IoTとクラウドのために、新しいネットワークセキュリティと接続モデルを適応・導入する時が来ました
あなたは城を所有しています。
その城は必ず攻撃を受けます。
もっと大きな堀を作りますか?城壁の弓兵を増やしますか?正門の跳ね橋はちゃんと機能していますか、それとも素早く引き上げられるようアップグレードが必要でしょうか?
もし、あなたの城を隠す方法を提供できるとしたらどうでしょう――敵の目からは見えなくしながら、味方は簡単に招き入れられるようにする方法です。
これはすべて、あなたの防衛戦略と、限られたリソースをどこに投資したいかという話です。堀にワニを追加するといった明白な防御強化をすることもできますし、従来の境界防衛戦略の重要性を相対的に薄めてしまうような、新しいものに投資することもできます。
あなたのネットワークは脆弱です
これは、オンラインおよびネットワーク化された資産を守る際にも当てはまる考え方です。そのためには、既成概念にとらわれずに考え始める必要があります。脅威がエスカレートし、より深刻になっている今、変化の時が来ているからです。
この変化は、大きく2つの方向で必要とされています。それは以下の通りです。
- パブリックIPアドレスを隠し、発見を非常に困難にすること
- ユーザーのアクセスを定義済みのエンドポイントのみに限定し、それ以上を許さないこと
TCP/IPという基盤
家庭、企業、クラウド、そしてインターネットのネットワークが過去30年以上にわたって成長してきたことで、こうした変化の採用を加速させる必要が生じています。この変化の土台は何年も前から築かれてきたものであり、今日のネットワークが1978年にTCP/IPが発明された当時とほぼ同じ設計思想で運用され続けていることに起因します。
Novell NetWareのような競合プロトコルも存在しましたが(覚えている方はボーナスポイントです!)、TCP/IPは事実上の標準となり、今日広く利用されています。これなしにグローバルなインターネットがどう動作するかを想像するのは難しいでしょう。
しかし、そこにこそ問題があります。私たちは、堅牢で回復力のあるプロトコルに依存していますが、それは今日のオンライン世界におけるあらゆる悪用の手口を予見できるものではありませんでした。ネットワークは当初想定されていたよりもはるかに複雑に成長しました。それは、ハードウェアとソフトウェアの迷宮を通してビットを送る、緻密なオーケストレーションを含みます。ルーティング用の高価なアプライアンス、セキュリティゲートウェイ、VPN、ISP、クラウドのロードバランシングなどは、ほとんどのネットワークで標準的なものとなりました。そして、これらのネットワーク上でビットがどのように扱われるかは、OSI(Open Systems Interconnect)参照モデルと呼ばれるモデルに従っています。
OSIのレイヤー3とレイヤー4
私が言及している変化は、OSIモデルのレイヤー3とレイヤー4で起きています。それはパブリックIPと、それがどのようにデータを地点Aから地点B、そして地点「n」へと届けることを保証しているかに関係します…パブリックIPは役割を果たしていますが、同時に、その先にあるものを発見し、識別し、悪用するための手段として利用され、問題そのものにもなっています。それはまるで、家々や店舗の玄関ドアを片っ端から試して回るようなものです。十分な数のドアを試せば、鍵のかかっていないものが見つかり、そこから中に入って自分のものではないものを持ち去ることができてしまいます。
Shodanのようなツールは、開いているポートを探し、そのIPに何が接続されているかを判別するために、絶えずIPをスキャンしています。悪意ある行為者は、基本的な情報――そこに何かが存在するかしないか――さえ分かれば、そのエンドポイントをどう悪用するか判断できます。パブリックIPアドレスに何かが接続され応答していると分かれば、ログイン認証情報が安全かどうか、あるいは保護されていない開いたポートから侵入できるかどうかを試します。そして一度成功すれば、ネットワーク内を横方向に移動し、他のリソースを悪用することも可能になります。
発見可能なパブリックIPは問題である
ShadowServerの最近のレポートでは、ポート3306/TCPでアクセス可能なMySQLサーバーインスタンスが360万を超えることが判明しました。これは、変えるべきだと私が指摘している問題のほんの一例に過ぎません。こうしたパブリックIPアドレスと露出したポートは、発見可能性、そして潜在的なハッキングや悪用の最前線にあります。
しかし問題はMySQLのようなクラウドサービスに限りません。パブリックIPをブロードキャストしている接続済みのIoTデバイスやエンドポイントは、発見可能であるがゆえに脆弱になります。IPアドレスがそこに存在することを示さなければ、玄関ドアを見つけることはできません――そうなれば、悪意ある者たちは、もっと簡単な標的を求めて他所へ行くでしょう。
変化のもう一つの側面は、エンドポイントへのアクセスと、誰がアクセスできるかという点です。これは、認可されたユーザーにのみエンドポイントを利用可能にする、ゼロトラストモデルを使うことを意味します。そうしたユーザーはパブリックIPを知る必要はありません――アクセスが必要なときに接続を作成しさえすればよいのです。言い換えれば、接続管理という重い作業をすべて代行することで、ユーザーがエンドポイントにアクセスできるよう認可するということです。ユーザーが気にすべきなのは、特定のエンドポイントにいつ接続したいかということだけであり、LANやサブネット全体にさらされることではありません。
解決策
再び城の話に戻りましょう。城は、特定のIPアドレス(あるいは複数のIP)を持つエンドポイントに例えられます。あなたが持つ矢の数には限りがあり、それをどこに向けるかを決めなければなりません。もっとも、矢がお好みであればの話ですが。一つはっきりしているのは、ますます増大し高額になる一方のセキュリティ境界でパブリックIPを守ることに費やす時間は、減らすべきだということです。
セキュリティと管理のために、より少ない時間と労力で済ませましょう。パブリックIPを隠し、あなたのIPをパブリックインターネットから排除しましょう!
この必要な変化は、ネットワーク専門家が自らの戦略を再考し、ネットワークを保護しながらユーザーの接続をより良く、より簡単にする、優れた接続方法を導入しなければならないことを意味します。認証済みユーザーに対するポイントツーポイント接続は、アクセスを必要とする者だけにアクセスを許すことで、セキュリティを大幅に簡素化します。VPNや他のセキュリティアプライアンスによくあるような、サブネットや関連デバイスの露出は発生しません。
新しいクラスのツール
Remote.Itのような新しいクラスのネットワークツールは、こうした変化を容易にします。Remote.Itは、クラウドとIoTの両方のエンドポイントへの接続にまつわる負担を管理することで機能します。特定のエンドポイントを追加してプライベートネットワークを定義したら、あなたが選んだ単一または複数のエンドポイントのセットに接続するよう、ユーザーを招待できます。
Remote.Itを使えば、エンドポイントはネットワーク上に公開されたパブリックIPを必要としません。Remote.ItはIPアドレスを隠し、悪意あるスキャンからエンドポイントを発見不能にします。
これはつまり、開いているポートがもはや悪用されなくなるということです。
Remote.Itでは、共有されたエンドポイントによって、招待されたどのユーザーにも簡単かつ安全なアクセスが提供されます。ユーザーは、特定のエンドポイントに接続するよう招待されているために接続でき、デバイスアクセスの設定や構成の煩わしさに対処する必要はありません。そして、LAN上の他のエンドポイントには接続できないようになっています――そもそも、それらを目にすることさえできないからです。
さあ、変化の準備をしましょう。もっと大きな堀を作るのはやめましょう。Remote.Itを使ってあなたの城を隠し、招待するユーザーを自分で選びましょう。シンプルで、しかもきちんと機能します!