【SSE】[Zscaler] [ZIA] 設計の考え方
buffoon
SASEナビ
【SSE】[Zscaler] [ZIA] [設計] [個別] [非インライン] Cloud NSS
buffoon
はじめに
前回の記事では、Nanolog Streaming Service（NSS）について紹介しました。
NSSでは、ユーザー自身がNSSサーバを用意し、ZIAのNanologを受信してSIEMやSyslogサーバへ転送します。
一方、Cloud NSS は、このNSSサーバをクラウドサービスとして提供する機能です。
本記事では、Cloud NSSの特徴と、NSSとの違いについて解説します。
Cloud NSSとは
Cloud NSSは、NSSサーバをデプロイすることなく、
ZIAから外部ログ基盤へログを転送できるクラウドサービスです。
従来のNSSでは、
ZIA → NSSサーバ → SIEM/Syslogサーバ
という構成でした。
一方、Cloud NSSでは、
ZIA → Cloud NSS → SIEM
となり、NSSサーバの構築・運用が不要になります。
NSSとの違い
Cloud NSSとNSSは、どちらもZIAのNanologを外部へ転送するという役割は同じです。
大きく異なるのは、ログ転送を行うコンポーネントを誰が管理するかという点です。
NSSでは、
仮想マシンの準備
- OS管理
- リソース管理
- 証明書管理
などを利用者が実施する必要があります。
一方、Cloud NSSでは、これらをZscalerがクラウドサービスとして提供するため、
ユーザーはログ転送先との連携設定を行うだけで利用できます。
対応しているSIEM
Cloud NSSは、クラウドSIEMとの連携を前提としたサービスです。
公式では、例えば以下のようなサービスとの連携方法が公開されています。
- Microsoft Sentinel
- Splunk Cloud
- Amazon S3
- CrowdStrike
- Google SecOps
今後も対応サービスは追加される可能性があるため、
最新の対応状況は公式ドキュメントを確認するとよいでしょう。
NSSとCloud NSSはどちらを選ぶべきか
Cloud NSSは非常に便利ですが、すべての環境で必須というわけではありません。
例えば、通信ログを長期間保存したいという要件だけであれば、
従来のNSS構成でも十分実現できます。
一方で、以下のような要件では、Cloud NSSのメリットが大きくなります。
| 項目 | VMベース NSS | Cloud NSS |
|---|---|---|
| 中継サーバ | 必要（AWS、Azure、vSphereなどへVMを構築） | 不要（Zscalerクラウドが提供） |
| 転送方式 | Syslog（TCP/TLS） | HTTPS API |
| 主な接続先 | オンプレミスまたはクラウド上のSIEM・Syslogサーバ | クラウドベースのSIEM |
| インフラ管理 | VM・OS・リソース・証明書などの管理が必要 | 不要（Zscalerが管理） |
| 導入・運用負荷 | VM構築・保守が必要 | ログ転送先の設定のみ |
| ライセンス | ZIAライセンスで利用可能 | Cloud NSSライセンスが必要 |
設計で重要なこと
Cloud NSSは、NSSサーバをクラウドサービスへ置き換えた機能です。
そのため、
- どのログを転送するか
- どのログを分析対象とするか
- どのログを長期間保存するか
といったログ設計の考え方は、従来のNSSと変わりません。
一方で、Cloud NSSは追加ライセンスが必要なサービスとなるため、
運用負荷の削減効果とライセンスコストを比較しながら採用を判断することが重要になります。
➡【次の記事へ】【SSE】[Zscaler] [ZIA] [設計] [個別] [非インライン] SOAR
自称SASEエンジニアです。 2児の父親をやりながら、日々エンタープライズ向けの次世代ネットワークインフラと格闘しています。一日一投稿を目標に投稿頑張りますので、是非読んでください！
