適応型アクセスの実施方法 with Cato

エグゼクティブサマリー

現代の企業は、ユーザー、デバイス、アプリケーションが非常に分散された環境で運営されており、アクセスの意思決定は、変化するリスク条件に適応し続ける必要があります。 静的な衡量的認証は、資格情報の侵害、デバイスの設定ミス、ユーザーによるリスクなど、進化する脅威に対抗するためには十分ではありません。

適応型アクセスは、動的アクセスの意思決定を可能にするアーキテクチャーアプローチで、継続的に評価されるコンテキストシグナルに基づきます：

• ユーザーリスクスコア

• デバイスポーズチャ

• 認証信頼度

• ネットワークとロケーション

• アプリケーションとリソースコンテキスト

• セッション完全性

• 脅威コンテキスト

Cato SASEプラットフォーム内で、適応型アクセスの機能は複数の制御プレーンにわたり実装され、PoPで施行されます。 適応型アクセスは、さまざまなアクセス方法に適用され、コンテキストに基づく管理が関連するCatoポリシーによって一貫して施行されます。 これにより、一貫性のある、身元認識、コンテキスト認識の施行が可能となり、静的な信頼の想定に頼ることなく、接続性、アプリケーションアクセス、ネットワークトラフィックを管理します。

継続的なシグナル評価とポリシー施行の組み合わせにより、組織は危険にさらされたユーザーとデバイスへの露出を減らし、最低限の特権アクセスを強制し、高い確証が必要な場合にステップアップ認証をトリガーできます。 同時に、管理者はユーザーリスク、デバイスのコンプライアンス、セッション状態への可視性を得て、情報に基づいた運用とセキュリティーの決定を可能にします。

ビジネスのコンテキストと推進力

組織は静的な信頼を排除し、継続的でコンテキストに基づいた意思決定をアダプティブアクセスによって実現する必要があります。 信頼条件はログイン後に変更でき、アクセス制御はその変化に反応しなければなりません。

初期の認証とネットワークロケーションは、資格情報の盗難、管理されていないエンドポイント、および急速に変化する脅威条件に対抗するには不十分です。

Catoは4つの柱を通じて適応型アクセスを実装します：

• 強力なシグナルで信頼を構築: 適応型アクセスは、最新で信頼性があり、継続的に更新されるシグナルに依存します。 これらのシグナルは、セッションの確立中およびセッションライフサイクル全体でのポリシー決定の基礎を形成します。

• シグナル集約による統一信頼: シグナルはPoPで相関され、現在のセッション状態を反映します。 アイデンティティ属性、姿勢結果、および行動指標が各リクエストごとに評価されます。

• コントロールプレーンにわたる信頼による施行: ポリシーは、接続性、アプリケーションアクセス、およびネットワークトラフィックのPoP内でインラインで施行されます。 同じコンテキストがクライアント接続性、ZTNA、およびファイアウォールの意思決定に一貫して適用されます。

• 分析と対応のための信頼の可視性: Cato管理アプリケーション(CMA)は、ポリシー決定とそれに関連するシグナルへの中央集約された可視性を提供します。 単一の管理コンソールは、管理者がセッションを調査し、結果を検証し、コントロールプレーン全体に一貫したポリシー変更を適用するのを支援します。

このアプローチにより、静的な信頼の想定に頼ることなく、ゼロトラストに合わせた継続的なリスク認識の施行が可能になります。

共通のユースケース

Catoプラットフォーム内の適応型アクセス機能は、ユーザー、デバイス、またはセッション条件の変更時にアクセスの意思決定を変更する必要があるシナリオをサポートします。

• リスクベースのアプリケーションアクセス: ユーザーセッションとデバイスの現在の状態に基づいて内部アプリケーションへのアクセスを制御します。

  • 例: デバイスが姿勢チェックをパスし、ユーザーのリスクスコアが許容範囲内である場合、ユーザーは内部HRアプリケーションへのアクセスが許可されます。 同じユーザーがそのセッションの途中でリスクスコアが上昇した場合には、アプリケーションへのアクセスがブロックされることがあります。 たとえば、マルウェアをダウンロードしたり、既知のコマンドアンドコントロールドメインに接続したりする場合です。

• デバイス認識の接続コントロール: 準拠し、安全なデバイスのみがCato Cloudへの接続を確立できることを確認します。

  • 例: 必要なエンドポイント保護エージェントを持っている管理された企業ラップトップは、Catoクラウドへの接続が許可されます。 エンドポイント保護が最新バージョンで実行されていないデバイスは、接続がブロックされることがあります。

• アクションアップ認証による機密アクセス: ユーザーが機密リソースにアクセスする際やセッション保証が不十分な場合に再認証を要求します。

  • 例: 既存のセッションで標準の内部リソースをブラウズすることが許可されているユーザー。 ユーザーが機密な財務アプリケーションを開こうとすると、ポリシーが再認証を要求することがあります。

• ユーザーのための制御されたリモートアクセス: リモート接続を許可されるユーザーを定義し、他のユーザーをオフィスベースのアクセスのみに制限します。

  • 例: 承認されたユーザーグループの従業員が、Catoクライアントを介して非公開アプリケーションへのリモートアクセスを許可されます。 オフィスのみのアクセスに制限されたユーザーは、リモート接続を試みるとブロックされます。

• 管理者向けのオペレーショナルビジビリティ: トラブルシューティングとポリシー検証をサポートするために、ユーザーセッションとアクセスの意思決定への可視性を提供します。

  • 例: 管理者は、CMAでユーザー活動とイベントを調べることで、なぜユーザーが許可、ブロック、またはチャレンジされたのかをレビューできます。 例: ユーザーディレクトリページでユーザーをリスクレベル（例: 高 または 重大）でフィルターし、調査が必要なユーザーを迅速に特定できます。

コンテクスタルシグナル

適応型アクセスの意思決定は、ユーザー、デバイス、セッションの現在の状態を記述するコンテクストシグナルに基づいています。 これらのシグナルは継続的に評価され、CMAポリシーによって使用されて、アクセスを許可するか、制限するか、チャレンジするかが決定されます。

• ユーザーリスクスコア: ユーザーセッションの現在のセキュリティリスクを表します。 スコアは行動活動とセキュリティ検出に基づいて継続的に更新され、以下を含んでいます：

  • すでに侵害されたシステムの指標

  • 感染に繋がる可能性があるブロックされた試行の指標

  • 侵害に至る可能性のあるポリシー違反またはリスキーな活動

• デバイスポーズチャ: エンドポイントのセキュリティ状態を表します。 CMAでは、デバイスポーズチャプロファイルとデバイスチェックを使用してポーズチャを定義します。 Catoクライアントはアクセス前およびアクセス中にデバイスでこれらのチェックを施行し、結果のポーズチャ状態は、デバイスコンプライアンスを必要とする複数のポリシーで参照できます。

  • デバイスチェックはエンドポイント上の特定の条件を評価し（例：エンドポイント保護のステータス、OSバージョン、証明書、または設定）、その結果に基づくポーズチャ状態が参照されます。

  • デバイスポーズチャプロファイルは、1つ以上のチェックを再利用可能なプロファイルにグループ化し、要求されるセキュリティベースラインを表します。

• 外部MDMコンプライアンス: Microsoft Intuneなどの外部システムからのシグナルでデバイスポーズチャを拡張します。 これらのシグナルは、デバイスが組織のポリシー（例: 暗号化またはパッチレベル）に準拠しているかを示します。

• 認証信頼度: ユーザーの認証トークンの新しさと有効性を表します。 Catoトークンから派生したもので、セッションが要求された認証保証レベルをまだ満たしているかどうかを示します。

これらのシグナルはPoPで評価され、ポリシーエンジンに提供され、セッションライフサイクル全体で継続的かつリスク認識のアクセス決定を可能にします。

トラフィックとコントロールフロー

適応型アクセスの施行は、Cato PoPにおいて行われ、アイデンティティ、デバイス、およびセッションシグナルがセッション確立時および継続的な活動で評価されます。

1. ユーザー認証とセッション確立: ユーザーが最寄りのCato PoPに接続し、認証リクエストが設定されたアイデンティティプロバイダー（IdP）に転送されます。 認証成功後、PoPはセッションを確立し、ユーザーIDとグループ属性を取得します。

2. 初期ポリシー評価: セッションが確立されると、PoPは関連するコンテクストシグナルを設定されたポリシーに対して評価します。 これにより、ユーザーセッションの初期アクセス決定が確立され、ユーザーの接続許可が決定されます。

3. アプリケーションへのアクセス: ユーザーがアプリケーションへのアクセスを試みると、PoPはそのリクエストに対する関連ポリシー条件を評価します。

4. ステップアップ認証: ポリシーがより強力な認証を要求する場合、PoPはユーザーを設定されたIdPにリダイレクトします。 再認証が成功すると、セッションは要求された保証レベルを維持したまま続行されます。

5. 継続的な施行: アクセスが許可された後、PoPはセッション条件を評価し続けます。 リスクが増加したり、姿勢が失敗したり、認証の保証がもはや十分でない場合、ポリシーはアクセスをブロックしたり、ユーザーに再認証を要求したりすることができます。

適応型アクセスのためのCatoポリシー

Catoプラットフォームでの適応型アクセスは、複数のCMAポリシーを通じて実装され、接続性、アプリケーションアクセス、ネットワークトラフィック全体のアクセス決定を施行します。 各ポリシーは、コンテクストシグナルを評価し、ユーザーセッションの異なる段階で制御を適用します。

クライアント接続ポリシー

クライアント接続ポリシーは、ユーザーデバイスがCatoクラウドへの接続を確立することが許可されているかを制御します。 このポリシーは、ゼロトラストの原則を接続ポイントで施行し、アクセスが許可される前にデバイスとセッションを検証します。

管理者は、このポリシーを使用して、未管理または非準拠のデバイスの接続を防止し、セッションが確立される前に認証要件を施行します。

プライベートアクセスポリシー

Cato Private Accessにより、ネットワークをユーザーに拡張することなく、プライベートアプリケーションへのセキュアでアイデンティティベースのアクセスを提供します。 従来のVPNのような直接のネットワークレベルの接続を許可するのではなく、ユーザーの身元とコンテキストに基づいて、最低限の特権、アプリケーション固有のアクセスを施行します。

プライベートアクセスポリシーでは、プライベートアプリケーションへのアクセスを制御し、特定のプライベートアプリケーションのみに接続することが許可されているユーザーがのみ、アクセス可能にします。

常時オンポリシー

常時オンポリシーにより、管理者はどのユーザーとデバイスがCatoクラウドに常時接続されたままでなければならないかを定義し、そのトラフィックが常にセキュリティポリシーによって検査および制御されます。 これは、異なる接続要件を持つ異なるユーザーポピュレーションのためにサポートする詳細なポリシーです。 例: 従業員または管理されたデバイスは常時接続が必要ですが、契約者または未管理のデバイスはオンデマンド接続または直接インターネットアクセスが許可されることがあります。

常時オンにより、組織はリスクと信頼に応じた接続の施行を整合させることができます。 高信頼または高リスクのシナリオでは継続的な検査が必要になり、低リスクのシナリオでは全体のセキュリティ状態を損なうことなく、より柔軟な接続が許可されることがあります。

セキュリティポリシー

以下のセキュリティポリシーも、ユーザーセッションの異なる段階で同じ制御を適用するためのコンテクストシグナルをサポートします：

• インターネットとWANファイアウォール

• アプリケーションコントロール(CASB)とDLP

アダプティブアクセスシグナルのためのポリシーサポート

次の表は、前のセクションで議論した各Catoポリシーがどのコンテクストシグナルをサポートしているかを要約しています。 各行はポリシーを表し、各列はコンテクストシグナルを表します。 この表は、Catoプラットフォーム全体でアダプティブアクセスシグナルが適用されている箇所の簡易参考資料です。