ZTNA vs VPN - サイバー神話を打ち破るには？

Vishwas Manral 著 - テクノロジスト兼クラウドネイティブセキュリティ責任者、Skyhigh Security

2022年8月18日 3 分で読めます

Zero Trust Network Access (ZTNA)とは何か、そしてVPNと比較してどうかについて、多くの誤解を耳にします。その一部は真実ですが、多くは真実からかけ離れています。私はIPsec/ADVPNやMPLSのような主要なVPNおよびセキュリティ技術に関する標準を執筆してきたため、このテクノロジーをもう少し深く掘り下げ、いくつかの誤解を解くことにしました。

その核心に迫ってみましょう — ZTNAとVPN — 両者の事実と虚構は何でしょうか？ZTNAとVPNの類似点と相違点について深く掘り下げてみましょう。

ZTNAは攻撃対象領域を大幅に削減し、ラテラルムーブメントを防ぎます。Ciscoへの攻撃で示されたように、攻撃者がラテラルムーブメントを効果的に使用すると、セキュリティチームがそれを検出することは非常に困難になり、そのためZTNAは非常に重要になります。

VPN

VPNはVirtual Private Networksの略です。VPNは、プライベートネットワークをパブリックインターネットネットワーク全体に拡張します。ネットワークは、データリンク（レイヤー2またはイーサネット）層、インターネット（レイヤー3またはIP）層、またはトランスポート（レイヤー4またはTCP）層でトンネルを介して接続できます。例えば、2つのサイト間にレイヤー2 VPNがある場合、これらのサイトはパブリックインターネットを介して同じIPサブネットを共有できます。これにより攻撃対象領域が大きくなり、サービスが脆弱になります。リモートアクセスVPNは、リモートユーザーがエンタープライズデバイスを使用してVPN経由でエンタープライズネットワークやアプリケーションに接続するVPNのユースケースの1つです。

ZTNA

Zero Trust Network Access (ZTNA)は、ユーザーがアプリケーションに接続できるようにすることで、リモートアクセスVPN向けの最小特権（ゼロトラスト）モデルを構築します。ZTNAはセキュリティブローカーを介してアプリケーションへのアクセスを提供し、ブローカーなしではアプリケーションは検出されません。ZTNAでは、ユーザーとアプリケーション間の接続はアプリケーション（レイヤー7）層で行われ、デバイス、ユーザー、およびアプリケーションのコンテキストに基づいて、ユーザーはアプリケーションにのみアクセスできます。さらに、ブローカーはアプリケーションに到達する前のすべてのトラフィックを検査し、保護することができます。

厳しい質問を投げかける：ZTNAとVPNに関する一般的な誤解

ZTNAとゼロトラストは同じですか？

いいえ。ゼロトラストは、「常に検証してから信頼する」という原則に基づいた一連のアーキテクチャ原則です。ZTNAはゼロトラストの最初のユースケースです。これは、リモートアクセスVPNのユースケースにゼロトラスト原則を適用します。ゼロトラストが「どのように」であるのに対し、ZTNAは「何を」です。現在、データアクセス、アプリケーションアクセスなど、ゼロトラストのユースケースがさらに増えています。

ZTNAはVPNよりもリモートアクセスに適していますか？

はい、理由は明らかです。ZTNAは、より優れたセキュリティ、容易なスケールアウト、スムーズなオンボーディングと管理性を提供します。リモートワークの増加に伴い、クラウドで提供されるZTNAソリューションは、より容易に拡張できます。

VPNはすぐに消滅し、他のユースケースはなくなりますか？

いいえ。VPNには多くの異なるユースケースがあります。これらには、盗聴の防止、サイト間VPN、匿名ダウンロード、その他ZTNAでは代替できないリモートアクセス以外のVPNユースケースが含まれます。VPNソリューションは通常、物理または仮想アプライアンスとして提供され、スケールアウトがより困難です。

ZTNAのセキュリティアルゴリズムはVPNよりも安全ですか？

いいえ。VPNとZTNAの両方で、同じ暗号化、鍵生成、認証アルゴリズムを使用できます。技術的な違いはありませんが、実際の実装には違いがある場合があります。

ZTNAは、VPNと同様に、主に接続性、セキュアトンネル、ネットワーク制御に関するものではないですか？

いいえ。ZTNAはVPNの代替として始まりましたが、IDに基づくネットワーク中心の制御よりもはるかに多くの機能を提供します。ZTNAは、よりデータとセキュリティに重点を置くようになっています。ZTNAを使用すると、悪意のある、または意図しないデータ漏洩を防ぐために、すべての送信ファイルにDLPポリシーを適用できます。

VPNと同様に、ZTNAも動作するためにZTNAクライアントを必要としますか？

いいえ。ZTNAはクライアントレスでサポートでき、必ずしもエージェントを必要としません。Webアプリケーションの場合、ZTNAはブラウザのネイティブ機能とプラグインを使用して、エンドユーザーに安全な接続を作成できます。

ZTNAとVPNソリューションに関して耳にした奇妙な誤解や誤った議論を考慮すると、これらのソリューションが何を達成するのかを詳しく見てみるのは良いことです。ZTNAとVPNに関する誤解を解く一助となれば幸いです！

ブログへ戻る