ITトレンドがおすすめする製品・サービス
- ■守る対象のサーバー別
- 社内の業務アプリ・Webサーバー：KAMOME SASE、Cloudflare One、Enterprise Application Access、AppgateSDP
- サーバー同士の通信：Micro Segmentation
- サーバー管理者の特権アクセス：Okta Workforce Identity
- ■社内側の接続方式別
- コネクタを設置する方式：KAMOME SASE、Cloudflare One、ZeroTrustNetworkAccess
- サーバーにエージェントを入れる方式：Micro Segmentation
- ■サーバー自体の保護
- 不正なプログラムの実行・動作を制御：AppGuard
ゼロトラスト・セキュリティを構成するサーバーの役割
ゼロトラストの仕組みは、アクセスを許可するかを決める部分と、決定どおりに通信を通す・止める部分に分けて考えると整理しやすくなります。それぞれをどこに置くかで、自社で用意するサーバーが決まります。
アクセスを判定する役割
1つ目は、利用者からの接続を許可するかどうかを判定する役割です。米国国立標準技術研究所（NIST）が2020年8月に公表した「SP 800-207」では、この部分をポリシー決定点（PDP）と呼んで整理しています。
判定には、ID基盤による本人確認の結果や、端末のOSの更新状況、ウイルス対策ソフトの稼働状況などが使われます。クラウド提供型の製品では、この判定の仕組みを提供会社のクラウド上で動かす構成が中心で、自社で専用サーバーを用意しない場合もあります。
通信を中継して制御する役割
2つ目は、判定の結果に従って通信を通したり止めたりする役割です。SP 800-207ではポリシー実施点（PEP）と呼ばれ、利用者と社内サーバーの間に入って接続を取り次ぎます。
具体的には、利用者の端末に入れるエージェント、クラウド上の中継拠点、社内に置くコネクタなどがこの役割を分担します。どの部分を自社の設備に置くかは製品によって異なるため、構成図で確認しておくと、必要なサーバーの台数や置き場所を見積もれます。構成図は資料請求や商談の段階で提供会社に依頼すると入手しやすいでしょう。
ログを集めて監視する役割
3つ目は、判定や通信の記録を集め、不審な動きがないかを監視する役割です。ゼロトラストでは「許可したあとも確かめ続ける」ことが前提のため、ログの収集は欠かせない要素です。
製品の管理画面でログを確認できるほか、社内のログ管理サーバーやSIEM（複数の機器のログをまとめて分析する仕組み）へ転送する構成もあります。保存期間や転送方式によって、ログ用サーバーの容量の見積もりが変わる点に注意しましょう。
社内サーバーへ接続するコネクタの置き方
社内のサーバーをゼロトラスト経由で使えるようにするには、社内側にコネクタを置き、クラウド上の中継拠点とつなぐ方法がよく使われます。置き方の基本と、配置場所の考え方を紹介します。
外部からの接続口を開けない構成
コネクタには、社内からクラウド上の中継拠点へ向けて通信を始める方式を採るものがあります。この方式では、外部から社内へ入ってくる通信の受け口をファイアウォールに開けずに済む構成が可能です。
従来のVPN装置は、インターネット側に接続口を公開する必要がありました。公開された接続口は攻撃の対象になり得るため、受け口を減らせる点はコネクタ方式の利点の1つです。ただし、実際に必要な通信の向きやポート番号は製品によって異なるため、仕様書で確認しましょう。既存のVPN装置を廃止できるかどうかも、この段階で検討しておくと移行計画を立てやすくなります。
拠点や守る範囲ごとの配置
コネクタは、接続したいサーバーに通信が届く場所に置きます。本社のサーバールームとデータセンター、クラウド上の仮想ネットワークのように、サーバーが複数の場所にある場合は、それぞれにコネクタを置く構成が考えられます。
また、人事システムのように扱う情報の重要度が高いサーバーは、ほかと分けたネットワークに置き、専用のコネクタを用意する方法もあります。コネクタから届く範囲を必要なサーバーだけに限ると、万一の際の影響を抑えやすくなります。
クラウド上の仮想サーバーへの接続
IaaSと呼ばれるクラウド上の仮想サーバーも、社内サーバーと同じようにゼロトラスト経由で接続させる対象です。管理用のリモート接続をインターネットに公開したまま運用していると、不正ログインを試みる通信の標的になる場合があります。
クラウド上の仮想ネットワークにコネクタを置けば、公開していた接続口を閉じ、許可した利用者だけが管理画面や業務アプリに接続する形へ移行できます。クラウド事業者側のアクセス制御の設定とも重複や矛盾がないか、あわせて確認しましょう。
サーバー同士の通信を絞る方法
ゼロトラストでは、利用者とサーバーの間だけでなく、サーバー同士の通信も必要な範囲に絞ります。1台のサーバーが乗っ取られたときに、ほかのサーバーへ被害が広がるのを抑えるためです。
マイクロセグメンテーションの考え方
マイクロセグメンテーションとは、サーバーやアプリの単位で通信の許可範囲を細かく決める方法です。例えば、Webサーバーからデータベースサーバーへの通信だけを許可し、Webサーバー同士の通信は止める、といった設定を行います。
従来は、同じネットワークの区画にあるサーバー同士は自由に通信できる構成が見られました。区画の中を細かく分けると、攻撃者がネットワーク内を移動する経路を減らせます。ネットワーク機器で設定する方法と、各サーバーにエージェントを入れて制御する方法があります。
制限前の通信の見える化
サーバー同士の通信を制限する前に、まずどのサーバーがどこと通信しているかを見える化します。業務システムの中には、月末の集計処理やバックアップのように、決まった時期にだけ発生する通信があるためです。
見える化の期間が短いと、こうした通信を見落として制限をかけ、処理が失敗するおそれがあります。一定期間は記録だけを取り、システムの担当者と許可する通信を確認してから制限をかけると、業務への影響を抑えられます。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でゼロトラスト・セキュリティの一括資料請求が可能です。浮いた時間で、じっくりと製品の比較検討を進めましょう。
ゼロトラスト用サーバーに求められる要件
コネクタや管理用のサーバーを自社で用意する場合は、動作環境だけでなく、止まったときの影響まで考えて要件を決めます。主な要件を、動作環境と可用性の2つに分けて整理します。
動作環境と通信の要件
まず確認したいのは、コネクタが動作するOSや仮想化基盤、必要なCPUやメモリの量です。物理サーバーに入れる方式、仮想マシンとして配布される方式、コンテナで動かす方式など、提供の形は製品によって異なります。
あわせて、コネクタからクラウドへの通信に必要なポートや宛先、社内のプロキシを経由できるかどうかも確認します。社内のネットワーク担当者と事前に情報を共有しておくと、設置当日に通信が通らないといったトラブルを避けやすくなります。
冗長化と更新の要件
コネクタが1台だけの構成では、そのサーバーが止まると社内システムへの接続がすべて止まる可能性があります。業務への影響が大きい場合は、複数台を置いて1台が止まっても接続を続けられる冗長構成を検討しましょう。
また、コネクタのソフトウェアは不具合や脆弱性の修正のために更新されます。自動更新に対応しているか、更新中に接続が切れないかも確認したい点です。更新作業の担当者と手順を決め、複数人で共有しておくと、運用が属人化しにくくなります。更新後に接続テストを行う項目も、あらかじめ一覧にしておきましょう。
サーバー管理者のアクセスをゼロトラストで管理する
サーバーの設定を変更できる管理者のアクセスは、一般の利用者より厳しく管理する対象です。管理者のIDが不正に使われると、ゼロトラストの設定自体が書き換えられるおそれがあるためです。
特権IDの貸し出しと操作記録
サーバーの管理者権限を持つIDは特権IDと呼ばれます。ゼロトラストの考え方では、特権IDを常に使える状態で渡すのではなく、作業の申請と承認を経て、必要な時間だけ貸し出す方法がとられます。
あわせて、作業中の操作を記録しておくと、設定変更の経緯を後から確かめられます。複数の担当者で同じ管理者アカウントを共有している場合は、利用者ごとに操作を追える状態に切り替えることが、管理の第一歩です。
管理用の接続経路の分離
サーバーへの管理用の接続は、一般の業務用の接続と経路を分けておくと管理しやすくなります。例えば、管理作業は会社が管理する専用の端末からのみ認め、多要素認証を必須にする設定です。
リモート保守のために外部の保守会社がサーバーへ接続する場合も、同じ考え方を当てはめます。保守会社の担当者にも個別のIDを発行し、接続できるサーバーと時間帯を限定しておくと、作業範囲を確認しやすくなります。
サーバー構成の違いで比べる製品一覧
コネクタを置く方式、エージェントを入れる方式など、自社で用意するサーバーや構成要素が異なる製品を一覧にしました。必要な台数や置き場所は製品ごとに異なるため、構成図は資料で確認してください。
| 製品名 | 特徴 |
|---|---|
| KAMOME SASE | 閉域網内にコネクターを置き、拠点間の通信もゼロトラストで制御 |
| Cloudflare One | Tunnelのコネクタでサーバーや拠点と接続し、VPN不要のZTNAを提供 |
| Micro Segmentation | サーバーやエンドポイントを分離し、サーバー間の通信を細かく制御 |
| Okta Workforce Identity | サーバー管理者の特権アクセスをJust-In-Timeで付与し、操作を記録 |
| AppGuard | Windows Server向けのサーバ版あり。不正な動作をOS側でブロック |
| Enterprise Application Access | アプリ単位でアクセスを制御するZTNA。クラウド配信でVPN不要 |
| ZeroTrustNetworkAccess | クラウド型ゲートウェイ/コネクタでVPNなしに接続。Sophos Centralで管理 |
| AppgateSDP | 接続先を隠蔽しつつ動的に制御するSDP。オンプレ・クラウドに対応 |
接続方式で選ぶゼロトラスト製品
社内サーバーへつなぐ方法や、サーバー側に入れる構成要素に注目して、検討しやすい製品を紹介します。
KAMOME SASE
- 既存環境を活かして段階導入できる国産ゼロトラストSASE
- オンプレ・クラウド・SaaSを統一ポリシーでアクセス制御
- 閉域網や拠点間通信もゼロトラストで安全に制御
かもめエンジニアリング株式会社が提供する「KAMOME SASE」は、社内側に置くコネクターでサーバーや拠点をつなぐ、国産のゼロトラストSASEです。構成要素は、利用者の端末に入れるSASEアプリ（エージェント）、ポリシーを管理するクラウド、閉域網内に設置するコネクターの3つです。閉域網の制約を受けずに、拠点間のシステムが安全に通信できます。既存のVPN環境を活かして段階的に導入でき、保守は顧客側で行うセルフメンテナンス設計です。
Cloudflare One
- VPN不要のゼロトラスト(ZTNA)を既存環境と併用し段階的に導入
- SWG・CASB・DLP等の多層防御を単一画面で一元管理
- 世界125カ国330都市以上の拠点網が低遅延かつ高可用性を提供
TDI株式会社が提供する「Cloudflare One」は、社内サーバーとの接続をコネクタ経由に切り替えたいときに検討できるSASEです。サーバーや拠点の接続にはCloudflare Tunnelを使い、コネクタとしてCloudflaredを利用する構成例があります。リモート利用者の端末側にはCloudflare WARPのクライアントを入れる形です。ZTNAのほかSWGやDLP、CASBも同じプラットフォームで扱え、VPNと併用しながら段階的に導入することもできます。
Micro Segmentation
- APIレベルでマイクロサービスの露出を低減。
- マルウェアがユーザーシステムやワークステーション間で拡散防止
- ワークロードの場所を問わず、一つのコンソールから操作可能。
株式会社ピーエスシーが提供する「Micro Segmentation」は、サーバー同士の通信を細かく分けて制御したい企業向けのマイクロセグメンテーションサービスです。クラウド、各サーバー、エンドポイント、ネットワークなどを分離して攻撃対象を小さくし、1台が侵害されても被害が広がりにくい状態を目指します。導入には、新たなエージェントの配布と既存環境の設定変更が必要です。事前検証のPoCを4週間実施でき、そのあとは導入支援と24時間365日の運用まで依頼できます。
Okta Workforce Identity
- リソースへのアクセスに必要な認証と認可を実施
- エンドポイントやネットワークセキュリティなどとも連携が容易
- ユーザーライフサイクル管理、APIへのセキュアなアクセスを提供
Okta Japan株式会社が提供する「Okta Workforce Identity」は、サーバー管理者のアクセスを厳しく管理したいときに使えるID管理サービスです。クラウドとオンプレミスのサーバーに対し、必要なときに必要なアクセス権だけを付与するJust-In-Time方式を採用し、多段承認や申請理由、承認期限を設定できます。サーバー操作の記録も取れるため、不正の防止や事後の確認に役立ちます。シングルサインオンや多要素認証も同じ基盤で利用できます。
AppGuard
- 定義ファイル不要の「OSプロテクト型」
- 未知・既知を問わず、高度なサイバー攻撃による侵害を未然に防止
- 端末に対して悪いコトをさせず、「攻撃の無効化」を実現
DAIKO XTECH株式会社が提供する「AppGuard」は、サーバーが侵入されても被害を出さないことを目指すOSプロテクト型の製品です。Windows Server OSに対応するサーバ版と、Windows OSのクライアント版があり、定義ファイルは使わず、OSに害を与える動きをブロックします。アプリケーションの起動制御、ハイリスクなアプリからの起動制御、保護ポリシーの自動継承が特徴です。管理コンソールにアクセスする際は、固定グローバルIPが必要です。
Enterprise Application Access （Akamai Technologies, Inc.）
- 最小権限アクセスを「信頼せず、すべて検証する」の原則で実現。
- 場所・デバイス問わず、アクセス意思決定を実行。
- VPN不要、クラウド配信で高速・スケーラブルに導入可能。
ZeroTrustNetworkAccess （ソフォス株式会社）
- ユーザー・端末の状態を確認しアプリ単位でアクセス制御。
- Sophos Centralでポリシー設定と可視化を一元管理。
- クラウド型GW/コネクタでVPNなし接続。
AppgateSDP （AppGate,Inc.）
- 認証・認可と接続先隠蔽による不正侵入防止の動的制御。
- リアルタイム評価で最小権限アクセスとマイクロ制御を実施。
- オンプレ・クラウド・ハイブリッド対応で、安全にアクセス
まとめ
ゼロトラストで用意するサーバーは、アクセスを判定する仕組み、通信を中継する仕組み、ログを集める仕組みのどこを自社に置くかで決まります。クラウド提供型ではコネクタの設置が中心となるため、動作環境や通信の向き、冗長化の要件を確認しましょう。サーバー同士の通信や管理者アクセスまで守る範囲を広げる場合は、対応範囲の異なるゼロトラスト・セキュリティ製品を資料請求で比較してください。
