ゼロトラストが重要な理由｜VPNの問題点やZTNA導入のメリットについて解説

ZTNAはテレワークのセキュリティを向上させ、ランサムウェアから企業やデータを保護します。

（出典：ソフォスホワイトペーパー　2022年2月「ZTNAが重要な理由：セキュリティネットワークの将来」）

この記事の目次

1 ZTNAとは何か？
2 VPNの重大な欠陥からの脱却
3 ZTNAでランサムウェアを打開
4 今後の展望

ZTNAとは何か？

ZTNA（Zero Trust Network Access）は、「何も信頼せず、すべてを検証する」というゼロトラストの原則に基づいて、提供されるITセキュリティソリューションです。

特定の企業アプリケーションとデータへのアクセスのみを許可するために、IDとセキュリティ状態を常に評価・検証します。ユーザーは、ポリシーによって明示的に定義されたアプリケーションやデータのみにアクセスできるため、ラテラルムーブメントやそれに伴うリスクを削減することができます。

ZTNAの導入は、リモートユーザーのセキュリティを向上させ、テレワークでのセキュリティを大幅にアップグレードし、マルウェアやランサムウェアの攻撃から企業のネットワークを保護するための重要な役割を果たしています。

VPNの重大な欠陥からの脱却

VPNには、テレワークにとって重大な欠点が3つあります。

第一に、VPNは、比較的多数のリモート従業員を抱える大企業の要求を満たすようには設計されていません。

VPNは拡張性に優れていません。VPNのユーザー使用量は、あらかじめ決まった特定のリモートユーザーの使用量だけを処理するように設計されていることが多く、動的にスケールアップまたはスケールダウンすることはできません。たとえば、ユーザー使用量が大きすぎる場合は、一部のユーザーは、他のユーザーが切断されるまでVPNにアクセスできなくなります。

第二に、VPNクライアントソフトウェアは、攻撃者の標的になる可能性があります。

アメリカ国家安全保障局は、VPNの脆弱性があることを指摘しました。 2019年には、カナダサイバーセキュリティセンターが、3つの一般的なVPN製品が悪意のあるアクティビティを検出するための複数の感染の痕跡を持っていたことを発表しました。これらには、認証情報のリセット、および脆弱な独自のSSL/TLS VPNプロトコルが含まれています。

最後に、VPNユーザーは、企業ファイアウォールの背後にあるワークステーションであるかのように、すべての権限を持っています。

リモートアクセスツールの脅威を減らすには、攻撃者のネットワーク上での移動を制限する必要があります。例えば、ネットワークに接続する際には、ユーザー、デバイス、ソフトウェアを、ネットワークの特定のマイクロセグメントでのみ認証するよう要求します。これにより攻撃者がアクセスに成功したとしても、移動は制限されます。または、ネットワーク上のすべてのユーザーの権限を大幅に制限します。攻撃者は制限された権限のためにネットワークを参照することができなければ、水平移動することはできません。

ZTNAは、リモートユーザーを企業のネットワークに接続する従来のアプローチである問題のあるVPNを置き換えながら、ゼロトラストの原則を実現します。ZTNAソリューションは、ランサムウェアやその他のネットワーク侵入攻撃の一般的な攻撃手法を排除します。ZTNAユーザーはもはや「ネットワーク上」ではなく、企業のネットワークのマイクロセグメント上に存在しているため、VPNを介して足がかりとなる可能性のある脅威は、ZTNAでは行く場所がありません。

ZTNAでランサムウェアを打開

Vanson Bourne社が世界的に実施した IT専門家を対象とした最近の調査では、回答者の20%がすでにゼロトラストアプローチを実施していると述べ、他の41%はゼロトラストの導入をすでに開始し、2022年の年頭までには導入を完了する予定であると述べています。さらに別の20%は、2023年の初頭までには完了する予定だと回答しています。

また、ランサムウェアの被害者は、ZTNAのアプローチに非常に精通しています。これは、今後の攻撃を防止したいという願望からくるものだと考えられます。前年にランサムウェア攻撃を受けた組織の 4分の1（25％）は、すでにゼロトラストアプローチを採用しています。そして、攻撃を受けて、身代金を支払った組織では 40%が採用しています。それに対して、攻撃を受けたことがない組織でのZTNAの採用は6分の1（17%）です。

今後の展望

多くの企業が、今後もテレワークを継続することを計画しています。「企業がリモートワーカーを長期計画に組み込み始めているので、セキュリティが優先事項になってきています。しかし、多くの企業は、従来のセキュリティアプローチがクラウドネイティブのリモートワーカーには適していないことに気づき始めています」と Gartner社は述べています。

また、Forrester社もこれに同意しており、ゼロトラストは物理的なネットワークではなくリソースを保護するものだと考えています。Forrester社は、「簡単に言えば、ゼロトラストモデルは、さまざまな種類の認証やアクセス制御から、機密データストア、アプリケーション、システム、およびネットワークに関する状況に合わせた制御へと焦点を移します」と述べています。

「これらの制御は、IDを活用し、ユーザーのコミッション/デコミッションを行い、定義された役割に基づいてアクセスを仲介します。」

将来がゼロトラスである場合、すべてはネットワーク上の誰が、何に、どのようにアクセスできるかを制御することから始まります。これが ZTNAの大切なことであり、サイバーセキュリティが将来にとって不可欠であるかの理由です。