Zscaler

昨今、各社で「DX推進」が進み、ビジネスを加速させるために多くのクラウドアプリケーションが採用されています。また柔軟な働き方を実現するために、VPN接続によるリモートワーク環境の整備を急速に進めているケースも増えています。
こうした環境変化を、オンプレミスやデータセンター集約型でのシステム構築を前提とした、従来型のネットワークやセキュリティインフラのまま受け入れてしまうことによる課題が多く存在します。

こうした課題を解決する統合的なセキュリティとネットワークの機能を提供するサービスプラットフォームとして、近年注目を浴びるのが「SASE」です。
そして、SASEを実現するソリューションが「Zscaler」です。

ZscalerはSASEが提唱する機能を実現する、
クラウド型セキュリティソリューションです。

世界中のあらゆる場所・あらゆるデバイスから、インターネットやSaaSアプリケーション、プライベートアプリケーションまで様々な社内システムへの、セキュアで快適なアクセスを可能にします。

Zscalerはサービス開始当初からクラウドに最適化されたアーキテクチャでデザインされており、”天井知らずの拡張性（Zenith of Scalability）”を実現しています。
また、同社の特許技術「SSMA（Single Scan Multi-Action）」による並列処理で、ユーザの生産性・業務効率向上に貢献します。

Zscalerではインターネット・SaaSへのアクセスを実現する”Zscaler Internet Access（ZIA）”と、データセンター内やパブリッククラウド上に構築したアプリケーションへのアクセスを実現する”Zscaler Private Access（ZPA）”の２サービスに大別されており、それぞれにおいて豊富なセキュリティ機能を提供します。
機能の網羅性は、同分野の別ソリューションと比較してもトップクラスです。

Zscalerは、多くのお客様が利用されているMicrosoft 365に特化したソリューションを提供します。

Zscalerが提供する2つの主要サービス「Zscaler Internet Access（ZIA）」と「Zscaler Private Access（ZPA）」についてご紹介します。

ZIAは、WebサイトやSaaSアプリケーションへのアクセスに対し、セキュリティを提供するサービスです。

従来であればオンプレミスで構築していたWebプロキシやURLフィルタリング、ファイアウォールといったネットワークセキュリティ機器をクラウド化することにより、Webトラフィックのボトルネックを解消します。
これとともに、ITシステム担当者を複雑で労力のかかるセキュリティインフラの管理運用から開放します。

また、ZIAはSecure Web Gatewayを中核としながらCASBや次世代ファイアウォール、サンドボックスといった様々な機能をワンストップで提供します。これにより、いつでもどこからでも安全なインターネットアクセスが可能になります。

	●	複数製品の組み合わせで実現していた、フィルタリングやファイアウォール、サンドボックスなどのセキュリティスタックを、単一のクラウドで提供
	●	ハードウェアリソースを気にせず、すべてのトラフィック対してインスペクションを適用し、SSLに潜む脅威を検出
	●	あらゆる場所、デバイスからのアクセスに対して常に最適なセキュリティとパフォーマンスを提供し、ユーザーの生産性向上に貢献

ZIAで提供される代表的な機能を3つご紹介します。

WebブラウザやWebアプリケーションによるHTTP/HTTPS通信を分析・監視し、各種ポリシーに応じた処理を行います。旧来は「Webプロキシ」と呼ばれていましたが、提供されるべき機能がクラウドサービスとして提供されるようになり、また包含されるセキュリティ機能も拡大しており、現在ではSWGという呼称が一般的となっています。

SWGは、以下のような機能を含んでいます。

通信を分析・解析する点はSWGと同様ですが、CASBはクラウドアプリケーションのリスクマネジメントに特化した機能です。昨今、各企業においてクラウドアプリケーションの利用が急増しており、その重要性が高まっています。

CASBは、以下のような機能を含んでいます。

FWaaSは、クラウドで提供されるファイアウォールです。従来のオンプレミスファイアウォールやIPS／IDSと同等のセキュリティ機能を、柔軟性や拡張性を気にすることなく利用できます前述SWGはWebトラフィックを対象にしたセキュリティでしたが、FWaaSは。非Web通信も対象としたセキュリティ機能となります。

ZPAは、データセンターやパブリッククラウド上に構築したプライベートアプリケーションへのアクセスに対し、セキュリティを提供するサービスです。

リモートワーク時にプライベートアプリケーションへアクセスする手段として、一般的にはSSL-VPNが使用されますが、VPN接続にはセキュリティ上の懸念が２つあります。

ZPAは、”外部に機器を公開せず”、”事前に許可したアプリケーションにのみ”アクセス経路を提供することで、VPNにおけるセキュリティ懸念を解消します。

	●	アプリケーション単位で接続を許可し、悪意あるアクセスの水平移動を防止。 ゼロトラストネットワークアクセス（ZTNA）を実現。
	●	パブリッククラウド上のアプリケーションに対してダイレクトにアクセス。拠点間VPNコストの削減にも貢献。
	●	VPNのように機器を外部公開しないため、攻撃表面を極小化したリモートアクセスが可能

ZPAで提供される代表的な機能を４つご紹介します。

ZTNAは、新しいネットワークセキュリティのアプローチであり、従来のVPNなどのアクセス制御による信頼ベースのリモートアクセスではなく、全てのアクセスを検証するセキュリティアーキテクチャとなります。”脱VPN”とも呼ばれ、近年注目を集めています。

前述ZTNAによってリモートアクセスを開始する際、お客様のIdp（Identity Provider）と連携し、ユーザー認証を行います。ユーザー名とパスワードによる認証だけでなく、追加の認証要素を求めることで本人確認を強化し、不正アクセスを防止します。

従業員のアクセス対象となるプライベートアプリケーションを、一定のポリシーに基づいたグループで管理することにより、内部システムアクセスの最小権限を実現します。マイクロセグメンテーションで管理するシステムグループは、実際のネットワークセグメントと一致させる必要はなく、あくまで従業員へアクセスを許可するシステム単位で定義を作成することが可能です。この機能により、仮に従業員のPCを攻撃者に乗っ取られた場合においても被害を最小化します。

ZTNAによってプライベートシステムへアクセスする際、ユーザー認証結果だけでなく、従業員のデバイスポスチャによるアクセス可否判定を行います。例えば、適切なセキュリティパッチが適用されていないPCや、管理外OSからのアクセスをブロックするといったコントロールが実現可能となります。