VPN との違い

VPN の仕事は、あなたを内側に入れることです。こちらの仕事は、内側を無くすことです。

問題は実装ではなく、境界という考え方の側にある

VPN は境界であり、その機能は端末を中に入れることです。いったん入れば、ネットワークは 平らです。侵害された機械は隣の機械へ直接到達でき、横展開は容易になります。SSL-VPN は その両面でさらに悪い —— 常時インターネットに面した大きな攻撃面であり、しかも最も執拗に 狙われているアプライアンスの種類のひとつです。

この2つの失敗は掛け算になります。最も破られやすいものが、同時に、平らな内側を与えるもの でもあるからです。

何がそれを置き換えるのか

Agent が入った端末は、常に Edge を経由します。すべての通信がポリシーで判定され、監査に残り、 ポリシーがそう言う場合には、使う地点でもう一度認証されます。

同じ LAN の中も含めて、です。ある管理端末から、同じローカルセグメント上の 隣に置かれた機械へ向かう通信も、Edge を通ります。ほとんどのゼロトラスト製品はアプリケーションへの リモートアクセスを仲介し、ローカルネットワーク上の端末間通信には手を触れません —— そこがまさに、横展開が使う経路です。

この製品が主張しないこと

ランサムウェアは段階を踏んで動きます —— 侵入、潜伏、横展開、権限昇格、破壊。この製品が作用するのは そのうち1段階です。侵入は止めません。端末上のマルウェアを検知しません。EDR の 代わりにもなりません。デフォルト拒否による到達制御が第一層であり、検知と隔離はその後続の層です。

段階を名指しすることが、その段階についての主張を検証可能にします。どこで効かなくなるかを 言わない製品は、どこで効き始めるのかもまだ考え切れていません。