ゼロトラスト
ネットワークの内外を問わず全てのアクセスを検証し、暗黙の信頼を排除するセキュリティモデル
セキュリティアーキテクチャ
「ゼロトラスト」の技術書を見る (17 冊) →ゼロトラストとは
ゼロトラスト (Zero Trust) は、ネットワークの内外を問わず全てのアクセスを検証し、暗黙の信頼を排除するセキュリティモデルである。「信頼するな、常に検証せよ」(Never trust, always verify) が原則。
従来のセキュリティ vs ゼロトラスト
従来のセキュリティとゼロトラストの違いを以下にまとめる。
| 観点 | 境界型セキュリティ | ゼロトラスト |
|---|---|---|
| 信頼の境界 | ファイアウォールの内側は信頼 | 全てのアクセスを検証 |
| 認証 | VPN で接続すれば OK | 毎回認証・認可 |
| 横移動 | 内部ネットワークで自由 | セグメント化で制限 |
| 前提 | 内部は安全 | 内部も侵害されうる |
ゼロトラストの原則
ゼロトラストの原則を以下にまとめる。
| 原則 | 説明 | AWS での実装 |
|---|---|---|
| 常に検証 | 全リクエストを認証・認可 | IAM, Cognito |
| 最小権限 | 必要最小限のアクセスのみ | IAM ポリシー |
| 侵害を前提 | 内部も信頼しない | VPC セグメント化 |
| 暗号化 | 通信を常に暗号化 | TLS, mTLS |
| 監視 | 全アクセスをログ | CloudTrail, GuardDuty |
サーバーレスとゼロトラスト
従来の VPN + ファイアウォールは、サーバーレスでは IAM + API Gateway 認証に置き換わる。IP ベースのアクセス制御はトークンベースの認証に、ネットワークセグメントは Lambda の実行ロールに対応する。
Lambda はデフォルトでゼロトラストに近い。各関数が独自の IAM ロールを持ち、最小権限でリソースにアクセスする。
ゼロトラストの導入ステップ
まず保護すべきデータとサービスを洗い出し (資産の特定)、次に MFA・JWT・mTLS で認証を強化する。IAM ポリシーを見直して最小権限を適用し、CloudTrail・GuardDuty を有効化して監視する。最後に定期的なアクセスレビューで継続的に検証する。
実務での活用方法は関連書籍にも詳しい。
この記事は役に立ちましたか？