ZTNAとは？

ゼロトラスト・ネットワーク・アクセス（ZTNA）は、従来のVPNのように接続元に基づいて広範なネットワークアクセスを許可するのではなく、ユーザーの身元、デバイスの状態、およびコンテキストを継続的に検証した上で、個々のアプリケーションへのアクセスを許可するセキュリティフレームワークです。ZTNAは、SASE およびSSEにおけるプライベートアプリケーションアクセスの柱となるものです。

主なポイント

• ZTNAは、VPNのような広範囲なネットワークアクセスではなく、アプリケーションごとのアクセス権限を付与します。
• アクセス許可の決定は、継続的に確認される本人確認情報、デバイスの状態、および状況に基づいて行われます。
• ZTNAは、ネットワーク上の位置情報に基づく暗黙的な信頼を、明示的な検証に置き換えます。
• これは、SASE およびSecurity Service Edgeアーキテクチャにおけるプライベートアクセスの中核をなすものです。
• Versa Concertoで管理されるSecure Private Access（VSPA）を通じて、ZTNAを提供します。

このページの内容： その重要性 ・ 仕組み ・ 種類 · ZTNA およびVersa · よくある質問

ZTNAはなぜ重要なのでしょうか？

従来のVPNでは、接続するユーザーを企業ネットワークそのものに接続させ、有効な認証情報を持つ者であれば誰でも、内部インフラの広範な領域にアクセスできることを前提としています。このモデルは、従業員やアプリケーションが単一の境界線の内側に存在していた時代には適していました。しかし、アプリケーションがクラウドに移行し、ユーザーがどこからでも接続するようになると、このモデルは機能しなくなります。なぜなら、たった1つの認証情報やデバイスが侵害されただけで、フラットなネットワーク内を横方向に移動できてしまうからです。これが、多くの情報漏洩の背景にあるパターンです。

ZTNAが重要なのは、その影響範囲を排除できるからです。ユーザーをネットワーク上に配置するのではなく、身元、デバイス、およびコンテキストを確認した上で、一度に1つの承認済みアプリケーションにのみ直接接続します。アプリケーションは、明示的にアクセスが許可されていないユーザーからは見えなくなるため、攻撃対象領域が縮小され、従来のVPNアクセスが許容していた偵察や横方向の移動が阻止されます。また、信頼性はログイン時に一度付与されてセッション終了まで維持されるのではなく、継続的に評価されます。

ZTNAとは？

ZTNAは、トラフィックを共有ネットワークにルーティングするのではなく、すべてのアプリケーションリクエストをポリシー決定ポイントを通じて仲介します。ユーザーがプライベートアプリケーションをリクエストすると、ブローカーは、ID（LDAP、SAML、またはその他のIDプロバイダー経由）、デバイスの状態（パッチレベル、管理対象エンドポイントのステータス、セキュリティソフトウェア）、およびコンテキスト（場所、時間、ネットワークの種類）を評価した上で、アプリケーションごとに直接的な暗号化接続を確立します。 アプリケーションのネットワークアドレスがデバイスに公開されることはなく、そのセッションを通じて他のアプリケーションにアクセスできることもありません。

この評価は継続的なものであり、単発のゲートチェックではありません。セッションの途中でデバイスの状態が変化した場合（例えば、セキュリティエージェントが報告を停止した場合など）、アクセス権は直ちに取り消されます。ZTNAの実装は、一般的に2つの接続モデルに分類されます。1つは「エージェントベース」で、エンドポイント上のクライアントソフトウェアが接続を開始する方式です。もう1つは「クライアントレス」で、代わりにアプリケーションがブラウザを介してリバースプロキシされる方式です。

ZTNAの種類

ZTNAの導入形態は、接続の開始方法によって分かれます。エンドポイント主導型（エージェントベース）のZTNAでは、軽量なクライアントを実行して認証を行い、ブローカーへのアプリケーションごとのアウトバウンドトンネルを確立します。この方式は、非Webプロトコルを含む最も幅広い種類のアプリケーションに対応しており、デバイスのセキュリティ状態を直接報告することも可能です。サービス主導型（クライアントレス）のZTNAは、ブラウザ経由でアクセスをプロキシし、アプリケーション側のコネクタがアウトバウンドパスを確立します。これは、契約業者や管理対象外のデバイスに有用ですが、一般的にWebアプリケーションに限定されます。

3つ目のパターンであるオンプレミス型ZTNAは、キャンパスや支社ネットワークに物理的にいるユーザーに対しても、同様のアイデンティティおよびコンテキストに基づく制御を拡張し、デバイスが企業のLANに接続されている場合でも、アプリケーションごとの最小権限アクセス制御を適用します。

ZTNA &Versa

Versa Versa Unified 内の SSE に含まれるリモートアクセスコンポーネントである、SASE Versa Versa Secure Private Access（VSPA）を通じて ZTNA を提供します。VSPA は、VPN コンセントレータが使用する静的なアクセスリストの代わりに、ID ベースのアクセスを適用することで、オンプレミスまたはパブリッククラウド上でホストされているプライベートアプリケーションにユーザーを接続し、 クライアントおよびクライアントレス接続の両方をサポートします。 セッションは、登録（LDAP、SAML、RADIUS、または ディレクトリによる認証、MFAを含む）、接続（ゲートウェイの選択および信頼できるネットワークの検出）、ポリシーの適用（ZTNAおよびSWGスタイルのフィルタリング）という3つの段階を経て進行します。詳細については、Versa SASE Versa Concerto のエンドツーエンド構成をSASE 参照してください。

レガシーVPNからの移行を検討している組織は、Versaの「VPNからZTNAへの移行ガイド」を参照してください。このガイドでは、VPNの利用ケースの把握、ユーザーグループごとの段階的な移行、本番環境への展開について解説しています。また、Versa は、「Versa Zero Trust – Premises」を通じてオンプレミス環境でのZTNA機能を拡張しており、VSPAの機能セットが拡充されるにつれ、新しい記事を通じて継続的な設定ガイダンスを提供しています。

よくある質問

ZTNAとVPNの違いは何ですか？

VPNは、接続するデバイスを広範な企業ネットワークに組み込み、そのネットワーク上でアクセス可能なあらゆるリソースへの暗黙的なアクセス権を付与します。一方、ZTNAは、ID、デバイスの状態、およびコンテキストを確認した後、アプリケーションごとに直接的な接続を仲介します。これにより、そのアプリケーションは他の誰からも見えなくなり、横方向の移動が大幅に制限されます。

ZTNAを利用するには、クライアントソフトウェアが必要ですか？

これは導入モデルによって異なります。エージェント型ZTNAでは、認証やアプリケーションごとのトンネリングを処理する軽量なクライアントがインストールされ、最も幅広い種類のアプリケーションに対応しています。一方、クライアントレス型ZTNAでは、ブラウザを介してアクセスをプロキシ処理するため、管理対象外のデバイスやBYODデバイスに適していますが、一般的にWebアプリケーションのみを対象としています。

ZTNAはどのようにして継続的に信頼性を検証しているのでしょうか？

ZTNAは、ログイン時に一度だけアクセス権を付与するのではなく、接続中を通じてデバイスの状態、セッションの挙動、コンテキストなどのシグナルを再評価します。シグナルに変化があった場合（例えば、デバイスのセキュリティエージェントが報告を停止した場合など）、ブローカーは次の認証イベントを待つことなく、直ちにアクセス権を取り消すことができます。

ZTNAはSASE の一部ですか？

はい。ZTNAは、セキュアWebゲートウェイ、クラウドアクセスセキュリティブローカー、データ損失防止（DLP）と並んで、SASE およびSecurity Service Edgeアーキテクチャに統合された中核サービスの一つであり、これらは個別のポイント製品として展開されるのではなく、ユーザーに近い場所で単一のポリシーエンジンによって一元的に適用されます。

ZTNAを導入すれば、ファイアウォールは不要になるのでしょうか？

いいえ。ZTNAは特定のプライベートアプリケーションへのアクセスを管理するものであり、次世代ファイアウォール、侵入防止、インターネット経由の脅威検査といった、より広範な保護機能を置き換えるものではありません。実際には、ZTNAはこれらの制御機能と併せて、統合型SASE （SSE）スタックの一層として導入されます。

ZTNAに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

ZTNAについてお読みの方は、次にこれらもぜひチェックしてみてください。