パルスセキュアのSDP Software-Defined Perimeter · sdpを使用したパルスセキュアのセキュアアクセスパルスセキュアのsdpソリューションは、ユーザーの使うデバイスとユーザーがアクセスするリソースの間に、均一のセキュ

概要今日の主流となりつつあるマルチクラウド環境の世界は、物理的なネットワークの境界（ペリメーター）を基準としたセキュリティモデルでは、もはや十分とはいえません。従業員、契約社員、パートナー、顧客などのユーザーは、データセンター、クラウド上のアプリケーションとリソースに対して、社内外問わず、どこからでもアクセス可能であることを期待しています。SDPアーキテクチャは、新旧さまざまなハイブリッドIT環境が混在するような、たとえばヘルスケア医療、製造業、金融サービスといった業種に適用できる、画期的な「ゼロトラスト」モデルを提供します。

SDPは、アプリケーションとリソースへの直接的かつ保護されたアクセスを許可する前に、「最初に認証して、正しいユーザーであることを確認する」アプローチを取っています。アクセスの許可は、ネットワークアーキテクチャに依存することなく、重要なセキュリティ強化を実施した上で実行されます。アプリケーションへのアクセスは、アプリケーションとユーザーの両方に対して、個別に制限を設定できます。リソースへの対応は、明確な認証、コンプライアンスチェック、承認などの強固なセキュリティとデータ保護が完了するまでの間、すべてのユーザーとデバイスに対して、非表示やアクセス不能の状態になります。結果として、ハッカーは見えないものを攻撃できない状態になり、ネットワーク経由での攻撃対象自体が減少する「ダーククラウド」になります。

このホワイトペーパーでは、SDPが求められる背景、コントロールプレーンとデータプレーンの分離など、アーキテクチャの構成要素について解説します。またビジネス、CIO、CISO、セキュリティ専門家、ユーザーにとってどのような利点があるのか、分かりやすくご紹介します。

WHITE PAPER

パルスセキュアのSDP Software-Defined Perimeter ゼロトラスト（ヒトもデバイスも信頼しないことが前提の世界）でのセキュアアクセス

SDPアーキテクチャは、新旧さまざまなハイブリッドIT環境が混在するような、たとえば、ヘルスケア/医療、製造業、金融サービスといった業種に適用できる、画期的な「ゼロトラスト」モデルを提供します。

はじめに従来のネットワークアーキテクチャは、社内ネットワークにアクセスしたユーザーが、社内のリソースに接続するための方法として進化してきました。ところが、モバイル、クラウド、BYODの活用に伴い、新たな脅威が増大していることから、従来の限定的な領域を想定したセキュリティモデルでは、柔軟性、安全性、接続性に課題があることが明確です。しかし、クラウドや仮想化といった技術の発達が、急速に変化するビジネスやユーザーのニーズに対応し、初期接続が確立される前にエンドツーエンドのセキュリティを強化できる、より柔軟性の高いネットワークアーキテクチャの実現を可能にしています。

クラウドと仮想化技術を活用し、認証と承認をアーキテクチャに直接統合することで、SDPは「ゼロトラスト」あるいは「最少権限」のトラストモデルに基づき、効果的な分割とキメ細かなアクセス制御を可能にします。これにより、どのユーザーが特定のリソースへアクセス可能にするかの制御を、複雑なポリシー設定やコマンドラインを使用することなく容易に実現します。

このホワイトペーパーでは、SDPをセキュアアクセスの新たな手法として解説します。これは、ユーザーとリソース間の個々の接続がオンデマンドで作成される「最少権限のアクセス許可モデル」に基づいています。「事前に設定されたトラスト」あるいは「ゼロトラスト」の条件に応じて、また「承認された」あるいは「要求された」といった異なるタイプとレベルのセキュアな接続を作成できます。ゼロトラストと最少権限のセキュリティアクセスモデルに加え、このホワイトペーパーでは、クライアントベースおよびクライアントレスのセキュアアクセス、クラウドおよびデータセンターベースのアプリケーション、社内外のユーザーなどを対象にした、パルスセキュアのSDPアプローチについても解説しています。オンデマンドVPNトンネル、アプリケーションごとのVPN、Wi-Fi、LAN、PTP、およびプロキシーベースの接続オプションなども含まれます。

セキュアアクセスとSDPパルスセキュアは、SDPの実現に向けて、以下のような多数の主要コンポーネント、技術、機能を提供します。:

• 集中型ユーザー認証• デバイスのコンプライアンスチェックとアクセス承認• アプリケーションごとの異なる接続オプション• クラウドおよびデータセンターで稼働する、すべてのアプリケーションのサポート• 多様な内部および外部ユーザーシナリオ

承認（コントロールプレーン）とアクセス（データプレーン）の機能を分離、クラウドと仮想化技術を用いて、SDPの展開を強化します。広範囲におよぶ構成変更、複雑な管理、異なる技術の統合を行うことなく、たとえば使用しているデバイスの種類に応じて、アプリケーションごとのアクセス許可を設定するなど、さまざまなユーザーシナリオを作成できます。

次のいくつかのセクションでは、SDPとは何か、主要コンポーネントとは何か、その本質は何か、そしてパルスセキュアが現在何を提供し、将来何を目指しているかについて解説します。

1

Pulse Secure’s Software-Defined Perimeter

SDPは「ゼロトラスト」あるいは「最少権限」のトラストモデルに基づき、効果的な分割とキメ細かなアクセス制御を可能にします。これにより、どのユーザーが特定のリソースへアクセス可能にするかの制御を、複雑なポリシー設定やコマンドラインを使用することなく容易に実現します。

SDPを構成するコンポーネント典型的なSDPリファレンスソリューションは、安全な接続、施行、管理を可能にする3つの異なるコンポーネントで構成されています。

SDPの「ゼロトラスト」モデル SDPの設計思想における大原則は、クラウドまたは非クラウド上のリソースおよびアプリケーションと、社内外からアクセスしてくるユーザーおよびそのデバイスのセキュリティを一元化することです。安全性を確保するため、厳格な認証と承認が、ネットワークへの接続が確立される前に実施されるようアーキテクチャに組み込まれています。それぞれの接続は1対1であり、オンデマンドによる接続です。これにより、不可視化され発見が困難な状態の（見えないダークな）サービスやネットワークセグメントをもつアクセスモデルが提供されるため、外部からの攻撃が劇的に減少します。

ネットワークに接続する前に、認証および承認を実施ユーザーとデバイスの認証および承認は、いかなるケースにおいても、ネットワークへの接続が確立される前に実施する必要があります。認証および承認が正しく実行されると、それぞれのユーザーが持つ権限に応じて、アプリケーションやリソースへのキメ細かなアクセスを提供するための信頼が確立されます。時刻、地理的な位置、ユーザーの役割や評価、デバイスの評価、コンプライアンス準拠といった、ユーザー、デバイス、アプリケーションのコンテキストに基づいて、アクセスが許可されます。

オンデマンド接続1対1のオンデマンド接続は、オーバレイネットワークモデルを使用して確立します。マイクロセグメンテーションは、アプリケーション、リソース、およびアクセス権限に対して適用されます。異なる種類のセキュアな接続は、アプリケーションまたはリソースのセキュリティ要件に合わせて動的に確立されます。

SDPコントローラコントローラは「コントロールプレーン」として機能し、ネットワークトラフィックが特定のリソースにアクセスするのを許可します。コントロールプレーンは中央集中型のポリシー管理とAAA（Authentication、Authorization、Accounting）サービスを提供します。また、SDPクライアント、認証局、IDプロバイダー間のトラストブローカーとしても機能します。

SDPクライアントデバイスとユーザーIDの検証とルーティングにより、ホワイトリストに登録されたデータセンター上のアプリケーションと、承認され保護されたクラウド上のアプリケーションにアクセスできます。

SDPゲートウェイ「データプレーン」として機能するゲートウェイ

は、SDPコントローラによって指定されたリソースに、ネットワークトラフィックを割り当てます。それは、SDPクライアントからの相互TLS接続のための終端またはアクセスポイント、およびアプリケーションリソースの可視化または不可視化されたエンドポイントとしての役割を果たします。SDPゲートウェイは、データパスにおけるポリシー適用を図る上での重要ポイントになります。

アプリケーションリソース

SDPクライアントデータセンター

SDPコントローラ

SDPゲートウェイ



図 1 — SDP アーキテクチャの概要

2


SDPを使用したパルスセキュアのセキュアアクセスパルスセキュアのSDPソリューションは、ユーザーの使うデバイスとユーザーがアクセスするリソースの間に、均一のセキュリティで保護された領域（ペリメーター）を確立します。この柔軟なゼロトラストのアプローチは、従来の複数製品を組み合わせた最善のソリューションに比べ、多大なメリットをもたらします。つまり、認証と承認はポリシーによって強化され、アクセス制御はよりキメ細かくカスタマイズが可能で、外部や内部の攻撃からリソースを見えなくすることができます。.

認証と承認異なるセキュリティレベルに対応した、複数のトラストモデルパルスセキュアのSDPは、アプリケーションとリソースのセキュリティ要件に合わせて、複数の柔軟なトラストモデルを用意しています。

• ゼロトラスト（認証、承認が必須）、最少特権の接続、自由度の高い接続• クライアント、クライアントレス• マルチファクター認証（MFA）、レピュテーション、コンテキストベースの承認/許可• 権限付きアクセス、制限付きアクセス• マイクロセグメンテーション

ユーザー権限に応じた職務の分離よりキメ細かなアクセス承認制御とマイクロセグメンテーションのサポートにより、高い権限を持つユーザーは、アプリケーションのさまざまな特権部分や非特権部分にアクセスするため、異なるセッション、デバイス、ユーザー資格情報、認証レベルが必要になります。特定のリソースやアプリケーションへのアクセスを要求する取引先や契約社員などのユーザータイプに対しても、同様にさまざまな制御を実行します。

アクセスとポリシー施行キメ細かなアクセス制御パルスセキュアのSDPは、ポリシーに即したオンデマンド接続で、必要に応じてユーザーごとにアプリケーション、リソース、サブセグメントにキメ細かなアクセスを提供します。また、社内ユーザー（従業員、契約社員）と特権ユーザー（管理者、開発者、データサイエンティスト）から、外部のユーザー（パートナー、顧客）を分離します。

統合ポリシーと施行 SDPは、統合されたポリシーモデルとSecure Access施行アーキテクチャを提供します。これは、社内のデータセンター（プライベートクラウド）、パブリッククラウド（SaaS、IaaS、PaaS）のアプリケーション、そして社内外のユーザーおよびデバイスに適用されます。

一貫した集中型ポリシーとその構成ポリシーと構成情報の集中化および統合化により、接続とアクセスポリシーを実施するすべてのインスタンスでより一貫性が向上します。これにより、手動またはカスタムエラーが少なくなり、構成変更やポリシーの重複による複雑性が回避され、最終的にはより高度なセキュリティが実現します。

接続と管理ニーズに基づく接続これは、ダークサイトやダーククラウドのサポートとしても知られていて、そこではサービスやリソースは、内部や外部からのアクセスから完全に隠され、隔離された状態にあります。ユーザーとそのデバイスが一元的に認証、承認されるまで、サービスは接続要求やアクセス要求を受け付けません。この「接続前に認証する」アプローチの利点は、悪質なリクエストを受け付けないことによる容易なDDoS攻撃の阻止にあります。

可視化オンデマンド接続のための異なるタイプとセキュリティモデルがあれば、必要に応じてアプリケーションリソースへの要求を監視、記録、監査することができます。これにより、クラウドやデータセンターへのアクセスの可視化、解析、コンプライアンスレポートが提供され、セキュリティの課題、例外、異常に対しての自動修復が実現されます。

3


SDPの具体的な使用方法SDPは、社内ユーザー（従業員、契約社員）および社外ユーザー（ゲスト、パートナー）向けに、3つの主要なアクセスモードを提供します。

（１）クライアントレス、ブラウザベースでのアクセス最も一般的な例は、ユーザーが持つデバイスのブラウザからリソースにアクセスする方法です。その際、SAMLによるリソースに対する認証またはSecure Password Authentication（SPA）を使用します。バックエンド経由でアプリケーションへの管理者権限によるアクセスも可能です。

（２）SDPクライアントを持たない、モバイル利用に対応したアプリケーションへのアクセスモバイルユーザーは、デバイス上の特定リンクあるいはアプレットを使用して、SalesforceやDropboxなどのアプリケーションにアクセスします。アプリケーションによって異なりますが、セキュリティはビルトインタイプとセパレートタイプがあります。

（３）SDPクライアントでのアクセス SDPゲートウェイあるいはSPA経由でアプリケーションとリソースにアクセスします。

これら3つのアクセスモデルを前提として、ユーザーの場所、リソースの場所、ユーザーの持つ権限レベルに応じて、以下のような使用例が可能になります。

データセンター




WiFi/LAN

TLS

PTP/プロキシー

(app)-VPN

データベース

MICROSVC



SDPコントローラ

従業員 SDPクライアント社内の従業員がSDPクライアントを使用し、企業ネットワーク経由でデータセンターアプリケーションにアクセス

従業員 SDPクライアント

従業員ブラウザ

リモートアクセスの従業員がブラウザを使用し、データセンターアプリケーションにアクセス

ゲストブラウザ社内のゲストがブラウザを使用し、IaaS /クラウドアプリケーションにアクセス

パートナーブラウザパートナーがブラウザを使用し、IaaSとデータセンターの両方のアプリケーションにアクセス

DevOps管理者 SDPクライアントローカルまたはオンプレミスのDevOps管理者がSDPクライアントを使用し、

クラウド上のIaaSアプリケーションインフラストラクチャーにアクセス

SDPクライアントローミングまたはリモートでアクセスのDevOps管理者がSDPクライアントを使用し、社内のプライベートクラウド上にある、データベース、アプリケーションサーバ構成などのアプリケーションインフラストラクチャーにアクセス

SDPクライアントローミングユーザーまたはDevOps管理者がSDPクライアントを使用し、「隠されている」クラウドアプリケーション（権限付もしくは権限なしのマイクロセグメンテーション）にアクセス

従業員モバイルクライアント

モバイルワークの従業員が、Wi-FiもしくはローミングによるOutlook VPNトンネルを使用し、モバイルデバイスのOutlookクライアントからオンプレミスのExchangeサービスにアクセス

ローミングまたはリモートでアクセスの従業員がSDPクライアントを使用し、クラウドアプリケーション（IaaSまたはSaaS）にアクセス


DevOps管理者

DevOps管理者

図 2 — SDP使用例

4


パルスセキュアからの価値提案日々変化するビジネス要件に適応しながら成長を続ける真のSDPアーキテクチャは、データセンターとクラウド上のアプリケーションの両方に対して、分散マイクロセグメント化されたアプリケーションやリソースへのアクセス制御だけでなく、集中型のポリシー管理と承認機能を備えている必要があります。

マイクロセグメンテーションによるセキュアアクセスは、IPアドレスに基づかないアプリケーション/サービス集中型ポリシーと、集中型リポジトリに基づいたSDN内の分散ポリシー施行を備えた、SDNネットワークセグメントアクセスモデル上に構築されます。この環境におけるトラストモデルは、SDNネットワークセグメントアクセス上にゼロトラストモデルを構築し、特権ユーザーに対して個別のセグメントを提供します。.

パルスセキュアは、IT組織内で定義づけられている4つのレイヤー（ユーザーと情報、アプリケーション、デバイスとインフラストラクチャー、ネットワーク）に展開することで、このモデルを拡張しています。その最大の目的は、ユーザーあるいはIoTデバイスが情報を作成、保存、読み出す際にセキュアアクセスを提供することです。これは、クラウドおよびエンタープライズアプリケーションへ接続する際、公衆ネットワークや企業ネットワークなど、有線、無線で接続するクライアントへのサービスを対象としています。

セキュアアクセスは、レイヤー間の相互信頼関係に基づいてアクセスを許可します。いくつかの使用例は、すでに確立された暗黙の信頼関係に基づいてアクセスを提供しますが、他の使用例では明確な信頼関係が確認されて初めてアクセスが許可されます。たとえば、企業LANに接続している従来型のPCユーザーは、オンプレミス上のほとんどの企業アプリケーション

（ファイル共有、メールサーバー、イントラネットサーバーなど）にアクセスする際、当然のように信頼されています。一方で、モバイルユーザーの場合の信頼関係はまったく異なります。まず、ユーザーはエンドポイント管理ソリューションによって、インストールおよび保護されたモバイルアプリケーションで認証される必要があります。その上で、企業Wi-Fi接続用のデバイスプロファイルを使用して、ファイアウォールの背後にあるエンタープライズアプリケーションにアクセスします。ユーザー権限とプロファイルに応じて、アプリケーションのどの部分、どの情報にアクセス可能かを決定します。.

SDPの展開と構築されるトラストモデルは、今日のパルスセキュアのソリューションポートフォリオとの整合性が高く、統合されていることから、すべてを入れ替える必要がありません。新規または移行されたアプリケーションにSDPスタイルのセキュリティを追加するには、別のSDPゲートウェイインスタンスを展開するか、既存のプールや接続ドメインにアプリケーションを追加し、適切なポリシー設定を行うだけです。

ユーザーと情報

IOT

アプリケーション

デバイスとインフラストラクチャー

信頼関係に基づくセキュアアクセス

ネットワーク

APP

5


図 3 — SDP 展開とトラストモデル

このアプローチは、顧客のデータセンターやマルチクラウド環境を保護するために、長年使用されてきたパルスセキュアの実証済み機能を活用しており、SDP環境への拡張も可能にするものです。

認証、承認パルスセキュアのSDPアーキテクチャは、クラウドとオンプレミスのアプリケーションに対して、単一の認証と承認を提供します。これには、あらゆる事前接続時の認証および接続後のホスト/デバイスのセキュリティコンプライアンス検証が含まれています。

ホストチェックホストチェッカーが、高度なマルウェア保護、アンチウィルスソフトウェア、ファイアウォール、スパイウェア、特定のオペレーティングシステムなど、エンドポイントデバイスの状態を確認します。コンプライアンス違反のあるデバイスに対しては、修復あるいは隔離することが可能です。

アプリケーションとリソースへのキメ細かなアクセス拡張ポリシーは、特定のアプリケーションやリソースへのアクセスを、特定のユーザーに制限する機能を提供します。これにより、データの損失や漏洩の可能性が低減します。

役割あるいはレルム（領域）に基づいた承認特権を持つユーザーを含むユーザーをグループ化して、異なるクラスのアプリケーションやリソースへのアクセスを有効、あるいは無効にします。これにより、個々のユーザーやアプリケーションを管理するための管理上のオーバーヘッドが軽減されます。

マルチファクター認証（MFA）とデバイス固有のポリシーMFAとデバイス固有のポリシーは、ユーザーを分離したり、特定のデバイスタイプと認証レベルに基づいてアクセスを制限するために使用する、役割ベースのアクセス制御（RBAC）を提供します。

アプリケーションと接続タイプによる分類NACベースのWi-FiやLANマイクロセグメントなどのタイプに応じて、オンボードで迅速な接続を行い、プロビジョニング時間を短縮します。

ローカルやリモートワーカーのためのオンデマンドとアプリケーションごとのVPN接続がサポートされているため、ユーザーがアクセスしようとする場所に関係なく、接続の安全性は完全に保たれます。

パススループロキシあるいはリバースプロキシ接続により、より多くのアプリケーションおよびクラウド上あるいはファイアウォールの背後にあるサーバーリソースへの、より安全なアクセスが可能になります。

パルスセキュアのvADCおよび負荷分散アプリケーションの活用により、トラフィックのリアルタイム検査およびルーティング、サービスレベルの制御を行い、全体のコスト削減を実現します。

将来展望ポリシーは、集中型SDPコントローラと分散型SDPゲートウェイを使用して、柔軟で高速かつ安全な接続を可能にするSDPアーキテクチャにおいて、極めて重要な要素です。統一された自然言語ポリシーは、特定のアプリケーション、リソース、情報へのアクセスを制御することによって、データの消失や漏洩を軽減します。

ユーザー、デバイス、またはアプリケーションの要件に従って、ダイナミックな接続形態を目指すSDPのようなセキュリティモデルは、アプリケーション単位の、あるいはNACにより制御されている接続形態から自然に拡張されています。これにより、ネットワークはさらに保護され、マルウェア侵入の可能性が減少します。さらに、ポリシーを使用してSDPクライアントを統合して強化することで、ダイナミックな個別の接続オプションを使用して、真のゼロトラストセキュリティを実現します。また、SDPゲートウェイのデータパス（VPN、NAC、LB、vTM、WAF）を介してアプリケーションの可視性を実現することで、アプリケーションの安定稼働を保証し、24時間365日、場所を問わずにセキュアアクセスを提供するという、大変魅力的な価値がもたらされます。

6


結論ゼロトラストモデルは、これまでのセキュアアクセスのメカニズムを、データセンターやクラウド上のユーザー、デバイス、アプリケーション/リソース間における認証、コンプライアンス対応、保護された接続を提供するように、進化させることを目指しています。そして実際、パルスセキュアのセキュアアクセスソリューションは、常にゼロトラストモデルに対応しています。

SDPは、セキュリティ全体に画期的な恩恵をもたらします。それは、ハッカーに対してはリソースを「見えにくい」状態に、ユーザーには常時接続を可能にし、ネットワークにおいては弾力性と柔軟性を高めて、マルウェアの侵入を防ぎます。

SDPは、他のセキュアアクセスモデルを除外したり、無効にするという意味ではありません。またすべてのシナリオやリソースが、常に真のゼロトラストベースのポリシーを必要とするわけでもありません。保護されたアクセスを提供するために、異なるアプリケーションや情報の階層を、安全なアクセスポリシーとともに、信頼できる領域として定義することができます。パルスセキュアは、ハイブリッドITへの移行を進める企業にとって、SDPとセキュアアクセスモデルを実現するための多くの経験、ソリューションポートフォリオ、コアとなる能力を備えています。セキュリティとコンプライアンスを強化し、真の労働力の機敏性を実現し、ビジネスの反応性を高めたい企業や組織は、SDPがビジネス要件にいかに対応できるか、いち早く検討する必要があります。.

パルスセキュアとはパルスセキュアは、ヒト、デバイス、モノ、サービスを対象に、安全で信頼性の高いシームレスなアクセスソリューションを提供することに特化した会社です。ハイブリッドIT環境で、クラウド、モバイル、アプリケーション、ネットワークアクセスを独自に統合するスイート製品を提供。国や業界を問わず、世界20,000社を超える企業およびサービスプロバイダーに、お使いいただいています。すべてのモバイル環境で仕事をするすべてのビジネスパーソンに対し、コンプライアンスを遵守しながら、データセンターおよびクラウド内のアプリケーションや情報に安全にアクセスする支援をしています。詳細は弊社Webサイト（www.pulsesecure.co.jp）をご覧ください。

www.pulsesecure.co.jp [email protected]

パルスセキュアジャパン株式会社

Copyright 2018 Pulse Secure、LLC. All rights reservedPulse SecureとPulse Secureロゴは商標登録されています。

パルスセキュアジャパン株式会社では、このWebサイトを予告なしに変更、訂正、改良する権利を有しています。サイトには正確な情報を掲載するよう努めますが、掲載内容について一切の責任を負いません。

また、このサイトの利用によって直接または間接に生じるいかなる責任をも負いません。なお本発行物の記事、イラスト等の無断転載を固く禁じます。


Documents

パルスセキュアのSDP Software-Defined Perimeter · sdpを使用したパルスセキュアのセキュアアクセス パルスセキュアのsdpソリューションは、ユーザーの使うデバイスとユーザーがアクセスするリソースの間に、均一のセキュ

パルスセキュアのSDP Software-Defined Perimeter · sdpを使用したパルスセキュアのセキュアアクセスパルスセキュアのsdpソリューションは、ユーザーの使うデバイスとユーザーがアクセスするリソースの間に、均一のセキュ