fbpx

SDP(Software Defined Perimeter)とは?

  • このエントリーをはてなブックマークに追加

新たな境界モデル「SDP(Software Defined Perimeter)」とは?

SDPはゼロトラスト環境においてソフトウェア上に新たな境界を作りながら、コントローラーが中心となって制御と管理を行います。制御する機能と管理する機能でコントローラが別れており、データ通信を行う接続チャネルも通信のやりとりが終わった時点で消滅し、新たな接続要求が発生するまで接続は再開しません。

そのため、不正アクセスのリスク軽減やネットワーク内の異常を素早く検知できます。また、SDPは今後さらに利用が増えるクラウドサービスにも非常に相性が良いです。

従来の社外と社内を明確に分けた境界線のセキュリティ対策では、いかに不正アクセスやマルウェアを侵入させないかといった点に、対策が重点的に置かれていました。

ですが、サイバー攻撃の多様化や社外からのアクセス機会の増加により、社内ネットワークへ脅威の侵入を防ぐのが困難になっています。同時に、社内と社外という物理的な環境で境界線を敷くメリットは薄れてきました。

現在では、いかにサイバー攻撃や脆弱性の発見といったセキュリティインシデントの被害を最小化するかといった点に考えが変わりつつあります。SDPは厳しいアクセス制御と通信の可視化により、セキュリティインシデントの予防と最小化の両面からアプローチが可能です。

ゼロトラストの原理・原則や実現方法に関する資料を無料プレゼント中!

SDPは従来のVPN接続より安全だといえるか

SDPの方が安全です。以下の機能を持っているため、従来のVPNよりもセキュリティレベルが確実に上がっています。

内容 効果
ネットワーク状況は外部に非公開
  • 不正アクセスやマルウェア感染のリスク軽減
  • システムの安定化
  • DDos攻撃のリスク回避
  • データ解析を防ぐ
安全性が確認されていないアクセス以外はブロック
シングル・パケット方式でのデータ通信
通信経路は一連のやりとりが終わった段階で消滅

VPN接続が抱える課題

VPNが抱える課題は、脆弱性と通信の不安定性にあります。

脆弱性

VPNは不正アクセスを許しやすく、サイバー攻撃やマルウェア感染といった被害が拡大しやすい傾向にあります。ユーザーがどの場所からでもアクセスしやすいように、広くVPNゲートウェイが公開されているからです。

そのため、攻撃者からすると侵入口がわかりやすいため、不正アクセスが成功する確率が高くなります。また、従来の境界線型のセキュリティ対策の場合、いかに不正アクセスやマルウェアの侵入を防ぐかといった点が重視されていました。「社内からのアクセス=安全」、「社外からのアクセス=危険」といった考え方だったからです。

一方で、マルウェア感染やサイバー攻撃の侵入を受けた後、いかに被害を抑えるかといった対策はやや不十分でした。そのため、一度社内ネットワークに侵入されると自由に動けるため、被害が拡大する傾向にあります。

通信が不安定

ユーザーが社外からアクセスを行う際に必ずVPNゲートウェイを経由してから、企業が保有するデータセンターやアプリケーションにログインします。VPNゲートウェイは特定の拠点間を1:1でつなぐため、通常は1か所の設置になります。

そのため、ユーザーのアクセス地点、VPNゲートウェイ、社内ネットワーク、データファイルの位置が遠い場合は、複数のネットワークの利用や遠回りの経路を辿る必要がありました。遠回りの通信経路での利用になった場合、通信速度の低下や通信が途切れるといった通信障害、通信コストの増大などのデメリットが起きました。

SDPを構成する2つのコンポーネントとは

SDPホストとSDP コントローラーが、データ通信の制御と管理を行います。

SDP コントローラー

全てのアクセスを一元管理します。サーバー、アプリケーションが持っていたアクセス権の制限管理もSDPコントローラーが行うため、設定変更による煩雑さが軽減されます。ユーザー数増加によるデバイス機器やクラウドサービスの利用増加にも柔軟に対応可能です。

また、外部からはSDPコントローラーのネットワーク状況が見えず、アプリケーションサーバーから接続要求が来ない限り、ユーザーに接続要求を出さないため、攻撃者による不正アクセス侵入のリスクを大幅に軽減できます。

Port-Knocking 方式による接続がカギ

ファイアウォールによってポートを開く方法です。正しい順番でポートをノック(接続要求)したときに、初めてファイアウォールはポートを開きます。ですが、従来のPort-Knocking 方式は、ログイン時にIDやパスワードをコピーして不正侵入を行うリプレイ攻撃や一連のデータを破壊するノック・シーケンスに脆さを抱えていました。

SDPでは課題を克服するために以下のようなことを行いました。

  • ランダムで選んだ16バイトのデータを挿入し、同じパケットが来たら接続を中断
  • シングル・パケットにし、なりすまし攻撃と解析を防ぐ

上記の対策によって、SDPコントローラーのセキュリティ性確保とDDos攻撃のリスク軽減に成功しました。

SDP ホスト

Initiating-SDP ホストがユーザーが使用するデバイス機器、Accepting-SDP ホストは利用したいクラウドサービスだと認識してください。

Initiating-SDP ホスト

SDPコントローラーに接続する依頼元です。主にユーザー認証やデバイス機器の認証を行います。ハードウェアやソフトウェアなど登録情報をSDPコントローラーに送ります。アクセスが許可された場合のみ、許可されたネットワーク情報とともにVPNの接続要求を送り、Accepting-SDP ホストで通信が可能になります。

Accepting-SDP ホスト

クラウド上のアプリケーションにログインする接続先です。Initiating-SDP ホストでAccepting-SDP ホストが持つ本人認証とデバイス機器の認証がクリアできないと、SDPコントローラーに接続できません。Initiating-SDP ホストからVPNの接続要求が来ない限り、通信を開始できません。

SDPのアクセス開始手順

SDPは以下の順序で通信アクセスを開始します。

  1. Accepting-SDP ホストがSDPコントローラーとの接続を確立
  2. Initiating-SDP ホストがSDPコントローラーと接続を確立
  3. SDPコントローラーが、本人認証とデバイス認証を確認
  4. SDPコントローラーが、Accepting-SDP ホストの存在を確認
  5. SDPコントローラーが、Accepting-SDP ホストに接続要求を依頼
  6. SDPコントローラーが、アクセス可能なAccepting-SDP ホストの情報をInitiating-SDP ホストに通知
  7. Initiating-SDP ホストがAccepting-SDP にVPN接続を依頼
  8. 通信開始

SDPを実装する4つのメリットとは?

クラウドとの相性が良い、短納期低コストでの納入が可能、リアルタイムでのセキュリティ監視など4つのメリットがあります。

クラウドとの親和性が高い

SDPはインターネット上とプライベートネットワーク両方での利用が可能です。
そのため、ベンダーが不特定多数の企業や個人向けにクラウドサービスを提供しているパブリッククラウドや自社専用のクラウド環境を構築するプライベートクラウド、どちらでも利用をすることができます。

セキュリティコストを削減できる

SDPはVPNと違い、ネットワーク接続で経由するためのゲートウェイを何台も購入する必要がありません。VPNの場合は特定の拠点間を1:1でつないでネットワーク実現をする仕組みのため、広範囲に支店や店舗を展開している企業は、地域ごとに必要数のVPNゲートウェイを購入しなければなりませんでした。

SDPの場合は1つ導入すれば、全てのアプリケーションやデータファイルがクラウド上での利用となります。また以下の機能が付いているため、複数のセキュリティツールを導入する必要がありません。

種類 機能内容 導入効果
統合化された多要素認証
  • 精度の高いユーザーとデバイス機器の認証を実現
  • 不正アクセスのリスク軽減
サーバーの隔離
  • SDPゲートウェイで許可されていないアクセスは全て拒否
  • 脆弱性を突くサイバー攻撃の防止
  • システムの安定化
SDPコントローラーの個別構築
  • ユーザーごとに個別のVPC(Virtual Private Cloud)を形成
  • ユーザーが安心して利用可能
  • データやアクセスの混在は心配不要
可視化
  • ユーザーの行動、デバイス機器やアプリの利用状況をリアルタイム監視
  • 異変や異常をすぐに検知
  • セキュリティインシデントの予防
各機能がサービスとして提供
  • SDPコントローラー、ゲートウェイ、クライアントはサービスとして提供
  • ハードウェアの購入は必要ない
  • セキュリティ知識に長けた人材獲得は不要

短期間での実装が可能

実装に特別なツールの購入は必要ありません。既に自社で導入しているクラウドサービス、各種サーバー、スマートフォンやノートPCなど、業務で必要となる製品には問題なく実装可能です。ただし、工場で製品を製造している製造業の場合は各種機器が導入されており、影響が出る可能性もあるため、SDPの導入前に一度確認することをおすすめします。

接続をリアルタイムで可視化

Initiating-SDP ホストで本人認証とデバイス機器の認証がクリアできないと、SDPコントローラーに接続できません。接続を許可された場合には「誰が、どのデバイス機器で、いつ、アクセス要求を求めてきたか」が、リアルタイムでわかります。

また、ゼロトラストモデルであるため、ユーザーの行動を監視するだけでなく、アクセス権の付与も最小限に留めます。閲覧範囲を限定することで、外部の信頼性の低いWebサイト閲覧による情報流出や社員のデータ持ち出しを防ぎます。

進化したサイバー攻撃から保護したいならSDPを用いるべき!

パスワードリスト型攻撃や脆弱性を狙ったサイバー攻撃を防ぎます。

クレデンシャル詐欺への対処

クレデンシャル詐欺はパスワードリスト型攻撃とも呼ばれ、攻撃者がIDやパスワードを盗み出して様々な場面で悪用することです。個人消費者をターゲットにしている企業の場合は、従業員の個人情報だけでなく顧客の個人情報を保護しなければなりません。クレジットカードやインターネットバンキングの悪用を防ぐためです。

SDPを導入すれば、ユーザーやデバイス機器が登録されていないアクセスはVPN接続の要求がされないため、アプリケーションやデータファイルへのログインができません。攻撃者にとって個人情報を盗み出すことが非常に困難になるため、企業としても安心できます。

外部からの脆弱性攻撃を排除

サーバーを隔離することで脆弱性を狙った攻撃者からの攻撃を回避できます。SDPが許可していないアクセスは全て拒否されるため、アプリケーションやデータファイルへのログインができません。

サーバーやアプリケーションの脆弱性を狙った攻撃は非常に厄介で、特にシステム管理者やベンダーが把握していない未知の脆弱性を突かれた場合は、非常に対応が難しくなります。脆弱性の特定や修復作業に時間がかかるだけでなく、修正プログラムを配布する前に攻撃を受けるゼロデイ攻撃を受ける可能性も高いため、被害が大きくなります。サーバーを隔離することで、セキュリティインシデントの予防と被害を最小化できます。

サーバーの悪用を防げる

SDPはアプリケーションサーバーとは別で多要素認証を行ってデバイス機器の信頼性を検証したあと、ユーザー認証をクリアして初めて接続が可能になります。つまり、デバイス機器とユーザーについての信頼性を別々で検証し、どちらもクリアしないと先に進めません。

従来の場合は、ユーザーの信用性を確認する前にアプリケーションサーバーに接続します。最初の接続時に攻撃者は不正侵入して、サーバーやアプリケーション上の脆弱性を調べることも可能です。

攻撃者側からすると情報を集めやすく罠を仕掛けやすい環境であるため、セキュリティインシデントが起きやすくなります。SDPの場合は最初の段階から多要素認証を行うので、不正アクセスの侵入リスクを大幅に軽減することが可能です。

SDPの接続方式 従来の接続方式
順番
  1. 多要素認証
  2. デバイス機器の信頼性確認
  3. ログイン許可
  4. 接続
  1. 接続
  2. ログイン
  3. 多要素認証

まとめ:ゼロトラスト環境でも安心の境界モデルVPN

SDPは、今後のクラウドサービスの利用増加に対応したVPNモデルです。従来のVPNで課題だった不正アクセスやサイバー攻撃へのリスク軽減、通信の不安定性を解消しています。

また、SDPコントローラーがアクセス権を一元管理するため、煩雑な設定変更の手間やコストの削減にもメリットがあります。従来のVPNに比べても、クラウドサービスがより利用しやすくなっているので、企業の在宅勤務やリモートワークは今後も導入が加速するでしょう。

 

ゼロトラストの原理・原則や実現方法に関する資料を無料プレゼント中!

  • このエントリーをはてなブックマークに追加

SNSでもご購読できます。