Remote Browser Isolation （RBI）とは何かRemote Browser Isolation RBIはどのように機能するのか

Remote browser isolation RBI）Remote browser isolation 、ユーザーのエンドポイントではなく、使い捨てのクラウドコンテナ内でWebコンテンツを実行することで、フィッシングページ、ゼロデイ攻撃、ドライブバイダウンロードによる悪意のあるコードが、企業のデバイスやネットワークに到達することを確実に防ぎます。ゼロトラスト戦略の一環としてブラウザ分離技術を評価しているセキュリティアーキテクトにとって、RBIは根本的に異なるセキュリティモデルを提供します。すなわち、Webトラフィック内のあらゆる脅威を検知しようとするのではなく、すべてのWebコンテンツを信頼できないものと見なし、実行をエンドポイントから物理的に分離するものです。ブラウザがあらゆる企業において主要なワークスペース——そして主要な攻撃対象領域——となっている現在、このアプローチの重要性はますます高まっています。

Remote Browser Isolationとは

Remote browser isolation ユーザーのウェブ閲覧活動を、ローカルデバイスや企業ネットワークから物理的に分離するサイバーセキュリティRemote browser isolation 。ユーザーがウェブサイトにアクセスすると、そのページは、ユーザーのノートパソコンやワークステーション上のブラウザ内ではなく、安全で一時的なクラウドコンテナ内で読み込まれ、実行されます。 ユーザーには、ページの安全な視覚的表現が表示され、それに対して操作を行うことができます。HTML、CSS、JavaScript、埋め込みオブジェクトなど、すべての基盤となるコードはリモート環境内に閉じ込められたままです。セッションが終了すると、コンテナは、その間に遭遇した可能性のある悪意のあるペイロードとともに破棄されます。クラウドホスト型サービスとして提供される場合、この技術は「remote browser isolation」と呼ばれます。

実際のプロセスは次のようなものです。あるマーケティング部長が、業界レポートと称するリンクが記載されたメールを受け取ります。彼女はそれをクリックします。そのリンクは、彼女のノートパソコンのChromeで直接読み込まれるのではなく、組織の secure web gatewayを経由してルーティングされ、分類されていないURLはRBIセッションへと誘導されます。使い捨てのクラウドコンテナが起動し、ページを読み込んで表示します。マーケティングディレクターには、スクロールやクリック、閲覧が可能な完全なインタラクティブ版ページが表示されますが、HTML、JavaScript、実行可能コンテンツは一切彼女のマシンに到達しません。もしリンクがゼロデイエクスプロイトを仕込まれたフィッシングページにつながっていたとしても、悪意のあるコードはコンテナ内で実行され、セッション終了時にコンテナは破棄されます。 彼女のエンドポイントは安全な状態を保ちます。データの流出も発生しません。攻撃は始まる前に封じ込められているため、SOCがインシデントの優先順位付けを行う必要すら生じない可能性があります。

このモデルは、従来の検知型セキュリティとは根本的に異なります。既知の脅威パターンやシグネチャに依存するウイルス対策エンジンやURLレピュテーションフィルターとは異なり、ブラウザの隔離機能は「ゼロトラスト」アプローチを採用しており、レピュテーションにかかわらず、すべてのWebコンテンツを潜在的に有害なものとして扱います。この違いが重要なのは、従来のツールは構造上、まだシグネチャが存在しない「ゼロアワー攻撃」を検知できないからです。

今、Remote Browser Isolation 理由

ブラウザはもはや、単にインターネットへの窓口というだけのものではありません。それは、電子メール、SaaSアプリケーション、CRMシステム、金融プラットフォーム、AIツールなどが集約された、企業のワークスペースなのです。こうした機密性の高い活動が集中していることから、ブラウザは極めて魅力的な標的となっています。

2024年に調査されたセキュリティインシデントのほぼ半数（44％）は、フィッシング、URLリダイレクトの悪用、マルウェアのダウンロードなど、従業員のブラウザを通じて開始または助長された悪意のある活動が関与していた（Unit 42『2025年グローバル・インシデント・レスポンス・レポート』）。 一方、Menlo Securityの「2025年ブラウザセキュリティ状況レポート」によると、過去1年間でブラウザを標的としたフィッシング攻撃が140％急増し、シグネチャデータベースにまだ登録されていない最新の攻撃である「ゼロアワー・フィッシング」インシデントは130％増加したことが明らかになった。

その経済的影響は甚大である。IBMの「データ侵害のコストに関するレポート」によると、2024年のデータ侵害による世界平均コストは488万ドルに達した。認証情報の漏洩を悪用した攻撃の場合、その発見と封じ込めに平均292日を要した。こうした認証情報窃取の連鎖の多くはブラウザから始まる。ユーザーが巧妙に作られたフィッシングページにアクセスし、認証情報を入力すると、攻撃者は封じ込められるまでの間、約10か月間にわたりシステム内に潜伏し続けることになる。

具体的なシナリオを考えてみましょう。ある中規模銀行の金融アナリストが、銀行の文書管理システムから送信されたように見えるブラウザ通知を受け取ります。 そのリンク先は、URLのレピュテーションフィルターを回避するために正規のクラウドプラットフォーム上でホストされた、ログインページとピクセル単位で完全に同一の偽サイトへと誘導されます。ブラウザの隔離機能がない場合、アナリストは認証情報を入力してしまい、攻撃者は内部システムへのアクセス権を取得してしまいます。RBIを導入していれば、フィッシングページはクラウドコンテナ内で読み込まれます。たとえアナリストが認証情報の入力を試みたとしても、未分類のドメインからの認証情報の入力をブロックしたり、フォーム送信データを完全に削除したりするようにセッションを設定できます。これにより、攻撃の連鎖は最初のリンクで断ち切られます。

NIST SP 800 46 Rev. 2 は、RBI が不可欠であるとする脅威モデルを強調しています。この文書では、テレワーク用のクライアント端末がマルウェアに感染することを前提としており、アクセスを許可する前にクライアントのセキュリティ状態を確認するネットワークアクセスソリューションを含む、多層的な制御策を推奨しています。RBI は、そもそもエンドポイントが Web コンテンツを安全に処理できるとは決して信頼しないという方針により、この前提を実践的なものとしています。

Remote Browser Isolation ：3つのレンダリング手法

すべてのRBIソリューションは、同じ中核となるアーキテクチャを共有しています。つまり、Webコンテンツはリモートの隔離された環境（通常は一時的なクラウドコンテナ）で取得・実行され、ページの安全な表現のみがユーザーのローカルブラウザに配信されます。重要な違いは、その安全な表現がどのように生成・送信されるかという点にあります。主なアプローチは3つあります。

ピクセルプッシング（ピクセルストリーミング）

このアプローチでは、リモートサーバー上でWebコンテンツをレンダリングし、そのWebページの視覚的な表現を、インタラクティブな画像や動画ストリームとしてユーザーのデバイスに送信します。これは、他人のコンピュータ上で実行されているブラウザセッションのライブ映像のようなものだと考えてください。ユーザーのデバイスは、シンクライアントとしての役割を果たします。

セキュリティ上の利点：最大限の隔離。元のWebコードやスクリプトがエンドポイントに到達することは一切ありません。サイトのコードに埋め込まれたすべての潜在的な攻撃経路は、リモートサーバー上で隔離されたままとなります。

トレードオフ：動画ストリームを継続的にエンコードして送信するには、帯域幅を大量に消費し、大規模になるとコストもかさむ。たとえ高度に最適化されていたとしても、避けられない遅延により、ユーザー体験に顕著な違いが生じる。高DPIのディスプレイでは、テキストがぼやけて見えることがあるほか、通信環境が不安定なモバイルユーザーは画質の低下を経験することになる。

最適な用途：機密性がユーザー体験よりも優先される高度なセキュリティ環境――OSINT調査、重要システムへの特権管理者アクセス、あるいは機密環境でのウェブ閲覧など。

DOMミラーリング（DOM再構築）

DOM再構築では、ウェブページが隔離された環境で読み込まれ、Document Object Model（DOM）レベルで分析された後、潜在的な脅威を取り除くために書き換えられます。コンテンツのクリーンアップが完了すると、クリーン化されたバージョンがユーザーのデバイスに送信され、エンドポイントのブラウザが独自のエンジンを使用してそれをレンダリングします。

セキュリティ上の利点：軽量かつ高速。エンドポイントでは、GPUアクセラレーションや標準的なスクロール動作を維持した、ネイティブに近いブラウジング体験が実現されます。

トレードオフ：HTML、CSS、Webフォントといった基盤となる技術自体が、攻撃の標的となり得ます。サニタイズによって悪意のあるコンテンツを除去しようとする試みは、本質的に不完全であり、新たな攻撃手法がすり抜けてしまう可能性があります。また、複雑な動的ページでは、表示が崩れたり、正しくレンダリングされなくなったりする恐れがあります。

最適な用途：パフォーマンスとユーザー体験が最も重要視され、かつ生産性を優先するために、組織が隔離レベルの若干の低下を許容できる、汎用的な企業向けブラウジング。

ネットワーク・ベクトル・レンダリング（NVR）

NVRは、ChromiumやFirefoxで使用されているグラフィックスエンジンからの描画コマンドをインターセプトし、それらを暗号化してローカルのブラウザにストリーミングします。NVRは実際のWebサイトのコードではなくベクトル描画コマンドをストリーミングするため、強力な分離境界を維持しつつ、ピクセルプッシュ方式よりも帯域幅の消費を抑えることができます。

セキュリティ上の利点：ピクセルプッシングと同様に、ウェブサイトのコードがエンドポイントに到達することはありませんが、ベクトル描画コマンドはピクセル動画フレームよりもはるかにコンパクトであるため、帯域幅の消費量が大幅に低減されます。

トレードオフ：NVRの採用範囲は狭く、特定のブラウザエンジンのサポート状況に左右される可能性がある。セキュリティとパフォーマンスの両面において、その特性は「ピクセルプッシュ」と「DOMミラーリング」の中間に位置する。

最適な導入先：帯域幅のオーバーヘッドを伴わずに、ピクセル単位の精度に近いセキュリティを必要とする組織――つまり、ネットワーク接続環境が不安定な分散型ワークフォースを抱える組織。

完全隔離と選択的隔離：適切な政策モデルの選択

ほとんどの組織にとって、すべてのブラウジングセッションを隔離する必要も、その必要性もありません。トラフィックの大部分が、よく知られた分類済みのSaaSアプリケーションに向けられている場合、完全な隔離に伴うパフォーマンス上のオーバーヘッドやコンピューティングコストを正当化するのは困難です。そこで、選択的な隔離が実用的な戦略となります。

完全隔離では、すべてのWebトラフィックがRBIを経由します。すべてのページ、すべてのセッション、すべてのユーザーが対象となります。このアプローチは、機密情報を扱う政府機関、金融取引フロア、外部データソースにアクセスする医療研究機関など、高度なセキュリティが求められる分野において有効です。セキュリティの保証は絶対的ですが、コストや遅延への影響も同様に大きくなります。

選択的隔離では、定義されたリスク閾値を超えるトラフィックに対してのみRBIが適用されます。代表的なトリガーには、次のようなものがあります：

未分類または新規登録されたドメイン。請負業者が、48時間前に登録されたドメインへのリンクをクリックした。SWGはこれを未分類としてフラグを立て、RBIが自動的にそのセッションを隔離する。

リスクの高いURLカテゴリ。「ファイル共有」、「個人用メール」、「広告ネットワーク」に分類されたサイトは隔離されますが、企業のSaaSトラフィックは直接通過します。

メールに埋め込まれたリンク。受信メール内のすべてのURLは、その信頼度にかかわらず、RBIを介して開かれるため、フィッシング攻撃の主な感染経路を無力化します。

機密性の高いユーザー層。規制対象データを扱う経営幹部、財務部門、人事部門のユーザーは、デフォルトで隔離環境下でブラウジングを行います。一般社員は、リスクの高いサイトへのアクセス時にのみこの機能を利用します。

統合の鍵となるのは、トラフィックをリアルタイムで分類・ルーティングするsecure web gateway（SWG）です。SWGのポリシーによって、どのセッションをRBIに誘導し、どのセッションを標準的な検査に通過させるかが決定されます。SWGがより広範なSSEプラットフォームの一部である場合、隔離の判断には、CASBのリスクスコア、DLPによる分類、ユーザーの身元、デバイスの状態、リアルタイムの脅威インテリジェンスなどを組み込むことができ、セキュリティと生産性のバランスをとったコンテキスト認識型ポリシーを構築できます。

RBIがゼロトラストおよびSSEアーキテクチャにどのように組み込まれるか

ブラウザ分離は、単独では機能しません。単独で導入した場合、Webベースのマルウェアやフィッシング対策には有効ですが、データの持ち出し、SaaSのシャドーIT、およびIDを悪用した攻撃に対しては脆弱性が残ります。RBIをゼロトラストアーキテクチャに統合し、補完的な制御策と組み合わせたときに、その真価が発揮されます。

CISAの「ゼロトラスト成熟度モデル v2.0（2023年）」は、従来の境界防御中心のアプローチからの転換を可能にし、組織がホストを隔離し、暗号化を徹底し、アクティビティをセグメント化し、アプリケーションやデータにより近い場所でセキュリティ対策を実施することを可能にします。RBIはこれらの原則に直接対応しており、ブラウジング環境を隔離し、コンテナとエンドポイント間の暗号化を徹底し、リスクの高いWebアクティビティを企業ネットワークから分離します。

クラウド・セキュリティ・アライアンス（CSA）が策定した2026年のブラウザセキュリティに関する技術ロードマップは、さらに一歩踏み込み、ブラウザを、最小権限アクセス制御、フィッシング対策機能を備えた多要素認証、デバイスの状態検証、適応型セッションガバナンス、remote browser isolation統合した包括的なゼロトラストアーキテクチャにおいて、第一級のポリシー施行ポイント（PEP）として位置づけています。 CSAは特に、特権セッションやリスクの高いremote browser isolation を導入し、エンドポイントの侵害と悪意のあるWebベースの脅威の両方を無力化することを推奨しています。

実際のSSEアーキテクチャにおいて、RBIは以下の機能と連携して動作します：

URLフィルタリング、脅威インテリジェンス、およびトラフィックルーティングの決定にSWGを活用します。

制裁対象および非制裁対象のSaaS利用状況を可視化するCASB。シャドーITサービスへのセッションを隔離しつつ、アップロード／ダウンロード操作をブロックするオプションを備えています。

DLPは、隔離されたセッションを流れるコンテンツを検査し、リスクのあるブラウジング中に機密データが貼り付けられたり、アップロードされたり、印刷されたりするのを防止します。

ZTNAPrivate Access 管理対象外のデバイスから社内アプリケーションにアクセスするPrivate Access 、セッションを隔離Private Access 。例えば、個人のノートPCを使用する契約社員が、コピー、貼り付け、ダウンロードが無効化された隔離されたセッションを通じて、社内イントラネットにアクセスする。

2024年のガートナーMagic Quadrant によると、2026年までに、Web、SaaS、およびプライベートアプリケーションのセキュリティ確保を目指す組織の85％が、SSEソリューションからセキュリティ機能を利用するようになる見込みです。RBIは、成熟したSSEプラットフォームに期待される機能の一つとして挙げられており、エンタープライズブラウザのセキュリティを真剣に考える組織にとって、隔離機能はもはやオプションではないことが改めて裏付けられています。

RBIソリューションの評価：セキュリティアーキテクトが優先すべき事項

RBIの実装はすべて同じというわけではありません。ソリューションを評価する際は、セキュリティ態勢、運用上の複雑さ、およびユーザーの受容度に直接影響を与える基準に焦点を当ててください。

1. レンダリング方式と隔離された天井。そのソリューションがピクセルプッシング、DOMミラーリング、NVR、あるいはハイブリッド方式のいずれを採用しているかを把握する。エンドポイントのブラウザ上で実行されるコンテンツがある場合は、それがどのようなものかベンダーに確認する。サニタイズされたJavaScriptをエンドポイントに送信するDOMミラーリング方式のソリューションと、画像フレームのみを送信するピクセルプッシング方式のソリューションでは、脅威の攻撃対象領域が異なる。

2. ユーザー体験と遅延。実際のネットワーク環境での概念実証（PoC）を依頼してください。ユーザーに、隔離されたセッションを通じて最も頻繁に利用するSaaSアプリケーション10種類を起動してもらい、ページの読み込み時間、スクロールの滑らかさ、コピー＆ペーストの動作、およびファイルのアップロード／ダウンロードのワークフローを測定します。ユーザー体験が著しく低下した場合、ユーザーによる導入は失敗に終わり、ユーザーは隔離機能を完全に回避する回避策を見つけてしまうでしょう。

3. SSEの統合の深度。アイソレーションエンジンは、ポリシー、IDコンテキスト、DLPルール、脅威インテリジェンスを、SWG、CASB、ZTNAの各コンポーネントと共有できる必要があります。もしRBIポリシーを、別のルール言語を用いた別のコンソールで管理しなければならないのであれば、それはプラットフォーム機能ではなく、単体の製品を購入していることになります。Skyhigh SecurityプラットフォームSkyhigh Security、単一のポリシーエンジン下でRBIをSWG、CASB、DLP、ZTNAと統合しており、これはセキュリティアーキテクトが求めるべき統合的なアプローチの一例です。

4. 管理対象外のデバイスのサポート。RBIの最も価値の高いユースケースの一つは、組織が管理していないデバイス（請負業者のノートPC、パートナーのデバイス、個人のタブレットなど）からの安全なアクセスを可能にすることです。このソリューションは、ユーザーがエージェントや専用ソフトウェアをインストールすることなく、標準的なブラウザを通じて接続できる、クライアントレス（エージェントレス）な導入に対応している必要があります。

5. データ制御の粒度。そのソリューションでは、ポリシーごとにコピー＆ペースト、印刷、スクリーンショットの撮影、ファイルのダウンロードを無効にできますか？ 契約業者がSalesforceにアクセスする隔離されたセッションでは、コピー＆ペーストをブロックし、ローカルへのファイルキャッシュも行われない、読み取り専用アクセスが求められます。

6. 拡張性とクラウドのフットプリント。個々の分離されたセッションは、それぞれコンピューティングリソースを消費します。プロバイダーのクラウドインフラストラクチャ、地理的な展開状況、セッションの同時実行数の上限、およびユーザー数の増加や分離されるトラフィックの割合の増加に伴い、コストがどのように変動するかについて確認してください。

7. 既存のブラウザとの互換性。最も効果的な導入方法は、独自のブラウザへの切り替えを強制するのではなく、ユーザーが現在使用しているブラウザ（Chrome、Edge、Firefox、Safari）を維持することです。「エンタープライズブラウザとRBIの比較」で解説されているように、RBIの統合型SSEソリューションを利用すれば、業務に支障をきたすような移行を強いることなく、従業員がすでに使用しているブラウザのセキュリティを確保することができます。

RBI導入におけるよくある間違い

初日からすべてを隔離する。すべてのトラフィックを完全に隔離することは、プレゼン資料上では安全に見えますが、パフォーマンスに関する不満を招き、ユーザーの信頼を損なうことになります。より良いアプローチは、まずリスクの高いカテゴリ（未分類のドメイン、メールに埋め込まれたURL、管理対象外のデバイスのセッションなど）から隔離を開始することです。ユーザーへの影響を測定し、信頼性を高めていくにつれて、隔離の対象範囲を拡大していきます。

RBIを単体製品として導入する場合。SWGと統合されていないRBIでは、インテリジェントなルーティング判断を行うことができません。DLPと統合されていないRBIでは、隔離されたセッション中にユーザーがWebフォームに機密データを入力することを防ぐことができません。CASBと統合されていないRBIでは、送信先が承認済みのクラウドストレージなのか、個人のファイル共有アカウントなのかを把握することができません。隔離機能は、悪意のあるコンテンツがエンドポイントに到達するのを防ぐという1つの問題を解決しますが、データセキュリティを確保するには、SSEスタック全体が必要です。

管理対象外のデバイスの利用事例を無視している。多くの組織は、管理対象のエンドポイント向けにRBIを導入しているものの、BYODデバイスを利用する契約社員やサードパーティのユーザーを軽視している。こうしたユーザーによるセッションは、最もリスクの高いものの一部である。NIST SP 800-46 Rev. 2では、BYODクライアントデバイスを含むテレワーク技術のすべての構成要素について、脅威モデルを通じて特定された予想される脅威に対してセキュリティ対策を講じるべきであると明示的に警告している。RBIは、デバイス管理への登録を必要とせずにこれを実現する最も実用的な方法の一つである。

アイソレーションとアイデンティティの統合に失敗している。すべてのユーザーを同一に扱う画一的なアイソレーションポリシーは、リソースの浪費につながり、リスクの低いユーザーに不満を抱かせる。アイソレーションポリシーを、アイデンティティグループ、ロールベースのアクセス制御、および適応型リスクスコアリングと連動させるべきである。企業ネットワーク上の管理対象デバイスからブラウジングを行う経営幹部には、アイソレーションが必要ないかもしれないが、個人のタブレットを使ってホテルのWi-Fiネットワークからブラウジングを行う同じ経営幹部には、自動的にアイソレーションが適用されるべきである。 Unit 42の「2025年グローバルインシデント対応レポート」によると、インシデントの70％で3つ以上の攻撃ベクトルが関与していたことが判明しています。アイデンティティ、デバイス、宛先を考慮したコンテキスト認識型ポリシーは、マルチベクトル攻撃の連鎖を断ち切るために不可欠です。