にのみ許可されます。Citrix Zero Trustは、想定された信頼を削除し、すべての段階で確認することで、これらの要因の複雑さを軽減します。

Citrix Endpoint Management

Citrix Endpoint Management では、デバイスの信頼を評価するためのデータ認証をサポートするデバイスポスチャの継続的な評価を通じて、デバイスのリスク/信頼レベルの質問に答えることができます。認証前および認証後のデバイス評価では、作業を安全に実行するために必要な承認がサポートされます。また、アクセスリクエストごとにさらに多くの評価が行われます。Citrix Endpoint Management は、デバイスが侵害されたかどうか、ソフトウェアのバージョン、保護ステータス、暗号化の有効性を検査します。Citrix Endpoint Management ementを使用して、Endpoint Analysisスキャンを実行してプラットフォーム証明書をチェックできます。また、ドメインに参加しているデバイスとドメインに参加していないデバイスの両方の機能が含まれます。さまざまなレベルの信頼を、完全なデバイス管理、アプリ、またはブラウザからのアクセスに割り当てることができます。

Citrix Gateway

Citrix Gatewayは、強化された柔軟なセキュリティアプローチを提供します。ユーザーの役割、場所、デバイスの状態などに基づいて、機密データにアクセスするための複数の認証手順を構成できます。Citrix Gatewayは、各セッションで使用する認証メカニズムを決定します。これは、ユーザーの場所やユーザーまたはデバイスのリスクプロファイルなどの要因を使用します。

Citrixのアイデンティティアプローチにより、企業は投資を維持できます。これにより、MFA、生体認証などのネイティブの IdP セキュリティ機能を使用して、ワークスペース内のユーザーを保護できます。特に、LDAP、RADIUS、TACACS、直径、および SAML2.0 認証メカニズムをサポートしています。

Citrix Gatewayは、ユーザーの利便性とリスクのバランスをとる柔軟性を提供するSmartSmartAccess およびSmartControlポリシーを提供します。SmartAccess スキャンの結果に基づいて、ユーザーにフルアクセス、制限アクセス、隔離、またはアクセスをまったく許可しないことができます。たとえば、デバイスコンプライアンスチェックに失敗したユーザーは、アプリケーションの数を減らすことができます。機密性の高いアプリケーションには、印刷やダウンロードのブロックなどの機能が制限されることがあります。SmartControlは、Citrix Gateway上でポリシー管理を一元化し、ユーザーがバックエンドリソースに到達する前にネットワーク層でのアクセス制御を強化します。

Citrix Gateway に関する追加情報については、Citrix Gateway の技術概要を参照してください

Citrix Secure Private Access

セキュアプライベートアクセスは、SaaSおよびWebアプリケーションへの即時シングルサインオン(SSO)アクセス、きめ細かな適応型セキュリティポリシー、すべてのアプリケーションに対するアプリケーション保護ポリシー、およびWebブラウザの分離を提供します。セキュアプライベートアクセスは、いくつかのCitrix Cloud サービスの要素を組み合わせて、エンドユーザーと管理者に統合されたエクスペリエンスを提供します。

  • MFA とデバイスの信頼
  • ウェブと SaaS SSO
  • Gateway
  • クラウドアプリコントロール
  • Secure Browser
  • アプリ保護
  • 分析

Citrix Secure Private Access に関する追加情報については、Citrix Secure Private Access 技術概要を参照してください

Citrix Secure Internet Access

Citrix Workspaceでは、インターネットへの安全なアクセスを実現する統合アプローチを提供します。セキュアインターネットアクセスは、ユーザーデバイスの管理に加えて、ユーザーのワークスペースを保護することに重点を置いています。許可リスト、禁止リスト URL、または URL カテゴリへのアクセスに関係なく、ユーザー情報は常に保護されます。

Citrix Internet Accessは、ブラウザ分離サービスと統合されたURLフィルタリングエンジンを提供します。隔離されたブラウザを提供することで、「グレーステータス URL」に対処します。ユーザーは、ブラックリストまたはホワイトリストに登録された URL の間にあるサイトに安全にアクセスできます。これらを組み合わせると、管理者は URL を完全にブロックするか、サンドボックス環境内の任意の URL にアクセスするかを選択できます。また、許可リスト URL にアクセスする場合でも、管理者は慎重なアプローチを取ることができます。

このアプローチにより、ユーザーは必要な情報にアクセスできるようになります。インターネットから配信される予期せぬ脅威や悪意のあるコンテンツに対する保護を提供しながら、生産性に影響を与えません。

許可リスト URL の信頼を前提とする、従来の URL フィルタリングエンジン。セキュリティで保護されたインターネットアクセスは、許可リスト URL を暗黙的に信頼しません。Web ページは URL フィルタリングエンジンによって安全と見なされ、悪意のあるリンクをホストする可能性があります。セキュアインターネットアクセスでは、信頼できる URL 内の URL もテストされます。

Citrix Secure Internet Access に関する追加情報については、Citrix Secure Internet Access 技術概要を参照してください

Citrix Content Collaboration

Citrix Content Collaboration は、機密性の高いビジネスファイルの安全な交換を可能にするクラウドベースのSaaS(サービスとしてのソフトウェア)ソリューションです。Content Collaboration は、転送中と保存中のファイルの両方を保護します。

Content Collaboration では、認証、承認、ファイル転送を保護するために TLS セキュリティプロトコルが使用されます。ファイルは転送中に最大 256 ビット暗号化で暗号化されます。キー化されたハッシュメッセージ認証コード(HMAC)を使用して、システム内通信の認証と整合性を確保します。

Citrix Content Collaboration は、管理者が構成可能なコントロールを提供します。管理者は、アクセス制御、監査ログ、アカウントロックアウト、セッションタイムアウトしきい値を使用して社内ドキュメントを保護します。Citrix Security Analyticsを使用すると、お客様はファイル関連のアクティビティの異常を検出し、違反を特定し、適切なアクションを実行できます。

Citrix Analytics

Citrix Security Analyticsとリスクスコアの継続的な監視と評価は、「信頼しない、常に検証」というゼロトラストの理念をサポートしています。リソースへのアクセスを提供する前に、適切なレベルのリスク/セキュリティ体制が計算されます。

Citrixセキュリティ分析では、すべてのCitrixサービスのイベントを集約します。Microsoft Security Graph などのサードパーティのセキュリティソリューションからのリスク指標は、ユーザーのリスクスコアを発行するために取り込まれています。Citrix Security Analyticsのベースラインは、信頼関係を視覚化およびマッピングするのに役立ちます。イベントとアクティビティを関連付けて、異常を特定し、ユーザー、グループ、アプリ別にインサイトを提供します。

Citrix Security Analyticsでは、Webサイトへのアクセスに関する継続的な監視と洞察も提供します。監視されるアクションには、悪意のある、危険な、または不明な Web サイトの訪問、消費された帯域幅、危険なダウンロード、アップロードアクティビティなどがあります。ユーザーが大量のデータをダウンロードしている場合は、ユーザーからの応答を要求して ID を検証するアクションをトリガーできます。ユーザー応答に基づいて、セカンダリアクションをトリガーできます。

ルールは、リスクスコアのしきい値を継続的に評価することにより、ユーザーアカウントで特定のアクションをトリガーするように構成されます。たとえば、Citrix Workspaceで認証されたセッションは、リスクスコアの変更時にログオフできます。

セキュリティ管理者は、ユーザーのリスクレベルが許容レベルを下回ると、アクセスを再度有効にできます。これらの機能は、ログオン時の状況要因に基づいて、またはCitrix Security Analyticsのトリガーに基づいて継続的にトリガーされます。Microsoft の Azure AD 保護など、Citrix サービスおよびサードパーティのセキュリティソリューションからのイベントとリスクインジケータを継続的に監視します。

ゼロトラスト関数

結論

従来のセキュリティモデルでは、すべてのデータとトランザクションが前提に基づいて信頼されることを前提としています。危害、データの消失、悪質なアクター、または特徴的なユーザー動作などのインシデントは、その信頼を低下させます。ゼロトラストは、すべてのデータとトランザクションが最初から信頼できないと仮定して、信頼姿勢を反転します。

組織にとって、ゼロトラストの約束と過度のアクセスの軽減は、長年にわたって目標でした。しかし、その実装はとらえどころのないものです。必要な要素はすべて、エンドツーエンドのセキュリティソリューションとしての構築と管理が非常に困難でした。これには、多要素認証 (MFA)、動的 ID 管理、エンドポイント分析、暗号化、情報権利管理 (IRM)、アプリケーション固有のネットワーク、およびデータ使用ポリシーが含まれます。

Citrix Workspaceを使用すると、お客様は、SSO、MFA、SSL VPN、Webプロキシ、およびブラウザー分離用にサードパーティ製品を展開する必要はありません。Workspace では、機密リソースへの VPN レスアクセスは、認証時にアクセスポリシーを提供するだけでなく、セッション全体を通じて保護されます。アクセスは、クラウド、オンプレミス、またはハイブリッド展開モデルのどこにでもデプロイされたあらゆる種類のアプリケーションとリソースにわたってセキュリティで保護されます。

技術概要:ゼロトラスト