境界防御の終焉と「CASB」という守護神：実務で活かす4つの基本柱
ネットワークエンジニアとして現場に立ち続けていると、かつての「社内LANは聖域」という幻想がいかに脆弱だったかを痛感させられます。テレワークが常態化し、SaaSを使い倒す現代において、もはや「境界」はパケットが飛び交うクラウドの彼方に溶けてしまいました。
そこで登場するのが SASE（Secure Access Service Edge） の一翼を担う CASB（Cloud Access Security Broker） です。今回は、概念論で終わらせず、現場の運用者が見るべき「CASBの4つの柱」を深掘りします。
—
1. 可視化（Visibility）：シャドーITはログの中に眠る
「情シスが許可していないSaaSを、誰がどれだけ使っているか？」——この問いに即答できないなら、あなたのネットワークは既に穴だらけです。
CASBの可視化機能は、プロキシログやAPI経由のトラフィック分析で「誰が・どのクラウドに・何を」送っているかを炙り出します。特に重要なのが、HTTPヘッダーの解析です。例えば、X-Tenant-ID を制限することで、個人のGoogleアカウント利用を禁止し、会社のアカウントのみを許可する設定などは、実務の現場では「鉄板」の制御です。
2. コンプライアンス（Compliance）：ガバナンスをコード化する
クラウドの利用規約や法規制を人手で守らせるのは不可能です。CASBは、クラウド側の設定（CSPM的な側面）や、利用者の操作ログを監視します。
例えば、Google Driveの「共有リンク」が「全公開」になっていないか？といった設定ミスを検知します。以下は、PythonでCASBのAPIを叩き、特定のSaaSの共有設定を監査する簡単なイメージです。
import requests
# CASBの監査APIエンドポイント
api_url = "https://casb-service.example.com/api/v1/audit/sharing-settings"
headers = {"Authorization": "Bearer YOUR_API_TOKEN"}
def check_public_shares():
response = requests.get(api_url, headers=headers)
if response.status_code == 200:
data = response.json()
# 共有設定が 'public' なファイルを探すロジック
for file in data['files']:
if file['visibility'] == 'public':
print(f"警告: ファイル {file['id']} が公開設定です！")
else:
print("API接続エラー: ネットワーク構成を確認してください")
check_public_shares()3. データ保護（Data Security）：DLPエンジンとの連携
CASBの真骨頂は DLP（Data Loss Prevention） です。機密情報（カード番号やマイナンバー、あるいは「極秘」という文字列）が、外部SaaSへアップロードされる瞬間に「待った」をかけます。
ここで重要なのは、Content-Type や Content-Disposition の検査です。curl を使ってアップロードを模倣し、CASBが正しくブロックするかテストする際は、以下のようにペイロードを流し込みます。
# 機密データを含むファイルをシミュレートしてアップロードを試みる
# CASBがインラインで動作していれば、403 Forbidden が返るはずです
curl -X POST https://api.storage-service.com/upload \
-H "Authorization: Bearer <TOKEN>" \
-F "file=@confidential_data.txt" \
-v
# 現場のTips: -v オプションを忘れずに。HTTP 403が返るか、
# どのプロキシを通っているかを確認するのがデバッグの第一歩です。4. 脅威防御（Threat Protection）：異常検知の深層
最後は脅威防御です。これは単純なシグネチャベースのウイルス検知ではありません。「普段は東京からアクセスしている社員が、深夜にモスクワから、大量のデータをダウンロードしている」といった UEBA（User and Entity Behavior Analytics） による振る舞い検知が肝です。
実務で役立つ設定のポイント
CASBを導入する際、インライン（プロキシ方式）で通信をインターセプトすると、どうしてもレイテンシが増大します。以下の点を設計時に確認してください。
- SSL/TLS復号の負荷: HTTPS通信を覗くため、クライアントへの証明書配布（Root CA）が必須です。これが漏れるとブラウザが警告を出し、現場から「つながらない！」と苦情が殺到します。
- バイパス設定の明確化: ZoomやTeamsなどのリアルタイム通信まで全件検査すると、遅延で会議が崩壊します。特定の信頼できるドメインは、CASBの検査対象から除外（Bypass）する柔軟なACL設計が重要です。
—
現場のエンジニアへ：明日からできること
CASBは魔法の箱ではありません。まずは、自社のプロキシログから「上位10個のSaaS」を特定してみてください。そこから、誰が何のためにそれを使っているのかをヒアリングし、CASBのポリシーを一つひとつ適用していく。この泥臭い積み重ねこそが、ゼロトラスト時代の「守り」の正体です。
技術は移ろいますが、パケットを観察し、異常を見抜くエンジニアの直感は変わりません。まずは今日、手元のパケットキャプチャを眺めるところから始めてみませんか？
コメント