SASE (セキュア アクセス サービス エッジ)とは

SASE(発音は「sassy」)、またはセキュア アクセス サービス エッジは、WANの機能とネットワークセキュリティ機能を融合させます。2019年、ガートナーは企業が以下を獲得できるようこのカテゴリーを定義しました:

• より高い敏捷性、
• より強力で信頼性の高いネットワークパフォーマンス、そして
• 多様なIT環境全体にわたる、より詳細かつきめ細かな可視性と制御。

なお、SASEは、GartnerがSASEのサブセットとして定義するセキュリティ サービス エッジ(SSE)とは異なるものです。SSEは、SASEのクラウド プラットフォームに必要なセキュリティ サービスのみに焦点を当てています。

SASE applies security and enforces access as close to users as possible. It dynamically applies security policies and helps organizations enforce zero trust principles.

How SASE Enables Regulatory Compliance

SASE also closes the compliance gap by enforcing policy and generating logs from a single platform. With SASE, security teams have one comprehensive audit trail.

SASEアーキテクチャーは、ソフトウェア定義型広域ネットワーク(SD-WAN)、またはその他のWANと複数のセキュリティ機能(クラウド アクセス セキュリティ ブローカー、アンチ マルウェアなど)を組み合わせ、それらの機能を統合することでネットワーク トラフィックの安全を確保します。

データ センターのファイアウォールにMPLSサービスを介してトラフィックを転送する従来の検査や検証は、ユーザーが同じ場所にいる場合には効果的です。しかし、多くのユーザーがリモートで業務を行う現代においては、この「ヘアピン処理(リモート ユーザーのトラフィックをデータ センターに転送し、それを検査してから返送する)」では、生産性やエンド ユーザー エクスペリエンスの低下につながる可能性があります。

SASEがポイント ソリューションや他のセキュア アクセス ネットワーク戦略と異なる点は、安全でありながらダイレクトであることです。データ センターのセキュリティに頼るのではなく、ユーザー デバイスからのトラフィックを近くのポイント オブ プレゼンスで検査し、そこから宛先に送ります。これにより、アプリケーションやデータへのアクセスがより効率的になるため、クラウド上の分散した従業員やデータを保護するうえで優れた選択肢といえます。

SASEは、ネットワークやセキュリティを専門とするサービス プロバイダーやメディアから注目を集めましたが、最も説得力があるのは、SASEフレームワークの主要な原則である「データ センターに焦点を当てたセキュリティやネットワーク アーキテクチャーは、もはや通用しない」という考えです。この考え方は、単なるトレンドやマーケティングのキャッチフレーズではなく、業界で広く受け入れられてきています。

では、プライベート ネットワークでオフィスを接続し、セキュアWebゲートウェイやファイアウォールを介してトラフィックをルーティングする、従来型の企業ネットワーク セキュリティと比較した際、SASEソリューションはどのような点でより優れた価値を提供するのでしょうか。

Gartnerが指摘するように、接続性とセキュリティがデータ センターに集中する従来のモデルは、代わりにユーザーとデバイスのアイデンティティーに焦点を当てる必要があります。レポートでは「現代のクラウド中心のデジタル ビジネスでは、ユーザー、デバイス、そしてそれらが安全にアクセスする必要があるアプリケーションはあらゆる場所に存在する」と述べられています。

つまり、ハブ＆スポーク型ネットワークが考案された当時と現在とでは、ワークフローやトラフィック パターン、ユース ケースが大きく異なっているのです。その理由は以下のとおりです。

• データ センターへのユーザー トラフィックよりも、クラウド サービスへのユーザー トラフィックの方が多い
• 企業ネットワーク内よりも、ネットワーク外での業務の方が多い
• データ センターよりもクラウドで実行されるワークロードの方が多い
• ローカルでホストされているアプリケーションよりも、SaaSアプリケーションの方が利用されている
• 企業ネットワーク内よりも、クラウド サービスに格納されている機密データの方が多い

SASEは、機能とテクノロジーの観点から6つの重要な要素に分けられます。

これらのうち4つの要素がセキュリティサービスエッジ(SSE)を構成しており、これはSASEモデルのセキュリティ側です。SSEの構成要素には以下が含まれます:

• セキュアWebゲートウェイ(SWG)
• クラウド アクセス セキュリティ ブローカー(CASB)
• ファイアウォール as a Service (FWaaS) および
• ゼロトラスト ネットワーク アクセス(ZTNA)

セキュリティリーダーが SSEとSASE のどちらかを選ぶ際に は、「 SSE対SASE 」の議論は主に優先順位付けに関する議論であることを念頭に置くべきです。SSEはSASEよりも展開が速いですが、SASEのネットワークトランスフォーメーションは提供していません。多くの組織は、セキュリティ態勢を即座に改善するためにSSE導入から始めます。その後、これらの組織はネットワークインフラの近代化に使えるリソースが整った後にSASEを導入します。

1. ソフトウェア定義型広域ネットワーク(SD-WAN)

SD-WANは、インターネット、クラウド アプリ、データ センターへのトラフィックに対して最適な経路を選択することで、複雑性を軽減し、ユーザー エクスペリエンスを最適化するオーバーレイ型のアーキテクチャーです。新しいアプリやサービスの迅速な導入、多数の拠点にわたるポリシーの管理にも役立ちます。

2. セキュアWebゲートウェイ(SWG)

SWGは、セキュリティで保護されていないインターネット トラフィックが内部ネットワークに入るのを防ぎます。悪意のあるWebトラフィックや脆弱なWebサイト、インターネットを介したウイルス、マルウェア、その他のサイバー脅威などに、従業員やユーザーがアクセスして感染しないよう保護する機能があります。

3. クラウド アクセス セキュリティ ブローカー(CASB)

CASBは、クラウド アプリやサービスを安全に使用できるようにすることで、データ漏洩、マルウェア感染、規制違反、可視性の欠如などの問題を防ぎます。パブリック クラウド(IaaS)、プライベート クラウドでホストされているクラウド アプリ、もしくはSoftware as a Service (SaaS)として提供されるクラウド アプリを保護します。

4. Firewall as a Service (FWaaS)

FWaaSはURLフィルタリングなどのアクセス制御、高度な脅威防御、侵入防御システム(IPS)、DNSセキュリティなどの高度なレイヤー7/次世代ファイアウォール(NGFW)機能を提供するクラウド ファイアウォールによる従来の物理的なファイアウォール アプライアンスの置き換えをサポートします。

5. ゼロトラスト ネットワーク アクセス(ZTNA)

ZTNAのソリューションにより、リモート ユーザーは社内アプリに安全にアクセスできます。ゼロトラスト モデルでは、「何も信頼しない」を原則とし、きめ細かなポリシーに基づいた最小特権アクセスのみが付与されます。リモート ユーザーをネットワーク上に配置したりアプリをインターネットに公開したりすることなく、安全な接続を提供します。

6. 一元管理

これらすべてを単一のコンソールから管理することで、変更の管理、パッチの管理、サービス停止期間の調整、ポリシーの管理などの多くの課題を排除し、ユーザーがどこに接続しても組織全体で一貫したポリシーを提供することができます。

このような状況が一般的ななか、企業はどうすればアクセス制御やセキュリティを強化できるのでしょうか。ここで効果を発揮するのが、WAN機能(SD-WAN)と総合的なセキュリティ サービスであるSASEプラットフォームです。クラウドベースのSASE製品には大きなメリットがあります。従来のオンプレミス型企業ネットワーク インフラとセキュリティをはるかに超えた効果を実現し、クラウド サービスやモビリティーなどデジタル トランスフォーメーションの他の側面を活用する組織に大きな恩恵をもたらします。

1. ITコストと複雑性の低減

クラウド サービスへの安全なアクセス、リモート ユーザーやデバイスの保護、その他のセキュリティ ギャップの解消に取り組むなかで、企業はさまざまなセキュリティ ソリューションを導入しており、コストと管理オーバーヘッドが大きくかさんでいます。しかし、それでもオンプレミス型のネットワーク セキュリティ モデルは、デジタル環境では有効ではありません。

SASEは、従来型の概念で現在の問題を解決しようとするのではなく、セキュリティ モデルを一新させ、安全な境界線の代わりに、ユーザーなどのエンティティーに焦点を当てます。エッジ コンピューティングとは、利用者やシステムの近くで情報を処理するという概念で、SASEサービスは、セキュリティとアクセスをユーザーの近くで提供します。組織のセキュリティ ポリシーを使用して、アプリケーションやサービスへの接続を動的に許可または拒否します。

2. 高速でシームレスなユーザー エクスペリエンスの実現

ユーザーがネットワーク上にいて、ITがアプリやインフラを所有・管理していた時代は、ユーザーエクスペリエンスの制御や予測が簡単でした。 今日では、分散型マルチクラウド環境であっても、多くの企業はセキュリティのためにVPNを使ってユーザーをネットワークに接続しています。しかし、VPNはユーザー体験が悪く、さらにIPアドレスをさらすことで組織の攻撃対象領域を広げてしまいます。

デメリットが多いこのようなシステムの代わりに、SASEは最適化されたシステムを提供します。具体的には、ユーザーを保護された領域に送り込むのではなく、保護が必要なものの近くでセキュリティを強化する、つまりセキュリティの方をユーザーに届けるのです。SASEはインターネット エクスチェンジでの接続をリアルタイムで効果的に管理し、クラウド アプリケーションやサービスへの接続を最適化して低遅延を実現する、安全なクラウド ソリューションです。

3. リスクの低減

クラウド ネイティブなソリューションであるSASEは、ユーザーとアプリケーションが分散している現代ならではのリスクに対応するよう構築されています。脅威対策や情報漏洩防止(DLP)などを含むセキュリティを接続モデルの中核部分として定義することで、場所やアプリ、暗号化の有無に関係なく、すべての接続を検査および保護します。

SASEフレームワークの主要な構成要素の一つであるゼロトラスト ネットワーク アクセス(ZTNA)は、モバイル ユーザー、リモート ワーカー、支店に安全なアプリケーション アクセスを提供するとともに、ネットワーク上の攻撃対象領域やラテラル ムーブメントのリスクを排除します。

デジタル ビジネス トランスフォーメーションを実現するには、複雑性の軽減やセキュリティの改善だけでなく、俊敏性とスケーラビリティーの向上が求められます。さらに、ユーザーがどこからでも最善のエクスペリエンスを得られるよう対処する必要があります。

このような状況が、SASEを「あればより助かる」という存在から「必要不可欠なもの」へと変化させています。その理由には以下の4つがあります。

• SASEはビジネスに合わせて拡張できる：企業の成長に伴って増加する、ネットワークとセキュリティ双方における需要に対応できる必要があります。SASEは、クラウド配信型のモデルを通じて、ビジネスやネットワーク、セキュリティを併せて拡張できます。
• SASEは場所を問わない働き方を可能にする：従来型のハブ＆スポーク アーキテクチャーでは、リモートで働く従業員が生産性を維持できるよう、求められる柔軟性を提供するのに必要な帯域幅に対応できません。SASEであれば、あらゆる場所のすべてのユーザーとデバイスに対してエンタープライズレベルのセキュリティを維持しながら、この課題を解決できます。
• SASEはサイバー脅威の進化に対応する：セキュリティ部門は常に警戒態勢を貫き、最新の脅威から組織を守っています。SASEは優れたセキュリティを提供して管理も簡単に行えるため、セキュリティ部門はさまざまな場所で生じる高度な脅威に対処できるようになります。
• SASEはIoT導入のための基盤を提供する：モノのインターネットは世界中の企業にとってメリットを生んでいますが、そのテクノロジーと機能を効果的に活用するには、IoTエコシステムを構築するための強力なプラットフォームが必要です。SASEを使用することで、これまでにない接続性とセキュリティが確保され、IoTにおけるビジネス目標を達成できるようになります。

これらにより、ネットワーク ベンダーやセキュリティ ベンダーは、独自のSASEアーキテクチャーを作り出すようになりました。これらのベンダーの多くはクラウド配信型の製品と謳っていますが、実際は従来型のハードウェアを基に構築された、クラウド プラットフォームとは名ばかりの製品にすぎない場合がほとんどです。

一方、Zscalerではクラウドを前提にしたプラットフォームをクラウド上で構築しています。Zscalerは、本当の意味でのクラウド配信型SASEモデルを提供できる唯一のベンダーです。

What criteria should you use to evaluate SASE vendors? To start, you’ll need to make an architectural decision between single-vendor and multi-vendor SASE.

Single-vendor SASE delivers SD-WAN and SSE capabilities from a single platform that’s built on one architecture and uses a single policy engine. 

With a single-vendor model, you can’t mix specialized point products together, but you can work from one dashboard and can enforce a single set of policies across every location and user. Unlike multi-vendor SASE, no integration work is required.

Multi-vendor SASE stitches together point products, which typically includes one SD-WAN vendor and a different security vendor. 

Multi-vendor SASE requires IT teams to replicate and sync policies across systems. Teams have to sort through different dashboards to compile logs, and troubleshooting individual connectivity issues frequently involves two vendors instead of one. 

Most organizations choose single-vendor SASE because of its operational simplicity.

Zscaler Zero Trust Exchange™は、ZscalerのSASEソリューションであり、ユーザーとデバイスを接続するための高速かつ柔軟でシンプル、そして安全なモデルを提供します。Zscalerのプラットフォームは、自動化されたクラウド型サービスとして簡単に展開、管理できるほか、グローバルに分散されているため、ユーザーは常にアプリケーションに最短距離でアクセスできます。

ZscalerのSASEには、以下の特徴があります。

• 需要に合わせて動的に拡張できる、ネイティブでマルチテナントのクラウド アーキテクチャー
• 暗号化されたトラフィックを大規模に検査するプロキシベースのアーキテクチャー
• セキュリティやポリシーをユーザーに近づけることで、不要なバックホールを排除
• アクセスを制限し、ネイティブなアプリケーション セグメンテーションを提供するZTNA (ゼロトラスト ネットワーク アクセス)を活用
• 攻撃対象領域の排除(接続元のネットワークやアイデンティティーをインターネットに対して不可視化)による標的型攻撃の防止

Zero Trust Exchangは、世界中の主要なインターネット エクスチェンジのパートナーとの提携を通じ、最適なパフォーマンスと信頼性を提供します。