SASE - インターネット上のリスクからユーザーを守る

Cloudflare の Connectivity Cloud は、包括的な Secure Access Service Edge、

つまり SASE プラットフォームをホストしており、組織はこれを活用して新しい企業ネットワークを

最新の Zero Trust セキュリティ手法とクラウドベースのネットワーキングで構築できます。

多くの企業はまず、アプリケーション、

ネットワーク、ユーザーデバイスを Cloudflare に接続し、Zero Trust Network Access、

つまり ZTNA を使って、セルフホストのアプリケーションとプライベート

ネットワークへの接続を認可します。ただし、デバイスとネットワークを Cloudflare に接続すると、

パブリックインターネットアクセスの保護や、会社データの可視性と制御の向上にも役立ちます。

例を見てみましょう。すでに本社の

ネットワークと、いくつかの支店、多数のリモートユーザーデバイスを接続している企業です。

これらの方法でトラフィックを Cloudflare にオンランプすると、ユーザーの

トラフィックが Cloudflare のネットワークを流れます。

宛先がプライベートアプリケーションやネットワークの場合もありますが、

多くのトラフィックは、パブリックインターネット向けです。

Cloudflare は、SASE

プラットフォームの一部である Secure Web Gateway でこのトラフィックを検査できます。

検査できるのは DNS リクエスト、

ネットワークレベル、あるいは HTTP リクエストの内容です。

フィッシング

キャンペーンやランサムウェア攻撃に使われるサイトへのアクセスを拒否したいですか。あるいは、IP アドレスが

米国のユーザーだけに Workday インスタンスへのアクセスを許可したいですか。

さらに深刻な例として、従業員が機密情報を

財務データやソースコードなど、ChatGPT のようなAI サイトへ送るのを防ぎたいですか。

Secure Web Gateway のポリシーで、これらを実現できます。

ポリシーはさまざまな属性を使って書けます。

Web サイトを隔離することもできます。ユーザーのブラウザではなく、

Cloudflare ネットワーク上のヘッドレスブラウザでレンダリングします。

その結果をユーザーデバイスへ送り、

その Web サイト上の悪意のあるコードからユーザーを守ります。

Secure Web Gateway が組織を保護する

さまざまな方法を見ていきましょう。ユーザーやデバイスを守る最初の方法は、DNS

リクエストを見ることです。よくあるポリシーは、

既知の高リスク Web サイトへのアクセスを防ぐためのものです。

作業を簡単にするため、Cloudflare は大量のサイトリストを

管理しています。危険だと分かっているサイトです。

マルウェアを配布しているか、フィッシング

キャンペーンの一部です。拒否ポリシーにそのカテゴリを含めるだけで、

ユーザーはそのサイトにアクセスできなくなります。

Cloudflare は各カテゴリのサイトを最新に保っています。

そのため、インターネット上の脅威を広く把握しています。

この量のデータを自前で維持することはできません。

ポリシーはユーザー単位でも、ネットワークの場所に基づいても適用できます。

特定の Web サイトを制限するポリシーを実装することもできます。制限は

ネットワークリクエストの発信国に応じて行います。

既知の悪意ある Web サイトをまとめた、政府のサイバー防衛リストを購読することもできます。

DNS ポリシーで、IT インフラの一部を簡素化することもできます。

ポリシーで DNS リクエストの戻り IP アドレスを上書きし、サービスへ向けることができます。

ローカルなサービスでも構いません。たとえば、全従業員のノート PC を設定して、

オフィスのプリンター接続に単一のホスト名を使うようにできます。

たとえば printer.company.local です。

ユーザーがシアトルオフィスで印刷しようとすると、

Cloudflare はそのホストの IP アドレスを現地オフィスのプリンターに差し替えます。

同じユーザーがロンドンオフィスへ移動しても、

同じノート PC が同じ印刷リクエストを出し、Cloudflare が IP アドレスを

今度はロンドンのプリンター用に差し替えます。

Cloudflare の SASE プラットフォームに接続したすべてのネットワークに対して、

ファイアウォールのような簡単なルールを書けます。

プライベート IP アドレス上の特定サービスへのアクセス許可によく使います。

たとえば、企業ネットワークで多数のWindows サーバーが動いていて、

IT 管理者だけが RDP で接続できるようにしたいとします。

どうすればよいのでしょうか。ユーザーがデバイスエージェントでCloudflare にアクセスすると、

ネットワークアクセスポリシーは、認証方法などのID 情報を

ユーザーの所属グループとともに、ポリシーの一部として使えます。

デバイスのセキュリティポスチャも、そのデバイスエージェントから取得できます。

これにより、IT 管理者はセキュリティが確保された会社管理の

実際の HTTP トラフィックを検査できるからです。

Cloudflare の証明書を導入したデバイスでは、

TLS と SSL の接続が Cloudflare で終端し、

そこでトラフィックを検査し、ポリシーを適用できます。

ファイルのアップロードやダウンロードを制限するポリシーを作れます。制限は

ファイルタイプに基づきます。あるいは HTTP POST や PUT を禁止して、コンテンツのアップロードを

任意の Web サイトへ送れないようにできます。サンドボックス機能もあり、AV スキャンで

ダウンロード中の特定ファイルを検査し、悪意のある

コンテンツが含まれていれば隔離します。HTTP トラフィック検査の真価は、

DLP ポリシーと組み合わせたときに発揮されます。HTTP リクエストの任意の部分にマッチできます。

リクエストの本文でも、ファイルに特定の内容が含まれていても対象です。

そのデータが組織外へ出たり、安全でない

デバイスへダウンロードされたりするのを防ぎます。よくあるデータにマッチする組み込み DLP プロファイルもあります。

たとえば医療情報や財務情報、ソースコード、個人を特定できる

情報です。社会保障番号や税識別番号などです。

独自の DLP プロファイルも作れます。機密データにマッチするパターンを定義するか、

既知の顧客アカウントのリストをアップロードします。

ユーザーがこれらのプロファイルに一致するコンテンツをダウンロードまたはアップロードしようとすると、

ブロックできます。

Web サイトのリスクが、よく分かっていないこともあります。

たとえば、ソーシャルメディアのサイトを少しリスクがあると判断しても、

マーケティング部門は依然としてアクセスが必要です。

新規登録ドメインは、フィッシングキャンペーンの一部であることもあれば、

正当な新しい Web サイトであることもあります。

こうした例に対して、Cloudflare には便利な機能があります。

ポリシーを書いて、少し

リスクがあると考える Web サイトへのリクエストでは、ユーザーのマシンがコンテンツを直接受け取らず、

Cloudflare ネットワーク上でヘッドレスブラウザを起動し、先にコンテンツをレンダリングします。

潜在的な不正な動作を、安全な

隔離環境に閉じ込めます。レンダリング結果をユーザーの

デバイスへ送ります。特定の機能をオン／オフすることもできます。

たとえば Web ページへのテキスト入力やファイルのダウンロードです。

これを Remote Browser Isolation と呼びます。

このサービスで、特定のユーザー向けにSaaS アプリケーションデータへのアクセスを制限することもできます。

たとえば、契約社員やパートナーに

Salesforce インスタンスへのアクセスを許可し、Browser Isolation で

コピー＆ペースト、印刷、Salesforce データのダウンロードを防げます。

まとめると、Cloudflare にはユーザーを守る強力な機能があり、

インターネット上の悪意ある攻撃者の脅威から守りつつ、会社データを識別し、

その利用を保護します。既知の悪意ある

Web サイトをブロックして安全な閲覧を確保し、会社データが未承認のクラウドストレージへアップロードされるのを検知し、

あるいは安全でないデバイスへダウンロードされるのを検知できます。

Web サイト全体を隔離して、ユーザーを危険な

活動から守ることもできます。ご視聴ありがとうございました。

この動画は、新しい企業ネットワークの構築方法を説明するシリーズの一部です。使うのは

Cloudflare の SASE プラットフォームです。

詳しくは、シリーズのほかの動画もご覧ください。

こんにちは。Cloudflare の Simon です。

この動画を見つけていただき、おめでとうございます。

アプリケーションセキュリティなど、さまざまなトピックも扱っています。

企業ネットワーキング、そしてインターネットに存在する

あらゆる開発者向けコンテンツです。オンラインでフォローしてください。ご視聴ありがとうございました。