ZTNA（ゼロトラストネットワークアクセス）とは

ZTNA（ゼロトラストネットワークアクセス）は、「信頼できることを証明できない限りは何も信頼しない」というコンセプトに基づいた製品もしくはサービスです。リソース（サーバ、アプリケーション、サービス）を利用するためには、ユーザ属性、端末属性、環境属性を提示し信頼できることを証明します。2020年に米国国立標準技術研究所（NIST）が「SP 800-207, Zero Trust Architecture」を公開しました。この文書には、ゼロトラストの７つの理念が記載されています。

1. 全てのデータソースとコンピューティングサービスはリソースとみなす
2. ネットワークの場所に関係なく全ての通信を保護する
3. 企業リソースへのアクセスは、セッション単位で付与する
4. リソースへのアクセスは、クライアントID、アプリケーション、要求する資産の状態、その他の行動属性や環境属性を含めた動的ポリシーによって決定する
5. 企業は、全ての資産の整合性とセキュリティ動作を監視し、測定する
6. 全てのリソースの認証と認可は動的に行われ、アクセスが許可される前に厳格に実施する
7. 企業は、資産やネットワークインフラストラクチャ、通信の現状について可能な限り多くの情報を取集し、それをセキュリティ対策の改善に利用する

（上記は、PwCコンサルティング合同会社による日本語訳となります。）

出典：PwCコンサルティング合同会社
NIST SP800-207 「ゼロトラスト・アーキテクチャ」の解説と日本語訳
<https://www.pwc.com/jp/ja/knowledge/column/awareness-cyber-security/zero-trust-architecture-jp.html>

ZTNAは上記の理念を基盤としたネットワークアクセスの製品/サービスです。ZTNAでは、端末が接続しているネットワークを組織の内部ネットワークや外部ネットワークとして区別することなく、端末とリソース間の通信はマイクロセグメンテーションし、ユーザ情報、端末情報、接続元のロケーション情報、時間を利用して、認証・認可を動的に実施します。

ZTNAが求められる理由

現在、組織リソースにアクセスするためには、組織ネットワークに所属していることが重視され、それ以外の端末情報などは考慮されないのが一般的です。悪意ある人が組織ネットワークに所属してしまえば、組織リソースにアクセスし重要な情報を盗まれてしまう恐れがあります。

ZTNAでは、このような組織ネットワークに所属することだけを信頼のよりどころにするのではなく、組織リソースにアクセスするときに、ユーザ属性、端末属性、環境情報などのいろいろな情報をもとに認証・認可を実施します。

このことにより、信頼されたユーザだけがリソースへのアクセスを許可されます。リソースへのアクセス権限は最終的にはアプリケーションで設定されますが、まずは、リソースを可視化し通信できるかどうかをZTNAで制御します。リソースにアクセスできてしまえば、アプリケーションが設定したアクセス権限を回避して重要情報にアクセスできてしまうかもしれません。

ZTNAを導入することにより、組織リソースへのアクセスを厳格に制御することができ、組織のセキュリティを高めることができます。

ZTNAのタイプ

ZTNAには、主にオンプレミス環境に対応できるSDP(Software Defined Perimeter)モデルとSaaSとしてZTNAサービスを提供しているクラウドサービスモデルがあります。どちらのモデルが優れているというものではありませんので、自組織のネットワーク環境に応じたモデルを選択することになります。上記２つのモデルの主な違いについて記載します。

ZTNAの基本的な動作

ZTNAでは、①信頼される人物が、②信頼される端末で、③信頼される状態、および、④信頼される環境からのみリソースへのアクセスを可能とします。このことにより、過度な暗黙的な信頼を取り除きます。

①信頼される人物を特定するためにはユーザ認証が必要となりますが、一般的なユーザクレデンシャル（ユーザID/パスワード）の認証だけでは、安全性を十分確保できたとは言えない場合があります。その場合は、ワンタイムパスワード等による多要素認証を利用します。ユーザ認証に成功すれば、ユーザ属性情報を取得することができます。

ユーザ認証が成功して人物が特定できれば十分かというと、ユーザクレデンシャルが盗み取られている恐れを考慮すると、ユーザ認証だけでは十分とは言えません。よって、次は、信頼される端末からのリソースアクセスであることを証明します。

②信頼される端末であることの証明は、組織が利用を許可している端末かどうかを端末属性情報（シリアル番号、レジストリ値、MACアドレス等）で確認することができます。

さらに、リソースアクセスには、端末の状態に異常がない信頼される状態の端末であることを証明します。

③信頼される状態と考えられる例としては、組織が導入しているEPP(Endpoint Protection Platform)やEDR(Endpoint Detection and Response)のサービスが端末で起動している状態、さらに、異常が検知されていない状態があります。

信頼される人物が、信頼される状態の信頼される端末からリソースにアクセスすればアクセスを許可して良いかというとこれだけでは十分ではない場合が考えられます。機密性が高いリソースには、ある特定なロケーションからしかアクセスさせないという場合もあるでしょう。
また、業務時間帯以外でのリソースへのアクセスは異常なアクセスと考えても良い場合があります。よって、信頼される環境（時間も環境の一部と考えます）からのアクセスであるかを証明します。

④信頼される環境とは、信頼されるネットワーク（例えば組織の特定なネットワークや日本国内のインターネット）、リソースアクセスを許可された時間帯などです。

ZTNAを構築するためには、上記で説明した４つの信頼を証明することが必要となります。

ZTNA導入のポイント

ZTNAを導入するときには、以下のポイントを考慮します。

1. 保護対象リソースのロケーション把握
   組織の保護したいリソースのロケーションを把握します。例えば、保護対象リソースが、オンプレミス環境、クラウド環境のいずれかに存在するか、それとも共存しているかにより、選択するZTNA製品/サービスは異なってきます。
   
   
2. 保護対象リソースのサービス種類把握
   組織の保護したいリソースはどのようなサービスなのかを把握します。例えば、保護対象リソースがWebアクセスでサービスを提供しているものか、ファイルサーバなのか、アプリケーション専用のクライアントソフトウェアを利用するものか、保護対象リソースから端末に対して発信があるものか、などです。ZTNA製品/サービスによっては、対応できないサービスがあります。
   
   
3. ユーザ認証に利用する認証基盤(IdP)
   ZTNAでは、ユーザ認証が必須となりますが、ZTNA製品/サービスによっては、対応している認証基盤(IdP)に制限があるものがあります。また、多要素認証を利用したい場合は、多要素認証に対応しているZTNA製品/サービスを選択します。
   
   
4. 他セキュリティ製品との親和性
   組織では、いろいろなセキュリティ製品/サービスを導入しています。ZTNA製品/サービスを導入するときは、既存のセキュリティ製品/サービスと連携がとれるか、反対に、既存のセキュリティ製品/サービスを置き換えることが必要なのかを調査する必要があります。例えば、ZTNA製品/サービスによっては、EDR/EPPと連携し、端末の異常を検知し、認証・認可に利用できるものがあります。
   
   
5. ZTNAコンポーネントへの攻撃対応
   ZTNAコンポーネントを不正な攻撃（例えばDDoS攻撃など）から保護する手法としてSPA(Single Packet Authorization)があります。ZTNA製品/サービスがSDPモデルの場合は、SPAをサポートしているかどうかは重要なポイントになります。
   
   
6. クライアントサポート
   現在、組織ではいろいろな種類の端末が使用されています。Windows端末以外にも、macOS端末、モバイル端末が利用されています。組織で使用している端末の種類すべてに対応しているかどうかは重要なポイントになります。

おわりに

一般的に、SASE(Secure Access Service Edge)製品/サービスの導入が組織リソースへのアクセスのセキュリティを高めるために有効なソリューションといわれていますが、ZTNAは、SASEを構成する製品/サービスの一つであり、SASEでセキュリティ構築をするための重要な第一歩目の製品/サービスとなります。ぜひZTNAの導入をご検討ください。