エンタープライズネットワーク

SD-WANによるクラウドエッジの保護

Cisco Japan
2018年11月28日

この記事は、エンタープライズネットワーキング担当シニアバイスプレジデント、エンジニアリング Anand Oswal によるブログ「Securing the Cloud Edge with SD-WAN」（2018/11/13）の抄訳です。

Cisco SD-WAN テクノロジはすでに、分散型企業を一体化させるファブリックに、ブランチ、コロケーション、データセンター、およびクラウドリソースを効率的に接続することでネットワークを強化しています。しかし、ネットワーク、クラウドとセキュリティの交差点であるクラウドエッジでは、より大きなセキュリティリスク、不安定なアプリケーションパフォーマンス、および増大する複雑性という問題に直面します。

ブランチからクラウドに直接接続され、インターネット上でビジネスに不可欠なアプリケーションを実行するにつれ、トラフィックが企業のファイアウォールにバックホールされる従来の WAN の保護手法は、非効率的で費用も高額です。それは従来の WAN プラットフォームが、ブランチを（クラウドではなく）データセンターに直接接続することを前提に設計されているためです。複数のクラウドプラットフォームへの同時接続や、最も効率的でコスト効率の良いルートの自動選択などに対応する柔軟性がありません。

そのため、WAN を保護しながら分散したネットワーク管理を簡素化して接続コストを削減できる、包括的で柔軟なソフトウェア定義型アーキテクチャが必要です。これには、すべての WAN デバイスを ソフトウェア定義型でセキュアなものにする必要があります。シスコはこうした需要に応えるため、重要なエッジセキュリティの課題を解決する機能を備えた、新しい高度な SD-WAN セキュリティスタック を発表します。IT 部門の管理、導入、保守を簡素化し、SD-WAN が誇る高い効率性と、スケーラブルなセキュリティを提供します。これにより企業は安心して希望するクラウドサービスを使用できるようになります。Cisco SD-WAN はデバイスやユーザーをどのクラウドにもシームレスに接続し、優れたアプリケーションエクスペリエンスを提供しながら、ブランチからクラウドへの一貫した統合型の脅威保護も備えます。

アプリケーションがデータセンターから複数のクラウドプラットフォームに移行していくにあたり、ソフトウェア定義型で安全な WAN デバイスが必要になります。

Cisco SD-WAN は 4 つのレベルのセキュリティをエッジで提供します

従来のクラウドエッジでのセキュリティ方式は、すべてのトラフィックを、SaaS アプリケーションまたはパブリッククラウドサービスに送信する前に、検査、分析、およびフィルタリングのために企業データセンターに戻していました。企業にとってこれは一般に、データセンターのセキュリティ層の規模と複雑さを増加させ、追加費用を発生させる MPLS 回線の設置を意味します。分散したブランチ間でトラフィックが増えると、MPLS 接続が増え、データセンターのセキュリティを管理するコストと複雑さは一層増大します。

新しい Cisco SD-WAN セキュリティスタックは、エッジのブランチルータで動作する完全なシールドを提供します。また、ネットワークとセキュリティ管理の両方の集中制御も可能になります。組み込みセキュリティ機能は、ブランチのビジネスシステムとクラウドプラットフォームを行き来するデータを保護します。Cisco SD-WAN セキュリティスタックは、特にブランチに関係する、次の 4 つの主要なトラフィックプロファイルに焦点を当てています。

コンプライアンス：ブランチとクラウドでの、保管中および転送中のセンシティブデータの保護。
ダイレクトインターネットアクセス：ネットワークポートをダイレクトインターネット接続に開いた時に拡大してしまう、外部ソースからの潜在的なアタックサーフェス。
ダイレクトクラウドアクセス：クラウドリソースおよび SaaS アプリケーションへのダイレクトアクセスを備えることでバイパスされてしまう、エンタープライズネットワークおよびデータセンターに組み込まれている既存の集中管理セキュリティ（DMZ、ファイアウォール、侵入検知）。
ゲストアクセス：個人のデバイスからローカル Wi-Fi へのゲストアクセスを有効にしながら、ビジネストラフィックおよび機密性の高いネットワークサービスのゲストトラフィックからの完全な分離。

シスコの新しいセキュリティイノベーションが、SD-WAN アーキテクチャによるコスト削減を実現しながら、これらのトラフィックプロファイルにより拡大する攻撃経路を緩和する仕組みについてご紹介します。

コンプライアンス

すべての組織は、個人識別情報（PII）や支払カード情報（PCI）などのセンシティブデータセットを承認、保管、処理しています。アプリケーション認識型ファイアウォールを使えば、センシティブデータを承認済みアプリケーション/人物以外による不正アクセスから保護します。Cisco SD-WAN セキュリティは、ブランチルータに組み込みアプリケーション認識型ファイアウォールを追加します。このファイアウォールは、どのアプリケーションが PCI などのセンシティブデータにアクセス可能であるかを学習し、ルールを適用します。次に SD-WAN ファブリックは、センシティブトラフィックをセキュア VPN 経由で、エンタープライズデータセンターやマルチクラウドプラットフォーム内のアプリケーションにルーティングします。シスコインテントベースネットワーク内では、「センシティブデータの PCI のみを IPsec VPN で送信」といった動作を Cisco vManage でプログラムすることで、ネットワーク全体に自動的に適用されます。Cisco vSmart Controller により、セキュリティポリシーで定義されたとおりにトラフィックはインテリジェントにセグメント化されます。

ダイレクトインターネットアクセス

SD-WAN の登場前、組織はセキュリティ機能が常駐するデータセンターへのブランチからの接続において、安全ではあるものの高価な MPLS 回線に主に依存してきました。組織がブランチサイトのアプリケーションやデバイスをインターネットに直接アクセスできるようにすると、従来の集中管理されたセキュリティはバイパスされるようになります。その結果、ブランチはあらゆるタイプのインターネットトラフィックに公開され、その過程で、エッジでのアタックサーフェスが増大します。

これらの脅威に対抗するために、SD-WAN セキュリティスタックは、アプリケーション認識型ファイアウォール、侵入検知と防止、および Cisco Umbrella の DNS クラウドセキュリティ層で構成される、組み込みセキュリティ機能の組み合わせを提供します。Cisco SD-WAN ファブリックは、SecOps ポリシーに従って、ブランチ間でのトラフィックをインテリジェントにルーティングします。Web セキュリティは、安全な URL のローカルキャッシュを保持し、最新のセキュリティ脅威レポートに追従するために、これを定期的に更新します。

ダイレクトクラウドアクセス

ダイレクトクラウドアクセスは、クラウドおよび SaaS アプリケーションのアプリケーション Quality of Experience（QoE）を向上させ、ダイレクトインターネットアクセスで見られるような類似のリスクプロファイルを導入します。Cisco SD-WAN セキュリティは、最も攻撃的な DoS、フィッシング、マルウェア、および SaaS やクラウドアプリケーションで使用されるインターネット接続やオープンポートにピギーバックする可能性があるランサムウェア攻撃を防ぐために、侵入検知と併せて DNS セキュリティ層を活用します。さらに、これらの組み込みセキュリティ機能は、世界で有数の高度な商用脅威インテリジェンス組織の 1 つである Cisco Talos チームが提供する現在の脅威データを活用します。

ゲストアクセス

小売店など、カスタマーエクスペリエンスに重点を置く組織は、顧客とのインタラクティブな関係を持つために、そのブランチの Wi-Fi をオープンにしておこうとします。しかし、ブランチ Wi-Fi でゲストを許可することで、ビジネスアプリケーション、データ、およびサービスもゲストに公開される可能性があります。このような場合、ゲストアクセスをセグメント化するセキュリティポリシーの設定がセキュリティ向上の最初のステップになります。インターネットアクセスを許可していても、ビジネスネットワークの他のすべてのセグメントを「立ち入り禁止」にするのです。組織はさらに、ブランチネットワークに感染する可能性があるマルウェアをゲストが不意にまたは故意にダウンロードすることを防止する必要があります。Cisco SD-WAN セキュリティは、Web フィルタリングや侵入検知/防御機能を提供して、インターネット感染からゲストデバイスを保護し、ネットワークを守ります。さらにセグメンテーションにより、従業員をゲストネットワークから隔離し、ビジネスデータはすべて IPsec VPN トンネルを通すようにします。

SD-WAN によりセキュリティ管理を簡素化する

新しいセキュリティスタック機能をサポートして管理を簡素化するために、Cisco SD-WAN はクラウド管理コントローラ vManage を使用して GUI ベースのワークフローを提供します。ゼロタッチの Cisco ISR/ASR および vEdge ルータは、ブランチの技術担当者以外の人が電源を入れ、リモートで事前定義されたビジネスの意図に基づいて設定したり、ビジネスのニーズに合わせてカスタマイズしたりできます。エッジルータは、トラフィックパターンを継続的に監視し、優先ビジネスデータに適応し、クラウドおよび SaaS アプリケーションの QoE を維持し、セキュリティ上の脅威にプロアクティブに対応するように接続を自動的に調整します。

Cisco SD-WAN ポートフォリオによるこれらのイノベーションは、今日の企業が直面している実世界のセキュリティ上の課題の解決に役立ちます。さらに、SD-WAN にはシスコの DNA Essentials ライセンスが付属しているため、ライセンス交付は単純です。ブランチオフィスの企業、マルチクラウド、および SaaS アプリケーションプラットフォームへの接続や保護をさらに優れたパフォーマンスで促進し、接続の総コストは削減する、シスコのエンジニアリングチームからのさらなるイノベーションに期待してください。

Cisco SD-WAN 機能の詳細については、私の以前のブログ記事「 Cisco IOS XE ソフトウェア定義型アーキテクチャによる WAN の変革」をお読みください。さらに当社の SD-WAN ページもご覧ください。

Tags:

コメントを書く