【SSE】[Zscaler] [ZIA] [設計] [個別] [インライン] [+α] Cloud Browser Isolation

はじめに

URL Filteringでは、「許可」「注意」「拒否」といったアクションによってWebアクセスを制御できます。

しかし、「危険な可能性はあるが、業務上アクセスは必要」というケースも少なくありません。

例えば、以下です。

• 新しく公開されたWebサイト
• 個人のWebメール
• 外部企業のファイル共有サイト
• 一般公開されている管理画面
• このような通信を、
• ブロックすることなく、安全な環境で閲覧できるようにする機能が、

Cloud Browser Isolation（CBI）です。

Cloud Browser Isolationとは

Cloud Browser Isolation（CBI）は、ユーザー端末ではなく、

Zscalerクラウド上でブラウザを実行する機能です。

ユーザー端末へ送られるのは、画面描画の情報のみであり、

実際のHTMLやJavaScriptなどはクラウド側で実行されます。

そのため、万が一アクセス先サイトが悪意のあるWebサイトであっても、

ユーザー端末へ直接攻撃コードが到達することはありません。

つまり、「危険だからアクセス禁止」ではなく、

「危険かもしれないので、安全なブラウザで閲覧する」という考え方になります。

URL Filteringとの関係

Cloud Browser Isolationは、URL Filteringのアクションとして利用します。

しかし、実際の動作は、「許可」「拒否」と同列ではありません。

URL FilteringでCloud Browser Isolationが選択されると、

まずクラウド上のIsolation Browserへ転送されます。

その後、Isolation Browser内でもう一度URL Filteringポリシーが評価されます。

つまり、Cloud Browser Isolationは「隔離して終わり」ではなく、

隔離したブラウザ上でも通常のURL Filteringを継続するという動作になります。

そのため、今度はIsolation Browser内でリンクをクリックした場合も、

遷移先URLに対して改めてURL Filteringが評価されます。

リンク先がCloud Browser Isolation対象であれば、そのままIsolation Browser内で閲覧されます。

一方、通常アクセス対象であれば、通常ブラウザで開かれます。

つまり、Cloud Browser Isolationはブラウザ全体を隔離するのではなく、URL単位で隔離を判断する機能

と考えると理解しやすいでしょう。

Cloud Browser Isolationでできること

Cloud Browser Isolationでは、単にWebサイトを隔離するだけではありません。

• ダウンロード禁止
• アップロード禁止
• コピー禁止
• ペースト禁止
• 印刷禁止

など、ブラウザ上でのユーザー操作も細かく制御できます。

例えば、「閲覧だけ許可したい」という要件にも柔軟に対応できます。

File Type Control・DLPとの関係

Cloud Browser Isolationは、File Type ControlやDLPを置き換える機能ではありません。

Cloud Browser Isolationが担当するのは、「安全なブラウザ環境を提供すること」です。

一方、実際のファイル転送や情報保護については、

• File Type Control
• DLP

など、既存のインラインプロセスと連携して制御されます。

例えば、Isolation Browserからファイルをダウンロードする場合でも、

File Type Controlのポリシーが適用されます。

また、アップロードされるデータについては、

DLPによる情報漏えい対策も引き続き有効です。

つまり、Cloud Browser Isolationは

既存のセキュリティ機能を置き換えるものではなく、安全な閲覧環境を追加する機能

と考えるのが適切です。

利用シーン

Cloud Browser Isolationは、

• 個人Webメール
• 個人クラウドストレージ
• 新規公開ドメイン
• 一般公開されている管理画面
• 業務上必要だが信頼できないサイト

など、「アクセスは禁止したくないが、通常ブラウザで開くには不安があるサイト」

で利用されることが多くあります。

例えば、個人のGmailは閲覧だけ許可し、コピーやダウンロードは禁止する、

といった利用方法も可能です。

設計で重要なこと

Cloud Browser Isolationは、「危険なサイトを隔離する機能」という理解だけでは十分ではありません。

重要なのは、Cloud Browser Isolationは、URL Filteringを拡張する機能であるという点です。

URL FilteringでCloud Browser Isolationへ転送し、

Isolation Browser内でもURL Filteringを継続して適用することで、

通常ブラウザと同じポリシー体系を維持できます。

そのため、Cloud Browser Isolation専用のルールを大量に作るというより、

これまで設計してきたURLカテゴリやURL Filteringポリシーを活用しながら、

必要なサイトだけIsolationする設計が管理しやすいでしょう。

おわりに

Cloud Browser Isolationは、危険なサイトへのアクセスを禁止するための機能ではありません。

「アクセスは許可するが、安全なブラウザで閲覧させる」という新しい選択肢を提供する機能です。

URL FilteringやFile Type Control、DLPなどの既存機能とも連携しながら、

利便性とセキュリティを両立できることが大きな特徴です。

設計では、すべてのWebアクセスをIsolationするのではなく、

リスクや業務要件に応じて適用対象を選択することが重要になります。

➡【次の記事へ】【SSE】[Zscaler] [ZIA] [設計] [個別] [非インライン] ユーザ認証方法とZIAとの同期方法

管理人

自称SASEエンジニアです。 2児の父親をやりながら、日々エンタープライズ向けの次世代ネットワークインフラと格闘しています。一日一投稿を目標に投稿頑張りますので、是非読んでください！