はじめに
ネットワーク分離は有用なサイバー攻撃対策の1つですが、効果的に活用するためには正確な知識が欠かせません。ネットワークを分離する方法は技術進歩やクラウドサービスの普及により変わってきているため、IT技術やサイバー攻撃など複数の分野にまたがる、時系列に沿った理解が必要です。
そこで本記事では、ネットワーク分離に関する歴史から、ソリトン社の『Soliton SecureBrowser』を例に挙げて実際のWebブラウザのネットワーク分離製品の機能まで、初心者向けに分かりやすく解説します。
ネットワーク分離とは
「ネットワーク分離」は、「Web分離」や「インターネット分離」とも呼ばれる考え方で、安全性を高めるために、インターネットに代表される外部ネットワークと重要なデータを扱う内部ネットワークを分ける方法です。
たとえば、インターネットに接続された端末がサイバー攻撃によりマルウェアに感染しても、ネットワークを分離していれば、企業の機密情報や顧客情報を保管する基幹系ネットワークは安全であり、被害を最小限に抑えられます。
ネットワーク分離は、ほかのセキュリティ対策を突破された場合のリスクを低減させる方法として注目されています。
ネットワーク分離の歴史
ネットワーク分離の方法は1つではありません。セキュリティに関連する技術進歩やトレンドの影響を受けて変化しているため、時系列に沿って整理します。
インターネット普及と物理的ネットワーク分離の登場
パソコンやインターネットが登場するより前、企業ではデータを書類という形で引き出しや棚、倉庫に保管していました。閲覧には現地を訪れるか郵送やFAXを利用する必要がある、機密度の高い書類は持ち出し制限もあるなど、現在と比較して不便ですが安全性は高い状態でした。
1980年代にビジネスでパソコンが一般的に利用されるようになり、データは次第にデジタル形式で保管されるようになります。そして1990年代後半にインターネットの普及という大きな転機が訪れ、データを端末やUSBに保存し、電子メールで送ることが一般化しました。その結果、インターネットに接続した端末は常に攻撃のリスクに晒され、利便性が向上した反面、安全性を担保するのは難しくなったのです。
そのため、重要なデータを管理する端末とインターネット接続端末の2つを用意し、必要に応じて使い分ける「物理的分離」と呼ばれる、最初のネットワーク分離方法が登場しました。物理的分離は重要なデータを管理する端末がサイバー攻撃を受けるリスクがなく安全ですが、2つの端末を使い分けるために業務効率が下がる、端末購入や運用管理の費用負荷が高いというデメリットもあります。
クラウドサービスの普及と論理的ネットワーク分離への注目
2000年代後半からクラウドサービスの利用が広がり、端末にアプリケーションをインストールするよりも、インターネット上のWebアプリにアクセスすることが主流になりました。この変化により、端末に求められる記憶容量や処理能力は低下する一方、IDやパスワードの詐取による不正アクセスの被害は増加し、セキュリティ対策に関する要求は高まっていきます。
論理的ネットワーク分離であるVirtual Desktop Infrastructure（デスクトップ仮想化）は、この端末への要求変化とマッチしており、注目を集めました。VDIではデータ保存やアプリ実行はすべてサーバ上の仮想デスクトップで行われ、ユーザは端末からサーバ上の仮想デスクトップにアクセスして利用します。アプリケーションの使用制限やOSのアップデート、セキュリティパッチの適用などもサーバ側で一括管理でき、情報漏えいや紛失時のリスクを低減できるため、セキュリティ強化につながります。
急激な通信トラフィック増加とWebブラウザのネットワーク分離
2010年代末、コロナ禍によるテレワークやリモートワークと呼ばれるオフィス以外での勤務需要の急激な増加が発生し、VDIは通信トラフィック負荷によるパフォーマンス低下という問題に直面しました。Web会議のように通信データ量が多く必要な業務が増えたことで、ネットワークやサーバに大きな負荷がかかり、パフォーマンス低下ひいては業務効率低下につながってしまったのです。
一部のユーザは、対策としてCPUを強化して処理能力を増やす、負荷の大きな業務を時間的に分散させるといったVDIを無理なく利用する方法を模索しましたが、別の方法を模索する動きも出てきました。
注目されたのは、VDIのようにデスクトップ全体を仮想化するのではなく、仮想化の範囲をブラウザに絞り、負荷とコストを抑えつつセキュリティを担保するWebブラウザのネットワーク分離です。Webブラウザのネットワーク分離は、利用されている論理的ネットワーク分離技術に着目した呼び方であり、セキュリティ機能が強化されたWebブラウザという機能に着目して「セキュアブラウザ」と呼ばれる場合もあります。
近年ではWebブラウザで利用できるSaaS型のサービスが増え、Webブラウザのネットワーク分離の価値は、VDIと比べて相対的に高まっています。
ゼロトラスト時代のネットワーク分離
従来の主流だった「境界防御モデル」と呼ばれるセキュリティモデルは、社内ネットワークと外部のインターネットを分ける考え方です。境界にファイアウォールやプロキシなどのセキュリティ製品を配置して、外部からのサイバー攻撃や内部からの情報漏えいをシャットアウトします。
ゼロトラストは2010年代はじめに登場したセキュリティ構築に関する考え方です。英語のZeroとTrustを組み合わせた造語であり、「システムの中にすでに攻撃者がいるかもしれない」という前提でネットワークやユーザ、デバイスなどすべてを監視して、必要に応じてアクセスを許可します。従来の境界防御モデルに比べてセキュリティ強度を格段に高められ、リモート環境からのアクセスやセキュリティ面に不安のあったクラウドサービスの利用も安心です。
では、こうしたアクセス制御を中心とした考えであるゼロトラストがこれからのセキュリティ対策の主流だと考えられる以上、異なるアプローチであるネットワーク分離は不要でしょうか。いえ、そう考えるのは早計です。ゼロトラスト実現は簡単ではありません。さまざまなセキュリティ対策を組み合わせる必要があり、「ゼロトラストジャーニー」という言葉が生み出されるほど、その実現には長い期間が必要です。
ネットワーク分離は、ゼロトラスト実践のうちネットワークセキュリティ対策の方法の1つとして利用される場合があります。ゼロトラストは、あくまでも安全性を担保するためにアクセス制御に焦点をあてているだけであり、実践方法は1つではありません。業種・業態や企業規模などさまざまな要素によって、何をリスクだと考えるべきか、何が最適な対策かは変わります。利便性とコストのバランスを考えたうえで、強固なセキュリティをどのように実現するか、現場の業務にマッチした方法を選ぶべきでしょう。
『Soliton SecureBrowser』に見る端末セキュリティ対策のポイント
ソリトン社の『Soliton SecureBrowser』を例に、端末のセキュリティ対策の製品選びのポイントについて考えてみましょう。
ブラウザの分離にサーバを利用するかどうか
Webブラウザをネットワーク分離する方法は大きく分けて2種類あります。
まず1つ目がサーバを利用する方法です。Windowsサーバ環境上でブラウザアプリケーションを仮想化して分離するMicrosoft Remote Desktop Services（RDS）というサービスや、LinuxOSのDockerという仮想コンテナ技術を利用した製品が有名です。サーバ側でプログラムを実行し、端末側では画面情報表示するだけのため安全性が高い一方で、コスト増加や専門知識が必要といった運用面の難しさもあります。
もう1つは専用のソフトウェアを利用し、端末中に生成した隔離領域で起動した専用ブラウザからインターネットにアクセスする、「端末内仮想化」で分離する方法です。『Soliton SecureBrowser』はこのタイプに分類されます。ダウンロードしたデータなどはすべて端末内の隔離領域で扱うため、サーバを利用するよりもコスト面でのメリットが大きいのが特徴です。また、端末側のリソースを用いてWeb閲覧などを実行するため、通信トラフィックへ大きな負荷をかけることもありません。従業員が同時に利用する際も、端末とサーバ間の通信トラフィック増加による遅延が起こりにくく、快適に利用できるのも魅力です。
安全性と運用難易度のバランスをどう考えるべきか、最適な選択は企業ごとに異なります。また、Webブラウザで利用できないクラウドサービスをほかに利用しているか、自社でサーバを管理しているか、セキュリティ担当者の人数や技能とマッチしている方法は何か、選択に影響するポイントもあります。いくつもの細かいポイントのうち、どの要素を重視するか優先順位をつけて、考えましょう。
Webブラウザ以外を利用する際の安全をどう担保するのか
Webブラウザで利用できるクラウドサービスは増えています。しかし、Webブラウザから利用できない業務が存在する場合、ほかの方法でセキュリティを強化する必要があります。そのためWebブラウザのネットワーク分離についてだけ考えるのではなく、端末を利用する業務全般や、ほかのセキュリティ対策方法との連携についても同時に考えたほうがよいでしょう。
『Soliton SecureBrowser』は、パスワード付きZIP、パスワード付きOffice ファイルにも対応し、安全にOfficeファイルを閲覧できる専用のセキュアドキュメントビューワー機能を内蔵。ゲートウェイと呼ばれるセキュリティが組み込まれており、未登録のデバイスやユーザから社内へのアクセス、端末の時間外起動といった不正な挙動を防ぎます。ファイルデータはブラウザと同じように、端末中に生成した隔離領域で表示され、Webブラウザのデータが消えるタイミングで閲覧していたドキュメントのデータも消去されるため安全です。また同じソリトン社製の『FileZen S』と連携してファイル取り込みも可能です。
Webブラウザのネットワーク分離に関する製品やサービスについて考える際には、付随する機能や連携といった部分が、実務で利用する際の利便性に影響を与える場合があることを覚えておきましょう。
まとめ
ゼロトラスト実現にはさまざまなセキュリティ対策を組み合わせる必要があり、ネットワーク分離はネットワークセキュリティ対策の1つとして利用される場合があります。端末中に生成した隔離領域で起動した専用ブラウザからインターネットにアクセスする「端末内仮想化」はコスト面でのメリットが大きいのが特徴であり、ゼロトラスト実践の第一歩として有用です。
単純にネットワークを分離するだけでなく、継続してセキュリティ強化を続けたいという場合、外部のプロの力を借りることも視野に入れましょう。セラクには専門性の高いセキュリティ技術者が多数在籍し、クラウドサービスの導入支援や情報システムに関するマネージドサービスなど、幅広く支援しています。また、本記事でご紹介した『Soliton SecureBrowser』をはじめ、ソリトン社のセキュリティ対策製品・サービスを取り扱っています。自社のIT環境に不安や疑問などがございましたら、ぜひセラクへご相談ください。
