SASE、Verona、ぶっちゃけどうなの？

では早速ですが、SASEというものについてお話しする前に、従来のネットワーク構成がどうなっているかを共有させてください。Veronaの概要資料もあるので、そこを見ながら説明します。

従来型ネットワークアーキテクチャだと、本社や拠点、リモート環境を閉域網とかVPNでつないで、インターネットアクセスは本社のUTMを経由させる──という構成が一般的ですよね。
ただ最近は、リモートアクセスVPN自体が攻撃対象にされてしまったり、VPN機器の脆弱性対応が大変だったり、認証強度が不十分で内部ネットワークに侵入されたりと、課題が多くあります。さらにWeb会議やクラウドサービスが増えているので、本社のUTMにトラフィックが集中しちゃうんですね。結果として通信遅延が起きるとか、運用負荷が高いという事例が増えています。

そう、まさに今おっしゃった通りで、VPNっていわゆる“エッジデバイス”で外とつながっている機器ですよね。警察庁の資料やベンダーのレポートを見ても、狙った攻撃被害が多いって出てるんですよね。僕もいろんなリサーチをしてるんですけど、思った以上に境界部分を攻撃してくるケースが多いなぁって印象です。

こうした課題を解決しようと出てきたのがSASE（SASE）です。
SASEなら、

• 太いバックボーンで集中トラフィックをさばく

• VPN機器などの脆弱性管理から解放される

• マイクロセグメンテーション（セグメント細分化）が導入しやすい

といった利点を得られます。
次に、うちの「VeronaSASE」の概要を話しておきますね。Verona自体はマネージドサービスなので、企業さん自身がVPN機器やUTMなどの脆弱性対応を頑張らなくてもいいんです。リモートユーザーや拠点間の通信制御、マイクロセグメンテーションによる内部のアクセス制限なんかも設定できます。
では辻さん、SASEそのものについてどんなふうに感じてます？ 必要だと思われます？

うーん、正直言うとケースバイケースですよね。もちろん「境界防御にはもう無理がある！」って組織がSASE導入して、めちゃくちゃ活用してるケースも聞きますし。一方で「いや、うちの環境だと合わないんじゃ？」って悩んでる組織もあると思うんですよ。

ただ、リモートワークが普及して拠点も端末もあちこち散らばった状態で、攻撃ポイントが増えてるのは確かです。 特に僕が注目してる脅威の一つに、インフォスティーラーっていう情報窃取に特化したマルウェアがあって。端末に保存されている認証情報を盗んで、それを利用してVPNだったりクラウドサービスに侵入しちゃうんです。最近はクラウドがやられるとめちゃくちゃ大変ですからね。そういうのを防ぐためには、一つのドームみたいな保護下に社員や拠点を全部入れて、セキュリティレベルを底上げしてしまうのがいいのかなっていうのは思いますね。
ただもちろん、導入するにはお金の話や、合う合わないの話は絶対ありますし、そこはちゃんと自社の状況を見極める必要があると思います。「これ入れれば万事OK！」みたいな銀の弾丸はないですし。とはいえ、今SASEってよく耳にするし、セミナーも盛況ですから、それだけ期待は高いんだろうなぁって感じます。

では導入時のステップについても聞きたいんですけど、ネットワークって結構大がかりじゃないですか。一気に全部置き換えるんですか？

たいていは一括で「ドーンと全部」ってパターンが多いですね。ただ、拠点数が多い大企業さんは段階的に進めていきます。最終的には全拠点、全ユーザーを同じSASE基盤に乗せることで、ネットワークの保護を均一化するんです。
移行が大変な場合は、うちのプロフェッショナルサービスが導入コンサル的に支援します。

なるほど。EDRとかだと「重要部署だけ先に入れてあとで拡大」とかもありますけど、ネットワークは1個の塊なので、確かに全部まとめて平準化するほうが安心ですね。中途半端に残すと、そこが狙われちゃいますし。

あと僕、気になるのがDMZとか外部公開してるサーバーはどうなるの？ってところです。メールサーバーとかWebサーバーとかって社内ではなく、ネットの外に開く感じですよね。そこはSASEの管轄に入るんですか？

基本的にはVeronaのSASEで完結するのはリモートアクセスとか拠点間通信がメインで、外部公開サーバーに関しては依然としてWAFとかファイアウォールが必要ですね。DMZをどう管理するか、というのは従来どおりお客さま側でやってもらうケースが多いです。

なるほど。やっぱり外部公開分は別のソリューションも必要、と。

ありがとうございます。では最後に率直なところを。辻さん、VeronaSASEってぶっちゃけどう思いますか？

ぶっちゃけ、安く提供できるのはすごくありがたいですよね。セキュリティは「お金のあるとこだけが享受できるもの」みたいになってるの、やっぱよくないじゃないですか。
あと、「最低ロットが50ライセンスから」とかであれば、小規模の企業さんでも導入しやすい。運用を全部任せたいところにとっては、フルマネージドなのも魅力だと思います。
ただ、もちろん会社ごとに「そもそもクラウドに出せないシステムがある」「こういう構成は合わないかも」とか、いろいろ事情はあるでしょうから、他社のサービスとかオンプレ構成とも比較しつつ検討してみるのがいいかと。僕の印象としては「安く・簡単に導入したい」なら全然アリなんじゃないかなと思います。

ありがとうございます！ まさに「運用に不安がある企業ほど、フルマネージドなSASEを選んでほしい」というのが僕らのメッセージでもあります。そう言っていただけると嬉しいです。
では本日はここまでということで。辻さん、本当にありがとうございました！ SASEやVeronaについての生々しいお話を聞けて、皆さんのセキュリティレベル向上に役立てば幸いです。

こちらこそ、いろいろ聞けて面白かったです。ありがとうございました。