SASE - 重要インフラへの安全なリモートアクセス

Secure Access Service Edge（SASE）ソリューションはZero Trust Network Access（ZTNA）を取り込み、

社内 wiki や HR システムなどのアプリケーションへアクセスを提供します。

では、データベース管理ツールのような重要でリスクの高いサービスや、

SSH や RDP でアクセスするサービスは、どうでしょうか。

こうしたケースでは、デバイスからアプリケーションまで厳しいセキュリティを

確保し、強力な認証を使っている許可されたユーザーに、

信頼できるデバイス上でのアクセスを許可できることが重要です。たとえば、データベース管理アプリとして

Postgres データベース向けの一般的な Webインターフェースである pgAdmin と、

同じサーバー上の SSH へのアクセスも保護します。

例の環境があるとします。そこではすでに、サーバーから Cloudflare への

接続を作っています。ソフトウェアエージェントが、

pgAdmin サーバーが動いているプライベートネットワークから、Cloudflare

ネットワークへ戻るセキュアなトンネルを維持します。プライベートサーバーの IP アドレスは

インターネットに公開されません。このサーバーを、Cloudflare が管理する

新しい企業ネットワークへ接続していることになります。接続後、プライベートサーバーへアクセスする方法は

Cloudflare はそのホスト名のトラフィックをプロキシし、トンネルの先にある

そのアプリケーションへルーティングします。

この方法なら、誰でも、どこからでも、どのデバイスからでも簡単に

アプリケーションへアクセスできます。ただし、それだけでは足りません。

このシナリオでは、さらに厳しいセキュリティを実装します。

トンネルを設定します。対象は、Cloudflareネットワークに接続した管理対象デバイスを使う

信頼できるユーザーだけです。

このサーバーには、公開された部分はありません。

次に、データベース管理者だけにアクセスを提供するため、

いくつか実施することがあります。

サーバーに解決される内部ホスト名を使う必要があります。

ユーザーデバイスを、Cloudflare が管理するネットワークへ接続する必要があります。

さらに、ユーザーが誰かと、デバイスのセキュリティ状態が良好かを特定する必要があります。

まず、内部 DNS 解決の方法を見ていきます。

IP アドレスでサービスへアクセスするのは誰も好みません。例外は

ですから、常にホスト名を使うべきです。

Cloudflare なら、プライベート DNS サービスをネットワークへ接続し、

次のようなポリシーを作るだけです。ユーザーまたはネットワークからのリクエストで、

Cloudflare ネットワーク上のどこからでも、内部ドメインに対するものは、

その特定の DNS サービスが応答する、という内容です。

この例では、データベースサーバーと同じトンネルソフトウェアを使い、

その DNS サービスを Cloudflare へ接続します。

ここまでで、データベース管理ツールはCloudflare に接続済みです。さらに

内部ホスト名を使い、そのプライベートネットワークの IP アドレスを

解決できます。次に、ユーザーデバイスをCloudflare へ安全に接続し、

データベースサーバー向けのトラフィックがすべて安全な経路を通るようにします。

サーバーで使ったものに近いソフトウェアを使います。

ただし、ユーザーデバイス向けに設計されたものです。

macOS、Windows、Linux、iOS、Android に対応し、デバイスを

セキュアなトンネルで Cloudflare へ接続します。

さらにエージェントは、デバイスのセキュリティ状態に関する情報も

提供できます。ポリシーを見るときに後で説明します。

ユーザーデバイスが Cloudflare に接続されると、

プライベートアプリケーションへのリクエストは内部 DNS サービスで解決され、

トラフィックはデバイスから Cloudflare 経由でセキュアなトンネルを通り、

アプリケーションが動いているプライベート IP へルーティングされます。

これで、デバイスからサーバーまで接続が保護されました。

最後に、許可したユーザーだけがアクセスできるよう、ポリシーを

作成します。かつ、利用中のデバイスが一定のセキュリティ水準を

満たしている必要があります。

デバイスエージェントからの情報を使い、既存の ID および

デバイスサービスも活用して、そのポリシーを組み立てます。

通常、会社には従業員向けの中央ディレクトリがあります。

さらに追加することもできます。

たとえば、契約社員は別のディレクトリで管理している場合があります。

Cloudflare は XDR プラットフォームとも統合できます。たとえば CrowdStrike や

SentinelOne です。これらはポリシーで使える、デバイスのセキュリティ状態に関する情報を

提供します。たとえば、デバイスにマルウェアがないかどうかです。

Cloudflare のエージェントでは、デバイスに関する情報を提供できます。

たとえば、ハードディスクが暗号化されているか、ローカルファイアウォールが有効かです。

これで、ユーザーに関するすべての情報が揃いました。

デバイスと、Cloudflare への接続方法も含まれます。

強力な要素で認証したユーザーだけを許可するポリシーを作れます。

たとえばハードウェアトークンによる MFA です。さらに IT 管理者などのグループに属し、

マルウェアのない安全なデバイスを使っている必要があります。

このポリシーは、データベース管理ツールとSSH サービスの両方のアクセスの前に置かれます。

最後に、データベース管理ツールへのすべてのアクセスを記録したい場合は、

認証後に、アプリへのアクセス理由を尋ねるページを任意で挿入できます。

その内容は監査され、Cloudflare にログとして残ります。

まとめです。Cloudflare の SASEプラットフォームで、重要インフラの一部への

アクセスを保護する例を見ていただきました。

強く認証されたユーザーが、厳密に管理されたデバイスからサーバーへアクセスするよう

限定できます。デバイスは、Cloudflare が管理する新しい企業ネットワークへ

接続している必要があります。ご視聴ありがとうございました。

この動画は、Cloudflare の SASEプラットフォームで新しい企業ネットワークを

構築する方法を説明するシリーズの一部です。

詳しくは、シリーズの他の動画もご覧ください。

こんにちは。Cloudflare の Simon です。

この動画を見つけていただき、おめでとうございます。

アプリケーションセキュリティ、

企業ネットワーキング、インターネットに存在するあらゆるデベロッパー向けコンテンツなど、

幅広いトピックも扱っています。オンラインでフォローしてください。ご視聴ありがとうございました。