VPN との違い

VPN の仕事は、利用者を内側に入れることです。こちらの仕事は、内側を無くすことです。

問題は実装ではなく、境界という考え方のほうにある

VPN は境界であり、その機能は端末を中に入れることです。いったん入れば、ネットワークは平らです。 侵害された機械は隣の機械へ直接届き、横展開は容易になります。SSL-VPN はその両面でさらに悪い。 常時インターネットに面した大きな攻撃面であり、しかも最も執拗に狙われているアプライアンスの一種だからです。

この2つの失敗は掛け算になります。最も破られやすいものが、同時に、平らな内側を与えるもの でもあるからです。

何がそれを置き換えるのか

Agent が入った端末は、常に Edge を経由します。すべての通信がポリシーで判定され、監査に残り、 ポリシーがそう言う場合には、使う地点でもう一度認証されます。

同じ LAN の中も含めてです。ある管理端末から、同じローカルセグメント上の隣の機械へ 向かう通信も Edge を通ります。ほとんどのゼロトラスト製品はアプリケーションへのリモートアクセスを仲介し、 ローカルネットワーク上の端末間通信には手を触れません。そこがまさに、横展開が使う経路です。

重要な接続には、エージェント内蔵のOOB認証で本人認証を求めます。 認証後は、保留していた接続がそのまま進みます。 ステップアップ認証の仕組みと、EDRとの役割分担を解説しています。

この製品が主張しないこと

ランサムウェアは段階を踏んで動きます。侵入、潜伏、横展開、権限昇格、破壊。この製品が作用するのは そのうち1段階です。侵入は止めません。端末上のマルウェアも検知しません。EDR の代わりにも なりません。デフォルト拒否による到達制御が第一層で、検知と隔離はその後続の層です。

潜伏について一つ補足します。数時間ではなく、数週間から数か月に及ぶことも珍しくありません。 そしてそれは、この製品にとって不利には働きません。辛抱強い攻撃者ほど、次のホップを 何度も試すことになるからです。その試行のひとつひとつが、拒否されて記録に残るリクエストです。 待った時間が、進捗ではなく証跡になります。

段階を名指しするからこそ、その段階についての主張が検証可能になります。どこで効かなくなるかを言わない製品は、 どこで効き始めるのかもまだ考え切れていません。