オランダの自治体がイルミオで多層防御を強化

概要と課題

世界中の都市は、住民に関する大量の機密情報と、水管理から犯罪に至るまでの地方自治体のサービスを支える重要なアプリケーションの両方を保護する必要があります。

このヨーロッパの主要都市はそのような責任を真剣に受け止めています。住民の繁栄と福祉を支援し保護するということは、個人識別番号、金融・債務関連の情報、犯罪データなどの重要で機密性の高いデータを常に保護し、機密に保つことです。世界中で攻撃や侵害が発生していることを認識した同市は、機密データを安全に保つためのセキュリティ体制をさらに強化するために対処すべき弱点を把握するために、積極的にセキュリティ監査を開始しました。

ファイアウォール、Web、Eメールセキュリティなどの重要な脅威中心のテクノロジーをすべて適切に導入して、多層防御を実現していました。しかし、監査の結果、改善すべき分野がいくつか明らかになりました。

1 つの発見には、早急な対応が必要でした。この都市には、細分化されていない大部分が「フラットな」ネットワークがあり、攻撃者が侵入しても自由に支配できるようになっていました。シニアITプロジェクトマネージャーは、「侵害は一度も発生していませんが、フラットなネットワークで侵害が発生した場合、攻撃者はすべてのワークロードにアクセスできたはずです」と述べています。

監査の結果、全体的なセキュリティリスクを軽減する鍵は、セグメンテーションによる攻撃対象領域の縮小と密接に関連していることが明らかになりました。

多くの組織と同様に、市のITチームは当初、セグメンテーションを試みるために使い慣れたテクノロジー、つまりファイアウォールに目を向けました。市はファイアウォールを使ったセグメンテーションプログラムを検討しましたが、すぐにそれが難しすぎて費用がかかりすぎることに気付きました。このプロジェクトには 4 ～ 5 年かかり、何千ものルールを含む新しいファイアウォールの実装には、さらに 12 人の従業員が必要で、数百万ユーロもの費用がかかりました。

このアプローチのコストと複雑さを理解した自治体は、すぐに計画を破棄し、信頼できるアナリスト企業に連絡して、より簡単で効果的、かつコストのかからないまったく新しいセグメンテーションアプローチの提案を求めました。

イルミオがどのように役立ったか

Illumioの概念実証が設定された瞬間から、ITチームはIllumio Coreがデータセンターのセグメント化に適したアプローチであることに気づきました。

すぐに目立ったのは、イルミネーションマップから得た強力な可視性と洞察力、つまりこれまでになかった可視性でした。これにより、これまで気づかなかった無数のデータフローを環境内で発掘することができました。

すべてのアプリケーションフローのイルミネーションマップを使用して、チームはアプリケーション所有者と会い、信頼できる唯一の情報源に基づいてセグメンテーションポリシーを共同で設計することができました。

さらに、イルミオの4次元のわかりやすいラベルは、組織のみんなに役立つ地図を作成するのに非常に役立ちました。これにより、チームは、新しいアプリケーションの動作も含め、すべてのフローを確認して理解し、ポリシーを作成できるようになりました。このマップは、一枚の絵が千の言葉に匹敵することを証明しました。

最初にセグメンテーションが必要になったのは、攻撃対象領域を減らすためにフラットネットワークに対応する必要性でした。そのために、イルミオは自動化されたゼロトラストセグメンテーションを導入しました。Illumio はゼロトラストのデフォルト拒否アプローチを採用しており、許可リストに記載されたフローのみが許可されます。

たとえば、主要なアプリケーションの1つでは、ポリシーで考慮しなければならないアプリケーションからのすべてのフローを確実に理解するために、何ヶ月も強制なしでIllumioを可視化モードで実行しました。そのベースラインが決まったら、イルミオのポリシー自動化ツールを使ってアプリケーションをセグメント化し、許可されていないフローをすべてブロックしました。これらはすべて数回クリックするだけで完了します。

結果とメリット

• 驚異的なアプリケーション可視性
  イルミネーションマップでは、アプリケーションを完全に可視化し、アプリケーションの動作を正確に把握できるため、アプリケーションの所有者がセグメンテーションプロセスに関与できるようになります。
• リスクの少ないより強力なゼロトラストセキュリティ体制
  マイクロセグメンテーションにより、市は大規模なデータ漏えいに対して脆弱なフラットネットワークを廃止することができました。現在では、ゼロトラストセグメンテーションモデルを採用して、ラテラルムーブメントを制限し、多層防御を補完し、全体的なセキュリティリスクを軽減しています。
• 価値創出までの時間の短縮と実質的なコスト削減
  Illumioは、ファイアウォールを使ったセグメンテーションプロジェクトの半分以下の時間でセグメンテーションを実現しました。数千万ユーロものファイアウォール支出を回避し、新たに12人の従業員を雇用する必要もありませんでした。
• 設定ミスのないすべてのセキュリティ
  イルミオでは、すべての申請フローを可視化することで、施行前にこの都市が政策をモデル化できるようにしています。これにより、重要なアプリケーションを誤ってブロックしてしまうことがなくなります。