実践クラウドセキュリティ 第2版

第6章 ネットワーク・セキュリティ ネットワーク・セキュリティ

この作品はAIを使って翻訳されている。ご意見、ご感想をお待ちしている：[e-mail]

従来の環境でもクラウド環境でも、ネットワーク制御は全体的なセキュリティの重要な部分である。あるコンポーネントとまったく会話できなければ、そのコンポーネントを侵害することは難しい。Network+コントロールは、軍事基地を囲むフェンスのようなもので、検知されずに基地に近づくことを困難にすることもある。ある時は、他のすべての防御が失敗した後にボールを止めるゴールキーパーのようなものだ。

今の時代、インターネットから切り離されたままでいることは、ほとんどの企業にとって選択肢ではない。ネットワークは現代のアプリケーションにとって非常に基本的なものであるため、すべての通信を厳密に制御することはほとんど不可能でもある。つまり、ネットワーク管理は多くの場合二次的な管理であり、他の問題の影響を緩和するためのものなのだ。つまり、すべてのシステムに脆弱性のパッチが完璧に適用され、不要なサービスがすべてオフにされ、すべてのサービスがユーザや他のサービスを完璧に認証認可していれば、ネットワーク制御をまったく行わなくても大丈夫なのだ。しかし、私たちは完璧な世界に生きているわけではないので、多層防御の原則を活用し、すでに説明したコントロールにネットワークコントロールのレイヤーを追加することが本当に重要だ。

従来のITとの違い

境界は死んだ！」という叫びにもかかわらず、管理者は長年にわたり、セキュリティのためにネットワーク境界に大きく依存していた。ネットワーク・セキュリティは、システム管理者が頼る唯一のセキュリティであることもあった。これは、従来型であれクラウドであれ、どのような環境にとっても決して良いモデルではない。 幸いなことに、ゼロトラストへの新たな注目は、ファイアウォールが常にあなたを救うわけではないという認識を、より多くの人々にもたらすのに役立っている。

オンプレミス環境では、境界は簡単に定義できることが多い。最も単純なケースでは、 非武装地帯（DMZ；境界ネットワーク呼び出し）の周りに点線（トラスト・ゾーン）を引き、内部ネットワークの周りに点線を引き、DMZに入ってくるものとDMZから内部ネットワークに入ってくるものを注意深く制限する（詳細は「DMZ」で）。

クラウドでは、何が境界の内側にあるかの決定や、その境界の実装は、オンプレミス環境とはまったく異なることが多い。信頼の境界はそれほど明白ではない。Database as a Serviceを利用する場合、それは境界の内側なのか外側なのか。ディザスタリカバリや遅延のために世界中にデプロイしている場合、それらのデプロイはすべて同じ境界線内なのか、それとも異なる境界線なのか。 さらに、ほとんどのクラウド環境に移行すると、このような境界線の作成にコストがかからなくなるため、アプリケーションごとに個別のネットワーク・セグメントを用意したり、Webアプリケーション・ファイアウォールなどの他のサービスを迅速かつ簡単に利用したりする余裕が生まれる。

クラウド環境におけるネットワーク制御で最も混乱するのは、アプリケーションの構築に使用できるデリバリー・モデルが多種多様であることだ。何が理にかなっているかは、デリバリー・モデルごとに異なる。以下のモデルについて、合理的なネットワーク・セキュリティ・モデルがどのようなものかを検討する必要がある： ...