Loading article…
ソフトウェア定義境界( SDP ) は、ブラッククラウドとも呼ばれ、ゼロトラストの原則を実装するために使用されるネットワークアーキテクチャです。SDP 仕様は、ID に基づいてリソースへのアクセスを制御するためにクラウドセキュリティアライアンス(CSA)によって開発されました。 [ 1 ]
SDPでは、接続性は必要最小限のアクセス権限モデルに従い、内部資産へのアクセスを許可する前に、エンティティ認証とデバイスの状態検証の両方が必要となります。アプリケーションインフラストラクチャは、目に見えるDNS情報やIPアドレスがないため、事実上「ブラック」です。これは、米国国防総省が検出不可能なインフラストラクチャを表す際に使用する用語です。
SDPアーキテクチャは、以下のような多くの一般的なネットワークベースの攻撃を軽減します（ただし、これらに限定されません）。
従来の企業ネットワークアーキテクチャは、通常ファイアウォールで構成される固定境界によって隔離された内部ネットワークを前提としています。これらのファイアウォールは、外部エンティティが内部資産にアクセスすることをブロックする一方で、内部ユーザーが外部リソースに接続できるようにします。[ 3 ]
しかし、ユーザー管理デバイス、リモート接続、SaaS、PaaS、IaaSの普及により、境界が拡大し、攻撃対象領域が広がっています。[ 4 ]ソフトウェア定義境界 (SDP) は、アプリケーション所有者が従来のモデルの不可視性とアクセス不可性を維持する境界を展開できるようにすることで、これらの問題に対処します。静的ファイアウォールとは異なり、SDP はインターネット上、クラウド、ホスティングセンター、プライベート企業ネットワーク、またはこれらの場所の一部またはすべてに展開できます。
ソフトウェア定義境界を実現するための手法はいくつかあります。それらには以下が含まれます。
最もシンプルな形式では、SDPアーキテクチャはSDPホストとSDPコントローラの2つのコンポーネントで構成されます。SDPホストは接続を開始または受け入れることができます。SDPコントローラとのやり取りは、制御チャネルを介してこれらのアクションを管理します（図1を参照）。その結果、SDPでは制御プレーンがデータプレーンから分離され、スケーラビリティが向上します。さらに、すべてのコンポーネントを冗長化して可用性を高めることができます。[ 7 ]
SDPフレームワークには次のワークフローがあります（図2を参照）：[ 8 ]
基本的なワークフローはすべての実装で同じですが、SDPの適用によって、特定の実装が他の実装よりも有利になる場合があります。
クライアント・ゲートウェイ方式では、1 つ以上のサーバーが、クライアントと保護対象サーバー間のゲートウェイとして機能する Accepting SDP Host の背後で保護されます。この方式は、サーバー スキャン、OS およびアプリケーションの脆弱性の悪用、パスワード クラッキング、中間者攻撃、パス ザ ハッシュ (PtH) など、一般的な横方向移動攻撃を軽減するために、企業ネットワーク内で使用できます。[ 9 ] [ 10 ] [ 11 ]また、保護対象サーバーを不正ユーザーから隔離し、攻撃を軽減するために、インターネット上で実装することもできます。[ 12 ] [ 13 ]
クライアント対サーバー実装は、クライアント対ゲートウェイ実装と同様の機能と利点を提供します。ただし、クライアント対サーバーシナリオでは、保護対象サーバーが、そのソフトウェアを実行するサーバーの前にゲートウェイを使用するのではなく、Accepting SDP Hostソフトウェアを実行します。クライアント対ゲートウェイ実装とクライアント対サーバー実装の選択は、通常、保護対象サーバーの数、負荷分散方法、サーバーの弾力性、その他のトポロジー上の考慮事項などの要因に基づいています。[ 14 ]
サーバー間実装では、インターネット上でRepresentational State Transfer (REST) サービス、Simple Object Access Protocol (SOAP) サービス、リモートプロシージャコール(RPC)、またはあらゆる種類のアプリケーションプログラミングインターフェイス(API) を提供するサーバーは、ネットワーク上の不正なホストから保護されます。たとえば、REST コールを開始するサーバーは Initiating SDP Host となり、REST サービスを提供するサーバーは Accepting SDP Host となります。このユースケースに SDP を実装することで、これらのサービスの負荷を軽減し、クライアントからゲートウェイへの実装で軽減されるものと同様の攻撃を軽減できます。[ 15 ]
クライアント・サーバー・クライアントの実装では、2 つのクライアント間でピアツーピアの関係が確立され、 IP 電話、チャット、ビデオ会議などのアプリケーションに使用できます。これらの場合、SDP は接続するクライアントのIP アドレスを難読化します。あるいは、クライアント・ゲートウェイ・クライアント構成では、アプリケーション サーバーも隠蔽できます。[ 8 ]
知的財産、財務記録、人事データに関わるデータ侵害の場合、攻撃者は通常、単一のエンドポイントを侵害することで最初の侵入に成功します。最初の侵害の後、攻撃者はネットワークのフラットなアーキテクチャを利用して横方向に移動し、価値の高い情報資産へのアクセスを求めます。[ 16 ]
この脅威に対抗するため、組織はデータセンター内にソフトウェア定義境界（SDP）を導入してネットワークを分割し、機密性の高いアプリケーションを隔離することができます。SDPはアクセス制御を適用することで、保護されたリソースへの不正アクセスを制限します。これにより、大規模なデータ漏洩に必要な横方向の移動が防止され、侵害箇所が特定され、企業の最も重要なデータが保護されます。[ 17 ]
SDPの適用は、特定のセキュリティ要件に対応するためにクラウドサービスモデルによって異なります。[ 8 ]
相互接続されたデバイスの普及が進むにつれて、[ 14 ]これらのデバイスを管理し、機密データを処理するバックエンドアプリケーションは、ミッションクリティカルなものとなっています。SDPは、サーバーとその通信をパブリックインターネットから隠蔽することで、これらのシステムのセキュリティと可用性を向上させます。この「ダーク」インフラストラクチャのアプローチにより、不正な発見や標的型外部攻撃を防ぐことができます。[ 18 ]