VPNからのスムーズな移行：ZPAが優れたセキュア アクセス ソリューションである理由 - 第3回

概要

このブログ シリーズでは、Zscaler Private Access (ZPA)のアーキテクチャーについて解説しています。前回までの内容は、第1回および第2回からご確認いただけます。

シリーズ最終回となる本記事では、ZPAの革新的な機能が実現する価値と、その優れたソリューションとしての特長を詳しくご紹介します。

AIを活用したアプリケーション セグメンテーション

効果的なアプリケーション セグメンテーションはゼロトラスト アーキテクチャーの中核を担う要素であり、ZPAはこれを優れた形で実現します。

ゼロトラストの基本原則の一つに「侵入されることを前提にする」という考え方があります。これは、従来のネットワーク境界の内外に攻撃者が存在する可能性を見越してプロセスやシステムを設計することを意味します。

ZPAを使用すると、さまざまなネットワーク セグメント間の接続を必要としないため、セグメンテーションを簡単に実現できます。各ネットワーク セグメントは独立した「島」のようになるため、仮に一つのセグメントが侵害されても被害範囲を限定し、攻撃者がデータ センター内を水平移動するリスクを防ぐことができます。

また、ZPAは従来の効率の低いIPベースのアクセス制御手法の代わりに、グループや部門を活用するユーザー グループベースのアプローチを採用しています。AIによる推奨機能を活用することで、正確なアクセス ポリシーを特定、セグメント化、適用できるようになり、以下の主な機能でゼロトラストの取り組みを加速させます。

• Application Segmentのインポート：サイバーセキュリティ資産管理(CSAM)や構成管理データベース(CMDB)ツールからApplication Segmentを簡単にインポートし、構成プロセスを高速化します。
• AIを活用したセグメンテーションの推奨：アプリケーションの使用パターンやトランザクション データを自動的に分析し、アクセス ポリシーを提案します。これらの推奨設定は、各環境に合わせた推奨を取得するように構成できます。
• 使用状況の洞察：どのユーザー グループがどのApplication Segmentにアクセスしているか、どのアクセス ポリシーが使用されているかについての実用的な洞察を取得します。これにより、管理者はアクセス ポリシーを微調整できます。

管理者は簡単に導入を開始し、ユーザーやアプリケーションの変化に合わせて、セグメンテーションのグループやポリシーを随時改善できます。このセグメンテーション主導のアプローチは、セキュリティを向上させるだけでなく、攻撃対象領域を削減し、ゼロトラストの導入をよりシンプルかつ効果的にします。

あらゆる場所での一貫したゼロトラスト ネットワーク アクセス

リモートであってもオフィス内であっても、企業ネットワーク上で従業員が侵害されるとすべてのセキュリティが無効化される可能性があります。

ゼロトラストの基本原則の一つは、広範囲に検証することです。ネットワークの場所など信頼性の低い要素を信頼の基準にしないことが重要です。ネットワークは、組織のネットワークも含めてすべて信頼できないネットワークとして扱う必要があります。

ZPAは、このゼロトラストの基本原則を念頭に設計されています。ZPAで構築された組織のゼロトラスト アーキテクチャーでは、ユーザーが明示的な承認なしにプライベート アプリケーションにアクセスすることは決して許されず、ICMPパケット1つでさえアプリケーションに到達できません。プライベート アプリケーションは、ユーザーがリモートで接続している場合でも、社内のオフィスから接続している場合でも、承認が行われるまで不可視化されたままとなります。

すべてのネットワークを信頼できないものとして扱うべきです。オフィス ネットワーク上のユーザーも、パブリックWi-Fiに接続している場合と同じレベルのアクセス権に制限する必要があります。プライベート アプリケーションへのアクセスは、ZPA経由でのみ許可されます。企業ネットワークをゲストWi-Fiのように扱えば、攻撃者が侵害されたWi-Fiやネットワーク ケーブルを通じてアクセスを獲得しても、単なるゲスト ユーザーとして扱われ、追加のアクセス権は付与されません。

この方法を採用することで、Wi-Fiをハッキングされて組織が侵害されるリスクから解放されます。このアプローチには、以下のような追加のメリットがあります。

• 新しいオフィスの迅速なセットアップ
• 安全なハイブリッド ワーク環境の構築
• IPsec、MPLS、ExpressRouteなどの廃止による運用の複雑さとインフラ コストの削減

ハイブリッド ワーク向けのゼロトラスト アクセスの合理化：

ローカル アプリケーションをホストするオフィス ネットワークの場合、Private Service Edgeを展開することでZPAトラフィックのヘアピンを回避できます。ZPAは組織とリモートに別々のソリューションを必要とせず、一貫した安全なアクセス ポリシーを適用することで、以下のような非効率を解消します。

• 拠点間で異なるユーザー アクセス エクスペリエンス。
• 複数のコンソールと断片化されたポリシー エンジン。
• 個別の製品の管理に関連する追加コスト。

結果として、ハイブリッド ワークにシームレスなアクセスを提供するとともに、運用の簡素化、一貫したセキュリティ、コスト削減を実現します。

プライベート アプリケーションの保護

プライベート アプリケーションのセキュリティは、決して後回しにすべきではありません。残念ながら、多くの内部アプリケーションは依然として重大なCVEやゼロデイ攻撃に対して脆弱です。さらに、Kerberos、LDAP、SMBなどの主なネットワーク サービスは、Kerberoastingや列挙などの脅威にさらされており、継続的な監視と堅牢な防御戦略の必要性が高まっています。

内部脅威や認証情報の侵害から保護するうえで、プライベート アプリケーションへのアクセスを認証、承認するだけではもはや不十分です。侵害の可能性を前提としたゼロトラストの基本原則に沿って、プライベート アプリケーションへの接続を検査し、セキュリティ対策が最初のアクセス ポイントを超えて拡張されなければなりません。

ZPAは、ユーザーとプライベート アプリケーション間のトラフィックを検査する機能を提供します。この検査は、以下の2つの方法で実行できます。

• AppProtection: App Connectorレベルでレイヤー7のトラフィック検査を実行し、Webの脆弱性、アイデンティティー攻撃、Active Directoryを標的とする脅威からプライベート アプリケーションを保護します。また、Zscaler ThreatLabzチームが維持する最新のシグネチャーと仮想パッチを通じて、最新のCVEも保護します。
• 脅威検査とデータ保護：ZscalerのZTEクラウドでは、堅牢なマルウェア対策、URLフィルタリング、サンドボックス、侵入防止、情報漏洩防止(DLP)を提供します。

AppProtection、脅威検査、データ保護を組み合わせることで、内部脅威や認証情報の侵害に対するプライベート アプリケーションの包括的な防御を構築します。

B2Bアプリケーションのアクセスの保護

ZPAは、VPNに関連する固有のリスクを排除し、アプリケーションのホスト場所を問わず、すべてのアプリケーションにゼロトラスト アクセスを提供するように設計されています。また、パートナーのアプリケーションに対してもゼロトラスト アクセスを拡張します。

ZPAのB2Bアプリケーション アクセスにより、信頼されたパートナーはZscaler Zero Trust Exchange (ZTE)にIPsecトンネルを直接確立できます。ZPAはZTEを通じて、認証と承認が完了したユーザーのみがパートナーのプライベート アプリケーションにアクセスできるようにします。このアプローチにより、パートナーごとに個別のVPNを設定して管理する必要がなくなり、外部アクセスを合理化し、保護します。

トンネル終端をクラウドにオフロードすることで、ZPAは拡張性を向上させ、高可用性をサポートします。トンネルは複数のZscalerデータ センターに接続でき、冗長性と信頼性を提供します。このソリューションは、パートナー接続を安全でスケーラブル、かつ管理の手間がかからない方法で提供し、パートナーのオンボーディングを迅速化しながら、スムーズな連携を可能にします。B2BアクセスにZPAを活用することで、以下のようなメリットを得られます。

• パートナーのアクセスの保護：内部ネットワークを公開することなく、パートナーのプライベート アプリに接続します。
• パートナーのオンボーディングの迅速化：複雑なVPN設定は不要で、IPsecを介して新しいパートナーを迅速にオンボーディングします。
• 管理の簡素化：アクセス制御を一元化し、追加のルーティングや構成を必要とすることなく複数のパートナーのアプリ アクセスを合理化します。
• 信頼性の高い接続：アクティブ/アクティブ トンネルと自動フェイルオーバーにより、パートナーのアプリケーションへの継続的なアクセスを確保します。

サードパーティー ユーザーと管理対象外デバイスからのアクセスの保護

BYODアクセスやサードパーティーの請負業者向けに使用される従来の仮想デスクトップ インフラ(VDI)ソリューションには、攻撃対象領域の拡大、複雑さ、高額など多くの課題があります。ZPAは、VPNとVDIに代わる直感的な代替ソリューションを以下の方法で提供します。

ブラウザー アクセス

ユーザーは、クライアントを必要とすることなくブラウザーでプライベートWebアプリケーションに安全に直接アクセスできます。Zero Trust Browserと組み合わせることで、堅牢なデータ セキュリティときめ細かなアクセス制御を適用でき、アプリケーション コンテンツを安全なピクセル データとしてストリーミングすることで、管理対象外デバイスからの悪用やデータ漏洩を防止します。

特権リモート アクセス(PRA)

IT/OTやIIoT資産を管理するエンジニア向けに設計された特権リモート アクセスは、SSHやRDP、VNCプロトコルを介して安全なアクセスを提供します。主な機能は以下のとおりです。

• マルウェアやランサムウェアを抑止する、サンドボックス化されたファイル転送。
• 監査とコンプライアンスを目的とする、セッションの記録、再生、監視。
• 管理者がセッション内でユーザーを招待や退出させることができる、許可制のアクセス機能。

これらのツールは、インフラを大量に消費するVDIの使用を削減し、セキュリティを強化しながら、運用を簡素化します。

包括的な世界中のService Edge

ZPAのService Edgeアーキテクチャーは、Zscalerの世界中に分散したフットプリントを活用することで、最適なパフォーマンスを確保します。VPNゲートウェイは、限られた場所に展開されることが多く、トラフィックのバックホールや遅延を発生させます。一方、ZPAのユーザーは、最も近いService Edgeに接続することで、プライベート アプリケーションに最速でアクセスできます。

Service Edgeの広範な対応範囲によってボトルネックを解消し、地理的な場所を問わず優れたユーザー エクスペリエンスを提供します。データ センターに展開されたApp Connectorと組み合わせることで、すべてのユーザーにとって信頼性が高く低遅延な接続を確保します。

事業継続性とレジリエンスの確保

ZPAは堅牢な事業継続性機能を提供し、ゼロトラスト セキュリティを損なうことなくプライベート アプリケーションへの中断のないアクセスを確保します。

事業継続性により、ユーザーはすべての障害シナリオにおいてミッションクリティカルなサービスへのアクセスを維持できます。そのため、組織はコンプライアンス要件を順守できます。事業継続性は、以下のような幅広い障害シナリオに対応します。

• ISP障害によるサイトの分離
• データ センター固有の障害

まとめ

ZPAは、ゼロトラストの原則の採用、高度なセグメンテーションの提供、ハイブリッド ワークにおける一貫したアクセスの確保、そして従来のVPNやVDIに代わる革新的な代替ソリューションの提供により、セキュア リモート アクセスを再定義し続けています。

AIを活用したセグメンテーション、事業継続性、B2Bアプリケーション アクセス、プライベート アプリケーションの保護などの堅牢な機能により、運用を簡素化しながら、ユーザー エクスペリエンスを向上させて、セキュリティ態勢を近代化できます。

Forrester Total Economic Impactレポートで、Zscaler Private Accessのお客様がROI 289%を達成した事例をご覧ください。

以下は、ZPAとVPNの比較をまとめた表です。