サイバー攻撃と防御の実務
NIST SP 800-207のゼロトラストアーキテクチャでは、アクセスを許可するかを判断する「ポリシー決定点(PDP)」と、判断を実行する「ポリシー実施点(PEP)」を分けて考える。社員が業務アプリケーションにアクセスするときの、両者の働きの説明として正しいものはどれか。
- APEPが利用者の認証や端末の状態をもとにアクセスを許可するかを判断し、PDPは利用者のPCの中で動いて、アプリケーションとの通信を暗号化する
- BPDPが認証の結果や端末の状態を方針に照らして判断し、利用者とアプリケーションの間のPEPが、その判断に従って接続を通したり切ったりする
- CPDPとPEPは同じ装置の別の呼び名で、一度接続を許可した後は、セッションが終わるまで許可の判断を見直さないことが原則である
答えと解説を見る
正解：B. PDPが認証の結果や端末の状態を方針に照らして判断し、利用者とアプリケーションの間のPEPが、その判断に従って接続を通したり切ったりする
SP 800-207では、ポリシーエンジンとポリシー管理者からなるPDPが、利用者の認証の結果、端末の状態、アクセスする対象の重要さ、脅威の情報などを方針に照らして、アクセスを許可するかを判断します。PEPは、利用者とリソースの間の通り道に置かれ、PDPの判断に従って接続を有効にしたり、監視したり、切ったりします。判断と実施を分けることで、方針を一か所で管理しながら、多くのアプリケーションの入口で同じように適用できます。また、端末の状態などが変われば、接続している途中でも判断を見直して、アクセスを止められるようにします。
- A. 判断するのがPDP、実施するのがPEPで、役割が逆です。
- B. 正しい。判断(PDP)と実施(PEP)を分け、PEPは利用者とリソースの間で判断を実行します。
- C. 2つは別の役割です。ゼロトラストでは、接続を許可した後も、状態の変化に応じて判断を見直します。