ギャップに注意：ブートからログインまでの継続的強制のための新ツール

セキュリティカンファレンスでのパネルディスカッションや社内会議における「質問に答える会」の定番クエスチョンの一つとして、私たちが最も好きなものは「夜中に目を覚まさせる最大の懸念は何ですか？」という古典的な問いです。 CISO（最高情報セキュリティ責任者）にとって、この問いはそれ自体が少し悪夢のようなものです。答えは一つではなく、数十個あります。それは、世界中に分散した労働力が最高の成果を出せるように支援することと、その「最高の成果」が結果として壊滅的なデータ侵害の扉を無意識に開いてしまうこととの間の絶え間ない緊張関係です。 私たちはしばしば「ゼロトラストへの旅路」について語りますが、現実はその旅路がほとんど確実に摩擦で舗装されているということです。セキュリティ対策があまりにも煩雑であれば、ユーザーはそれを回避する創造的（かつ危険な）方法を見つけます。一方、効果性を犠牲にしてシームレスにすれば、決意した敵対者に対する防御として十分でない可能性があります。 本日、私たちはクラウドフレアの SASE ツールボックスにおいて、リモートアクセスを近代化するための新しいツール二つを発表できることを嬉しく思います。これらはユーザー体験に摩擦を加えることなく、ネットワークセキュリティの「暗い隅」を取り除くために設計されたものです：必須認証と、クラウドフレア独自の多要素認証（MFA）です。 インストールと運用強化の間のギャップへの対応 Cloudflare One Client をデプロイすると、驚くべき可視性と制御権を獲得できます。許可された宛先に対するポリシーを適用し、Cloudflare を経由するインターネットトラフィックを定義し、アプリケーション層とネットワーク層の両方でトラフィック検査を設定することが可能です。しかし、ユーザーが実際に認証されていない時点からの可視性に関する課題は常に存在していました。 このギャップは主に 2 つのシナリオで発生します: 新しいデバイス: Cloudflare One Client はモバイルデバイス管理 (MDM) を経由してインストールされますが、ユーザーはまだ認証していません。 再認証グレーゾーン: セッションが期限切れとなり、ユーザーが忘れや制限を回避したいという欲求から、再度ログインしない場合です。 いずれの場合も、デバイスは未知のものとなります。これは危険です。可視性を失い、セキュリティ姿勢はローカルマシンが許可する内容に後退してしまいます。 必須認証の導入 このループを閉じるため、必須認証を導入します。MDM 設定経由で有効化すると、Cloudflare One Client はマシン起動時からインターネットアクセスのゲートキーパーとなります。 ユーザーがアクティブに認証されていない場合、Cloudflare One Client は以下の動作を行います: システムファイアウォールを使用してデフォルトですべてのインターネットトラフィックをブロックします。 プロセス固有のエクスプション (例外) を使用して、デバイスクライアントの認証フローからのトラフィックを許可します。 ユーザーに認証を促し、適切なボタンを探す手間をかけずにプロセスを案内します。 接続のための前提条件として認証を行うことで、管理されているすべてのデバイスを常時把握することができます。 注：必須認証機能は、まず Windows 用の Cloudflare One クライアントで利用可能になり、他のプラットフォームへの対応も順次追加されます。 信頼の源泉が一つでは不十分な場合 多くの組織は、主要なセキュリティの基盤としてシングルサインオン（SSO）へ移行しています。Okta、Entra ID、または Google を利用している場合、初期ログイン時に多要素認証（MFA: Multi-Factor Authentication）を要求していることでしょう。これは素晴らしい第一歩ですが、現代の脅威環境においては、もはやゴールラインではありません。 厳しい真実は、アイデンティティプロバイダー（IdP: Identity Provider）が高価値な標的となっていることです。攻撃者が巧妙なセッションハイジャックやソーシャルエンジニアリングを通じてユーザーの SSO セッションを乗っ取ることに成功すれば、その SSO の背後にあるすべてのアプリケーションへの鍵を実質的に握ることになります。 Cloudflare による独立した MFA：二次的な信頼の基盤 ここで Cloudflare の MFA が役立ちます。これは、IdP に依存せずネットワークエッジで動作する「ステップアップ MFA」と考えてください。 IdP から分離して維持することで、保護されたリソースへのアクセスを試みるすべてのユーザーについて、もう一つの権限機関が「承認」を行う必要があります。つまり、主要な IdP の認証情報が侵害または偽造された場合でも、攻撃者は生産データベースのようなリソースにアクセスしようとした際に壁にぶつかります。なぜなら、彼らは第 2 要素へのアクセス権を持っていないからです。 Cloudflare Access は、MFA（多要素認証）を提供するためのいくつかの異なる手段を提供します: 生体認証（Windows Hello、Apple Touch ID、および Apple Face ID など） セキュリティキー（WebAuthn および FIDO2、ならびにインフラストラクチャ用 Access を備えた SSH 用の PIV） 認証アプリを介した時間ベースのワンタイムパスワード（TOTP） 管理者は、ユーザーがどのように認証し、どの頻度で認証するかを定義する柔軟性を持ちます。これは、グローバルレベル（つまり、すべての Access アプリケーションに対して必須 MFA を設定する）だけでなく、特定のアプリケーションやポリシーに対するより細かな制御でも構成できます。例えば、組織はチャットアプリには保証度の低い MFA 方法を許可する一方、ソースコードへのアクセスにはセキュリティキーを要求することを決定できるかもしれません。 あるいは、第三者（契約業者など）に対して、通常は個人メールや LinkedIn のようなソーシャル ID を使用する可能性があるリソースに対して、強力な MFA を強制することもできます。また、ネイティブでサポートされていないレガシーアプリケーションにも、コードを一行も変更することなく、最新の MFA 方法を簡単に追加できます。 エンドユーザーは、App Launcher を介して MFA デバイスを容易に登録できるようになります。 ![image](https://cf-assets.www.cloudflare.com/zkvhlag99gkb/soh6QIt80EoRsWAaTKLIc/9398094837a2ef71025f012f28ffbd2e/image2.jpg) アクセスポリシーの MFA（多要素認証）設定をカスタマイズした例。注：これはモックアップであり、実際の内容は変更される可能性があります。 Cloudflare の独立型 MFA はクローズドベータ版として提供されており、毎週新しい顧客がオンボーディングされています。この新機能をお試しになりたい場合は、こちらからアクセスリクエストを行ってください！ CISO を安心させる支援 セキュリティは往々にして「ループを閉じる」ゲームです。デバイスがオープンインターネットに接続する前に登録と認証を完了させ、最も重要な資産に対して独立した第 2 の検証層を要求することで、潜在的な攻撃の「影響範囲（ブラスト半径）」を大幅に縮小しています。 これらの機能は単なるセキュリティの強化にとどまらず、「確実性」をもたらします。ポリシーが確実に執行されているという確実性と、1 つのパスワードが侵害されたとしても全体が乗っ取られるわけではないという確実性です。 私たちは単純なアクセス制御を超え、継続的かつ自動化されたポスチャ（状態）強制の世界へと移行しています。そして、まだ始まったばかりです。 あなたの fleet をロックダウンしたいですか？Cloudflare One は最大 50 ユーザーまで無料で利用可能です。今日から始められます。 これらのツールを使用して、境界を強化し、ユーザーの日常業務ワークフローを簡素化する方法について、どのように活用されるかを楽しみにしています。いつも通り、皆様からのフィードバックをお待ちしております！Cloudflare コミュニティに参加するか、アカウントチームまでご連絡いただき、ご意見を共有してください。

ギャップに注意：ブートからログインまでの継続的強制のための新ツール

背景や根拠まで確認しますか？

調べる

選ぶ

サイト