更新日：2026.9.6
| このページの内容 |
SASEとは？
 |
今日からしばらく、CiscoのSASE製品であるCisco Secure Accessについて見ていきます。 |
 |
えーと、SASEってなんですか？ |
|
SASE（Secure Access Service Edge）は色々なblogやyoutubeなどでも解説があると思うけど、私なりの説明をまず少しさせてください。 |
|
なるべくわかりやすくね！ |
|
うむ。 試しにネットで「SASEとは？」で検索したら以下のような回答が出てきた。 SASEとは、ネットワーク機能（SD-WANなど）とセキュリティ機能（SWG・ZTNA・CASB・FWaaSなど）をクラウド上で統合し、場所を問わず安全に社内システムやクラウドへアクセスさせるためのアーキテクチャ／サービスモデルです。従来の「社内に集約して守る」方式に代わる、ゼロトラスト時代の次世代ネットワークセキュリティと位置づけられます。 |
|
全然よくわからないです！ |
|
だよね。 これはね、SASEが登場する前の企業のNWと比べてみると分かりやすいかなと思う。 下図を見てほしい。2015年頃まではこういうNW構成の企業が多かったんだ。 |
|
えーと、各拠点（メインオフィスやブランチオフィス）がMPLS網に接続していると。 で、MPLS網とインターネットの間にDC（Data Center）があって、DCの中にFW（Firewall）があると。 そうなると、インターネット通信や拠点間通信の経路は下のような感じですか？ |
|
ありがとう。流石。インターネット宛ての通信はすべてDCに集められ、DCのFWで検査をしてインターネットに出ていくという設計だった。 |
|
DCのFWが門番のような感じですね。この設計に何か問題があったのですか？ |
|
ああ。2015年頃から、M365やBOXなどのクラウドサービスを利用する企業がどんどん増えていったんだ。クラウドサービスはインターネット経由でアクセスするのが一般的。つまり、クラウドサービスの利用増加に伴って、インターネット宛ての通信も増えていったんだ。 |
|
つまり上の図の赤矢印のインターネット通信がどんどん増えていったということですね！ |
|
そうだね。そしたら下図のようになってしまったんだ。 |
|
ん？インターネット宛ての通信の赤矢印が太くなっているのは、通信量が増加しているというのを表しているのかな？ |
|
そうだね。その結果、黒矢印で示しているMPLS～FW～Internetの部分でトラフィックが過多になり、渋滞が発生しているというのを表しているんだ。 |
|
なるほど。それで拠点にいるユーザはインターネット宛ての通信が重くなり、イライラした顔になってしまっているというわけか。 |
|
そうだね。この状態を解決するにはどうすればよいと思う？ |
|
ん？DCの回線を増速したり、FWを高スペックな機器にすればいいんじゃないですか？ |
|
それはそうなんだけど、回線増速もFW強化もお金がかかる。それにDC経由にするということは遠回りになるということなので、遅延も増えてしまう。そこで下図のような構成が出てきたんだ。 |
|
あーなるほど。各拠点にMPLS回線とは別にインターネット回線も引いて、特定のSaaS宛ての通信だけオレンジ矢印のように直接インターネットにアクセスさせちゃったわけか。 |
|
そうだね。この直接インターネットにアクセスさせることをLBO（Local BreakOut）といいます。LBOした通信はFWもバイパスするので通信のチェックもしない。なのであくまで安全とわかっている特定のSaaS宛ての通信だけをLBOさせるようにしたわけだ。 |
|
なるほど。で、このあとはどうなっていったのかな？ |
|
ああ。クラウドサービスの利用増加に加え、2020年にコロナが大流行するとリモートワーク（在宅ワーク）が急増。それにMPLS回線とインターネット回線の両方を引いている状態から、高価なMPLS回線を解約してインターネット回線だけを残すニーズも上昇。その結果、下図のような構成を採用する企業が増えていったんだ。 |
|
なんか一気に複雑になったな。 えーと、MPLS網が消えていると。 で、在宅ワーク者がDCのVPN-GW兼UTMにSSLVPNで接続していると。 各拠点もIPsecトンネルで繋げていると。 インターネット宛ての通信の振り分けは前回と同じだね。特定SaaSはLBO。その他はDCのUTMでチェックすると。 |
|
そうだね。このようなNWをSD-WAN（Software-Defined WAN）と呼ぶことが多い。各拠点に物理的にはインターネット回線だけを引きつつ、その回線を論理的に複数の用途（インターネット通信用、社内通信用など）で使うことから、こういう呼び方がされるようになったんだ。 |
|
ああ、SD-WANもよく聞く言葉ですね。この構成ももう時代遅れなのですか？ |
|
いや、そんなことはない。この構成は今でもゴールの形のうちの1つだと思うし、コスト重視であれば最有力な構成だと思う。 |
|
ということは、別のゴールの形があるということかな？ |
|
ああ、それがSASEなんだ。SASEを採用したNW構成は下図のようになる。 |
|
ん？あんまり変わってない気がするな。DCがSASEに変わっただけ！？ |
|
そうだね。もちろん細かい違いは色々あるけど、大きく言ってしまえばそれだけなんだ。要するに、オンプレ（拠点やDC）にあったファイルサーバをboxやDropBOXなどのクラウド型のストレージサービスに移行するのと同じように、オンプレ（DC）にあったFWやVPN-GWをクラウド型にしたのがSASEというわけだ。 |
|
なるほど。そしたら下図のとおりオンプレ型 vs SASEという構図なわけですね。 |
オンプレ型 vs SASE コストと利便性
|
オンプレ型とSASE、どっちがよいかだが・・・。 結論、一長一短なのでどっちのほうが絶対的に有利ということはない。 先程も少し書いたように、コスト重視ならオンプレ型。利便性重視ならSASEかなと思う。 まずコスト。超ざっくりだけど、SASEはオンプレ型の3～10倍くらいはするんだ。 例えば、この何年か私が担当している某大手製造業も、オンプレ型の場合はランニングコストが年20万ドル（3,000万円）くらいのだったのが、SASEにしたら100万ドル（1.5億円）を軽く超えていた。 |
|
マジすか！？高すぎるな。 |
|
そうだね。 けど利便性は圧倒的に高い。 オンプレ型だと、故障したら交換手配をしないといけない。 故障の疑いがある場合の対応フローも整理しないといけない。 OSのバージョンアップも定期的に（1～2年くらいに1回）やらないといけない。 脆弱性情報が発覚した場合に、臨時でのバージョンアップが必要になることもある。 機器自体がEoS（End of Support）になったら新機器への更改も必要。 |
|
うわ。これじゃ情シス（情報システム担当者）は大変ですね。 |
|
そうなんだ。ところがこれらがSASEだと不要になる。クラウドサービス事業者側がやってくれるからね。今は情シス担当が不足している企業も多いから、特にそういう企業にとってはSASEが有力になると思う。 |
|
なるほど。高いけどこれは魅力的過ぎますね。 なんかあれですね。レンタカーと自家用車みたいな感じですね。いつも使うなら自家用車のほうがトータルコストは安いけど、オイル交換やらなんやらメンテは自分でやらなければいけないという。 |
|
そうだね。 |
オンプレ型 vs SASE セキュリティ面
|
コストと利便性以外の重要な要素としてセキュリティ面がある。 結論として、仕様上はSASEのほうが高セキュリティだと思う。 けれど設計次第では、オンプレ型でも大きく劣ることはないと思っている。 |
|
むむ。詳しく詳しく。 |
|
サイバー攻撃の主な手口として外部から社内NWへの不正侵入がある。 在宅ワーク者になりすましてリモートアクセスVPNで社内NWに侵入するという手口だ。 |
|
侵入されるとどうなるんですか？ |
|
重要なデータを盗まれたり、ファイルを勝手に暗号化されて見れなくされたり、ADサーバを乗っ取ったられたり、まあ色々・・・。 |
|
怖すぎますね。 |
|
そうだね。SASEはこの不正侵入にとても強い。なぜなら社内NWからattack surface（攻撃を受ける可能性のある面）がなくなるからなんだ。 下の画像を見てほしい。オンプレ型でDCにVPN-GWとなる機器を置いた場合。VPN-GWはインターネットから入ってくるVPN接続要求を受付しなければいけない。もちろん、受付をしたあとに認証が成功しない限りVPNを確立させる必要はないけど、受付をしなければいけないというのが大きなリスクなんだ。受付をするようにすると、正規のリモートワーカーだけでなく、サイバー攻撃者も赤矢印のように不正にVPN接続をしようと攻撃してくるからだ。このようにVPN-GWのインターネットに面しているインターフェースがまさにattack surface（攻撃を受ける可能性のある面）になってしまうわけだ。 |
|
なるほど。これって本当に攻撃されるものなんですか？ |
|
これはもうマジです。大企業の場合はもちろんのこと、私が自宅で建てているVPN-GWも、ログを見るとひっきりなしにVPN接続を要求するログが出ている。二要素認証をかけているから侵入されていることはないとはわかっているけど、それでも気分的にはとても怖いよ。 |
|
マジっすか。怖すぎですね。で、SASEだとどう変わるんですか？ |
|
SASEの場合、リモートワーカーが社内のVPN-GWに直接VPNを張ることはなく、SASEが間で中継する形になる。 上の図の1枚目のように、リモートワーカーと社内（DCや各オフィス）のVPNルータがSASEに対して挟み撃ちする形でVPN接続を要求する。そしてVPNが確立すると2枚目の図のようになり、リモートワーカーと社内NWがSASEを中継して接続可能になる。つまり、社内のVPNルータはVPN接続要求の受付すらしないので、attack surfaceがないんだ。 |
|
なるほど。けど上の図の1枚目を見ると、SASEがVPN接続要求を受けているから、SASEがattack surfaceになってしまっているんじゃ？ |
|
たしかにそうとも言えるけど。。。社内NWにある自前で構築した機器がattack surfaceになってしまっている状況と、社内NWにはattack surfaceがない状況は、まるで違うと思う。 |
|
たしかに。SASE側で何か問題が発覚しても、SASE側で対処もしてくれるだろうしね。そしたらセキュリティ面はSASEのほうが圧倒的に上ってことですね！ |
|
それは意見が分かれるところだと思うけど、私はそんなに圧倒的ということはないと思っている。なぜなら、二要素認証を取り入れれば不正侵入のリスクは大幅に減少するからだ。データにもよるけど、二要素認証は不正侵入のリスクを99%以上減少可能と言われているから。 |
|
なるほど。そしたらコストと利便性のバランスを見て、SASEにするかオンプレ型にするか選ぶのがよさそうですね。 |
|
そうだね。ああ、あともう1つ要素があるかな・・・。 |
オンプレ型 vs SASE FWまでの距離が遠い場合のインターネット通信
|
オンプレ型の場合、距離がネックになることがある。 例えば下図のように、フランクフルトのオフィスワーカーがヨーロッパのWEBサイトにアクセスする場合。 オンプレ型の場合はオンプレのFWでチェックする必要があるので、下図の場合だとわざわざ東京DCのFWを経由することになる。そうなると距離がとても長くなるので通信遅延がどうしても大きくなってしまうんだ。 |
|
むむ。実際どれくらい遅延って発生するんですか？ |
|
通信環境にもよるけど、実は何か月か前に実際に上の図の通信を行ったことがあるんだ。そのときは往復で250～500msecくらいだった。値だけで見ると大したことないと思うかもだけど、実際にブラウザをポチポチ操作していると、いちいちモッサリしていてストレスは溜まりそうな感じだったよ。 |
|
それだと、いつも業務で使っていると気分悪くなりそうですね。これがSASEだと解決するんですか？ |
|
ああ。 |
|
SASEは世界中に点在するFWやVPN-GWの集合体だ。そして一般的には最寄りのPoP（Point of Presence）に接続して利用するようになっている。なのでフランクフルトのオフィスからは最寄りであるフランクフルトのPoPに接続し、そのPoP内にあるSWGでチェックをしてWEBサイトに向かうようになる。なのでオンプレ型のように遠回りをすることもないので遅延が大きくなることもないんだ。 |
|
なるほどねえ。そしたら、グローバルに広く展開している企業の場合はSASEのほうがよいかもですね。 |
|
そうだね。まあでもオンプレ型の場合でも、業務でよく使うサイトはLBOさせて遠方のFWを経由させないようにするなど、対処できることも多いから一概には言えないけどね。 ということで長くなってしまったけど今回はここまで。 ここまで読んでいただきありがとうございました。 次のページではSecure AccessとEntra IDでユーザ情報を同期する方法について見ていきます。 |