拠点、工場、データ センターを安全に接続し、あらゆる場所のサーバーや IoT/OT デバイスにまでゼロトラスト セキュリティを拡張

ハイブリッド ワークやクラウド トランスフォーメーションが推進されたことで、プライベート アプリはクラウドに移行し、ユーザーはパブリックインターネット経由であらゆるデバイスや場所からアプリケーションにアクセスしています。こうした大きな変化によって、境界型のネットワークとセキュリティ モデルが根底から覆されつつあります。

多くの企業が拠点や工場、データセンターなどのさまざまな場所で IoT/OT デバイスを利用して業務を合理化していますが、そのほとんどがサーバーとクライアント間のワークロード通信に依存しています。クラウドとモバイルのテクノロジーが優先される現代において、アプリケーションアクセスの管理にレガシー WAN やメッシュ VPN、ファイアウォールを使用する従来のアプローチはもはや効果的とは言えません。

組織の要件が急速に変化する中で、レガシー WANソリューションを使い続けることは大きなリスクとなります。ネット

ワークベースのアクセスによる限定的なセキュリティ、攻撃対象領域の拡大、広範にわたるラテラル ムーブメントのリスク、ルーティングの複雑さなど、SD-WAN にはさまざまな課題が存在します。このネットワークにゼロトラストの原則を適用しようとすると、追加のファイアウォール アプライアンスが必要になり、コストと複雑さが増大します。

Zscaler Zero Trust SD-WAN の特長：
• あらゆる場所でゼロトラストを実現：場所を問わず、すべてのユーザー、デバイス、サーバー、IoT/OT を保護します。

• アプリケーションのパフォーマンスを向上：拠点のトラフィックは Zero Trust Exchange に直接送信されます。
また、信頼されたアプリケーションのトラフィックは、直接インターネット ブレイクアウトでインターネットを介して送信されます。

• 脅威のラテラル ムーブメントを阻止：ゼロトラストで安全な接続の基盤を構築して、東西方向のセグメンテーションを可能にします。

• 攻撃対象領域を排除：基盤となるトランスポートから拠点とデータ センターを独立させ、Zero Trust Exchangeを介して接続させます。

• シャドー IoTデバイスを検出して分類：トラフィックプロファ
イルに基づいて、デバイスを自動で分類します。

• OTリソースへの安全なアクセスを簡素化：ブラウザーベースのクライアントレス アクセスで、OT 資産の SSH/RDP/
VNC ポートへのアクセスを保護します。

• きめ細かな転送ポリシーを施行：ZIA や ZPA を使用して、インターネットおよび非インターネットのトラフィックに対してポリシーを施行します。

• プラグ＆プレイ アプライアンスを展開：ゼロタッチ プロビ
ジョニング (ZTP) で導入が簡素化されるため、統合までの時間を短縮できます。

© 2023 Zscaler, Inc. All rights reserved.

データ シート

Zscaler Zero Trust SD-WAN

インターネット

SaaS

パブリッククラウド

ブロードバンドルーター

Client Connector

データセンター

拠点/工場

ユーザー、サーバー、IoT/OT
VPN不要の特権リモートアクセス
SSH/RDP/VNC、セッション記録

中規模の拠点

小規模の拠点

リモート印刷

カフェのようなエクスペリエンス

ユーザー、IoT

ユーザー

図 1: ゼロトラスト SD-WAN

ゼロトラスト SD-WAN は複雑な VPN を使用することなく、拠点、工場、データ センターを安全に接続し、組織のポリシーに基づいてユーザー、IoT/OT デバイス、アプリケーション間のゼロトラスト アクセスを確保します。

「ゼロトラスト」ではない従来の SD-WAN

従来のネットワークとセキュリティ アーキテクチャーを使用して、拠点をインターネットやパブリック クラウドまたはデータ センター環境の他のアプリケーションに接続する場合、次のような課題が生じます。

• 脅威のラテラル ムーブメントやインターネットベース攻撃のリスクの増加：サイト間 VPN、ファイアウォール、従来型の SD-WAN などのネットワークを中心とした旧式の接続ソリューションは、信頼された組織のネットワー

クをインターネット経由で他のクラウドやオンプレミス環境にまで拡張するため、攻撃対象領域が拡大します。

セキュリティ アプライアンスやツール、非標準ポリシーの寄せ集めは、セキュリティ範囲の既知や未知のギャップによってセキュリティ リスクが増大します。

© 2023 Zscaler, Inc. All rights reserved.

データ シート2インターネット/SaaS

IaaS/SaaS

IaaS/SaaS

IaaS/SaaS

IaaS/SaaS

ローカル
インターネット
ブレイクアウト

IaaS/SaaS

直接接続/ExpressRoute

拠点

IaaS/SaaS

データセンター

拠点拠点
拠点

サイト間VPNはネットワークを拠点、工場、Iaas/Paasなどにまで拡張
図 2: 脅威のラテラル ムーブメントとインターネットベース攻撃のリスクをもたらす従来型の SD-WAN• 複雑さの増大：環境の複雑化を招く要素となるのが、複雑なルーティングや複数のネットワークホッ• パフォーマンスとスケーラビリティーの低下：

拠点やデータセンター環境内のネットワークとセプとアプライアンス、そしてレガシー モデルをクラウ

キュリティサービスの増加、トラフィックのヘアピン、です。拠点、クラウド、データ センター全体で接続チョークポイントなどがパフォーマンスとスケーラビ

ドに導入することで断片化したポリシーの管理などを標準化したり、セキュリティ ポリシーを施行したりすることは難しく、ネットワーク部門やセキュリティ部門にとって、こうした複雑さの管理は大きな課題となっています。

• 可視性の欠如：拠点、データ センター、クラウドの接続パス全体を十分に可視化できないため、ネットワークとセキュリティの死角が発生します。

© 2023 Zscaler, Inc. All rights reserved.

一元的なセキュリティの検査や制御を目的としたリティーを低下させます。

• コストの上昇：従来のネットワークやセキュリティアプライアンス ( ファイアウォール、IPS、ルーター、その他のポイント製品など )、スケーラビリティーの欠如を補うためのネットワーク サービスのオーバー

プロビジョニング、クラウド ネイティブ サービスの利用の増加などにより、コストが増大します。

データ シート3

ゼロトラスト SD-WAN の仕組み

ゼロトラスト SD-WAN はルーターやファイアウォール、VPN などの複数の製品を排除し、インターネット接続のみで迅速に展開できるシンプルなプラグ＆プレイ デバイスで軽量の拠点を構築することで、デバイス管理に伴う複雑さを解消すると同時に、拠点の全体的な機能を最適化します。ゼロトラスト SD-WAN は、ゼロトラストのネットワー
クオーバーレイで拠点の通信を大幅に簡素化し、実績ある ZIA と ZPA のポリシー フレームワークを使用して柔軟な転送とシンプルなポリシー管理を可能にします。

拠点からのトラフィックはすべて Zero Trust Exchange に安全に直接転送されます。ここで ZIA または ZPA のポリシーを適用し、拠点やデータ センターからの通信に対して、完全なセキュリティ検査とアイデンティティーベースのアクセス制御を行います。信頼されたアプリケーションのトラフィックは、インターネット ブレイクアウトを使用してインターネット経由で直接送信されます。この独自のアプローチは、次の 3 つの重要なメリットを提供します。
• ネットワークベースのサイト間 VPN 接続から、アイデンティティーとアプリケーションに基づいた通信に移行することで、真のゼロトラスト セキュリティを実現する。

• 一元化された自動ポリシー管理で分散型のスケーラブルな接続を必要な場所に提供し、拠点とデータセンターの通信を簡素化する。

• セキュリティを損なうことなく、従来の「城と堀」のアーキテクチャーを廃止する (Squid プロキシ、NAT ゲー

トウェイ、IPS などのレガシー製品は不要 )。

ゼロトラスト SD-WAN のユース ケース

サイト間 VPN のリプレース

トワーク攻撃対象領域の拡大によるセキュリティリスクなっているのが WAN や VPN ですが、ゼロトラスト

スト SD-WAN では、ネットワークを統合することなく、りすることなく、拠点をプライベート アプリに直接接続素早くスムーズに接続できるようになります。

ネットワークの攻撃対象領域を増大させる要因とSD-WAN は WAN を拡張したり、VPN を使用したさせます。アプリケーションは拠点の背後に隠れて検出されず、Zero Trust Exchange 経由で指定されたエンティティーにのみアクセスできるよう制限されます。

また、指定された参加者のアイデンティティー、コンテキスト、ポリシー遵守はすべてアクセスが許可される前に検証され、ネットワーク内の他の場所水平移動できないようにします。

吸収と合併

ネットワークの統合は簡単ではありません。時間がかかるばかりか、IP の重複からルーティングの問題、ネッ© 2023 Zscaler, Inc. All rights reserved.の増大まで、さまざまな課題が発生します。ゼロトラ

ある環境の拠点から別の環境のプライベート アプリにインターネットへの直接アクセスを拠点に提供

多くの組織がアプリをクラウドに移行し、クラウドネイティブアプリを構築するにつれ、オンプレミスのネットワークとセキュリティ モデルは十分な効果を発揮できなくなりつつあります。Zscaler Zero Trust SD-WAN

は拠点を変革するために構築されたソリューションであり、基盤となるネットワークから拠点が独立し、あらゆる宛先と安全に通信できるようにする新しいモデルを提供します。

データ シート4サーバー、IoT/OT 接続のためのゼロトラスト

シャドー IoT/OT の検出と可視化間を最大化し、機器やプロセスの障害による中断をネットワークに接続すると、デバイスの脆弱性が高ま

従業員やサードパーティー ベンダーは、生産稼働時認可されていない検出不可能なデバイスが支店の回避するために、定期的に IoT/OT アセットにアクセるだけでなく、攻撃対象領域も拡大します。これは、SD-WAN は、RDP と SSH 対象システムへの完全にデバイスを識別、分類することで、IT 部門がデバイスクセスを提供します。ジャンプ ホストや従来型の VPNリシーを改善できるようにします。

スする必要があります。IoT/OT のためのゼロトラスト

IT 部門が直面している課題の 1 つです。Zscaler は、分離されたクライアントレスのリモート デスクトップアの動作状況をより明確に可視化して、アクセス制御ポを使用して、デバイスにクライアントをインストールする必要はありません。

Z-Connector のプラグ＆プレイ アプライアンス
特長

種別

スループット /ハイパーバイザー
物理ポートZT 400

ZT 600

ZT 800ZT VM

小規模から中規模の拠点

小規模から中規模の拠点

中規模から大規模の拠点

拠点やデータ センター

200 Mbps

500 Mbps

1 Gbps

KVM、ESXi

4 x GbE

6 x GbE

8 x GbE

N/A

ゼロタッチプロビジョ
ニング

インターネットやプライ
ベート アプリケーションのトラフィック、直接送信される WAN のトラフィックに対するきめ細かな転送
ポリシー

インターネットへのトラフィックに対する URL フィ
ルタリング、ファイル タイ
プ制御、クラウド ファイアウォール ポリシーの活用
IoT デバイスやサーバーに対するゼロトラストの ZPA
ポリシー

一元化された可視性とログ© 2023 Zscaler, Inc. All rights reserved.

データ シート

5

ZSCALER ZERO TRUST SD-WAN の機能

特長

詳細ゼロタッチ プロビジョニングと展開の自動化• 事前定義されたテンプレートによるゼロタッチ プロビジョニング

インターネットとプライベート
アプリのトラフィックに対するきめ細かな転送ポリシー• インターネット経由で ZIA、ZPA、またはダイレクトにトラフィックを送信するオプション

機能統合されたゼロトラスト ポリシー

• 展開の完全自動化• 支店の地理的情報の動的検出• ロケーション、サブロケーション、ロケーション グループ、5 タプル、または FQDN のトラフィックの柔
軟な選択基準• 新しいクライアント タイプが含まれた ZPA の拡張ポリシーによるユーザーとアプリ間、IoT デバイスとアプリ間、サーバー間の統合ポリシー• ロケーションと位置ベースのポリシー• IPS、SSL プロキシ、URL フィルタリング、データ保護を含むセキュリティー ポリシーを有効化
高可用性• IoT/OT とサーバー用に構成されたポスチャーを備えた完全なセキュリティ スタック

• HA モードで動作するゼロトラスト SD-WAN の 2 つのインスタンスが、ハードウェア障害時のバーストトラフィックと冗長性に対する追加サポートを提供• 共通アドレス冗長プロトコル (CARP) に基づく仮想 IP アドレス (VIP) を使用したアクティブ / パッシブのフォールト トレランス• アクティブ / アクティブ回線 ( シングル アプライアンス )一元化された可視性ときめ細かなログ

WAN インターフェイスの終端
LAN インターフェイスの管理• アクティブ / アクティブ回線 (FHRP バランシング時のデュアル アプライアンス )• デバイスの正常性とトラフィック モニタリングのための一元化されたダッシュボード• クラウド、データ センター、拠点の展開で利用可能なフィルタリング• すべてのポートおよびプロトコルのセッションとトランザクションの詳細なログ ( すべてのパブリックおよびプライベート DNS トランザクションを含む )• 顧客の SIEM にログをストリーミングするオプションを含む、Nanolog ストリーミング サービス インフラとの完全な統合• デュアル ISP 接続 ( イーサネット )• シングル アプライアンスでのマルチホーミング• 複数の L3 LAN ネットワーク• 802.1q/VLAN タギングのサポート• DHCP サーバー

デバイス上のファイアウォールポリシー• DNS ゲートウェイ• ローカル LAN 間 ( 東西 ) トラフィックのきめ細かなアクセス制御• L3 アクセス制御リスト (ACL)

アプリケーションアウェアなパスの選択• ミッションクリティカルな SaaS またはプライベート アプリケーションのための動的パスの選択

ルーティング• 静的ルーティング

Zscaler のデータ センター /POP• インテリジェントな Zscaler POP 接続• 組み込みの SLA モニタリングとフェイルオーバー• 世界中に 150 以上存在する Zscaler のデータ センターにクラウド セキュリティ プラットフォームを構築し、顧客がいる場所に戦略的に配置• 次に利用可能なサービスの PoP へのシームレスなフェイルオーバーを備えた組み込みの可用性

Zscaler について
Zscaler (NASDAQ: ZS) は、より効率的で、俊敏性や回復性に優れたセキュアなデジタル トランスフォーメーションを加速しています。Zscaler Zero Trust Exchange は、ユーザー、デバイス、アプリケーションをどこからでも安全に接続させることで、数多くのお客様をサイバー攻撃や情報漏洩から保護しています。世界 150 拠点以上のデータ センターに分散された SSE ベースの Zero Trust Exchange は、世界最大のインライン型クラウド セキュリティ プラットフォームです。
詳細は、zscaler.jp をご覧いただくか、Twitter で @zscaler をフォローしてください。
+1 408.533.0288

Zscaler, Inc. (HQ) • 120 Holger Way • San Jose, CA 95134© 2023 Zscaler, Inc. All rights reserved. Zscaler™、Zero Trust Exchange™、Zscaler Internet Access™、
ZIA™、Zscaler Private Access™、ZPA™、
zscaler.jp/legal/trademarks に記載されたその他の商標は、米国および / または各国のZscaler, Inc. における (i) 登録商標またはサービスマーク、(ii) 商標またはサービス マークです。その他の商標はすべて、それぞれの所有者に帰属します。

zscaler.jp