サイバーセキュリティに従事している方であっても、サイバー攻撃がいかに頻繁に起きているかには驚かされるかもしれません。Rubrik Zero Labsの調査によると、驚くべきことにITおよびセキュリティリーダーの94%が、昨年自社が重大なサイバー攻撃を経験したと報告しています。同調査では、2023年に上層部が対応を迫られた悪意ある攻撃が、年間平均で30件発生したことも明らかになっています。侵入はもはや防ぎようがないと思われる緊迫した状況下で、セキュリティチームがゼロトラスト・アプローチを採用するのは当然の流れと言えます。
ゼロトラスト・ネットワーク・アクセス（ZTNA）とは？
ゼロトラスト・ネットワーク・アクセス（ZTNA）は、ゼロトラスト（ZT）セキュリティの概念に基づいています。これは、デフォルトですべてのアクセス要求を拒否し、あらゆる活動に対して「（条件付きで）信頼はするが、必ず検証を行う」という姿勢を原則としています。 それは単なる製品ではなく、パラダイム（考え方の枠組み）なのです。
ZTは、ユーザーのアイデンティティ（身元）が確認されるまで、アクセスを遮断します。認証後のプロセスとして、ZTは特定のタスクに必要な最小限のアクセス権限のみを割り当てます。仮に特定のクラウドストレージ・バケットへのアクセスをリクエストしたとしても、付与される権限はその範囲を超えることはありません。ゼロトラスト・アクセスモデルは、アプリケーション、データベース、ストレージなどに適用することが可能です。
ZTNAもまた、ゼロトラストの原則をネットワークアクセスに適用するセキュリティモデル（製品ではない）です。これには、ユーザーのアイデンティティ（およびデバイスのアイデンティティ）を検証し、ネットワークとの接続中も継続的に再検証することが含まれます。検証プロセスは多岐にわたりますが、ユーザーロールによるアクセス制限、不審なデバイスの使用パターンを排除するためのネットワークトラフィックの分析、あるいはデバイスの位置情報の確認などが含まれる場合があります。
また、ZTNAはネットワークの大部分を隠蔽する役割も果たします。この概念は、ソフトウェアベースの境界、あるいは境界のない（ペリメーターレス）セキュリティと呼ばれることもあります。ZTNAでは、デバイスは接続先以外のインフラストラクチャやネットワークの状況について一切関知しません。
ZTNAと従来のネットワークセキュリティモデルの比較
ZTNAは主に、従来のネットワークセキュリティの要であった仮想プライベートネットワーク（VPN）を代替するものです。VPNはネットワークへのゲートウェイとして機能します。ユーザーを認証すると、ポイント・ツー・ポイント・トンネリング・プロトコル（PPTP）やOpenVPNなどを用いて、ユーザーとネットワークの間に暗号化された「トンネル」接続を確立します。
VPNにはいくつかのセキュリティ上の課題があります。その1つは、正しいログイン情報を提示したユーザーを一律に信頼するように設計されている点です。これにより、認証情報やデバイスを奪取した攻撃者による不正アクセスのリスクが生じ、ネットワーク全体が脅威にさらされることになります。さらに、VPNはユーザーをローカルエリアネットワーク（LAN）全体に接続する傾向があり、接続されているあらゆるデジタル資産へのアクセスを許してしまいます。ネットワーク監視の設定によっては、システム管理者がネットワーク上でユーザーがどの資産にアクセスしたかを詳細に把握できない場合もあります。
ZTNAはこれとは全く異なるアプローチを取ります。ZTNAソリューションは、認証情報の保有よりも証拠能力の高い要素（デバイスの位置情報やデバイスIDなど）を用いてアイデンティティを検証するまで、そのユーザーを信頼することはありません。検証後、ZTNAプロトコルはネットワーク内の特定のエリアへのアクセスのみを許可し、それ以外へのアクセスは一切認めません。 また、ZTNAはプロキシサーバーやSSHトンネリングといった従来のネットワーク接続テクノロジーに代わる選択肢も提供します。
ZTNAの核心的な原則
ZTNAを導入したネットワークは、主に以下の核心的な原則に従って機能します。
ネットワークアクセスではなくアプリケーションアクセス：ZTNAは通常、ネットワーク全体へのアクセスを許可するのではなく、一度に1つのアプリケーションに対してのみアクセスを許可します。
IPアドレスの隠蔽：ZTNAは、IPアドレスがネットワーク上に公開されることを許可しません。ユーザーやデバイスは、接続されているサービスやアプリケーション以外のネットワークリソースを視認することができません。
MPLSの不使用：ZTNAはマルチプロトコル・ラベル・スイッチング（MPLS）を使用しません。その代わりに、トランスポート・レイヤー・セキュリティ（TLS）を介してインターネット接続を暗号化し、ユーザーと対象アプリケーションとの間に「暗号化されたトンネル」を構築します。
ネットワーク制御：ZTNAは動的でリアルタイムなポリシーを用いて、ネットワークトラフィックのフローを決定しますが、デフォルトですべてのトラフィックを遮断し、明示的なポリシーによって許可された場合にのみトラフィックを認めます。
アイデンティティの検証：ZTNAは、ネットワーク上のいかなるユーザー、デバイス、エンティティも暗黙的に信頼することはありません。ネットワークへのアクセスを許可する前に、常にアイデンティティを検証します。
コンテキストの把握：ZTNAはアイデンティティ検証の際、デバイス（エンドポイント）やユーザーの地理的位置、時間帯などのコンテキスト（背景）要因を考慮します。
クラウドベースのセキュリティ：エンドユーザーの所在地やアクセスしようとしているクラウドプラットフォームに関わらず、クラウドアクセスにZTNAの原則を適用します。
アプリケーションアクセスにおけるZTNAの重要性
従来のネットワークセキュリティでは、複数のVPN、内部ファイアウォール、仮想デスクトップインフラストラクチャ（VDI）を組み合わせて、アプリケーションを攻撃者から保護している場合があります。しかし、この複雑な構成は本質的に脆弱であり、リスクエクスポージャーを増大させる要因となります。
ZTNAは、従来のネットワークセキュリティモデルよりもアプリケーションに対する優れた対抗措置となります。ZTNAは、ネットワークとアプリケーションのアクセス制御を単一のソリューションに統合します。ZTNAを導入することで、攻撃者や内部関係者がネットワーク内をラテラル（横方向）に移動するリスクを低減できます。また、アクセス制御は、従来のネットワークセキュリティ手法よりもきめ細かく、コンテキストに応じた柔軟な制御も可能になります。
VPNによるインターネットベースのアクセスは、アプリケーションのIPアドレスを露呈させるリスクを伴い、結果として攻撃の標的となる可能性があります。ZTNAのアプローチではIPアドレスを共有しないため、このようなリスクは排除されます。
アプリケーションアクセスにおいてZTNAをかつてないほど重要にしている主な要因が2つあります。それは「クラウド」と「リモートワーク」です。
クラウドコンピューティング・アーキテクチャにおけるZTNA：今日のほとんどの組織は、オンプレミスのデータセンター、プライベートクラウド、パブリッククラウドプラットフォームにまたがるハイブリッドアーキテクチャ全体にアプリケーションをデプロイしています。しかし、彼らのネットワークは通常、オンプレミスのインフラストラクチャとプライベートクラウドにしか接続されていません。パブリッククラウドへのアクセスを社内ネットワーク経由にすると、いわゆる「Uターン」トラフィックが発生し、非効率であるばかりかネットワーク負荷の増大を招きます。代わりに、クラウドへのアクセスは直接行われるか、クラウド・アクセス・セキュリティ・ブローカー（CASB）を介して行われる場合があります。これらのアプローチは通常、ユーザーやデバイスを暗黙的に信頼してしまうため、セキュリティ上の懸念が残ります。ZTNAは、パブリッククラウド上のアプリケーションへのアクセスを許可する前にユーザーとデバイスの検証を要求することで、このリスクを排除します。
リモートワークにおけるZTNA：リモートワークやハイブリッドワークへの移行も、VPNモデルに負荷をかけています。従業員が個人のデバイスを用い、自宅のインターネット接続を介してログインすることで、VPNは過負荷状態に陥ります。加えて、悪意あるアクターが従業員になりすますリスクが高まるため、暗黙の信頼に基づくポリシーは深刻な被害を招く恐れがあります。ZTNAは、リモートワークによって生じるリスクを低減する方法でアクセスを制限します。
ZTNAの主な機能
ZTNAの機能はソリューションによって異なりますが、ネットワークアクセスレベルのセキュリティでゼロトラストの原則を効果的に実現するには、常に以下の機能と性能が必要となります。
データ損失防止（DLP）：ZTNAソリューションは、データの漏洩や不正な持ち出しを検知する堅牢なDLP機能を提供する必要があります。これには、遮断や暗号化と並んで、正規表現（regex）やデータマッチングを用いたデータ送信の監視が含まれる場合があります。
スケーラビリティとパフォーマンス：ZTNAは、エンドユーザーの生産的なネットワーク接続を促進するものであるべきで、妨げになってはなりません。この目標を達成するために、ZTNAソリューションには容易な拡張性、動的なレスポンス、および高性能な接続性が求められます。
BYODのサポート：現在、特にリモートワークのユースケースにおいて、組織が「個人のデバイスの業務利用（BYOD）」ポリシーを持つことは一般的です。ZTNAはBYODをサポートする必要があり、この機能は通常「エージェントレス」アプローチを通じて実現されます。
高度な脅威保護（ATP）：悪意あるアクターの手口が巧妙化する中、ZTNAには従来のシグネチャベースの手法などを凌駕する「振る舞い分析」や他の高度な脅威保護によって、高度な脅威のリスクを軽減することが不可欠となっています。
きめ細かな可視性とレポート：ZTNAシステムのオーナーや他のステークホルダーは、ZTNAソリューションがどのように機能しているかを、タイムリーかつきめ細かな基準で確認できる必要があります。例えば、特定のユーザーがリアルタイムでアプリケーションとどのようにやり取りしているかを把握することなどが、これに当たります。レポートについても同様に詳細であり、必要に応じてカスタマイズできるようにするべきです。
SASEのサポート：ZTNAは、普及しつつある新興のセキュア・アクセス・サービス・エッジ（SASE）モデルとして認知されたコンポーネントです。しかし、すべてのZTNAソリューションが同じ程度のSASEサポートを提供していると仮定することはできません。SASEにはクラウド・アクセス・セキュリティ・ブローカー（CASB）やセキュア・ウェブ・ゲートウェイ（SWG）などの要素も含まれており、SASEを効果的に機能させるためには、各要素がZTNAと容易に連携できなければなりません。適切なZTNAソリューションを選定すれば、SASEの導入に必要な機能性と管理特性を実証することができるでしょう。
マイクロセグメンテーション：ネットワークを細かなセグメントに分割することは、攻撃者、特にアクセス権限を昇格させた攻撃者によるラテラルムーブメント（横方向への移動）のリスクを低減することができます。これはマイクロセグメンテーションとして知られています。ZTNAは、ZTNAソリューションの機能として直接的に、あるいはネットワーク管理プラットフォームと連携して間接的に、マイクロセグメンテーションをサポートできます。
マルチクラウド環境におけるZTNA
ZTNAは、クラウドプラットフォームやサービスとしてのソフトウェア（SaaS）アプリケーションにまたがるマルチクラウド環境を持つあらゆる組織にとって、優先されるべきセキュリティモデルです。ユーザーは、どのような場所からでも、どのようなデバイス上からでもログインすることが可能です。これは生産性にとっては素晴らしいことですが、セキュリティの観点からは、特にシングルサインオン（SSO）がすべてのクラウドへの「フラット」なアクセスと暗黙の信頼につながる場合、非常に危険です。
潜在的な問題は、SSOが非常に便利であり、ユーザーがマルチクラウド環境へシームレスにアクセスして業務を遂行することを可能にしている点にあります。もしZTNAが生産性の障害となるのであれば、それは問題です。適切なZTNAソリューションを選定すれば、アクセス制御とエンドユーザー体験のバランスを取ることが可能になります。
ZTNAは、不適切な信頼の結果として、悪意あるアクターがクラウドデータやアプリケーションへの不正アクセスを得る可能性を低減し、クラウドベースのセキュリティモデルを強化します。それは、検証されたユーザーとデバイスのみにアクセスを制限し、さらに特定のデジタル資産のみにアクセスを限定することで行われます。 たとえ悪意あるアクターがアクセスを得たとしても、攻撃者がクラウドプラットフォーム内やプラットフォーム間をラテラルに移動する能力は制限されます。
ZTNAは複数のクラウドプラットフォームにまたがってアクセス制御を簡素化できますが、その成否は、いかに適切に実装・運用できるかにかかっています。恐らく、異なるクラウド間でも機能する統合型のZTNAソリューションが最適解と言えるでしょう。主要なプラットフォームであるAmazon Web Services（AWS）、Google Cloud Platform（GCP）、Microsoft Azureは、それぞれが独自のネイティブなZTNAツールセットを備えています。しかし、1つのソリューションで事足りるのであれば、3つの別々のソリューションに頼るよりも、1つのソリューションに統合する方が効率的かつセキュアであると言えます。3つの異なるソリューションを並行して運用しようとすれば、タスクの抜け落ちは避けられません。ここで成功を収めるには、マルチクラウドモデルを前提にZTNAを設計に組み込んだ、より包括的なSASEソリューションへの投資が必要かもしれません。
ZTNA導入のベストプラクティス
ZTNAは、ネットワークセキュリティの主要な手法として、VPNに取って代わりつつあります。ZTNAは、ネットワークへの不正アクセスを得た悪意あるアクターによる、データやアプリケーションへのリスクを低減します。これは、デフォルトでいかなるユーザーやデバイスも信頼せず、常にアイデンティティを検証し、その上で最小限のアクセス権限を付与することによって行われます。
しかし、ZTNAの導入は容易なことではありません。全体的なベストプラクティスは、ZTNAの導入を段階的に進め、既存のネットワークセキュリティモデルにZTNAを組み込んでいくことです。例えば、最初のステップとして特定のネットワークセグメントやアプリケーションを1つだけZTNAの対象とし、そこから段階的に範囲を広げていくという方法があります。セキュリティと、ユーザーのアクセシビリティやユーザー体験とのバランスに注意を払うことが重要です。
誰がどのネットワークセグメントにアクセスできるかを判断する際などに、ZTNAが管理上のオーバーヘッドを生み出す可能性があります。エンドユーザーに負担を増やすことは避けなければなりません。有益なプロセスの1つとして、ネットワークフローがどこで発生しているかを自動的に特定（検出）するツールの活用が挙げられます。そこから、これらの現在の使用パターンに合致するアクセスポリシーの整理（分類）を開始することが可能になります。
ZTNA導入を成功させるには、複数の要因の組み合わせが必要です。1つは、適切なソリューション、あるいはソリューションコンポーネントを選定することです。周到な計画が必要であると同時に、ネットワークセキュリティ運用にZTNAを段階的に統合するための最適解を見極めることも不可欠です。「一気に置き換える（Rip & Replace）」戦略は賢明ではありません。ZTNAをSASEプロジェクトの一部にするかどうか、どのように組み込むかといった慎重な検討が、実を結ぶことになります。ZTNAのこれらの側面に適切な注意を払うことで、ZTNAの効果的な実装に向けた確かな道を進むことができるはずです。
よくある質問
ゼロトラスト・ネットワーク・アクセス（ZTNA）とは？
ゼロトラスト・ネットワーク・アクセス（ZTNA）は、ゼロトラスト・セキュリティモデルをネットワークに適用したものです。ZTNAソリューションは、まずアイデンティティを検証しない限り、ユーザーやデバイスを信頼することはありません。その上で、最小限のアクセス権限のみを付与し、継続的にアイデンティティの再検証を行います。
ゼロトラストとZTNAの違いは何ですか？
ゼロトラストは、ZTNAのベースとなる全体的なセキュリティモデルです。アプリケーションアクセスやデータベース権限への適用など、様々なゼロトラストセキュリティのアプローチが存在します。
ZTNAはVPNとどう違うのですか？
VPNは、ユーザーやデバイスを暗黙的に信頼することや、一度VPNトンネルが確立されるとネットワーク全体への「フラット」なアクセスを可能にすることなど、いくつかの点でZTNAとは異なります。対照的に、ZTNAでは通常、ユーザーがアクセスを許可されている範囲外のネットワークセグメントは、そのユーザーからは見えないようになっています。
ZTNAのユースケースにはどのようなものがありますか？
ZTNAのユースケースには、標準的なネットワークアクセスが含まれますが、それだけでなく、クラウドインスタンスへのアクセス、およびハイブリッドまたはマルチクラウド環境へのアクセスも含まれます。