SSEとは何ですか？

Security Service Edge（SSE）は、SASE アーキテクチャ のクラウド型セキュリティコンポーネントです。セキュアWebゲートウェイ、クラウドアクセスセキュリティブローカー、ゼロトラストネットワークアクセス、データ損失防止（DLP）などのサービスを通じて、インターネット、SaaS、プライベートアプリケーションへのアクセスを保護し、ユーザーに近い場所に配置された分散型のSSEゲートウェイによって実施されます。

主なポイント

• SSEは、「SASE 」のセキュリティ機能の一部であり、SWG、CASB、ZTNA、DLPを1つのサービスに統合したものです。
• 適用は、支店のファイアウォールスタックではなく、クラウドSSEゲートウェイで行われます。
• SSE内のZTNAは、一律のVPNアクセスを、アプリごとの最小権限アクセスに置き換えます。
• 多くの組織では、まずSSEを導入し、その後SD-WANを追加することで、完全なSASE を実現しています。
• Versa Concertoから管理されるVSPAおよびVSIAを通じて、SSEを提供します。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ SSE およびVersa · よくある質問

SSEはなぜ重要なのでしょうか？

アプリケーションはクラウドに移行し、ユーザーの所在も多様化しましたが、多くのセキュリティスタックは依然としてデータセンターに縛られたままでした。そのため、トラフィックはインターネットやSaaSアプリケーションに到達する前に、中央のファイアウォールを経由して迂回せざるを得ませんでした。SSEが重要なのは、セキュリティポリシーの適用をユーザーに近い分散型のクラウド拠点に移行させるため、本社、在宅オフィス、モバイルデバイスのいずれから接続しても、ポリシーが同じように適用されるからです。

セキュリティチームにとって、SSEの最大のメリットは統合にあります。Webプロキシ、CASB、VPNコンセントレータ、DLPツールを個別に運用する代わりに、1つのサービスが単一のポリシーエンジンとIDコンテキストの下でこれらすべてを提供します。 これにより、個別の製品を組み合わせることで生じるポリシーの不整合や死角が解消され、組織はネットワーク全体をアーキテクチャ 一度に再構築するよりも迅速にゼロトラストへの移行が可能になります。多くの組織は、SD-WANを導入する前にSSEを採用しています。

SSEとは何ですか？

SSEは、1つのゲートウェイに4つの機能を統合しています。セキュアWebゲートウェイ（SWG）は、一般的なインターネットトラフィックを検査・フィルタリングします。クラウドアクセスセキュリティブローカー（CASB）は、SaaSの利用を管理し、シャドーITの発見、アクティビティの監視、データ制御の実施を行います。ゼロトラストネットワークアクセス（ZTNA）は、ネットワーク自体を露出させることなく、アプリケーションごとのプライベートリソースへのアクセスを仲介します。データ損失防止（DLP）は、転送中および保存中のコンテンツを検査し、ポリシー違反の有無を確認します。

4つの個別のツールではなくSSEである理由は、これら4つすべてが1つのアイデンティティコンテキストと1つのポリシーエンジンを共有しており、トラフィックが実際に通過するゲートウェイで適用される点にあります。SSEは、完全なSASE （アーキテクチャ –SASE ）のうち、明示的にセキュリティ機能のみを担う部分であり、 は、同じ適用ファブリックの上にSD-WAN接続機能を追加したものです。

SSEの種類

導入形態は2つの軸に分かれます。シングルベンダー型SSEは、単一のプラットフォームからSWG、CASB、ZTNA、DLPを提供し、統一されたコンソールと単一のポリシーエンジンを備えています。これは、個別の製品が引き起こす相関関係のギャップやID統合の重複を回避できるため、多くのアナリストが推奨するモデルです。マルチベンダー（ベスト・オブ・ブリード）型のSSEは、ZTNAベンダーやCASBベンダーなど、別々に調達したツールを組み合わせたものです。機能別に見れば優れたパフォーマンスを発揮する可能性がありますが、コンソールやポリシーモデルが個別に管理されることになります。

適用メカニズムもさまざまです。インラインプロキシ検査はトラフィックをリアルタイムで傍受するもので、SWGやフォワードプロキシ型CASBで採用されています。アウトオブバンドAPIスキャンは、SaaSアプリケーション内にすでに保存されているデータを検査するもので、APIモードのCASBやDLPで採用されています。ほとんどのプラットフォームでは、トラフィックの種類に応じて、この両方を併用しています。

SSE &Versa

Versa Versa （VCG）を通じて、クラウドホスト型サービスとしてSSEを提供します。このサービスは、 Concertoからプロビジョニングおよび管理されます。 このゲートウェイを基盤として、2つのサービスが構築されています。1つは「 Secure Private Access（VSPA）」で、これはどこからでも勤務するユーザーがプライベートアプリケーションにアクセスする際、最小権限のアクセス権限を適用するものです。もう1つは「 Secure Internet Access（VSIA）」で、インターネットおよびSaaS向けのトラフィックを保護するものです。いずれも、ゲートウェイ上で認証、TLS復号、脅威対策、およびアクセスポリシーを適用します。Versa Versa Versa

オンプレミスでDirectorによって管理されるSD-WANを運用しているお客様の場合、Versa は、SD-WAN–SSEハブ相互接続（アーキテクチャ ）を使用して、そのファブリックを自社のクラウドSSEに接続します。VCGとお客様が管理するSSEハブ間では、冗長化されたIPsecサイト間トンネルとEBGPルーティングが、耐障害性を確保するためにアクティブ–スタンバイまたはアクティブ–アクティブの構成で運用されます。一方、個々の支店をクラウドゲートウェイに直接接続するには、別の支店用SSEトンネル（アーキテクチャ ）が使用されます。 ゲートウェイの導入、サブスクリプション、および設定ガイドについては、最近公開されたSSE関連記事をご覧ください。

よくある質問

SSEとSASE の違いは何ですか？

SSEは、SASE のセキュリティ機能のみを網羅したサブセットであり、クラウドから提供されるSWG、CASB、ZTNA、およびDLPで構成されています。SASE は、ネットワーク機能（SD-WAN接続）を追加し、これらを単一のポリシーエンジンおよびIDコンテキストの下で、前述のセキュリティサービスと統合したものです。多くの組織では、まずSSEを導入し、その後SD-WANを追加することで、完全なSASE を実現しています。

SSEと従来のセキュアWebゲートウェイの違いは何ですか？

セキュアWebゲートウェイ（SWG）は、一般的なインターネットトラフィックのみを検査します。SSEは、SWGとCASB、ZTNA、DLPを単一のIDコンテキストと単一のポリシーエンジン下に統合するため、1つの判断でSaaSへのアクセス、プライベートアプリケーション、さらにはデータ保護までを網羅することができ、単に外部へのWeb閲覧だけにとどまりません。

SSEはVPNの代わりになりますか？

概して言えば、はい、同社のZTNAサービスを通じて実現されています。ZTNAは、アプリケーションごとに最小権限のアクセスを許可し、身元とデバイスの状態を継続的に検証します。これにより、従来のVPNが提供する広範なネットワークレベルのアクセスや、ユーザーが接続した後に生じる横方向の移動リスクを解消します。

SSEはクラウド専用ですか？

セキュリティ対策はクラウドゲートウェイ上で実行されますが、それらのゲートウェイに到達するトラフィックは、依然として実際の支店、データセンター、およびデバイスから発信されています。組織は、サイト間トンネル、IPsec、およびユーザーデバイス上で動作するクライアントソフトウェアを通じて、SD-WAN接続の支店、個々のユーザー、および各拠点をクラウドSSEファブリックに接続します。

SSEはゼロトラストをどのようにサポートしているのでしょうか？

SSEは、アクセスを許可する前に、IDを評価するとともに、パッチレベル、実行中のプロセス、コンプライアンス状態といったエンドポイントデバイスの状態をますます重視して評価しており、ログイン時の一回限りではなく、継続的に再評価を行います。この状態を把握したアプリケーションごとの適用こそが、ユーザー、デバイス、アプリケーションのすべてにおいてゼロトラストを運用化するものです。

SSEに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

SSEについてお読みの方は、次にこれらもぜひご覧ください。