ゼロ・トラスト・アーキテクチャ
概要
注:
ゼロトラストの新機能吗?ゼロ・トラスト・セキュリティとは何ですかとゼロトラストのためのCitrixソリューションについて学びましょう。
情報システムとデータを保護するための従来の境界ベースのアプローチでは不十分です。
長年にわたり,サイバーセキュリティのパラダイムは,中世から身近な物理的セキュリティの形態,城と堀をエミュレートしてきました。これは,多くの企業が採用しており,クラウドの世界では不十分なアプローチです。
この古典的な防衛モデルでは,しっかりと固定されたチェックポイントとゲートウェイを備えた複数の保護層が,クラウンジュエルを取り囲み,保護します。すべてのアクセスは,認証と認可が付与されたゲートウェイで制御および検証されます。しかし,一度検証されると,人々は効果的に環境の自由な手目を与えられます。
このモデルには,不十分な認証と認可による過度のアクセスを許可する欠点があります。攻撃者は,多くの場合,ゲートウェイや壁を壊すために設計された優れたツールをバイパスするためにサブターフュージを使用します。
同様に,サイバーセキュリティでは,貴重なデータは,ファイアウォール,セグメンテーション,認証,および承認の複数の層で囲まれています。そして,これらのコンポーネントは必要ですが,クラウドとモバイルへの移行によって引き起こされる”境界外化”のために不十分です。
このセキュリティモデルの問題は,ネットワークの壁内の個人またはサービスに付与される暗黙的または暗黙的な信頼です。デバイスまたはユーザーが常駐する場所またはネットワークは,信頼レベルの価値が暗黙的に付与されることはありません。プライベートネットワークもそれ上のデバイスも本質的に信頼できるものではないという前提をする必要があります。
組織は次の変数を組み込んだ複雑なモデルでクラウンジュエルをどのように保護しますか吗?
- ユーザー:企業のオフィスおよび公共の場所にあります
- デバイス:モバイル,自分のデバイスを持参(BYOD),自分のデバイスを選択(CYOD)および企業独自の個人対応(应付)
- アプリケーション:(イントラネット/ SaaS,ブラウザ,仮想化,モバイル)
- データアクセスとストレージ(オンプレミスとクラウド)
これらのアクセスのすべての側面を考えると,セキュリティ境界が責任になるように,堀に頼ります。
VPNは,ユーザーが企業以外の場所にいるときにエンタープライズアプリケーションやデータにアクセスするための従来の方法でした。このモデルは,エンドユーザーが承認された企業管理デバイスからのみ企業ネットワークにアクセスできるユースケースに有効です。
しかし,これが,VPNモデルが進化するユースケースのニーズを適切に満たしていない理由です。アプリは、Webベースのアクセス用に最新化され,マルチクラウド環境にデプロイされています。アプリケーション,データ,サービスは,データセンターの壁の中だけではありません。場所を移動し,動的になり,ユーザーはどこからでもリソースにアクセスできるようになり,組織には生産性を低下させずにすべてのリソースに簡単にアクセスできるフレームワークが必要です。クラウドアプリへの途中で企業VPN経由でユーザーアクセスを強制することは,エンドユーザーエクスペリエンスの上ではありません。
新しい戦略の要件は,リモートワーカーの必要性とともに加速されています。組織では,複数の場所に同時に存在するリソースの周囲に壁をどのように構築するのですか吗?
指導原則
ゼロトラストは”決して信頼せず,常に検証する”または生来の不信感(“デフォルト拒否”)を前提として動作します。ジョンキンダーヴォーグ,造語”ゼロトラスト”の複合問題を解決する方法として“deperimeterization”——それはより多孔性になるにつれて周囲の拡大と溶解。
ゼロトラストアーキテクチャの目的は,データを保護することです。これは,単一のネットワークアーキテクチャではなく,ネットワークインフラストラクチャの設計と運用における指針のセットです。ゼロトラストアプローチは,どこからでも,デバイスや方法を問わず,どこからでも存在するデータにアクセスするための,一貫したセキュリティ戦略を提供します。
ゼロトラストでは,物理的な場所またはネットワークの場所に基づいて,システムに暗黙的な信頼が付与されることはありません。このアプローチでは,発信元のリクエストの場所に関係なく,継続的な承認が必要となり,ネットワーク全体の可視性と分析が向上します。
ゼロ信頼は,フレームワークの意図的な実装によって達成されます。統合され,ゼロトラストの原則が組み込まれた一連の製品を使用することで,目的のビジネス成果を達成するための集合的なアプローチが提供されます。
ゼロトラストは,ネットワークだけでなく,組織,ユーザー,デバイス,ネットワーク,アプリケーション,および人々の働き方にも適用される戦略として捉えています。
Citrix零信托架构はリソースの保護に重点を置き,国立標準技術研究所(NIST)ゼロトラストの信念に基づいて設計および展開されています。
- すべてのデータソースとコンピューティングサービスはリソースと見なされます
- 企業とリモートの両方のネットワークは,本質的に敵対的であり,信頼できないため,ネットワークの場所にかかわらず,すべての通信が保護されます
- 個々のエンタープライズリソースへのアクセスは,セッションごとに付与されます
- リソースへのアクセスは,アイデンティティ,デバイス,アプリケーション,ネットワークの監視可能な状態を含み,動作属性を含めることができる動的ポリシーによって適用されます
- 本质的に信息されるデバイスががー存ー存ーためー资ー资をて，可能な限制保安
- すべてのリソース認証と承認は動的であり,アクセスが許可される前に厳密に強制されます
- 企業は,ネットワークインフラストラクチャと通信の現在の状態について,可能な限り多くの情報を収集します。このデータを使用して,セキュリティ体制を向上させます
ゼロトラストの柱
エンタープライズ信頼からゼロトラストへの移行には,トラストファブリックを構築するための戦略が必要です。組織は,デジタルトランスフォーメーションをサポートするために,現在の懸念事項を特定し,信頼ファブリックを定義する必要があります。アクセスは,データの機密性とデータの要求および使用状況に合わせて調整する必要があります。ゼロトラストは,ネットワーク上の人,デバイス,データ,ワークロードをきめ細かく識別する必要があります。
Citrixはこのコンテキストアクセスと呼んでいます。アクセスポリシーは,5 Wの访问全体で信頼要素を精査し,特定の使用資格を付与します。コンテキストアクセスは,継続的なプロセスです。リクエストイベントから,データセキュリティのライフサイクルを管理する特定のデータ使用資格と動的ポリシーまで拡張されます。
- 保護する必要があるデータはどれですか
- データの要求はどこから送信され,ネットワーク内のどこにありますか。
- データへのアクセス権を持っているのは誰ですか吗?
- なぜこれらの人々にアクセス権限が必要ですか吗?
- データへのアクセスが必要なのはいつですか
ユーザー
信頼されたユーザーの継続的な認証と承認は,ゼロトラストにとって重要です。アイデンティティーとは,リソースへのアクセスを要求している”誰が”です。ユーザー認証は動的であり,アクセスが許可される前に厳密に強制されます。それはアクセスの一定のサイクルです:
- 脅威のスキャンと評価
- 適応する
- 継続的な認証
- 監視
- ユーザーの信頼性の検証
IDには,アイデンティティ,資格情報,アクセス管理などのテクノロジの使用が網羅されています。アイデンティティーは,企業が開発したユーザーおよび属性のセットです。ユーザーと属性は,リソースアクセスのポリシーの基礎を形成します。ユーザーID には、論理 ID、生体認証データ、および動作特性の組み合わせを含めることができます。時間や地理位置情報などの ID 属性を使用して、信頼スコアを導き出し、リスクを動的に評価し、アクセスを適切に調整します。
認証(ユーザーとデバイスの両方)は,接続を確立する前に実行され,リソースへのアクセスは検証されたエンドユーザのみに最小化されます。ユーザーは継続的に認証され,各アクセス要求のIDとセキュリティポスチャが判断されます。これらの要件が満たされると,データリソースへのアクセスは,リソースが必要な場合にのみ許可されます。
デバイス
組織には,デバイスおよび所有権モデル全体で一貫したポリシー管理方法が必要です。管理者は,デバイス内でどのレベルの信頼性を判断できるかを判断できる必要があります。デバイスは”場所“の質問の一部です。リクエストはどこから来ていて,デバイスのリスクレベルは何ですか吗?リアルタイムのセキュリティ姿勢とデバイスの信頼性はゼロトラストアプローチの基本属性です。
従来，エンドポイントデバイスを见る，3つの一般的な所所モデル（企业没有，byod / cyod，cope）があり，それぞれ别无，信息，信息要素，検证の必要性异なり。ゼロゼロでは，その拥有の信息がされれデバイスのデバイスで検证が必要なりなりなりなりなりなりなりなりなりなりなりなりなりなり
ネットワーク
ゼロトラストアーキテクチャは,ネットワークセグメントではなく,リソースの保護に重点を置いています。ユーザ,デバイス,またはリソースのネットワークロケーションが,セキュリティポスチャの主要コンポーネントとして認識されなくなります。しかし,ネットワークをセグメント化,分離,制御する能力は依然としてセキュリティの柱であり,ゼロトラストネットワークにとって不可欠です。また,適切なアプリとワークスペースの配信モデルを選択する機能は,“場所“の質問の2番目の部分です。
ゼロトラストネットワークは,“境界なし”として説明されることがあります。ネットワークと運用において、境界保護の重要性は低くなっていると主張する人もいます。実際には、境界はまだそこにあるが、はるかに細かい方法で。ゼロトラストネットワークは、実際にはネットワークエッジから境界を移動し、セグメントを作成して、重要なデータを他のデータから分離しようとします。保護と管理を強化するには、境界をデータに近づける必要があります。そのため、伝統的な城と堀の接近だけでは不十分です。
インターネットベースのテクノロジの移行時には,次のことを考慮することが重要です。
- 特権ネットワークアクセスの制御
- 内部および外部データフローの管理
- ネットワーク内での横方向の移動を防止
- ネットワークおよびデータトラフィックに関する動的なポリシーと信頼性の決定
ワークロード
アプリレイヤーとコンピューティングコンテナーと仮想マシンを保護し,適切に管理することは,ゼロトラストの採用の中心です。テクノロジースタックを特定して制御できるため,よりきめ細で正確なアクセス決定が容易になります。当然のことながら,ゼロトラスト環境でのアプリへの適切なアクセス制御を提供するうえで,MFAはますます重要になっています。
ゼロトラストモデルの重要な点は,エンドユーザーが業務を行うために必要な特定のアプリにのみアクセスを許可することです。ネットワーク自体にアクセスすることはなく,攻撃対象領域を縮小することで,組織のセキュリティ体制を大幅に向上させます。
データ
顧客,従業員,パートナーはますますモバイル化が進んでおり,接続先となるすべてのネットワークからアプリやデータを他のリソースに消費します。ユーザーがデータにアクセスする場合、ゼロトラストモデルでは、適切なユーザーがその場所にいて、安全なデバイスを使用してデータにアクセスする権限があるという保証に対して、データの価値を重くします。
リソースへのアクセスに関する最小要件には,MFAやシステム設定の要求など,オーセンティケータ保証レベルを含めることができます。その人が企業ネットワークの内側か外にいるかは,これら3つの保証のいずれの信頼できる指標でもありません。ただし,海外のIPアドレスや予期しない時間枠内でのアクセスを拒否するなど,明白な異常または認可されていないネットワークロケーションにフラグを付けます。
可視性,分析,オーケストレーション
ゼロトラストアーキテクチャでは,アクセスの可視性を高める必要があります。セキュリティ情報管理,高度なセキュリティ分析プラットフォーム,セキュリティユーザーの行動分析などのツールなしでは不完全です。これらのシステムは,時間の経過とともにアクセス要求とポリシーの変更を継続的に監視およびログ記録しています。セキュリティ専門家は,何が起こっているかをリアルタイムで観察し,よりインテリジェントに防御を向けるために,これらのツールを必要とします。
分析は,サブジェクトとエンタープライズリソース間の接続の有効化,監視,および最終終了を行うシステムです。分析ポリシーエンジンは,特定のクライアントまたはサブジェクトのリソースへのアクセスを許可する最終的な決定を担当します。エンタープライズポリシーと外部ソースからの入力を使用できます。
分别データは，别々ににすること，他他のセキュリティ监视データセットやデータセットととわ复もできます复できできサービスます复できサービスは复できサービスは复复のサービスはソースソースから取得取得しししししししししししししししし部脆弱性に关键信息を提供します。データには，dnsブロックリスト，検出されたマルウェア，またはポリシーエンジンがシステムからのを拒否コマンドおよび制御が含まます。ポリシーエンジンは，実际のインシデントが発生する前にプロなセキュリティ対策を発するの役立ちます.Analyticsでは，条件に基础スコアリングをできますはは。
Citrixゼロトラストアーキテクチャ
境界ベースのセキュリティモデルからリソースベースのセキュリティモデルに移行する場合,Citrix工作区は,包括的なコンテキスト対応のVPNレスアプローチを使用します。
Citrix工作区は,アプリケーションとデータへのアクセスを制御する強制ポイントとして機能します。访问は固有の信頼に基づくのではなく,“デフォルトの拒否”から始まります。アクセスは,ユーザ,デバイスクレデンシャル,および時間,ロケーション,デバイスポスチャなどのその他の要因によってエンティティを検証した後にのみ許可されます。Citrix零信任は,想定された信頼を削除し,すべての段階で確認することで,これらの要因の複雑さを軽減します。
Citrix端点管理
Citrix端点管理では,デバイスの信頼を評価するためのデータ認証をサポートするデバイスポスチャの継続的な評価を通じて,デバイスのリスク/信頼レベルの質問に答えることができます。認証前および認証後のデバイス評価では,作業を安全に実行するために必要な承認がサポートされます。また,アクセスリクエストごとにさらに多くの評価が行われます。Citrix端点管理は、デバイスが侵害されたかどうか、ソフトウェアのバージョン、保護ステータス、暗号化の有効性を検査します。Citrix Endpoint Management ementを使用して、Endpoint Analysisスキャンを実行してプラットフォーム証明書をチェックできます。また、ドメインに参加しているデバイスとドメインに参加していないデバイスの両方の機能が含まれます。さまざまなレベルの信頼を、完全なデバイス管理、アプリ、またはブラウザからのアクセスに割り当てることができます。
Citrix网关
Citrix网关は,強化された柔軟なセキュリティアプローチを提供します。ユーザーの役割、場所、デバイスの状態などに基づいて、機密データにアクセスするための複数の認証手順を構成できます。Citrix Gatewayは、各セッションで使用する認証メカニズムを決定します。これは、ユーザーの場所やユーザーまたはデバイスのリスクプロファイルなどの要因を使用します。
Citrixのアイデンティティアプローチにより,企業は投資を維持できます。MFAこれにより,生体認証などのネイティブのIdPセキュリティ機能を使用して,ワークスペース内のユーザーを保護できます。特に、LDAP、半径、TACACS直径,およびSAML2.0認証メカニズムをサポートしています。
Citrix网关は,ユーザーの利便性とリスクのバランスをとる柔軟性を提供するSmartSmartAccessおよびSmartControlポリシーを提供します。SmartAccessスキャンの結果に基づいて,ユーザーにフルアクセス,制限アクセス,隔離,またはアクセスをまったく許可しないことができます。たとえば,デバイスコンプライアンスチェックに失敗したユーザーは,アプリケーションの数を減らすことができます。機密性の高いアプリケーションには,印刷やダウンロードのブロックなどの機能が制限されることがあります。SmartControlは,Citrix网关上でポリシー管理を一元化し,ユーザーがバックエンドリソースに到達する前にネットワーク層でのアクセス制御を強化します。
Citrix安全工作区访问
Citrix工作区では,インターネットへの安全なアクセスを実現する統合アプローチを提供します。安全工作空间访问はユーザーデバイスの管理に加えて,管理対象および管理対象外の自带食物デバイスの両方でユーザーのワークスペースを保護することに重点を置いています。許可リスト,禁止リストURL,またはURLカテゴリへのアクセスに関係なく,ユーザー情報は常に保護されます。
Citrix安全工作区访问は、URLフィルタリングエンジンと統合されたブラウザー分離サービスを提供します。これらを組み合わせると,管理者はURLを完全にブロックするか,サンドボックス環境内の任意のURLにアクセスするかを選択できます。また,許可リストURLにアクセスする場合でも,管理者は慎重なアプローチを取ることができます。このアプローチにより,ユーザーは必要な情報にアクセスできるようになります。インターネットから配信される予期せぬ脅威や悪意のあるコンテンツに対する保護を提供しながら,生産性に影響を与えません。
許可リストURLの信頼を前提とする,従来のURLフィルタリングエンジン。セキュリティで安全工作区访问は許可リストURLを暗黙的に信頼しません。これは、URLフィルタリングエンジンによって安全であると見なされ,悪意のあるリンクをホストする可能性があるWebページです。セキュリティで保護されたワークスペースアクセスでは,信頼されたURL内のURLもテストされます。
安全工作空间访问は分離されたブラウザを提供することにより,“グレーステータスURL”にも対応します。ユーザーは,ブラックリストまたはホワイトリストに登録されたURLの間にあるサイトに安全にアクセスできます。安全工作空间访问では,デバイスを管理する必要がないため,自带食物タイプの環境に最適です。ほとんどのURLフィルタリングエンジンは,管理されている,またはドメインに接続する必要があるエンドユーザーのデバイス上のPACファイルをプッシュします。
Citrix内容合作
Citrix内容协作は機密性の高いビジネスファイルの安全な交換を可能にするクラウドベースのSaaS(サービスとしてのソフトウェア)ソリューションです。内容合作は転送中と保存中のファイルの両方を保護します。
内容合作では,認証,承認,ファイル転送を保護するためにTLSセキュリティプロトコルが使用されます。ファイルは転送中に最大256ビット暗号化で暗号化されます。キー化されたハッシュメッセージ認証コード(HMAC)を使用して,システム内通信の認証と整合性を確保します。
Citrix内容协作は管理者が構成可能なコントロールを提供します。管理者は,アクセス制御,監査ログ,アカウントロックアウト,セッションタイムアウトしきい値を使用して社内ドキュメントを保護します。Citrix安全分析を使用すると,お客様はファイル関連のアクティビティの異常を検出し,違反を特定し,適切なアクションを実行できます。
Citrix分析
Citrix安全分析とリスクスコアの継続的な監視と評価は,“信頼しない,常に検証”というゼロトラストの理念をサポートしています。リソースへのアクセスを提供する前に,適切なレベルのリスク/セキュリティ体制が計算されます。
Citrixセキュリティ分析では,すべてのCitrixサービスのイベントを集約します。微软安全图などのサードパーティのセキュリティソリューションからのリスク指標は,ユーザーのリスクスコアを発行するために取り込まれています。Citrix安全分析のベースラインは,信頼関係を視覚化およびマッピングするのに役立ちます。イベントとアクティビティを関連付けて,異常を特定し,ユーザー,グループ,アプリ別にインサイトを提供します。
Citrix安全分析では、Webサイトへのアクセスに関する継続的な監視と洞察も提供します。監視されるアクションには、悪意のある、危険な、または不明な Web サイトの訪問、消費された帯域幅、危険なダウンロード、アップロードアクティビティなどがあります。ユーザーが大量のデータをダウンロードしている場合は、ユーザーからの応答を要求して ID を検証するアクションをトリガーできます。ユーザー応答に基づいて、セカンダリアクションをトリガーできます。
ルールは,リスクスコアのしきい値を継続的に評価することにより,ユーザーアカウントで特定のアクションをトリガーするように構成されます。たとえば,Citrix工作区で認証されたセッションは,リスクスコアの変更時にログオフできます。
セキュリティ管理者は,ユーザーのリスクレベルが許容レベルを下回ると,アクセスを再度有効にできます。これらの機能は,ログオン時の状況要因に基づいて,またはCitrix安全分析のトリガーに基づいて継続的にトリガーされます。微软のAzure广告保護など,Citrixサービスおよびサードパーティのセキュリティソリューションからのイベントとリスクインジケータを継続的に監視します。
結論
従来のセキュリティモデルでは,すべてのデータとトランザクションが前提に基づいて信頼されることを前提としています。危害,データの消失,悪質なアクター,または特徴的なユーザー動作などのインシデントは,その信頼を低下させます。ゼロトラストは,すべてのデータとトランザクションが最初から信頼できないと仮定して,信頼姿勢を反転します。
組織にとって,ゼロトラストの約束と過度のアクセスの軽減は,長年にわたって目標でした。しかし,その実装はとらえどころのないものです。必要な要素はすべて,エンドツーエンドのセキュリティソリューションとしての構築と管理が非常に困難でした。これには,多要素認証(MFA),動的ID管理,エンドポイント分析,暗号化,情報権利管理(IRM)アプリケーション固有のネットワーク,およびデータ使用ポリシーが含まれます。
Citrix工作区を使用すると,お客様は,SSO, MFA, SSL VPN网络プロキシ,およびブラウザー分離用にサードパーティ製品を展開する必要はありません。工作区では,機密リソースへのVPNレスアクセスは,認証時にアクセスポリシーを提供するだけでなく,セッション全体を通じて保護されます。アクセスは,クラウド,オンプレミス,またはハイブリッド展開モデルのどこにでもデプロイされたあらゆる種類のアプリケーションとリソースにわたってセキュリティで保護されます。