ホワイトペーパー

Zero Trustアーキテクチャ
へのロードマップ
ネットワークを変革し、セキュリティ
を近代化するために必要なステップ、
ツール、チームについて学ぶ

本文

3
4

5-23

24-25

はじめに

Zero Trustアーキテクチャの構成要素
Zero Trustへのロードマップ
実装タイムライン例

03-4510-1893 | enterprise@cloudflare.com | www.cloudflare.com

3

Cloudflare | Zero Trustアーキテクチャへのロードマップ

はじめに
従来のネットワークアーキテクチャは、境界ネットワークというコンセプトで構築されており、誰かがネットワークに接続すれば、暗黙のうちに信頼関係が築かれていました。クラウドホス
ティングやリモートワークなどの近代化への移行により、従来の境界ネットワークアーキテクチャ
では課題が生じました。

これらの課題は、Zero Trustアーキテクチャを実装することで対処できます。これにより、ビジネス内外のすべてのトラフィックは確実に検証され、承認されます。Zero Trustアーキテクチャの実装は、従業員の生産性や接続性を阻害することなく、段階的に行うことができます。
このガイドは、セキュリティの専門家が、ベンダーにとらわれないZero Trustアーキテクチャと実装のタイムライン例を提供するために作成されました。このタイムラインは、組織がゼロから
Zero Trustの行程を始めることを想定していますが、すべての組織にとって有用であることを意図しています。
組織のセキュリティには、包括的なZero Trustアーキテクチャを導入する際に考慮しなければならない7つの主要な要素があります。実装の順番は、以下の要素とリファレンスアーキテクチャのセクションに記載されている方法と一致させる必要はありません。

インターネットトラフィック

ユーザー

アプリケーション

エンドポイントおよびデバイス

ネットワーク

データ損失防止およびロギング

定常状態

4

Cloudflare | Zero Trustアーキテクチャへのロードマップ

Zero Trustアーキテクチャの構成要素
フェーズ1

フェーズ2

構成要素

目的

インターネット
トラフィックグローバルDNSフィルタリングの導入

DLPおよびログ

SaaSツールの設定ミスや公に共有されたデータの特定ユーザー

コーポレートアイデンティティの確立

アプリケーション インバウンドメールの監視とフィッシング攻撃の排除

ユーザー

すべてのアプリケーションに基本的なMFAを適用

アプリケーション HTTPSおよびDNSSECを適用する
インターネット
トラフィックSSLの背後にある脅威をブロックまたは隔離

アプリケーション パブリックアドレス可能なアプリへのZTポリシーの適用
アプリケーション レイヤー7攻撃からアプリケーションを保護
ネットワークフェーズ 3

アプリ配信のためにインターネットに開放されているすべてのインバウンドポートを閉じる

アプリケーション すべての企業内アプリケーションのインベントリ作成
アプリケーション SaaSアプリケーションへのZTポリシーの適用
ネットワークユーザーのネットワークアクセスをセグメント化

デバイス

MDM/UEMの導入による企業デバイスの制御

ユーザー

ハードウェアベースの認証トークンの送信

重要でプライベートアドレス可能なアプリケーションのためのアプリケーション
ZTNA
DLPおよびログ
DLPおよびログ
フェーズ4

機密性の高いデータと、それが存在する場所を定義
既知の脅威要因に関する最新情報の入手

13

20
5
6

17

9-10

14-16
16
12
13-14
14-16
11

14-16
7

18-19
6

21
6

DLPおよびログ

ログレビュー、ポリシーの更新、緩和を行うSOCの確立

20

アプリケーションネットワークDLPおよびログ
DLPおよびログ
定常状態
定常状態

すべてのアプリケーションのZTポリシーの適用とネットワークア
クセス
エンドポイント保護の導入

すべての企業デバイス、API、サービスのインベントリ作成
支店間接続にブロードバンドインターネットを利用する

機密性の高いアプリでの従業員のアクティビティの記録および確認
アプリケーションからの機密データの流出を阻止

新規リソースのポリシー適用のためのDevOpsアプローチ
オンランプリソースのオートスケーリングの実装

それぞれのステップに必要な作業労力のレベルを、以下のように定義しています。

•

9

ハードウェアトークンベースのMFAを適用

デバイス

•

ページ

ユーザー

デバイス

•

作業労力
のレベル

- 小規模な作業労力：これは個人または小さなチームでできることです- 中規模な作業労力：これにはチームと事前準備が必要です- 大規模な作業労力：これには複数のチームとプロジェクト計画が必要です

14-16
7
8

11-12
18
19
22

22-23

Cloudflare | Zero Trustアーキテクチャへのロードマップ

Zero Trustへのロードマップ
ユーザー

ユーザーには、従業員、請負業者、顧客が含まれます。Zero Trustを実現するためには、組織はまず、誰が何を信頼すべきなのかを正確に把握する必要があります（これは「アイデンティティ」とも呼ばれるものです）。また、ユーザーのアイデンティティを安全に認証する方法を確立しなければならなりません。
コーポレートアイデンティティの確立
作業労力のレベル
関与するチーム
製品名- 中規模の作業労力••

IDプロバイダを担当するチーム
（通常はセキュリティまたはIT）

従業員やパートナーが利用する社内アプリを管理する管理者

Microsoft Azure AD、Okta、Ping Identity PingOne、OneLogin
企業のアプリケーションにアクセスするユーザーを正確に認証・承認するためには、統一されたコーポレートアイデンティティが必要です。
一貫性のあるコーポレートアイデンティティは、アプリケーションのきめ細かなポリシー適用をよりシームレスにします。

まとめ

その他の考慮すべき点：••

手順

あなたの会社はM&Aに意欲的なのか？アイデンティティストアをどのように統合するのか？
ウェブベース以外の認証プロトコルを使用しているか（アクティブディレクトリ、ntlm、kerberosなど）

1. すべての企業ユーザーをIDプロバイダーに追加します
a. これらの値は、多くの場合、WorkdayやADPなどの人事シス
テムから同期させることができます
2. 各ユーザーの情報が正しいかどうかを確認します
3. 新規ユーザーの登録情報を送信し、ログイン認証情報を設定します5Cloudflare | Zero Trustアーキテクチャへのロードマップ

すべてのアプリケーションで多要素認証を実施する- 小規模な作業労力（基本的なMFAを適用する場合）- 中規模な作業労力（ハードキーを使用する場合）

作業労力のレベル

関与するチーム••

IDプロバイダを担当するチーム（通常はセキュリティまたはIT）

社員やパートナーが利用する社内アプリを管理する管理者

IDプロバイダー：Microsoft Azure AD、Okta、Ping Identity
PingOne、OneLogin
製品名

アプリケーションリバースプロキシ：Microsoft Azure ADアプリ
プロキシ、Akamai EAA、Cloudflare Access、Netskope Private
Access、Zscaler Private Access (ZPA)
ハードキー：Yubico

まとめ

手順

多要素認証（MFA）は、フィッシングや情報漏えいによって盗まれた
ユーザー認証情報に対する最良の防御策です。ほとんどのMFAは、IdPで直接有効にすることができます。
IdPと直接統合されていないアプリケーションの場合、アプリケーションの前にアプリケーションリバースプロキシを使用してMFAの適用を検討してください。
1. 内部ユーザーに対して、近々実施されるMFAを警告します。SMS
またはアプリベースの認証にサインアップするオプションを提供
します
2. IdPでMFAを有効化します
3. IdPと統合されていないアプリケーションの前で、アプリケーショ
ンリバースプロキシを有効化します
4. （ボーナス）従業員へハードウェアキーを郵送または直接配布します
5. （ボーナス）最も機密性の高いアプリケーションに、ハードウェア
キーのみのMFAを適用します6Cloudflare | Zero Trustアーキテクチャへのロードマップ

エンドポイントおよびデバイス

エンドポイントとデバイスには、組織内のあらゆるデバイス、API、ソフトウェアサービス、または
組織のデータにアクセスするものが含まれます。組織はまず、デバイス、API、およびサービスの完
全なセットを理解する必要があります。そして、デバイス、API、サービスのコンテキストに基づいてZero Trustポリシーを実装することができます。
モバイル端末管理の導入
作業労力のレベル
関与するチーム- 中規模の作業労力
•

ITチーム

製品名

Mac：Jamf、Kandji  Windows：Microsoft Intune

まとめ

Zero Trustアーキテクチャの多くは、少なくともユーザーマシンのサブセットにソフトウェアをインストールする必要があります。モバイ
ル端末管理（MDM）は、多くの企業がユーザーデバイスのインベント
リ全体にわたってソフトウェアと構成を管理する方法です。

手順

詳細については、MDMベンダーのサイトをご覧ください。

エンドポイント保護の導入
作業労力のレベル
関与するチーム- 中規模の作業労力••

セキュリティチーム
ITチーム

製品名

VMWare Carbon Black、Crowdstrike、SentinelOne、Windows Defenderまとめ

エンドポイント保護ソフトウェアは、ユーザーのマシンにインストール
され、デバイスに影響を与える既知の脅威をスキャンします。エンドポ
イント保護ソフトウェアは、OSのパッチやアップデートのコンプライ
アンスを強制するためにも使用することができます。エンドポイント保護ソフトウェアからの信号は、アプリケーションのアクセスコントロー
ルポリシーに使用することができ、また、使用する必要があります。

手順

1. MDMを使用して、ユーザーのマシンにエンドポイント保護ソフト
ウェアをインストールします2. エンドポイント保護プラットフォームで、脅威からの保護とコン
プライアンス制御を可能にします7

Cloudflare | Zero Trustアーキテクチャへのロードマップ

デバイス、API、サービスのインベントリ作成
作業労力のレベル
関与するチーム

製品名

まとめ

手順

- 小規模な作業労力••

セキュリティチーム
ITチーム

デバイスのインベントリ：VMWare Carbon Black、 Crowdstrike、
SentinelOne、Windows Defender、 Oomnitza

API/サービスのインベントリ：Cloudflare アプリケーションコネクタ、
Zscaler Private Access (ZPA)
エンドポイント保護ソフトウェアや資産管理ソフトウェアを使用して、ユーザーに配布されたすべてのデバイスを追跡することができます。
どのデバイスが有効で、特定のアプリケーションにアクセスする必要があるかを追跡するために、デバイスの正確なリストを維持する必要があります。
また、APIやサービスも検知し、インベントリとして管理する必要があります。ネットワークスキャンを活用することで、内部または外部ネッ
トワーク上で通信可能な、新しく目にしたAPIやソフトウェアサービスを特定することができます。
1. MDMを使用して、ユーザーのマシンにエンドポイント保護ソフト
ウェアをインストールします2. ネットワーク内にAPI/サービススキャナーをインストールします8Cloudflare | Zero Trustアーキテクチャへのロードマップ

インターネットトラフィック

インターネットトラフィックには、組織の管理外のWebサイトを目的としたすべてのユーザートラ
フィックが含まれます。これは、ビジネス関連のタスクから個人的なWebサイトの使用まで多岐にわたります。すべてのアウトバウンドトラフィックは、マルウェアや悪意のあるサイトの影響を受ける可能性があります。組織は、インターネットに向かうユーザートラフィックの可視化と制御を確立する必要があります。
既知の脅威や危険な宛先へのDNSリクエストをブロックする
作業労力のレベル
関与するチーム- 小規模な作業労力••

ルーターまたはマシン設定のいずれかにアクセス可能なITチーム
セキュリティチーム

製品名

DNSフィルタリング：Cisco Umbrella DNS、Cloudflare Gateway、
DNSFilter、Zscaler Shift

まとめ

DNSフィルタリングは、ルーターの設定によって、またはユーザーマ
シンで直接適用することができます。既知の悪意のあるWebサイトからユーザーを保護する最も迅速な方法の1つです。

手順

DNSフィルタリング：オフィス無線LANのDNS解決設定を更新し、適切なDNS解決サービスを指すようにします。これは、既知の悪意のあるサイトをブロックするために使用することができます。

SSL/TLSの背後にある脅威をブロックまたは隔離する
作業労力のレベル
関与するチーム

製品名- 中規模の作業労力••

ルーターまたはマシン設定のいずれかにアクセス可能なITチーム
セキュリティチーム

TLSの復号化：Cloudflare Gateway、Netskope次世代SWG、Zscaler
Internet Access (ZIA)

ブラウザ分離：Cloudflareブラウザ分離、Zscaler Cloudブラウザ分離

9Cloudflare | Zero Trustアーキテクチャへのロードマップ

SSL/TLSの背後にある脅威をブロックまたは隔離する（続き）
まとめ

脅威の中には、SSLの背後に隠れていて、HTTPSインスペクションだ
けではブロックできないものがあります。ユーザーをさらに保護するために、TLSの復号化を活用し、SSLの背後にある脅威からユーザーをさらに保護する必要があります。
TLSの復号化：手順

1. 正しいクライアントソフトウェアが、ユーザーマシンにインストー
ルされていることを確認します
a. 	 デバイスのアウトバウンドWebトラフィックを妨害する可能性のあるVPNやその他のソフトウェアがないか確認します
2. TLS復号化のためのルート証明書をデバイスに設定します
3. ユーザートラフィックの復号化を回避するタイミングのポリシーを有効化しますa. 証明書のピン留めを使用しているサイトでは、この作業を行う必要がありますb. 一 部 の 企 業 で は 、 ユ ー ザ ー の 個 人 的 な ト ラ フ ィ ッ ク（銀行、ソーシャルメディアなど）についても復号化を回避していますブラウザ分離：1. ブラウザ分離は、デバイス上のクライアントソフトウェア、または分離リンクを介して展開することができます。両方のアプロー
チを検討する必要があります10Cloudflare | Zero Trustアーキテクチャへのロードマップ

ネットワーク

ネットワークには、組織内のすべてのパブリックネットワーク、プライベートネットワーク、および
仮想ネットワークが含まれます。組織はまず、既存の一連のネットワークを理解し、それらをセグメント化して、横方向の移動を防止する必要があります。そして、ユーザー、エンドポイント、デバイ
スがアクセスできるネットワークのセグメントをきめ細かく制御するZero Trustポリシーを作成することができます。
ユーザーのネットワークアクセスのセグメント化
作業労力のレベル
関与するチーム- 大規模な作業労力••

セキュリティチーム
ITチーム

製品名

Zero Trustネットワークアクセス（ZTNA）：Cloudflare Zero
Trust（AccessとGatewayを併用）、Netskope Private Access、
Zscaler Private Access (ZPA)

まとめ

ユーザーは通常、VPNを使用して、またはオフィスネットワーク内にいながら、プライベートネットワーク全体にアクセスすることができます。Zero Trustのフレームワークでは、ユーザーは与えられたタスクを完了するために必要なネットワークの特定のセグメントにのみアクセスすることが要求されます。Zero Trustネットワークソリューション
では、ユーザーがローカルネットワークにリモートアクセスすることを可能にしますが、ユーザー、デバイス、その他の要因に基づいたきめ細かいポリシーが設定されています。

手順

1. プライベートネットワークをZTNAで利用できるようにしますa. 一般的に、アプリケーションコネクタ、GREまたはIPSecト
ンネルを使用します
2. MDMを使用してユーザーデバイスにZTNAクライアントをインス
トールします3. プライベートネットワーク上のユーザーアクセスをセグメント化するためのポリシーを設定します

支店間接続にブロードバンドインターネットを利用する
作業労力のレベル
関与するチーム
製品名- 大規模な作業労力••

ネットワークエンジニアリングチーム
ITチーム

Cloudflare Magic WAN、Cato Networks、Aryaka FlexCore

11

Cloudflare | Zero Trustアーキテクチャへのロードマップ

支店間接続にブロードバンドインターネットを利用する（続き）

まとめ

プライベートネットワーク拠点間の接続性（例：データセンターと支店）は、一般的に、マルチプロトコルラベルスイッチング（MPLS）
回線、または通信事業者が提供する他の形態のプライベート回線で構築されています。このようなMPLSリンクは一般的に高価ですが、商用
インターネットが高品質になったことにより、組織はわずかなコスト
で安全なトンネルを介してインターネット上にトラフィックをルーテ
ィングし、同じレベルの安全なアクセスを提供することができます。

手順

1. まず、MPLS接続された2つの拠点を選びます。これらの拠点では、何らかの形でインターネットに接続する必要があります。
2. インターネット回線からクラウドWANプロバイダーのエッジネット
ワークまで、エニーキャストGREまたはIPsecの一対の冗長トンネルを確立します。
3. これらのトンネル間の正常性と接続性を確認します。トラフィック
ワークロードのパフォーマンス（スループット、レイテンシー、
パケットロス、ジッター）を、可能な限り本番トラフィックに近い形でテストします。
4. 本番トラフィックをMPLSからインターネットトンネルに移行するために、ルーティングポリシーを変更します。
5. 次のMPLS接続先でも繰り返します。
6. MPLS回線を破棄します。

アプリケーション配信のために、インターネットに開いているすべてのインバウンドポートを閉じる- 小規模な作業労力

作業労力のレベル
関与するチーム•

ネットワークエンジニアリングチーム

製品名

Zero Trustリバースプロキシ：Akamai EAA、Cloudflare Access、
Netskope、Zscaler Private Access (ZPA)

まとめ

開いているインバウンドネットワークポートは、スキャン技術を使って見つけることができ、一般的な攻撃ベクトルとなります。Zero Trust
リバースプロキシを使用すると、インバウンドポートを開くことなくWebアプリケーションを安全に公開することができます。アプリケー
ションのDNSレコードは、一般公開される唯一のアプリケーションのレ
コードです。また、DNSレコードはZero Trustポリシーで保護されています。セキュリティの追加レイヤーとして、Zero Trustネットワークア
クセスサービス（詳細は後述）を利用して、内部/プライベートDNSを活用することができます。
1.

手順

リバースプロキシアプリケーションコネクタのインストール—通常、同一ネットワーク上のどこかにデーモンまたは仮想マシンを設置します
2. リバースプロキシアプリケーションを、アプリケーションコネクタに接続します3. ファイアウォールルールで、プライベートネットワーク上のすべてのインバウンドポートを閉じます12Cloudflare | Zero Trustアーキテクチャへのロードマップ

アプリケーション

アプリケーションには、組織のデータが存在する、あるいはビジネスプロセスが実行されるあらゆるリソースが含まれます。組織はまず、存在するアプリケーションを理解し、各アプリケーションに対してZero Trustポリシーを確立するか、場合によっては未承認のアプリケーションをブロックする必要があります。
Eメールアプリケーションを監視し、フィッシング攻撃をフィルタリングする
作業労力のレベル
関与するチーム
製品名- 小規模な作業労力•

メールプロバイダの設定を担当するチーム（通常はIT部門）

クラウドメールセキュリティ：Cloudflare Area 1 Email Security、Mimecast、TitanHQ

ブラウザ分離：Cloudflareブラウザ分離、Zscaler Cloudブラウザ分離

まとめ

メールは、攻撃者が従業員に自由にアクセスできる数少ない通信経路の一つです。悪意のあるメールや信頼できないメールが従業員に届かないようにするためには、安全なメールゲートウェイを導入することが重要なステップとなります。さらに、セキュリティチームは、完全にブロックするほど疑わしいものではないリンクを、分離したブラウザで隔離するオプションも検討する必要があります。

手順

1. ドメインのMXレコードを設定して、安全なメールゲートウェイ
サービスを指すようにします2. 最初の数週間は誤検知を監視します3. (ボーナス）疑わしい境界線上のメールリンクに対して、リンク
ベースのブラウザ分離アプローチを実装します

すべての企業内アプリケーションのインベントリ作成- 中規模の作業労力

作業労力のレベル
関与するチーム
製品名•

セキュリティチーム

Shadow IT Discoveryを備えたセキュアWebゲートウェイとCASB：
Cloudflare Gateway、Microsoft Defender for Cloud Apps、
Netskope次世代SWG、Zscaler Internet Access (ZIA)

13

Cloudflare | Zero Trustアーキテクチャへのロードマップ

すべての企業内アプリケーションのインベントリ作成（続き）

まとめ

セキュリティチームにとって、ビジネスで使用されるアプリケーションのすべてのインベントリを把握することは非常に重要です。「シャドーIT」とも呼ばれるように、セキュリティチームは、承認されていない、あるいは未知のアプリケーションがビジネス上で使用されていることをよく発見します。TLS復号化機能を持つセキュアWebゲートウェイを使用することで、アプリケーションを特定することができます。セキュア
Webゲートウェイは、承認されていないアプリケーションやアプリケー
ションのテナントをブロックするために使用することもできます（個人のDropboxアカウントなど）。

手順

1. セキュアWebゲートウェイでシャドーITのスキャンを有効にします
2. セキュアWebゲートウェイクライアントが、ユーザーのデバイスにインストールされていることを確認します
3. ユーザーからのトラフィックを2～3週間分確保します
4. 特定されたアプリケーションのリストを確認します
5. 未承認のアプリケーションは、セキュアWebゲートウェイポリシー
でブロックする必要があります
6. 承認されたアプリケーションは、Zero Trustポリシーで保護する必要がありますアプリケーションへのZero Trustポリシーの適用- 小規模な作業労力（最も重要なアプリケーション向け）- 大規模な作業労力（すべてのアプリケーション向け）

作業労力のレベル

関与するチーム•••

セキュリティチーム
アプリケーション開発チーム
ITチーム

Zero Trustリバースプロキシ：Azureアプリプロキシ、Cloudflare
Access、Netskope Private Access、Zscaler Private Access (ZPA)
製品名

Zero Trustネットワークアクセス（ZTNA）：Cloudflare Access、
Netskope Private Access、Zscaler Internet Access (ZIA)
CASB：Cloudflare CASB 、Netskope CASB、Zscaler CASB

リモートブラウザ分離：Cloudflareブラウザ分離、Zscaler Cloudブラ
ウザ分離

14

Cloudflare | Zero Trustアーキテクチャへのロードマップ

アプリケーションへのZero Trustポリシーの適用（続き）

まとめ

アプリケーションは、認証とアクセス許可の前に、ユーザーアイデンティ
ティ、デバイス、ネットワークコンテキストを考慮するZero Trustポリシーで保護する必要があります。特に機密データを含むアプリケー
ションには、最小特権を強制するきめ細かいポリシーを設定する必要があります。アプリケーションの種類は大きく分けて3つあり、それぞれの種類に応じてZero Trustセキュリティモデルも異なります。主なア
プリケーションの種類は以下の通りです：
1. プライベートセルフホスト型アプリケーション（企業ネットワー
ク内でのみアドレス指定可能）
2. パブリックセルフホスト型アプリケーション（インターネット上
でアドレス指定可能）
3. クラウドベースのアプローチ
注：デバイスコンテキスト、またはコンプライアンスステータスが必須のセキュリティポリシーの場合、通常、デバイス上のクライアント
ソフトウェアが必要です。
プライベートセルフホスト型アプリケーション

1. アプリケーションとZero Trustポリシーレイヤーとの間に暗号化トンネルを構築します。通常、これは「アプリケーションコネクタ」、
GREまたはIPSecトンネルになります
2. ZTNAデバイスクライアントのユーザーが、プライベートDNSリゾ
ルバーを利用できるようにします
3. ユーザー、デバイス、ネットワークのコンテキストに基づいたポリシーを構築し、アプリケーションにアクセスできるユーザーを確立しますパブリックセルフホスト型アプリケーション

手順

1. 権威DNSまたはCNAMEレコードをアプリケーションリバースプロ
キシに移動します2. アプリケーションのネットワークで、すべてのインバウンドポー
トが閉じられていることを確認します
3. ユーザー、デバイス、ネットワークのコンテキストに基づいたポリシーを構築し、アプリケーションにアクセスできるユーザーを確立します
クラウドベースのアプローチ
SaaSアプリケーションにZero Trustポリシーを適用するには、いくつかの異なるオプションがあります

プロキシID
Cloudflare、Netskope、およびZscalerは、リバースプロキシのセルフ
ホスト型アプリケーションと同じポリシーの適用を可能にするプロキ
シIDを提供しています。この場合、プロキシIDがSaaSアプリケーショ
ンのSSOプロバイダとして設定されていることが必要です。
1. SaaSアプリへの既存のSSO統合がある場合は、それを削除します
2. IdentityプロキシとSaaSアプリケーションを統合します
3. ユーザーの作成と更新のために、正しいSAML属性が送信されていることを確認します
4. ユーザー、デバイス、ネットワークのコンテキストに基づいたポリシーを作成します15

Cloudflare | Zero Trustアーキテクチャへのロードマップ

アプリケーションへのZero Trustポリシーの適用（続き）

手順

セキュアWebゲートウェイとシングルサインオン
もう1つの方法は、既存のシングルサインオンプロバイダーを使用
して、SaaSアプリケーションにアクセスできるユーザーとできないユーザーを制御することです。そして、専用のIPアドレスを持つセキュア
Webゲートウェイを使用することで、トラフィック検査を行った管理対象機器のユーザーだけがSaaSアプリケーションにアクセスできるよ
うにすることができます。

1. SaaSアプリケーションをSSOプロバイダーに追加します
2. どのユーザーに権限を与えるか、ポリシーを作成します
3. セキュアWebゲートウェイインスタンスのIPアドレスを、SaaSア
プリケーションのIP許可リストに追加します（ほとんどのSaaSア
プリケーションは、基本セキュリティ設定でIP許可リストをサポー
トしています）4. SaaSアプリケーションにアクセスできるユーザーを制御するセキュアWebゲートウェイポリシーを作成します

レイヤー7攻撃（DDoS、インジェクション、ボットなど）からアプリケーションを保護する
作業労力のレベル
関与するチーム- 小規模な作業労力••

セキュリティチーム
アプリケーション開発チーム

製品名

Akamai、AWS、Azure、Cloudflare、GCP

まとめ

セルフホスト型アプリケーションは、DDoS、コードインジェクション、ボットなどを含むレイヤー7攻撃を受けやすいものです。セキュリティ
チームは、プライベートおよびパブリックアドレス可能なすべてのセル
フホスト型アプリケーションの前に、Webアプリケーションファイア
ウォールとDDoS攻撃対策を配備する必要があります。

手順

1. 任意のパブリックアプリケーションの権威DNSレコードを追加します
2. WebアプリケーションファイアウォールとDDoS防御を有効にします16Cloudflare | Zero Trustアーキテクチャへのロードマップ

HTTPSおよびDNSSECを適用する
作業労力のレベル
関与するチーム- 小規模な作業労力••

セキュリティチーム
アプリケーション開発チーム

製品名

Akamai、AWS、Azure、Cloudflare、GCP

まとめ

セルフホスト型のWebアプリケーションは、HTTPSとDNSSECを利用する必要があります。これにより、パケットスニッフィングやドメインハ
イジャックの可能性を防ぐことができます。

手順

1. 任意のパブリックアプリケーションの権威DNSレコードを追加します
2. HTTPSをstrictに設定し、DNSSECを有効にします17Cloudflare | Zero Trustアーキテクチャへのロードマップ

データ損失防止およびロギング

ここまででアーキテクチャのZero Trust要素をすべて確立したら、アーキテクチャは、ネットワーク内で起きていることに関する大量のデータを生成するようになります。この時点で、データ損失防止およびロギングを導入する必要があります。これらの一連のプロセスとツールは、機密データを企業内部に保持し、データ漏洩の可能性がある場合は注意を与えることに重点を置いています。組織はまず、機密データがどこに存在するかを把握する必要があります。そして、機密データへのアクセスや流出をブロックするためのZero Trust制御を確立することができます。
機密性の高いアプリケーションのトラフィックを記録・レビューするプロセスを確立する
作業労力のレベル
関与するチーム

製品名- 中規模の作業労力•

セキュリティチーム

セキュアWebゲートウェイ（SWG）：Cisco Umbrella、Cloudflare
Gateway、Netskope次世代SWG、Zscaler Internet Access (ZIA)
セキュリティインシデントおよびイベント監視（SIEM）：
DataDog、Splunk、SolarWinds

まとめ

セキュアWebゲートウェイソリューションは、ユーザーのトラフィック
ログをSIEMツールに渡す機能を備えています。セキュリティチームは、機密性の高いアプリケーション宛てのトラフィックログを定期的に確認する必要があります。SIEMでは、異常なトラフィックや悪意のあるトラフィックに対する特定のアラートを設定し、時間をかけてチューニング
することが可能です。

手順

1. 機密性が高いアプリケーションに向けられたすべてのユーザートラ
フィックが、SWGを使用してプロキシされていることを確認します
2. SWGおよびSIEM間のログのプッシュ/プル機能を有効化します
3. セキュリティチームがトラフィックログを確認する間隔を設定します
4. 時間の経過に伴う発見をもとにSIEMでアラートを設定します

機密性の高いデータと、それが存在する場所を定義する
作業労力のレベル
関与するチーム
製品名- 中規模の作業労力••

セキュリティチーム
コンプライアンス／法務関連チーム

セキュリティインシデントおよびイベント監視（SIEM）：
DataDog、Splunk、SolarWinds

18

Cloudflare | Zero Trustアーキテクチャへのロードマップ

機密性の高いデータと、それが存在する場所を定義する（続き）

まとめ

手順

機密情報は業種によって大きく異なります。技術系企業はソースコー
ドの保護を懸念し、医療系企業はHIPAAコンプライアンスに大きな関心を寄せています。自社にとって機密データとは何か、それはどこに存在するかを明確にすることが重要です。
機密データの正確な定義とインベントリは、データ損失防止ツールの導入に役立ちます。

1. SIEMツールまたはセキュアWebゲートウェイで直接トラフィックロ
グを確認し、対象となるアプリケーションとデータストアを特定します
2. 既存の機密データのインベントリを作成します

アプリケーションからの機密データの流出を防止する
作業労力のレベル
関与するチーム- 大規模な作業労力•••

セキュリティチーム
ITチーム
コンプライアンス／法務関連チーム

製品名

In-line Data Loss Prevention (DLP)：Cisco Umbrella、 Cloudflare
Gateway、 Netskope Next Gen SWG、 Zscaler Internet Access (ZIA)

まとめ

インラインDLPソリューションは、ユーザーのトラフィックやファイルのアップロード/ダウンロードを検査し、機密データを検出します。機
密データは、既知の事前定義されたリスト（PII、SSN、クレジットカー
ドなど）または特定のパターンを、管理者が手動で設定できます。DLP
制御は、機密性の高いアプリケーションに対して有効にする必要があり、すべてのユーザートラフィックに対して拡張できます。

手順

1. DLPプロバイダーからクライアントソフトウェアをインストールします
2. 接続性を妨げる既存のVPNや他のツールがないことを確認します
3. TLS復号化が有効で、各ユーザーのマシンにルート証明書が存在することを確認します
4. DLP制御を有効にします
5. DLPブロックイベントを監視し、それが有効か誤検知かを検証します19Cloudflare | Zero Trustアーキテクチャへのロードマップ

SaaSツールの設定ミスや公に共有されたデータの特定作業労力のレベル
関与するチーム- 小規模な作業労力•

セキュリティチーム

製品名

APIベースのクラウドアクセスセキュリティブローカー（CASB）：
Cloudflare CASB 、DoControl、Netskope、Zscaler CSPM

まとめ

CASBは、主要なSaaSアプリケーションとAPI連携で統合します。そしてCASBは、SaaSアプリケーションの既知のセキュリティ設定ミスや、一般に共有されているデータをスキャンします。セキュリティチーム
は、CASBの発見をレビューするために定期的なスケジュールを確立する必要があります。

手順

1. 各SaaSアプリケーションを、プロバイダーのAPI統合手順で接続します
2. 各SaaSアプリケーションのスキャンを実行します
3. スキャン結果を確認し、各SaaSアプリケーションの適切な修復を開始します

ログレビューおよびポリシーの更新と緩和のためのセキュリティオペレーションセンター（SOC）の設立- 中規模の作業労力

作業労力のレベル
関与するチーム•

セキュリティチーム

製品名

なし

まとめ

SOCは、Zero Trustのフレームワークにおけるセキュリティチーム内の重要な機能です。それによってログ情報やセキュリティアラートを確認し、すべてのコアセキュリティ製品でZero Trustポリシーの調整に重点を置く必要があります。

手順

1. SIEMまたはセキュリティ製品に直接記録されたログを確認します
2. アラートまたは異常なアクティビティを特定します
3. 調査結果をもとに、各ツールのZero Trustポリシーを更新します20

Cloudflare | Zero Trustアーキテクチャへのロードマップ

既知の脅威要因に関する最新情報の入手
作業労力のレベル
関与するチーム- 小規模な作業労力•

セキュリティチーム

製品名

脅威インテリジェンスプロバイダー：Cloudflare Radar、CISA、
OWASP

まとめ

複数のプロバイダーが、既知の脅威要因や悪意のあるWebサイトのリストを作成することに注力しています。これらの脅威フィードはセキュアWebゲートウェイに自動的にロードされ、ユーザーを攻撃から保護することができます。

手順

1. 脅威フィードをセキュアWebゲートウェイに接続します
2. DNSとHTTPのフィルタリングで脅威からの保護を有効にします21Cloudflare | Zero Trustアーキテクチャへのロードマップ

定常状態

組織の他のすべての要素についてZero Trustアーキテクチャを構築した後、組織をZero Trustの定常状態に移行し、アーキテクチャの一貫性を確保するために一連のアクションを実行することができます。
DevOpsアプローチを採用して、すべての新しいリソースに対して一貫したポリシーを適用する
作業労力のレベル
関与するチーム- 大規模な作業労力••

セキュリティチーム
アプリケーション開発チーム

製品名

インフラ自動化：Ansible、Puppet、Terraform

まとめ

インフラ自動化ツールにより、開発者はアプリケーション開発パイプラインの一部として、Zero Trustセキュリティを自動的に導入できます。Zero
Trustリバースプロキシによる保護が適用されたアプリケーションを展開した場合に、起動する内部テストを確立します。

手順

1. 新規アプリケーションの標準ポリシーを定義します
2. アプリケーションの展開プロセスに、Zero Trustリバースプロキシによる保護を必要とするテストを追加します

オンランプリソースのオートスケーリングの実装
作業労力のレベル
関与するチーム
製品名- 大規模な作業労力••

セキュリティチーム
アプリケーション開発チーム

ロードバランサー：Akamai、Cloudflare

インフラ自動化：Ansible、Puppet、Terraform22

Cloudflare | Zero Trustアーキテクチャへのロードマップ

オンランプリソースのオートスケーリングの実装（続き）

まとめ

手順

ロードバランサーは、個々のアプリケーションインフラが過負荷にならな
いようにするための効果的なツールです。また、1台のアプリケーション
サーバーに障害が発生した場合にも、冗長性を確保することができます。

インフラ自動化ツールを使用すると、特定のトラフィックしきい値を超えた場合に新しいリソースをスピンアップすることができます。
1. Zero Trustリバースプロキシアプリケーションコネクタの前に、ロードバランサーを設定します
2. トラフィック量やユーザーの地理的位置に基づいて、負荷分散ルー
ルを有効にします
3. 特定のアプリケーションに十分な負荷が発生した場合に、新しい仮想マシンをプロビジョニングするインフラ自動化ポリシーを実装します

23

24

Cloudflare | Zero Trustアーキテクチャへのロードマップ

実装タイムライン例

Zero Trustアーキテクチャの導入はすべてユニークですが、ほとんどのプロジェクトが従う共通の手
順があります。これは、Zero Trustアーキテクチャの実装に着手する企業に推奨されるタイムラインです。
タイムライン
フェーズ1

目的グローバルDNSフィルタリングの導入
インバウンドメールの監視とフィッシング攻撃の排除
SaaSツールの設定ミスや公に共有されたデータの特定

フェーズ2

コーポレートアイデンティティの確立

すべてのアプリケーションに基本的なMFAを適用

HTTPSおよびDNSSECを適用する
SSLの背後にある脅威をブロック
または隔離パブリックアドレス可能なアプリ
へのZTポリシーの適用
レイヤー7攻撃からアプリケーションを保護
アプリ配信のためにインターネットに開放されているすべてのインバウンドポートを閉じる

フェーズ 3すべての企業内アプリケーションのインベントリ作成
SaaSアプリケーションへのZTポリシー
の適用

関連製品

Cisco Umbrella DNS、Cloudflare Gateway、DNSFilter、
Zscaler Shift
クラウドメールセキュリティ：Cloudflare Area 1 Email
Security、Mimecast、TitanHQ

ブラウザ分離：Cloudflareブラウザ分離、Zscaler Cloud
ブラウザ分離Cloudflare CASB、DoControl、Netskope、Zscaler CSPM
Microsoft Azure AD、Okta、Ping Identity PingOne、
OneLogin
IDプロバイダー：Microsoft Azure AD、Okta、Ping Identity PingOne、OneLogin

アプリケーションリバースプロキシ：
Microsoft Azure ADアプリプロキシ、Akamai EAA、
Cloudflare Access、Netskope Private Access、
Zscaler Private Access (ZPA)
Akamai、AWS、Azure、Cloudflare、GCP

TLSの復号化：Cloudflare Gateway、Netskope次世代
SWG、Zscaler Internet Access (ZIA)

ブラウザ分離：Cloudflareブラウザ分離、Zscaler Cloud
ブラウザ分離Zero Trustリバースプロキシ：Azureアプリプロキシ、
Cloudflare Access、Netskope Private Access、
Zscaler Private Access (ZPA)
Akamai、AWS、Azure、Cloudflare、GCP

Akamai EAA、Cloudflare Access、Netskope、
Zscaler Private Access (ZPA)
Shadow IT Discoveryを備えたセキュアWebゲートウェ
イとCASB：Cloudflare Gateway、Microsoft Defenderfor Cloud Apps、Netskope次世代SWG、Zscaler Internet
Access (ZIA)
Zero Trustネットワークアクセス（ZTNA）：Cloudflare
Access、Netskope Private Access、Zscaler Internet
Access (ZIA)

CASB：Cloudflare CASB 、Netskope CASB、Zscaler CASB

25

Cloudflare | Zero Trustアーキテクチャへのロードマップ

ユーザーのネットワークアクセスのセグメント化

Zero Trustネットワークアクセス（ZTNA）：
Cloudflare Zero Trust（AccessとGatewayを併用）、Netskope Private Access、Zscaler Private Access (ZPA)

MDM/UEMの導入による企業デバイスの制御

Mac：Jamf、Kandji Windows：Microsoft Intune

重要でプライベートアドレス可能な
アプリケーションのためのZTNA

機密性の高いデータと、それがどこにあるのかを定義する

DataDog、Splunk、 SolarWinds

ハードウェアベースの認証トークンの送信

ハードキー：Yubico

ハードウェアトークンベースのMFAを適用

ハードキー：Yubico

ログレビュー、ポリシーの更新・緩和を行うSOCの確立

該当なし

既知の脅威要因に関する最新情報の入手
フェーズ4

Cloudflare Access、Netskope Private Access、
Zscaler Internet Access (ZIA)

すべてのアプリケーションへのZTポリシーの適用とネットワークアクセス

エンドポイント保護の導入

企業内のすべてのデバイス、API、サービスのインベントリ作成
支店間接続にブロードバンドインターネットを利用する
機密性の高いアプリケーションにおける従業員のアクティビティを記録・レビューするプロセスの確立
アプリケーションからの機密データの流出を防止する（例：PII、クレジットカード、SSN、その他)

DevOpsアプローチを採用して、すべての新しいリソースにポリシーを適用する

オンランプリソースのオートスケーリングの実装

Cloudflare Radar、CISA、OWASPCloudflare Access、Netskope Private Access、
Zscaler Internet Access (ZIA)

VMWare Carbon Black、Crowdstrike、SentinelOne、Windows Defender
デバイスのインベントリ：VMWare Carbon Black、
Crowdstrike、 SentinelOne、 Windows Defender、
Oomnitza

API/サービスのインベントリ：Cloudflareアプリケーショ
ンコネクタ、Zscaler Private Access (ZPA)
Cloudflare Magic WAN、Cato Networks、
Aryaka FlexCore

セキュアWebゲートウェイ（SWG）：Cisco Umbrella、
Cloudflare Gateway、Netskope次世代SWG、
Zscaler Internet Access (ZIA)

セキュリティインシデントおよびイベント監視（SIEM）：
DataDog、Splunk、SolarWinds
Cisco Umbrella、Cloudflare Gateway、Netskope次世代
SWG、Zscaler Internet Access (ZIA)
Ansible、Puppet、Terraform

ロードバランサー：Akamai、Cloudflare

インフラ自動化：Ansible、Puppet、Terraform© 2022 Cloudflare Inc.無断転載を禁じます。
Cloudflareロゴは、Cloudflareの商標です。
その他、記載されている企業名、製品名は、各社の商標または登録商標である場合があります。

03-4510-1893 | enterprise@cloudflare.com | www.cloudflare.com

REV:BDES-3584.2022AUG09