新規投稿のお知らせを受信されたい方は、サブスクリプションをご登録ください:

Zero Trustプライベートネットワーキングルール

2021-12-08

3分で読了
この投稿はEnglishIndonesiaไทย简体中文でも表示されます。

当社は今年、IDに基づくアクセス制御機能を備えたCloudflareネットワーク上でプライベートネットワークの構築が可能になったことを発表しました。まもなくこの制御をセッションとログインインターバルにも拡張できるようになることをお知らせできて、嬉しく思います。

Zero Trust Private Networking Rules

プライベートネットワークは適応できず

プライベートネットワークは、長年にわたって企業アプリケーションのバックボーンでした。セキュリティチームは、アプリケーションの周囲に厳格なセキュリティ境界を構築するために、プライベートネットワークを使用していました。機密データにアクセスするためには、ユーザーは物理的にネットワーク上にいる必要がありました。つまり、ユーザーはオフィスにいながら、企業が管理するデバイスから接続する必要があったのです。これは完璧なものではなく、物理接続やWi-Fiでネットワークアクセスが侵害される可能性がありましたが、証明書や物理的なファイアウォールなどのツールが存在し、これらの脅威を防止することができました。

しかし、リモートでの仕事が増えるにつれて、この境界線はますます難しくなってきました。支社、データセンター、リモートの従業員など、すべての人がアプリケーションにアクセスする必要があったため、企業はリモートユーザーをアプリケーションと同じネットワークに接続するために、仮想プライベートネットワーク(VPN)に頼るようになりました。

あちこちのユーザーをつなぐという問題と並行して、プライベートネットワークのセキュリティモデルはさらに危険な問題となりました。プライベートネットワークの内部に入ると、明示的に禁止されていない限り、ユーザーはデフォルトでネットワーク上のあらゆるリソースにアクセスすることができます。IDベースの制御とログの実装は、困難か不可能でした。

また、プライベートネットワークには、運用上のオーバーヘッドがつきものです。プライベートネットワークはRFC 1918で予約済みIPスペースに従ってルーティングされますが、このスペースは限られており、IPアドレスの重複や衝突が発生する可能性があります。また、管理者は、プライベートネットワークが耐えうる総負荷量も考慮する必要があります。この負荷は、VPN上の従業員がビデオ通話をしたり、オフタイムにビデオを見たりすることによって、さらに悪化する可能性があります。

最新の代替はすべてのユースケースを解決できず

SaaSアプリケーションとCloudflare AccessのようなZero Trustネットワークソリューションにより、VPNなしで安全なエクスペリエンスを提供することが容易になりました。管理者は、アプリケーションごとに多要素認証や異常なログインに対するロギング警告などの制御を設定することができます。公開されているアプリケーションのセキュリティ制御は、プライベートネットワーク上のアプリケーションをはるかに凌駕しています。

しかし、アプリケーションによっては、依然として従来型のプライベートネットワークが必要な場合があります。ブラウザ外のシッククライアント、任意のTCPまたはUDPプロトコルを伴うユースケースは、やはりブラウザ外に存在する接続モデルの方が適しています。

Zero Trustモデルを採用することに興奮しつつも、より古典的なプライベートネットワークのユースケースをサポートする必要がある、というお客様の声を聞きました。そこで、当社はグローバルネットワーク上にプライベートネットワークを構築する機能を発表しました。管理者は、特定のIPや宛先に到達できるユーザーについて、Zero Trustルールを構築することができます。エンドユーザーは、インターネットの他の部分へのオンランプを支えているのと同じCloudflareエージェントから接続しました。しかし、1つのルールが欠けていました。

Cloudflareのプライベートネットワークにセッション制御を持ち込む

Cloudflareのグローバルネットワークがこれを可能にし、光の高速化を実現します。最初のステップは、あらゆるプライベートネットワークをCloudflareに安全に接続することです。これはCloudflare Tunnelを使って安全なアウトバウンド専用トンネルを確立するか、GREやIPSecトンネルのような従来の接続方法を採用することで可能です。

トンネル接続が確立されると、Cloudflareのインスタンス上で特定のプライベートIP範囲をアドバタイズすることができます。これは、トンネルをIPアドレスのCIDRブロックにマッピングする一連のコマンドで行われます。下のスクリーンショットでは、それぞれの固有の識別子と割り当てられた名前でCIDRの範囲が一意のCloudflareトンネルにマッピングされています。

アプリケーションがCloudflareのネットワーク上でアドレス指定できるようになると、ユーザーはこれらのプライベートIP範囲にアクセスする方法が必要になります。そこで従来は、ユーザーをアプリケーションと同じネットワーク上に置くためにVPNが使用されてきました。その代わり、CloudflareのWARPクライアントがユーザーのインターネットトラフィックをCloudflareのネットワークに接続するために使用されます。

管理者は、ユーザーのデバイスクライアントからのトラフィックを制御することができます。管理者は、きめ細かいアイデンティティベースのポリシーを作成し、どのユーザーが特定のIPプライベートアドレスや、近い将来はホスト名で特定のアプリケーションにアクセスできるかを制御することができます。

これは、ITおよびセキュリティチームにとって大きな前進でした。VPNに起因するうんざりする遅延、管理およびバックホールの問題が排除されたからです。しかし、ユーザーが一度認証を受けると、完全に取り消されない限り、無期限に接続を続けることができました。例えば、24時間ごとに強制的にログインさせたり、1週間後にタイムアウトを設定したりする必要があるお客様もいらっしゃると思います。当社は、お客様にそのような機能を提供できることをうれしく思っています。

ベータ版では、管理者はこのプライベートネットワークモデルで利用可能なリソースにセッションルールを追加することができます。管理者は、ポリシーに特定のセッション時間を設定し、ユーザーが多要素認証で再認証することを要求することができるようになります。

次は何が起きるでしょう?

今回の発表は、CloudflareのZero Trustプライベートネットワークをお客様の組織にとってより強力なものにするための1つの要素に過ぎません。また、今週発表されたのは、このモデルにおけるUDPのサポートです。チームは、既存のプライベートDNSネームサーバーを使用して、アプリケーションのホスト名をローカルドメインにマッピングできるようになります。これにより、アプリケーションのプライベートIPアドレスの衝突や一時的な問題を防ぐことができます。

これら2つの機能のベータ版を提供することを嬉しく思います。新年を前にこれらの機能を試したい方は、こちらのサインアップリンクをご利用いただくと、ベータ版利用可能の際に通知されます。

プライベートネットワークのZero Trust制御を開始したい場合、最初の50人のユーザーはCloudflareソリューションが無料です。dash.teams.cloudflare.comに移動して始めましょう!

Cloudflareは企業ネットワーク全体を保護し、お客様がインターネット規模のアプリケーションを効率的に構築し、あらゆるWebサイトやインターネットアプリケーションを高速化し、DDoS攻撃を退けハッカーの侵入を防ぎゼロトラスト導入を推進できるようお手伝いしています。

ご使用のデバイスから1.1.1.1 にアクセスし、インターネットを高速化し安全性を高めるCloudflareの無料アプリをご利用ください。

より良いインターネットの構築支援という当社の使命について、詳しくはこちらをご覧ください。新たなキャリアの方向性を模索中の方は、当社の求人情報をご覧ください。
CIO Weekゼロトラスト

Xでフォロー

Kenny Johnson|@KennyJohnsonATX
Cloudflare|@cloudflare

関連ブログ投稿

2024年10月23日 13:00

Fearless SSH: short-lived certificates bring Zero Trust to infrastructure

Access for Infrastructure, BastionZero’s integration into Cloudflare One, will enable organizations to apply Zero Trust controls to their servers, databases, Kubernetes clusters, and more. Today we’re announcing short-lived SSH access as the first available feature of this integration. ...

2024年10月08日 13:00

Cloudflare acquires Kivera to add simple, preventive cloud security to Cloudflare One

The acquisition and integration of Kivera broadens the scope of Cloudflare’s SASE platform beyond just apps, incorporating increased cloud security through proactive configuration management of cloud services. ...

2024年9月24日 13:00

A safer Internet with Cloudflare: free threat intelligence, analytics, and new threat detections

Today, we are taking some big steps forward in our mission to help build a better Internet. Cloudflare is giving everyone free access to 10+ different website and network security products and features....