【2020年】ネットワーク・通信の本「最新・人気のおすすめの10冊」

アプリ側しか触ったことないけれど、インフラ側の知見の全体感を得る方法はないか。

この問いに対するアンサー本が当書籍です。
私は前職でシステムコンサル(sap)でしたが、転職を機にインフラ側の知見も求められるようになりました。そこで知人の勧めもあり、当書籍を購入しましたが、充分な満足感を得れました。
以下点が優れていると思いました。
①awsを実際に使用して開発環境の構築ができる。
②インフラ初心者向けに各種用語、概念を丁寧に説明してくれている。 (参考：Amazon)

AWSのアカウントを作成して、Webの資料を見ながら右往左往していたので、この本を購入した。自宅のLANぐらいしか触れた経験がないので、セキュリティやACLとか、ルーティングテーブルの設定がよくわからず、しかもAWSの独自の用語に混乱していたが、なんとか週末で一通りの流れは理解できた。内容は、AWSの最初の一歩というレベルなので、ITの専門家ではない人で、AWSで小さなWebシステムを作るような人には、向いていると思う。 (参考：Amazon)

一見すると分厚そうな本ですが、全体的に空白や図表が多いため文書量は少なめで読みやすいです。
内容も優しい内容が多く、まさに入門書という感じ。Wi-Fi6やIPv6といった最近の話題もきちんとキャッチアップされています。
難点として、全体的に比喩がよく出てくるのですが、無理に現実に例えようとしたせいで余計にわかりにくくなっているように思いました。
現実の問題とネットワークが抱える問題は必ずしもイコールではなく、比喩で例えようとした結果、本来の問題ではない部分に話が移っている場所もありました。
説明が比喩に出てきた問題への解決策なのか ネットワークへの解決策なのかが見えにくい場所もあり、比喩の部分はすべてなくしていただいたほうが より説明が明瞭になりそうに感じます。 (参考：Amazon)

従来のFWなどの活用による境界防御モデルでは、ホストやリンクに一度侵入を許すとネットワーク横断的に全体が脅威にさらされる問題を抱えていた。これに対し、ゼロトラストネットワークモデルには、既存のセキュリティ技術を活用しながらも外部と内部からの攻撃に対する耐性を提供してくれる。一言でまとめると、同一ネットワーク内の通信であっても、利用ユーザ、デバイス、アプリケーションをそれぞれ都度認証（セッションごと）、認可（リクエストごと）し通信を暗号化することで、悪意ある攻撃のインジェクトや、乗っ取りの影響を最小限に低減する防御方法である。
ゼロトラストモデルは、現在も標準化の最中の最新の概念である。本書では、ゼロトラストモデル環境の構築方法を解説しているが、コードレベルの具体的な実装ではなく、基本設計仕様、概念までの解説で言及している。
具体的内容（抜粋メモ）は、以下の通り。

●利用者認証
政府発行の識別証の使用、当人しか知り得ないパスワード、ハードウェアトークン、生体認証などを利用。
※デスクトップコンピュータの場合、パスワードとハードウェアトークンは強力であり推奨される。
※モバイルは指紋とパスフレーズが推奨。
認証の際に、２要素認証(２段階認証)を活用する。

●各ホスト/デバイスの認証
X.509:公開鍵方式：信頼されるデバイス、ユーザ、アプリケーションなどを特定と通信の暗号化。
プライベートPKI：公開鍵証明書の管理。セキュリティを高めるために期限の短い証明書を大量に使い捨てる。＞鍵の発行、失効などの効率的自動化の実装が独自に必要になる。
TPM：デバイスのX.509秘密鍵を保護すること。TPM内のSRKを使って秘密鍵を暗号化＞秘密鍵はOSに公開されず、ハードウェアにバインドされる。
mTLS(mutal TLS:相互認証TLS)：公開鍵を使った利用者利用側の相互認証。
※通信にUDPパケットとしてリソースに送信する方法＞TCPと異なりUDPパケットがレスポンスを受け取らないのを利用し利用ポートを隠し、正しい鍵で暗号化されたパケットを受信した時に初めて姿を表すことが可能。

IPsec
　・アプリごとに一意なセキュリティアソシエーションを使用できる。
　・フィルタリングシステム（ソフトウェアファイアウォール）をIPSecの上位層に追加できる。
　・X.509証明書といった標準の認可手法の利用が可能になる。
　・iPsec層の上位層としてmTLSを実装できる。
IKE
　・認証プロトコル。IPsecの鍵交換コンポーネント。

●各ホスト/デバイスのシステム状態の証明
TPMのPCR(Platform Configuration Register)：実行中のソフトウェアのハッシュ値が格納されるストレージスロットを提供。BIOSのハッシュ値、ブートレコードなどの設定が格納。＞このハッシュ値を利用すれば、システムが承認された設定、または状態であることを証明できる。
リモートアステーション：TPMにはEK(Endorsement Key)という別の鍵ペアがある。EKはTPMごとに一意。＞TPM識別の手立てとなる。EKの秘密鍵はOSからアクセスできない。TPMはリモートアステーションという方法で「クォート」と呼ばれるものを生成し、リモートパーティに安全に送信する。
クォート：現在のPCR値のリストが含まれており、EKで署名。＞これで、ホストのアイデンティティとソフトウェアの状態、設定の両方を検証できる。

●アプリ：ソースコードの認証
一連のコミットが書き換えられないことを暗号的に証明できるようにする＞例：Git(有向非巡回グラフ：DAG)。
信用された開発者のGPG(GNU Privacy Guard)鍵でコミットやタグに署名＞例：Git。
コードレビューによる不正コードコミット抑止。

●アプリ：ビルド時のセキュリティ手段
ビルドシステムは、バージョン管理システムに認証されたチャネル（通常はTLS)を通じてアクセスすべき
タグ、コミットなどに署名されたものを、ビルドシステムが再び検証する。
ビルド設定も重要な入力の一つ＞設定もバージョン管理システムに配置すればソースコード同様署名が使える
さらに成果物に署名＞ハッシュ値を管理して悪意ある置き換えを検知。
リリースされたバージョンとそのハッシュ値を署名付きのマニフェストで公開する＞利用者も検証できるようにする。

※アプリ配布について：信頼されないミラーサイトへの配布は、様々な攻撃を可能にしてしまう。古い（署名された）バージョンへの強制的ダウングレードなど。

●アプリ：ランタイムのセキュリティ手段
セキュアコーディングの実践。
脆弱性のある潜在バグをなくす。
アクセスできるリソースをアプリごとに制限、分離することが重要。
　利用可能技術参考：
　・SELinux, APPArmor
　・BSD jails
　・仮想化、コンテナ化
　・AppleのApp Sandbox
　・Windowsの分離アプリケーション
能動的な監視。

■独自実装ポイント■
コントロールプレーン（リソースのアクセスの認証、認可を司る）と、データプレーン（コントロールプレーンに管理される、サーバ、ホストなど）の実装が必要。
データプレーン間の通信は、全てコントロールプレーンによって認証（セッションごと）、認可（リクエストごと）が必要。認証には大量の期限の短いX.509証明書を使用。そのため認証処理に応じた証明書の発行失効の自動化処理が必要。
認証、認可はスコア制で行動内容によって常に評価される＞それによりシステムの状況、変化にも動的に柔軟に対応できる。
動的な認証、認可のためのポリシー設定のエージェントとして構成管理を利用することもできる。
認証、認可のポリシー設定項目、スコア評価方法は、各ネットワークシステムの規模、用途に応じて内容は読者に委ねられている。

-------

従来のネットワーク防御モデルを覆す斬新なセキュリティアーキテクチャモデルとして興味深く読むことができた。
導入においても、高価なハードウェアやソフトウェアパッケージなどの導入が殆ど不要な点も興味深い。ゼロトラストネットワークモデルの構築をパブリッククラウドで展開する上での考慮点、不都合の緩和方法も記載されている。
セキュリティ関連に従事する技術者の知見を広げる目的として価値が出てくる著作だと感じた。 (参考：Amazon)