ペパボ研究所 研究員／プリンシパルエンジニアの三宅(@monochromegane)です。 2019年9月19日から2日間に渡って開催された、第47回インターネットと運用技術研究会(IOT47)で、ペパボ研究所から発表を行いましたので論文(研究会予稿)とスライドと共に紹介します。
なめらかなセキュリティを目指して
情報セキュリティに関するインシデントの発生頻度や規模、社会的影響は年々拡大しており、情報システムの運用開発者にとって不断のセキュリティ対策が重要になっています。 さらには、多様なサイバー攻撃手段に対抗するために複数の観点の対策による多層防御が主流となっています。 一方で、継続的なセキュリティ対策を行うにあたって多層防御を方針とすることは、利用者や開発運用者は利便性の低下、コストや運用負荷の増大といった課題を抱えることとなります。 そのため、これらの課題を解決し、強固なセキュリティと利用や運用の容易さを実現する、継続可能なセキュリティの仕組みが求められます。
ペパボ研究所では、「システム総体における要素の状態、状況、条件といった「コンテキスト」が暗黙的に認識され、コンテキストごとに最適な振る舞いが提供されるシステム」として「なめらかなシステム」を提案しています。 前述のセキュリティ対策には、利便性やコストの面での柔軟性と、運用の面での効率的な維持管理を両立する必要があります。 本研究では、なめらかなシステムの要件を満たすことでこれを解決する「なめらかなセキュリティ」のコンセプトを提案しました。 提案するコンセプトでは「なめらかなセキュリティ」を以下のように定義します
システムの利用や運用における様々な障壁を取り除き、個々人に合わせたセキュリティを必要な時に必要最小限の機能として提供することで、ユーザの利便性を損なわず、かつプライバシーを守りながらセキュリティを実現する仕組み
なめらかなシステムのアーキテクチャを以下に示します。
なめらかなシステムは情報システムの一部として、コアサービスを防御するセキュリティ実行基盤として振る舞います。 ユーザからの要求は、必ずなめらかなセキュリティの層を経由してコアサービスへと到達します。 ここで、セキュリティ検証内容は個人に最適化されており、個々人に合わせたセキュリティを必要な時に必要最小限の機能として提供します。 また、ユーザと情報システムのやりとりに関するログを収集・解析することで、これらの検証内容の組み立てと最適な経路情報を自動かつ継続的に導くようになっています。
また、研究報告では、なめらかなセキュリティの実現に向けた以下の部分研究を紹介しました。
- ログ収集・検索の観点からのHayabusaの拡張
- セキュリティ対策の効率的な維持管理に必要なセキュリティ定義の自動生成
- 個別化された多様な環境におけるセキュリティ検証基盤でのオートスケーリングの最適化
今後はコンテキスト解析ならびにセキュリティ検証基盤であるEdgeの設計・実装を通して実用性の高いシステムを実現していきます。
研究会予稿
スライド
まとめ
第47回インターネットと運用技術研究会(IOT47)では、なめらかなセキュリティについてペパボ研究所から発表を行いました。 今回の研究会はセキュリティ心理学とトラスト研究会(SPT)との併催であったことから、運用技術からの観点だけでなく「セキュリティと人間」という観点でも幅広い議論を行うことができました。 今後も、継続的に研究会が開催されますので、エンジニアの皆様もぜひご参加ください。
【PR】パートナー積極採用中！
ペパボ研究所では、新しいパートナーを求めています。詳細については、当研究所のトップページをご覧ください。
