新規投稿のお知らせを受信されたい方は、サブスクリプションをご登録ください:

CloudflareがBastionZeroの買収によりゼロトラストアクセスをITインフラへ拡張

2024-05-30

4分で読了
この投稿はEnglish繁體中文한국어简体中文でも表示されます。

Zero TrustインフラアクセスプラットフォームのBastionZeroがCloudflareに加わったことを発表でき、嬉しく思います。この買収により、サーバー、Kubernetesクラスタ、データベースなどのインフラへのネイティブアクセス管理機能が備わり、当社のZero Trustネットワークアクセス(ZTNA)のフローが拡張されます。

セキュリティチームは、しばしばアプリとインターネットアクセスを優先します。なぜならアプリとインターネットアクセスは、ユーザーが企業のリソースとやり取りしたり、外部の脅威がネットワークに侵入したりする主要なベクトルであるからです。アプリは通常、組織のデジタルフットプリントの中で最も可視性が高くアクセスしやすい部分であるため、しばしばサイバー攻撃の標的になります。シングルサインオン(SSO)や多要素認証(MFA)のような方法でアプリケーションアクセスを保護すれば、ユーザーセキュリティを即座に具体的に改善できます。

しかし、インフラへのアクセスも同様に重要であり、多くのチームはサーバー、データベース、Kubernetesクラスターなどのインフラを保護するために、依然として「城と堀」スタイルのネットワーク制御とローカルリソース許可に依存しています。これは、数百または数千のターゲットにわたりセキュリティ管理が断片化されるため、困難でリスクを伴います。悪意のあるアクターが、膨大な量のアプリを一度にダウンさせたり、機密データを盗んだりする方法として、インフラリソースを標的にすることがますます増えています。Cloudflareでは、ユーザーベースおよびデバイスベースのポリシーと多要素認証によって、Cloudflare OneのZero Trustネットワークアクセスを拡張し、インフラをネイティブに保護できることを大変嬉しく思います。

アプリ対インフラへのアクセス

通常、アプリケーションへのアクセスでは、Webベースまたはクライアントサーバアプリケーションとのやりとりが伴います。多くの場合、これらのアプリケーションは、シングルサインオン(SSO)などの最新の認証メカニズムをサポートし、ユーザー認証を効率化して、セキュリティを強化します。SSOは、IDプロバイダー(IdP)との統合により、シームレスで安全なログイン体験を提供し、パスワード疲れやクレデンシャル窃取のリスクを低減します。

一方、インフラへのアクセスには、サーバー、データベース、ネットワーク機器など、より広範で多様なシステムが関係しています。多くの場合、これらのシステムは、管理アクセスのためにSSH(Secure Shell)、RDP(Remote Desktop Protocol)、Kubectl(Kubernetes)などのプロトコルに依存します。これらのプロトコルの性質は、インフラへのアクセスの保護をより困難にし、さらなる複雑さを生み出します。

  • SSH認証:SSHはLinuxおよびUnixベースのシステムにアクセスするための基本的なツールです。SSHアクセスは通常、パブリックキー認証によって容易になります。この認証を通じてユーザーは、ターゲットシステムが受け入れられるように設定されたパブリックキー/プライベートキーペアを発行されます。これらのキーは信頼できるユーザーに配布し、頻繁にローテーションし、漏洩がないか監視する必要があります。キーが誤って漏洩した場合、SSHアクセス可能なリソースに対する直接の制御を、悪用者に許可してしまう可能性があります。

  • RDP認証:RDPは、Windowsベースのシステムへのリモートアクセスに広く使用されています。RDPは、パスワードベースや証明書ベースなど、さまざまな認証方法をサポートしてはいるものの、頻繁に総当たりパスワード攻撃やクレデンシャルスタッフィング攻撃の標的になります。

  • Kubernetesの認証:Kubernetesは、コンテナオーケストレーションプラットフォームとして、認証に関する独自の課題があります。Kubernetesクラスタへのアクセスでは、ロール、サービスアカウント、kubeconfigファイルをユーザー証明書とともに管理する必要があります。

今日におけるCloudflare Oneでのインフラアクセス

Cloudflare Oneは、従来のVPNよりも優れたアプローチで、インフラリソースのZero Trustネットワークアクセス(ZTNA)を促進します。管理者は、ユーザーが特定のIPアドレス、ホスト名、ポートの組み合わせにアクセスできるかどうかを指示する、ID、デバイス、およびネットワーク認識ポリシーのセットを定義できます。これにより、「IDプロバイダーグループ「developers」のユーザーだけが、当社の企業ネットワークのポート22(デフォルトSSHポート)を介してリソースにアクセスできる」のようなポリシーを作成でき、基本的なファイアウォールポリシーを持つVPNよりもはるかに細かく制御できるのです。

ただし、このアプローチには、企業のインフラがどのようにプロビジョニングおよび管理されるかに関する一連の前提に基づいているため、依然として限界があります。インフラリソースが、想定されるネットワーク構造の外で設定されている場合、例えば、非標準ポートを介したSSHは許可されますが、すべてのネットワークレベルの制御はバイパスされる可能性があります。これにより、そのリソースを保護するのは特定のプロトコルのネイティブ認証保護だけになり、SSHキーやデータベース認証情報の漏洩が、より広範なシステム停止や侵害につながる可能性があります。

多くの組織は、追加の多層防御戦略として、要塞ホストモデルや複雑な特権アクセス管理(PAM)ソリューションのような、より複雑なネットワーク構造を活用します。しかし、これはITセキュリティチームにとってコストと管理オーバーヘッドがかなり増大することにつながり、最小特権アクセスに関連する問題を複雑化することもあります。要塞ホストやPAMソリューションのようなツールは、ポリシーが拡大、変更、または企業のセキュリティスタンスから逸脱するために、時間の経過とともに最小特権を喪失していきます。これは、機密性の高いインフラへのアクセスを誤って保持することにつながります。

BastionZeroとの適合性

長年にわたり、Cloudflareはあらゆる規模の組織が簡単かつ迅速にVPNを置き換えられるようにすることを目標に掲げてきましたが、BastionZeroは、CloudflareのVPN代替ソリューションの範囲をアプリとネットワーク以外にも拡大し、Zero Trust制御をインフラリソースに拡張する際と同じレベルのシンプルさを提供します。これにより、セキュリティチームはハイブリッドIT環境の管理の多くを一元化し、標準的なZero Trustプラクティスを使用してDevOpsチームの生産性と安全性を維持することができます。CloudflareとBastionZeroは協力して、企業がVPNだけでなく、要塞ホストや、SSH、Kubernetes、またはデータベースキー管理システム、さらに、冗長なPAMソリューションを置き換えることを支援します。

BastionZeroは、SSH、RDP、Kubernetes、データベースサーバーなどの主要なインフラアクセスプロトコルとターゲットへのネイティブ統合を提供し、ネットワークレベルの制御に依存することなく、ターゲットリソースが特定のユーザーの接続を受け入れるように設定されていることを保証します。これにより管理者は、IPアドレスやポートではなく、リソースやターゲットという観点から考えることができるのです。さらに、BastionZeroは、OpenID Connect(OIDC)で暗号化キーにIDをバインドするオープンソースライブラリであるOpenPubkey上に構築されています。OpenPubkeyを使用することで、インフラへのアクセス許可にSSOを使用できるようになります。BastionZeroは複数の信頼ルートを使用して、お客様のSSOが、重要なサーバーやその他のインフラストラクチャの単一の侵害点にならないようにするのです。

BastionZeroによってCloudflareのSASEプラットフォームに追加される機能:

  • 新しい一過性の分散型アプローチにより、クレデンシャル管理を最新化する摩擦のないインフラ特権アクセス管理(PAM)機能(例:SSHキー、kubeconfigファイル、データベースパスワード)を使い、長期間キー/クレデンシャルを排除します

  • DevOpsに基づくSSH接続の安全性を確保するためのアプローチで、最小権限アクセスのサポート、セッションの記録、コンプライアンス要件のサポートに必要な可視性の向上のために、すべてのコマンドをログに記録します。チームは、ジャストインタイムアクセスポリシーを定義し、ワークフローを自動化できるため、IPアドレスやネットワークではなく、自動検出されたターゲットに基づいて運用できます。

  • クライアントレスRDPにより、ユーザーのデバイスにクライアントをインストールすることなく、デスクトップ環境へのアクセスをサポートします。

BastionZeroの次なる展開

BastionZeroチームは、インフラアクセス制御をCloudflare Oneに直接統合することに注力します。今年の第3および第4四半期中に、Cloudflare Oneを通じてZero Trustインフラアクセスを容易にする新機能を多数発表する予定です。今年提供される機能はすべて、ユーザー50人未満である組織向けのCloudflare Oneの無料利用枠に含まれます。誰もが世界クラスのセキュリティ制御にアクセスできるようにすべき、とClourflareは考えています。

当社は、インフラアクセスに関して希望する機能について、フィードバックを提供してくれる初期ベータテスターおよびチームを探しています。さらに詳しい説明をご希望の方は、こちらからサインアップしてください。

Cloudflareは企業ネットワーク全体を保護し、お客様がインターネット規模のアプリケーションを効率的に構築し、あらゆるWebサイトやインターネットアプリケーションを高速化し、DDoS攻撃を退けハッカーの侵入を防ぎゼロトラスト導入を推進できるようお手伝いしています。

ご使用のデバイスから1.1.1.1 にアクセスし、インターネットを高速化し安全性を高めるCloudflareの無料アプリをご利用ください。

より良いインターネットの構築支援という当社の使命について、詳しくはこちらをご覧ください。新たなキャリアの方向性を模索中の方は、当社の求人情報をご覧ください。
AcquisitionsゼロトラストSASEセキュリティCloudflare Access製品ニュースCloudflare OneConnectivity Cloud

Xでフォロー

Kenny Johnson|@KennyJohnsonATX
Cloudflare|@cloudflare

関連ブログ投稿

2024年10月06日 23:00

Enhance your website's security with Cloudflare’s free security.txt generator

Introducing Cloudflare’s free security.txt generator, empowering all users to easily create and manage their security.txt files. This feature enhances vulnerability disclosure processes, aligns with industry standards, and is integrated into the dashboard for seamless access. Strengthen your website's security today!...

2024年10月02日 13:00

How Cloudflare auto-mitigated world record 3.8 Tbps DDoS attack

Over the past couple of weeks, Cloudflare's DDoS protection systems have automatically and successfully mitigated multiple hyper-volumetric L3/4 DDoS attacks exceeding 3 billion packets per second (Bpps). Our systems also automatically mitigated multiple attacks exceeding 3 terabits per second (Tbps), with the largest ones exceeding 3.65 Tbps. The scale of these attacks is unprecedented....

2024年9月27日 13:00

AI Everywhere with the WAF Rule Builder Assistant, Cloudflare Radar AI Insights, and updated AI bot protection

This year for Cloudflare’s birthday, we’ve extended our AI Assistant capabilities to help you build new WAF rules, added new AI bot & crawler traffic insights to Radar, and given customers new AI bot blocking capabilities...