SASEとADSPが相互補完するプラットフォームである理由

John Maddison最高マーケティング責任者 | F5

現在、組織が最も重要な資産を保護し、提供する方法を決定づけるのは、2つの統合プラットフォームです。ハイブリッドワークフォース向けのSecure Access Service Edge（SASE）と、ハイブリッドアプリケーション環境向けのApplication Delivery and Security Platform（ADSP）です。レジリエントなアーキテクチャを設計するには、両者の違いと、相互に補完し合う理由を理解することが重要です。

SASEとADSPの比較

SASEとADSPには、多くの共通点があります。どちらもネットワークとセキュリティを統合したプラットフォームであり、ハードウェア、ソフトウェア、SaaSを通じて導入されます。また、NetOps、SecOps、PlatformOps、DevOpsなどの運用チームが利用するすべての機能を、単一のコンソールで管理するという考え方も共通しています。一方で、両者は大きく異なるテクノロジーでもあります。一方は従業員に、もう一方はアプリケーションに重点を置いています。

SASE（左側の概略図）はハイブリッドワークフォースを保護して接続し、F5 ADSP（右側の図）はハイブリッドアプリケーション環境のデリバリーと保護を担います。いずれも統合型プラットフォームですが、企業内の異なる領域に対応します。

SASEプラットフォームは、企業の従業員が本社や支社、自宅、出張先のいずれから接続する場合でも、一貫したネットワークアクセス（SD-WAN/ZTNA）ポリシーとセキュリティ（セキュリティサービスエッジ）ポリシーを適用します。

一方、ADSPは、アプリケーションデリバリーコントローラー（ADC）を通じて一貫したアプリケーションデリバリーを提供し、アプリケーションがデータセンター、マルチクラウド環境、エッジのいずれに配置されていても、WebアプリケーションおよびAPI保護（WAAP）によって企業のアプリケーションを保護します。また、ADSPは、コンテンツデリバリーネットワーク（CDN）経由で接続する消費者からのトラフィックも受信します。

では、ネットワークとセキュリティを統合したこの2つのプラットフォームは、どの程度異なるのでしょうか？

当然のことに聞こえるかもしれませんが、従業員の保護を重視するSASEは、フォワードプロキシを使用してパブリックおよびプライベートアプリケーションからコンテンツを受信し、検査したうえで従業員に渡します。

一方、ADSPは主にリバースプロキシとして機能します。アプリケーション宛てのトラフィックをインターセプトして検査し、そのアプリケーションをホストする適切なサーバーに渡します。根本的に、SASEとADSPは中核となるネットワークおよびセキュリティ技術が異なり、その規模にも大きな違いがあります。アプリケーションにアクセスする消費者の数と、ネットワークにアクセスする社内従業員の数を比較してみてください。

SASEとADSP：ネットワーキングの違い

まずSASEから、ネットワーキングの違いを見ていきます。Software-Defined Wide Area Networking（SD-WAN）は、転送用のアンダーレイとオーバーレイトンネルを組み合わせ、ユーザーとセキュリティサービスエッジ（SSE）クラウドまたはその他の宛先との間に、最も信頼性の高い経路を提供します。リアルタイムのパフォーマンスに基づいて、MPLS、ブロードバンド、5G/LTE、衛星回線の間でトラフィックを動的に振り分けることができます。SD-WANはアプリケーションを認識するため、アプリケーションID、レイテンシ、ジッター、パケット損失に基づく経路選択など、従来のIPルーティングでは不可能なルーティングやトラフィックエンジニアリングの判断を行えます。

従業員が企業ネットワークの外部から接続する場合、通常、SD-WANは通信経路上にありません。ネットワーク外のトラフィックは標準的なインターネットルーティングに依存しますが、これにはパフォーマンス保証、最適化された経路選択、エンタープライズQoSポリシーがありません。この場合、クラウドベースのSSEがフォワードプロキシとして機能し、従業員の接続を終端して送受信トラフィックを検査した後、従業員に代わってコンテンツを取得します。

ADSPは、ネットワーキングスタックの別の部分を対象とします。ADSPのADCは、リクエストがアプリケーションに到達する方法を最適化し、高いパフォーマンス、可用性、信頼性を確保します。レイヤー4～7で動作するADCは、アプリケーションプロトコル、セッションの動作、トラフィックパターンを把握できるため、高度な負荷分散、TLS終端、ヘルスモニタリング、接続管理を実行できます。

ADSPはリバースプロキシとして動作するため、アプリケーションの前段に配置され、受信トラフィックの検査、ポリシーの適用、適切なアプリケーションインスタンスまたはサービスの選択を行います。ADSPはWAAPと密接に関連していますが、CDNやその他の配信レイヤーと統合し、パフォーマンスとグローバルなリーチをさらに最適化することもできます。

SASEとADSP：セキュリティの違い

では、セキュリティについてはどうでしょうか。SASEモデルでは、SSEが従業員、特にそのデバイスやブラウザセッションをWebやクラウドベースの脅威から保護します。SSEは当初、セキュアWebゲートウェイ（SWG）機能を中心としていましたが、その後、クラウドアクセスセキュリティブローカー（CASB）による制御、リモートブラウザ分離（RBI）、データ損失防止（DLP）も含むようになりました。

一方、ADSPはアプリケーションとAPIの保護に重点を置いています。その中核となるセキュリティ機能は、Webアプリケーションファイアウォール（WAF）、分散型サービス拒否（DDoS）攻撃の緩和、ボット対策、APIセキュリティ、クライアントサイド保護など、WebアプリケーションおよびAPI保護（WAAP）全般に及びます。また、組織がAPIやWebアプリケーションを通じた機密データの漏えい防止を図る中、アプリケーションエッジでもDLPの重要性が高まっています。

Zero trust architecture

どちらのプラットフォームもゼロトラストアーキテクチャに寄与しますが、対象とする環境のレイヤーは異なります。SASEはゼロトラストネットワークアクセス（ZTNA）を提供し、アプリケーションへのアクセスを許可する前に、従業員のアイデンティティ、デバイスの状態、コンテキストシグナルを検証します。これにより、未検証のユーザーや管理対象外のデバイスが内部リソースに到達するのを防ぎ、ユーザーエッジにおける攻撃対象領域を大幅に縮小します。

ADSPは、アプリケーションの直前に配置されたリバースプロキシでアクセス可否を適用するゼロトラストアプリケーションアクセス（ZTAA）によって、これを補完します。接続を試行できるユーザーを制御するZTNAとは異なり、ZTAAはトラフィックの到着後にユーザーが実際に実行できる操作を管理します。リクエストを検査し、きめ細かなポリシーを適用して、すべてのトランザクションを仲介することで、従来のネットワークレイヤーの制御では検出できない、侵害されたアイデンティティ、悪意のあるペイロード、ラテラルムーブメントの試みからアプリケーション自体を保護します。

ZTNAとZTAAを組み合わせることで、多層型のゼロトラストモデルを実現します。一方がアプリケーションへのアクセスを保護し、もう一方がアクセス許可後のアプリケーションを保護します。

SASEとADSPの連携の仕組み

SASEとADSPは、異なるものの相互補完性が非常に高い課題に対応しており、いずれも最新のデジタル運用に不可欠です。業界アナリストは一貫して、SASEがハイブリッドワークフォースのセキュリティ確保と接続に最適化されていると指摘しています。SASEはユーザーエッジでZTNA、SWG、CASB、DLPの各機能を提供し、企業リソースへのアクセスにおいて、まず強固なID、デバイス、コンテンツの制御が適用されるようにします。

一方、ADSPは、アプリケーション自体の配信と保護に最適化されています。パフォーマンス、レジリエンス、アプリケーション固有の脅威に対する防御が重要となるアプリエッジで、ADC、WAAP、DDoS緩和、Zero Trust Application Access、APIセキュリティを提供します。企業がハイブリッドワークとハイブリッドマルチクラウドアーキテクチャへの移行を進める中、広範に分散した環境全体で一貫したパフォーマンス、セキュリティ、ポリシー適用を維持するには、この2つのエッジが連携して機能する必要があります。

実際には、SASEにより、適切な従業員と要件に準拠したデバイスだけが社内またはプライベートアプリケーションにアクセスできるようになります。トラフィックの到達後は、ADSPによって、それらのアプリケーションの高速性、信頼性、保護が維持されます。たとえば、リモートの開発者や従業員はSASEのZTNA制御を介して社内ツールにアクセスします。一方、顧客向けポータル、API、AI搭載サービスでは、効率的な配信、高度な脅威対策、アプリケーションを認識するセキュリティをADSPが担います。

この2つのプラットフォームを組み合わせることで、従業員、ネットワーク、アプリケーションを包括する総合的なゼロトラストアーキテクチャを構築できます。どちらか一方だけではこの成果を実現できませんが、両者を組み合わせることで、現代のデジタルビジネスに必要なエンドツーエンドのセキュリティとパフォーマンスの基盤を提供します。

SASEとADSPが1つのプラットフォームになることはあるのでしょうか？

中小企業では、SASEとADSPを単一の統合プラットフォームとして提供することも十分に考えられます。こうした組織はシンプルさを重視する傾向があり、ITチームの規模も比較的小さいため、ネットワーキングとセキュリティを統合された1つのクラウドサービスとして利用することでメリットを得られます。このような環境では、ユーザーエッジのセキュリティとアプリケーションエッジのデリバリの違いは、それほど重要ではありません。

一方、エンタープライズは異なる規模で運用されています。SASEとADSPは、それぞれ異なるテクノロジーを基盤とし、異なる課題を解決するものであり、担当するネットワーキングチームとセキュリティチームも別々です。こうした運用上の境界に加え、パフォーマンス、コンプライアンス、アーキテクチャに対する要件もより高度であるため、完全な統合は現実的ではありません。大規模組織では、2つのプラットフォームがそれぞれの専門性を維持しながらシームレスに連携することで、最大の価値を得られます。

Gartner AI Security Platform

企業でAIを活用したワークフローの導入が進むにつれ、堅牢なAIセキュリティ戦略の必要性が高まっています。これに対応するため、Gartnerは、サードパーティ製とカスタムの両方のAIアプリケーションを保護するために設計されたフレームワークとして、AI Security Platform（AISP）という新たなカテゴリーを定義しています。AISPは、次の2つの中核的な柱で構成されます。

• AI Usage Control（AIUC）：データ保護、知的財産（IP）ガバナンス、プライバシーに関するポリシーを適用することで、生成AIプラットフォームやデータ分析エンジンなど、外部AIツールの企業利用を統制します。
• AI Application Security (AIAS)：カスタム構築されたAIアプリケーションを、敵対的AI、不適切にトレーニングされたモデル、APIの悪用などの脅威から保護するよう設計されています。

このフレームワークでは、SASEとADSPが相互補完的な役割を果たすことができます。従業員を中心としたプロキシベースの制御モデルを採用するSASEは、人間とAIのやり取りやサードパーティとの統合を保護することで、AIUCと自然に連携します。一方、ADSPは、アプリケーション、API、バックエンドインフラストラクチャをエンタープライズ規模で保護する強みを活かし、AIASの支援に適しています。

プラットフォームアプローチのメリット

SASEやADSPのようなネットワークとセキュリティの統合プラットフォームは、企業にさまざまなメリットをもたらします。個別製品を集約し、運用を簡素化するとともに、ネットワーク機能とセキュリティ機能の間でポリシーを同期できます。

この2つの主要な統合プラットフォームカテゴリーを組み合わせられるかどうかについては、議論の余地があります。企業にとって、サイロ化された管理体制から脱却することが難しい場合もありますが、プラットフォームアプローチのメリットは無視できないほど大きなものです。

メリットの詳細と、F5 Application Delivery and Security Platform (ADSP)があらゆる環境でアプリケーションを配信し、保護する仕組みについては、F5 ADSPのWebページをご覧ください。

著者について

John Maddison最高マーケティング責任者 | F5

John Maddisonは、F5の最高マーケティング責任者です。サイバーセキュリティ、クラウド、通信の分野で、製品チームおよびコーポレートマーケティング部門を率いてきた30年以上の経験があります。F5入社前はFortinetに12年間在籍し、直近では最高マーケティング責任者兼製品戦略担当エグゼクティブバイスプレジデントを務めました。それ以前には、Trend Micro、Vina Communications、Octel Communicationsで要職を歴任しました。 英国デヴォン州のPlymouth Universityで工学の理学士号（B.S.）を取得しています。

John Maddisonのその他のブログ記事