[前回] ゼロトラストのディープダイブ(10)-SSE製品理解(Netskope社)

はじめに

今回は、McAfee Enterprise社のSSEソリューションを理解します。

おさらい: Gartner社が定義したSSE(セキュリティ・サービス・エッジ)のコア機能

SWG機能(セキュア・Webゲートウェイ)
- プロキシ経由のセキュアなWebアクセス
CASB機能(クラウド・アクセス・セキュリティ・ブローカー)
- APIおよびプロキシモード経由のセキュアなSaaSアクセス
ZTNA機能(ゼロトラスト・ネットワークアクセス)
- プライベートアプリケーションへのセキュアなリモートアクセス

McAfee Enterprise社のSSEソリューション

McAfee MVISION Unified Cloud Edge(以降McAfee MVISION UCE)の構成図

※ 引用元: McAfee MVISION Unified Cloud Edge

McAfee MVISION UCEとは

CASB、SWG、DLP、RBIの機能を1つにした統合クラウドセキュリティプラットフォーム
- RBI(Remote Browser Isolation)とは
  - ウェブブラウジングセッションをエンドポイントから切り離し、リモートネットワーク(またはクラウド)のコンテナに隔離
  - クライアント端末と社外Webサイトの間で、通常プログラムを仮想環境で実行し、ウェブ上の脅威からエンドポイントを保護
アクセス元の場所を問わず、デバイスからアクセス先のクラウドサービスまで、一貫したセキュリティポリシーに基づいた保護を提供
- Web/クラウド/プライベートアプリへのセキュアなアクセスを実現し、一貫したデータ保護と脅威のコントロールを提供
SASEの一部で、以下3つのテクノロジーを1つに統合したソリューション
- Cloud Access Security Broker(McAfee MVISION Cloud)
  - クラウドサービス利用状況の可視化/コントロール/保護を行うCASB製品
- Secure Web Gateway(McAfee Web Gateway Cloud Service)
  - クラウドで転送されるWebトラフィックのセキュリティを保護するSWG製品
- DLP Endpoint(McAfee Data Loss Prevention Endpoint)
  - 社内ホストにエージェントを配置し、データ侵害をコンテンツベースで監視・防御するDLP製品

McAfee MVISION UCEの特徴

統一されたインターフェース
- DLP、SWG、CASBを一つのインターフェース上から管理し、管理の煩雑さを解決
DLPポリシーの統一(DLP)
- デバイスからクラウドまで同一DLPポリシーを適用し、データの可視化とコントロールが可能
- DLP管理を一つのロケーションに統一することで、調査やレポート作成を速やかに行う
クラウドサービスの制御(SWG＋CASB)
- クラウドサービスへのアクセス制御や脅威対策を、単一ロケーションから対応可能
コスト削減
- シンプルな構成により、不要コンポーネントを削除

McAfee MVISION UCEマルチベクトルデータ保護のユースケース

※ 引用元: McAfee MVISION Unified Cloud Edge

McAfee MVISION UCEが組織にもたらすメリット

未許可クラウドサービスが社内で利用されていないか確認
- 社内利用のクラウドサービスをリスク評価に基づいたスコアにより可視化
- セキュリティポリシーを迅速に設定し、クラウドサービスへのアクセスを制御
- URLフィルタリングやレピュテーション機能により、企業ポリシーを満たさない宛先へのアクセスを制限
  - レピュテーションとは、無差別に送付されるスパムメールやウイルス付きメールを排除する手法
- RBI機能により、Webサイト閲覧が仮想環境上で行われる
  - Webサイトにマルウェアや悪意コードなど脆弱性が存在しても、エンドポイントを脅威から守れる
クラウドサービス利用時やWeb閲覧時のセキュリティを確保し、安全で快適なテレワークを実現
- セキュリティポリシーの適用により、社内外問わず、統一されたセキュリティレベルを確保
- 柔軟なスケーラビリティにより、サービス利用拡大でトラフィック増加しても、パフォーマンス低下しない
統合されたセキュリティ機能により、管理者の負担を軽減
- クラウドサービスのセキュリティ対策製品の導入/運用の手間を減らす
- SWG機能、CASB機能、DLP機能、RBI機能の統合により、セキュリティ対策に複数製品の導入不要
  - SWGで取得したアクセスログをCASBで解析可能するなど、各機能を連携させた対応が可能
- 1つの管理画面から管理可能で、管理者負担を軽減
クラウドサービスの可視化により、シャドーITや脅威の洗い出しを実現
- シャドーITとは、企業・組織側が把握せず、業務に利用されているデバイスやクラウドサービスのこと
- クラウドサービスの名称/カテゴリー/利用人数/データ転送量など、サービス別利用状況を可視化
マルウェア検知機能やUEBA機能などにより、セキュリティ機能を強化
- UEBA(User and Entity Behavior Analytics)とは
  - ユーザ及びエンティティの行動分析を行い、不正な行動/リスクを早期に検知する技術

SASEの実現: McAfee MVISION UCEとSD-WANの統合

おわりに

11回にわたって、ゼロトラスト対策からクラウドセキュリティ技術(SASE、SSE)まで勉強しました。
実際のSSE関連製品やソリューションも、深掘りしてみました。

技術細部を更に掘り下げたい気持ちではありますが、
今回を持って、本連載を終了とさせていただきます。
拙い文章を読んでいただき誠にありがとうございました。