エンドポイント セキュリティとネットワーク セキュリティ：両方が必要な理由とは

エンドポイント セキュリティとネットワーク セキュリティの重要性

ネットワーク セキュリティは建物の壁、エンドポイント セキュリティはドアのロック、カメラ、アラームのようなものと考えてみましょう。一方は内部のものを、もう一方は内部へのアクセスを保護し、その両方が全体的なセキュリティの基盤となります。ネットワークの監視をどれほど効果的に行っていても、エンドポイントがすでに侵害されていればマルウェアの拡散を防ぐことはできません。また、基盤となる安全なネットワーク インフラがなければ、エンドポイント保護対策が単体で効果的に機能することはありません。

両者が連携する仕組みについて詳しく説明する前に、それぞれの概念について見ていきましょう。

エンドポイント セキュリティとは

エンドポイント セキュリティ ソリューションは、ユーザーがインターネットやネットワークにアクセスするデバイス(ノートパソコン、デスクトップ、サーバー、モバイル デバイス、IoTデバイス)を保護します。ウイルス対策ソフトウェア、エンドポイントでの検知と対応(EDR)システム、サンドボックスなどのツールによって、マルウェア、ランサムウェア、フィッシング、ゼロデイ攻撃などの脅威を検出、ブロック、修復します。

リモート ワークやBYODの流れが拡大するのに伴い、組織のネットワークにアクセスするエンドポイントの数は急速に増加しました。その結果、組織の攻撃対象領域はこれまで以上に広がっています。多くの場合、エンドポイントはセキュリティの最大の弱点となっており、攻撃者はこれに不正侵入することでネットワーク内を自由に移動し、機密情報やリソースにアクセスできるようになります。

詳細はこちら：エンドポイント セキュリティとは

ネットワーク セキュリティとは

従来の「ネットワーク セキュリティ」は、エンドポイント間の通信やデータのやり取りを可能にするルートと経路の保護を意味します。境界ベースのアプローチで防御を行い、ファイアウォール、仮想プライベート ネットワーク(VPN)、侵入検知システム(IDS)などを介して外部の脅威からインフラを保護します。

しかし、クラウド利用やリモート ワークが普及するなか、ネットワーク セキュリティのニーズは変化しています。ユーザーは、従来のオフィスの境界の外側でより多くの時間を費やすようになり、組織のデータ センターではなくクラウドのアプリケーションにアクセスしています。ある意味、従来のネットワーク境界は消滅したと言えます。結果として、従来のネットワーク セキュリティ ソリューションの多くは完全な保護を提供できなくなってきています。

こうした変化に対処するために、組織は従来のネットワーク セキュリティからクラウドベースのアプローチに移行しています。セキュリティをネットワークから切り離すことで、分散した従業員をより強力かつ柔軟に保護すると同時に、最新の分散型環境に対応できない境界ベースのソリューションへの依存を低減することが可能です。

詳細はこちら：ネットワーク セキュリティとは

エンドポイント セキュリティとネットワーク セキュリティ：主な違い

エンドポイント セキュリティとネットワーク セキュリティは互いに深く関連するものの、その優先事項、アーキテクチャー、使用されるテクノロジーは異なります。

主なサイバーセキュリティ上の脅威

サイバー脅威は通常、エンドポイントまたはより広範なネットワークを標的としています。いずれにおいても、障害が発生すれば全体的なセキュリティ リスクにつながります。

エンドポイント固有の脅威

以下のようなエンドポイント レベルでの侵害は、ネットワーク全体に急速に波及し、危機をもたらす可能性があります。

• フィッシング攻撃：攻撃者がネットワークに侵入するための糸口を生み出します。悪意のあるリンクや添付ファイルによって配信されるペイロードは水平方向に拡大し、攻撃者が内部システムやネットワークに保存されている機密データにアクセスできるようになる可能性があります。
• ランサムウェア攻撃：身代金を要求するためのマルウェアが、接続されたドライブ、ファイル共有システム、他のデバイスに拡散し、ネットワーク全体の障害に発展する可能性があります。早期に分離できなければ、データ流出、事業のダウンタイム、莫大なコストが発生する可能性があります。
• 脆弱性の悪用：ソフトウェアやファームウェアのパッチ未適用の欠陥が攻撃者の侵入口となり、マルウェアの展開、ラテラル ムーブメント、権限昇格が行われます。これにより、ネットワーク全体にわたって重要なシステムや機密データが不正アクセスを受け、侵害やデータ流出につながる可能性があります。

ネットワーク固有の脅威

ネットワークの脅威はより広範なインフラを標的とし、システムの安定性を損なったり、重要なリソースを乗っ取ったりします。

• 分散型サービス拒否(DDoS)攻撃：ネットワークのリソースを過負荷状態に陥れ、サーバー、アプリ、サービスの速度低下やダウンタイムを引き起こします。業務が滞ったり、正当なユーザーのアクセスが拒否されたりするほか、ネットワークが二次攻撃に対して脆弱になる可能性があります。
• 中間者(MiTM)攻撃：ネットワーク内の通信を傍受および操作します。データが窃取されたり、マルウェアが注入される場合もあり、注入されたマルウェアはネットワーク内を移動してシステム全体に影響を拡大する可能性があります。
• 不正アクセス：脆弱な認証、不適切な権限設定、ポリシーのギャップを悪用し、重要なネットワーク システムに侵入します。侵入に成功した場合、接続されたシステム間でのラテラル ムーブメントを通じて、データの窃取、業務の妨害、マルウェアの展開などが行われる可能性があります。

エンドポイント セキュリティとネットワーク セキュリティのベスト プラクティス

強力なセキュリティ戦略を構築するには、エンドポイント セキュリティとネットワーク セキュリティの統合が必要です。基本的なベスト プラクティスを以下に紹介します。

• 多要素認証(MFA)の導入：デバイスとネットワーク リソースのアクセス制御を強化します。
• 定期的な脆弱性スキャンの実施：ハードウェアのエンドポイントやネットワーク構成の弱点を特定します。
• ユーザー意識向上のためのトレーニングの実施：フィッシングや不適切なパスワードを見極め、回避する方法を従業員に周知します。
• リアルタイムでのトラフィックの監視と検査：AI/MLを活用したツールでネットワーク アクティビティーに関するインサイトを取得します。
• ゼロトラスト アーキテクチャーの導入：ネットワーク リソースに接続するすべてのデバイスに対して厳格なアクセス検証を適用します。これについては、さらに詳しく説明します。

エンドポイント セキュリティとネットワーク セキュリティの統合と残る弱点の解消

エンドポイント セキュリティとネットワーク セキュリティは、いずれか一方だけでは不十分です。また、いずれも外部からの脅威のみを想定しているため、統合したとしても大きな弱点が残ります。このギャップを埋めるには、「決して信頼せず、常に検証する」という原則に基づいたゼロトラストのアプローチを採用する必要があります。

ゼロトラストの役割を理解するために、先ほどの例えを振り返ってみましょう。ネットワーク セキュリティが建物の壁、エンドポイント セキュリティがドアの鍵やアラーム、カメラであるとすれば、ゼロトラストは保安検査のようなものです。アクセスを許可する前に各ユーザー、デバイス、接続をスクリーニングします。ゼロトラスト アーキテクチャーは、接続要求ごとに次の手順を実行します。

1. アイデンティティーの検証：アクセスを要求しているエンティティーをMFAで検証します。
2. エンティティーが要求するITリソースの正確な宛先の確認：広範なネットワーク アクセスは提供しません。
3. コンテキストに基づくリスク計算：ユーザーのアイデンティティー、デバイスのセキュリティ態勢、場所などを考慮します。
4. ポリシーの施行と適切なアクションの実行：許可、ブロック、分離、デセプションなどを実行します。
5. 許可されたエンティティーへの直接接続の許可：要求したリソースへの接続のみを許可します。
6. エンティティーとそのアクティビティーの継続的な監視：必要に応じてポリシーの施行状況を調整します。

このように、ゼロトラストでは、悪意によるものか偶発的なものかを問わず、あらゆるエンティティーがネットワークの資産を危険にさらすリスクを最小化します。日々変化する最新の脅威の状況に適応し、あらゆるトラフィック、ユーザー、デバイスを継続的に評価および保護できるアプローチは、ゼロトラストしかありません。

包括的なサイバーセキュリティ戦略の構築

絶えず進化する攻撃者の戦術に対処するには、常に進化する防御が必要です。エンドポイント セキュリティと最新のアプローチに基づくネットワーク セキュリティをゼロトラストに統合することで、日々変化する脅威の状況に対する適応性の高い動的な防御を構築できます。

ゼロトラスト アーキテクチャーへの変革

Zscaler Zero Trust Exchange™は、すべてのユーザー、ワークロード、デバイスのゼロトラスト セキュリティとネットワーク トランスフォーメーションを実現する統合プラットフォームです。

• 攻撃対象領域の最小化：アプリケーションをZero Trust Exchangeの背後に隠し、インターネットに対して不可視化します。
• 不正侵入の防止：暗号化されたものを含むすべてのトラフィックを検査し、脅威をリアルタイムでブロックします。
• ラテラル ムーブメントの排除：許可されたエンティティーを、ネットワークではなくアプリに直接接続します。
• データ流出の防止：機密性の高い転送中データ、保存データ、使用中データを自動的に識別して保護します。