ZTNAとは

ZTNAは、社内・社外といったネットワークの境界を問わず、すべてのアクセスを信頼せずに、アクセスの都度、厳格な認証と認可を行うセキュリティモデルのことです。

正式名称をZero Trust Network Access（ゼロトラスト・ネットワーク・アクセス）と呼び、従来の境界防御型セキュリティ（境界の内側は安全であるという考え方）の限界を克服するために提唱されました。

場所、デバイス、ユーザーのアイデンティティを動的に検証し、特定のアプリケーションやリソースに対して必要最低限のアクセス権限のみを付与する仕組みを指します。

ZTNAの基本原則と背景

ZTNAは、信頼を「ゼロ（皆無）」とみなすゼロトラストの概念をネットワークアクセスに適用したものです。DXの進展やテレワークの普及により、社外からクラウドサービスや社内システムへアクセスする機会が増大したことで、従来の境界防御では守りきれない脅威に対応するために誕生しました。

1. 境界防御からの脱却

従来のVPN（仮想専用線）などは、一度認証を通ればネットワーク全体へのアクセスを許可する傾向がありました。ZTNAでは、ネットワークへの接続ではなく、特定の「アプリケーションへの接続」に焦点を当てます。

2. アイデンティティ中心の制御

IPアドレスなどの場所に基づく情報ではなく、ユーザーのアイデンティティ、デバイスの状態、時間帯、行動パターンなどのコンテキスト（文脈）を用いてアクセスを判断します。

ZTNAの動作メカニズム

ZTNAは一般的に、利用者とリソースの間に介在するブローカー（中継役）を通じて機能します。

1. 資産の隠蔽（ダークネット化）

ZTNAによって保護されたアプリケーションは、インターネット上に公開されません。認可されたユーザー以外からは存在自体が見えない状態となり、攻撃者が脆弱性を探したり攻撃を仕掛けたりすることを困難にします。

2. 最小権限の原則

特定のユーザーには、業務に必要な特定のアプリケーションのみへのアクセスを許可します。これにより、万が一アカウントが侵害されたとしても、ネットワーク内での横移動（ラテラルムーブメント）を防止し、被害を局所化できます。

ZTNAの主な実装方式

ZTNAには、主に以下の2つのアーキテクチャが存在します。

エージェント型（Endpoint-initiated ZTNA）

デバイスに専用のソフトウェア（エージェント）をインストールする方式です。エージェントがデバイスの健全性を確認した上で、ZTNAコントローラーと連携して暗号化されたトンネルを構築します。

サービス型（Service-initiated ZTNA）

ブラウザなどを使用して接続する方式で、主にクラウド上のプロキシ（中継サーバー）を介してリソースへアクセスします。エージェントの導入が困難な私的デバイス（BYOD）やパートナー企業からのアクセスに適しています。

技術的な評価とセキュリティ指標

ZTNAの導入効果を定量的に評価する際、アクセスの信頼度を算出するスコアリングアルゴリズムが用いられることがあります。信頼度 S は、認証の強さ A 、デバイスの健全性D、およびリスク行動指数Rの関数として以下のようにモデル化されます。

このスコア S があらかじめ設定された閾値を超えた場合にのみ、リソースへのアクセスが認可されます。この評価は静的なものではなく、セッション中も継続的に行われます。

ZTNA導入のメリットと課題

1. メリット

• セキュリティの劇的向上: 攻撃対象領域を最小化し、不正アクセスや内部不正のリスクを低減します。
• ユーザー体験の改善: VPNのような複雑な接続操作を意識せず、シームレスに各アプリケーションへアクセスできるようになります。
• クラウドとの親和性: 場所を問わない接続環境を提供し、マルチクラウド環境の管理を簡素化します。

2. 運用の留意点

• ポリシー管理の複雑化: アプリケーションごとに詳細なアクセス権限を設定する必要があるため、導入初期の設計負荷が高くなる傾向があります。
• 既存システムとの互換性: レガシーなプロトコルを使用している一部の社内アプリケーションでは、ZTNAの適用に工夫が必要な場合があります。

ZTNAは、現代のサイバー脅威環境において、企業がデータとリソースを保護するための最も強力なフレームワークの一つとして、SASE（Secure Access Service Edge）の主要なコンポーネントにも位置付けられています。

関連用語

お問い合わせ

システム開発・アプリ開発に関するご相談がございましたら、APPSWINGBYまでお気軽にご連絡ください。