Swish: Steph Curry がエンタープライズセキュリティについて教えてくれること

この記事は最初に公開されました フォーブス・ドットコム。

最高のセキュリティ専門家は、ハッカーのように考えることができる人です。彼らの防御に対する考え方は、簡単に悪用されかねない弱点をシステムに探す方法についての基本的な理解に基づいています。セキュリティが確保されていないあいまいなエントリポイントはありますか?必要なのは、メインエントリの保護に全力を注いでいるにもかかわらず、見過ごされがちな 1 台のデバイスをデフォルトパスワードで外部に接続し、攻撃者が侵入することだけです。

そのため、現代のセキュリティチームはもはや正面玄関（別名ネットワーク境界）に固執せず、より高度な手法を適用して犯罪者が与える被害を制限しています。また、攻撃者は最も抵抗の少ない道をたどる傾向があることを知っているため、保護対象の資産の価値も考慮に入れています。つまり、とりわけ安全性の低い企業であろうと、ある組織内の安全性の低いサーバーであろうと、攻撃者はぶら下がっている成果に移ることになります。

これらすべての変数を比較検討するには、すべての重要なアプリケーションとデータ、それらが存在する場所、およびそれらにつながるすべての経路に関する知識が必要です。価値の高いターゲットがどこにあり、そこに至る道筋がわかれば、防衛活動の優先順位を決めるべき場所について賢明な判断を下すことができます。今、あなたはハッカーのように考えています。

では、この環境でセキュリティを強化するにはどうすればよいでしょうか。1 つの手法は、利用可能な攻撃経路を減らすことです。貴重品 (アプリケーションやデータ) を保管する最も安全な場所は、武装した警備員とレーザーに囲まれた地下の強化バンカーです (バンカーを建設する場合はレーザーが必要です)。侵入方法は1つで、攻撃者は侵入コストが高くなります。つまり、攻撃者は別の場所に行く可能性が高いということです。そうすれば資産は安全に保たれるかもしれませんが、手ごろな価格でも実用的な選択肢でもありません。

これについて考える1つの方法は、現実の世界でアナロジーを使用することです。例えば、あなたがフィジカル・セキュリティ・ビジネスをしていて、あなたの仕事は Steph Curry が地元の会場でスピーチをするときを守ることだとしましょう。大勢の人が出入りする必要があり、ステフをバンカーに隠すこともできないため、簡単に会場をコントロールすることはできません。なぜなら、要点は人々に彼を見てもらうことだからです。これは、企業のデータセンターやクラウドの保護を担当する最高情報責任者 (CIO) や最高情報セキュリティ責任者 (CISO) が直面している問題に似ています。

私たちにできることは、会場へのすべての可能なアクセスポイントを評価し、必要のないアクセスポイントをロックダウンすることです。2つのサイドドアと1つのバックドアは必要ないので、完全にバリケードできるかもしれません。残りのバックドアはステフと彼のチームだけが利用でき、アクセスするにはバッジが必要かもしれません。現在、一般公開されている唯一の入り口は会場の正面玄関で、そこに5台の金属探知機が設置されています。

そのため、すべての経路を分析し、どの経路を遮断できるか、アクセスを制限する場所を決定することで、攻撃対象領域を大幅に減らしました。セキュリティの世界では、データやアプリケーションに同じ手法を適用して、考えられるすべての経路を特定し、必要不可欠な経路以外はすべて遮断しています。マイクロセグメンテーションは、最小権限の原則を適用してデータセンターとクラウドでこれを実現し、組織は世界で最も機密性の高いアプリケーションやデータを保護するために利用されています。

しかし、2台の金属探知機が動作していないことがわかり、イベントのラインがブロックを囲み始めたらどうなるでしょうか？ラインを動かし続けるためにセキュリティを弱めていますか？それともステフのセキュリティを何よりも優先していますか？でこれらの質問にお答えします このシリーズの第2部。