この記事はAll About Group（株式会社オールアバウト） Advent Calendar 2022 12日目の記事です。

概要

社内でNetskopeって使われているけど、社内のネットワークつなぐ時ってVPNだけじゃないの？
そもそも、Netskopeって何？って、知らないことばかりなので調べました。
どうやらSASEと言うものが関わっているみたいです。

まずVPNについて

VPNとは

Virtual Private Networkの略
仮想的な専用のネットワーク回線を構築し、ネットワークのトンネルを作ります
トンネルの入口で暗号化し、出口で復号化することで、データの盗聴や改竄を防ぎます
これで、リモート環境から社内リソースへ安全にアクセスできます

VPNはなぜ使うのか

不正アクセスを防ぐために、社内リソースは閉鎖的になっています。基本的に、社外からはアクセス禁止です
でも、リモートから社内リソースへアクセスしないと仕事ができないので、アクセスしたい
そんな時に、社内リソースへアクセスさせるために必要です

社内の情報セキュリティを守るには

社内の情報セキュリティを守るには、外側から閉鎖的にするだけではなく、
内側から外側へ出るときや、利用しているSaaSのセキュリティ対策も必要

例えば、

閲覧できるサイトの制限
利用できるアプリケーションの制限
アンチウィルス
Saas(Google Drive)の制限・監視
など

レガシー環境の情報セキュリティについて

レガシーな働き方

サーバーは、オンプレミスが中心
仕事は、オフィスワークが中心

レガシーなセキュリティ対策

VPN
- アクセス元のネットワークを限定させる
プロキシ経由
- 閲覧できるサイトの制限
- ウイルスチェック
- など
PC持ち込み禁止
- PCは会社にあるものを利用する

レガシーのままで起こる課題

クラウドサービスの加速
- オンプレミスではなく主役はクラウドになっている
- 例えば、全社レベルでのGoogle Driveのファイルの制御ってどうやるの？
リモートワークの加速
- ネットワークリソースを多く消費するようになった
- 例えば、VPNは同じネットワークを経由させるので、過剰に利用するとパンクする課題がある
個人端末の増加
- 個人PCだけでなく、個人携帯からもアクセスも求められる
- 例えば、利用できるアプリケーションの制限が難しい課題がある

→ そこで、これらの課題を解決するために、NetskopeとSASEがでてくる

Netskopeについて

Netskopeとは

SASE(サッシー)ソリューションを提供しているサービスで、セキュリティプラットフォーム

SASEとは

Secure Access Service Edgeの略で、サッシーと呼ぶ
ガードナーさんが提唱した、ネットワークセキュリティモデル。複数の技術で構成されています
- ZTNA: Zero Trust Network Access の略で、「ゼロトラスト」なセキュリティ思想で実装されている
- CASB: Cloud Access Security Broker の略で、キャスビーと呼ぶ
- SWG: Secure Web Gateway の略で、クラウド型のプロキシ
- など

VPNとの関連性

SASEの技術うち、 ZTNAがVPNの代替とされている

ゼロトラストとは

ゼロ + トラストで、日本語で信頼ゼロで、何も信頼しないという「思想」のこと

信頼しない思想とは

元々VPNが、トンネルの外側は信頼しなくて、内側は信用するという考えで
そうではなく、内側も疑うべきだし、アクセスの度に疑うべきで
本来セキュリティのあるべき姿である、全てを疑う「ゼロトラスト」にするべき。という思想
主に、ZTNAがそれを担当していて、端末ごとに、かつ、アクセスするたびに認証するとう実装がされている

SASEが提供するもの

ネットワークサービスと、セキュリティサービスを、一つのクラウドサービスで提供します
でも、セキュリティサービスだけをSASEではなく、SSE(Secure Service Edge)と呼ばれたりする
弊社の場合は、ネットワーク機能は不要で、SSEの導入と考えられる

→ 以下、SASEではなく、SSEと呼びます

SSEの技術

SSEの主要技術の３つだけ紹介

ZTNA

思想が中心なので、ベンダーによって使われている技術は異なる
役割は
- VPNの代替
- ネットワークを使う前に、ユーザーとデバイスが信頼できるか検証する
- VPNと同じ様に、入口で暗号化、出口で復号化をして、通信を保護する
技術的に
- VPNと比較して、クラウドサービスである
- VPNと比較して、ゼロトラスト思想のもと、通信するたびに認証をする
- ZTNAはソフトウェア使って認証するのでアプリケーション層、VPNはIPを指定して接続するところを見るとネットワーク層

CASB

役割は
- SASEではクラウドサービスのセキュリティ担当で、SaaSの監視などをする
- 例えば、Google Driveのデータ露出や、ファイルの過剰共有の監査などのために使う
技術的にどう監視するか
- クラウドサービスのAPIを利用
- プロキシも利用したりする

SWG

役割は
- プロキシの代替となりうるもの
- Webサイトをフィルタ
- アプリケーションの制御
- アンチウイルス
技術的に
- SWGは、プロキシサーバーと比較して、クラウド型のプロキシである

SSEを導入する理由

メリット

上記で述べた、レガシーのままで起こる課題が解決できる
- CASB: クラウドサービスに対応
- ZTNA: VPNのネットワークのパンクしなくなる
- 全て1つのクラウドサービス: 管理が容易に
- など

期待する未来図

Slackやビデオチャットが安定する
スマホからでもWebサイトやクラウドサービスへのアクセスに対応する
管理が用意で、運用コストが下がる

→ 快適で、セキュアで、運用が容易なネットワーク環境になる

まとめ

セキュリティにはすべてを疑うという、ゼロトラストの思想がある
SaaSの利用が増えている中、情報セキュリティの事を考えると、SASEにしたほうが良い
SASEには３つの主要な技術がある
- ZTNA (ゼロトラストネットワークアクセス): VPNの代替
- CASB (キャスビー): SaaSのセキュリティに対応
- SWG (エスダブルジー): プロキシの代替
- ＋全て１つのクラウドで提供: 内側は複雑だが、外側(使う側)はわかりやすい

以上、読んでいただき、ありがとうございます。