また、VPNへ接続した端末が広い社内ネットワークへ到達できる設計になっていると、認証情報の窃取や端末感染が発生した際に、内部探索や横展開を許す原因になります。

SASE型

SASEでは、利用者を近いSASE拠点へ接続し、そこで本人、端末、接続先、リスクなどを確認します。

社員・支店・委託先
        │
        ▼
┌──────── SASE基盤 ────────┐
│ ID・MFA確認                  │
│ 端末状態確認                 │
│ Web通信検査                  │
│ SaaS利用制御                 │
│ データ持ち出し制御           │
│ アプリ単位のアクセス制御     │
└──────────┬─────────────┘
           │
     ┌─────┼─────┐
     ▼     ▼     ▼
    AWS   SaaS  社内システム

重要なのは、社内ネットワークに接続させることではありません。

誰が、どの端末から、どのアプリケーションへ、どの条件で接続できるかを制御すること

これがSASEとゼロトラストの中心です。

NISTのゼロトラストアーキテクチャも、静的なネットワーク境界から、ユーザー、端末、資産、リソースを中心とした防御へ移行する考え方を示しています。

SASEを構成する主な機能

SD-WAN

SD-WANは、拠点、データセンター、クラウド間の通信経路をソフトウェアで制御する仕組みです。

例えば、次のように通信を振り分けます。