〇 SWG（Secure Web Gateway）と並んで、SASE（Secure Access Service Edge）で重要な技術が2つある。クラウドサービスの利用状況を可視化するCASB（Cloud Access Security Broker）と、利用者や端末の状態を基にアクセスを制御するZTNA（Zero Trust Network Access）だ。順に動作を見ていこう。
CASBはクラウドサービスの利用状況を可視化・制御するサービスだ。SWGと同様に、端末とクラウドサービス間のデータのやりとりを監視する。
利用状況を可視化するCASB。
CASBの役割は主に3つある。まずはクラウドサービスの利用状況の可視化だ。どの利用者がどのクラウドサービスをどれくらい利用しているのかを把握できる。従業員が勝手に利用しているクラウドサービス、いわゆる「野良クラウド」の検出にも役立つ。
2つ目はアクセス制御である。野良クラウドへの接続を遮断し、利用を認めているクラウドサービスだけに利用を制限できる。
3つ目はデータ保護。DLP（Data Loss Prevention）と呼ぶことも多い。利用企業が設定したポリシーに基づき、クラウドサービスのデータにアクセスできる従業員を限定したり、クラウドサービスから別の場所にデータを移すことを禁止したりできる。クラウドサービスのデータだけでなく、エージェントを導入した端末のデータを保護する機能を備えるサービスもある。
インライン型とAPI型を併用。
CASBの実装方法はいくつかあるが、SASEにおけるCASBでは主に2つの方式が使われる。クラウドサービス宛ての通信をすべて検査する「インライン型」と、クラウドサービスからAPI（Application Programming Interface）経由で利用状況を取得する「API」型である。
シスコシステムズのSASEにおけるCASBは、「クラウドサービスの利用状況の可視化」「クラウドサービスに保管されているデータの可視化」といった用途ごとに、インライン型とAPI型を使い分ける。
インライン型では、利用企業が利用を認めているかどうかにかかわらず、さまざまなクラウドサービス宛ての通信を識別・可視化する。野良クラウドの検出や制御などに役立つ。
一方、利用企業が契約しているクラウドサービスの状況を詳しく可視化する用途には、API型を主に活用している。API型のCASBは、クラウドサービスからAPIを介して利用状況の情報を取得する。
シスコシステムズのセキュリティ事業 シニアSEマネージャーの中村光宏氏は「CASBの導入前に機密ファイルがクラウドサービスにアップロードされていたといった状態を見つけ出せる」と説明する。
自社拠点に安全につなぐZTNA。
利用者や端末の状態を検査し、状態に応じてクラウドサービスやオンプレミスの業務システムなどに対するアクセスの可否を定める。これがZTNAの役割だ。
ZTNAで検査する内容は多岐にわたる。例えば「自社で購入した端末か」「ZTNAのエージェントを端末に導入しているか」「セキュリティー更新プログラム（パッチ）を適用しているか」「安全な場所から接続しているか」などだ。これらの情報を総合して信頼できる利用者のアクセスか判断する。
検査で得た利用者や端末の状態と、事前に設定したセキュリティーポリシーを照合し、アクセスできる対象をその都度決める。例えば正規の端末からの通信でも、その端末にエージェントが入っていないときは業務システムへのアクセスを制限する。
エージェントで状態の情報を収集。
インターネットイニシアティブ（IIJ）の「IIJフレックスモビリティサービス/ZTNA」を例に動作を確認してみよう。IIJのサービスでは、まずエージェントを導入した端末と、IIJ側のサービス網のゲートウエイがVPN（仮想私設網）トンネルを自動で設定する。
エージェントはさらに、端末の状態の情報を収集する。「無線LANアクセスポイント（AP）のSSID（Service Set IDentifier）などの情報を基にした利用場所、サービスを利用しようとする時間、マルウエア対策ソフトの有無、パッチの適用状況などを調べる」（IIJ ネットワーク本部 副本部長の吉川 義弘氏）。
これらの状態があらかじめ設定したセキュリティーポリシーをすべて満たしていれば通信を許可し、パケットをカプセル化してサービス網のゲートウエイに向けて送信。受信したゲートウエイはカプセルを取り除き、パケットの宛先などを基に利用企業の拠点やクラウドサービスへと送信する。
IIJフレックスモビリティサービス/ZTNAの場合、サービス網と利用企業の拠点との接続にはインターネットVPNや専用線を使う。他社のサービスでは「コネクター」などと呼ばれるソフトをオンプレミス拠点のサーバーに導入し、サーバーとSASEの間でVPNを自動設定する形態がある。
