こんにちは！ネットワークやセキュリティの世界に足を踏み入れたばかりの皆さん、日々のインフラ学習お疲れ様です。
「社内ネットワークの内側にいれば安全」「VPNで繋げばどこからでも社内と同じように働ける」――そんな、かつての「境界防御」の時代は、いまや昔の話になりつつあります。リモートワークが当たり前になり、クラウドサービスの利用が急増した現代において、私たちは「誰も信用しない、常に検証する」というゼロトラストの思想へとシフトしていかなければなりません。
今回は、そのゼロトラストの主役の一つであるZTNA（ゼロトラストネットワークアクセス）と、エンドポイントの守り神であるEDR（Endpoint Detection and Response）がどのように手を取り合い、私たちのシステムを守っているのかについて、身近な例えを交えながら優しく紐解いていきたいと思います。
一歩ずつ、リラックスして読み進めていきてくださいね！
—
1. 昔ながらの「社員証スタイル」と、現代のセキュリティの限界
まずは、これまでの「境界防御」の世界を想像してみましょう。
会社のエントランスで警備員さんに社員証を見せれば、ビルの中に入ることができますよね。一度ビルの中に入ってしまえば、どのフロアを歩いていても、会議室に入る時も、基本的には「あの人は社員証を持っているから大丈夫（安全）」と信じてもらえます。これが従来のVPNや社内LANの考え方でした。
しかし、もしその社員証を悪意ある第三者が盗み見たり、実はその社員のパソコンが遠隔操作ウイルス（マルウェア）に感染してしまっていたらどうでしょう？ 警備員さんは「社員証を持っているから」という理由で、危険な人物をオフィスの中へ通してしまうことになります。
これではあまりにも危なっかしいですよね。そこで登場するのがZTNAです。
ZTNAは、「一度社内に入ったからといって、すべてを信用しない」というアプローチをとります。たとえ正しいパスワードを知っている人であっても、「今、その人が使っているパソコンは本当に安全な状態か？」を、毎秒、毎瞬チェックし続ける仕組みなんです。
—
2. EDRってなに？ 郵便配達と「健康診断」の例え
ここで重要になるのがEDRという仕組みです。CrowdStrikeやMicrosoft Defenderといった名前を聞いたことがあるかもしれません。
EDRは、パソコン（エンドポイント）の内部を常に監視し、「変な動きをしていないか？」を見張っている番犬のような存在です。
ここで少し、郵便配達の仕組みに例えてみましょう。
あるお家（あなたのパソコン）に、怪しい荷物（マルウェア）が届いたとします。もし郵便配達員（EDR）が「おや、この荷物、送り主の住所が変だし、中から変な音がするぞ！」と気づいたら、どうするでしょうか？
すぐに警察や本部に「この家宛ての荷物に危険な兆候があります！」と連絡を入れますよね。
EDRもこれと全く同じです。
パソコンの中で「見慣れないプログラムがこっそり動き出した」「怪しい海外のサーバーと通信しようとしている」といった不審な挙動（シグナル）を検知すると、EDRはすぐさま「このパソコン、今ちょっと危ない状態かもしれないです！」というアラート（シグナル）を外へ発信します。
—
3. ZTNAとEDRのリアルタイム連携：現場では何が起きているのか？
さて、ここからが今回の本題です。
EDRが発した「危ないかも！」というシグナルを、ZTNAの頭脳であるポリシーエンジンがリアルタイムでキャッチすると、どのようなドラマがネットワーク上で繰り広げられるのでしょうか？
普段、Aさんは自分のノートPCから、会社の重要な顧客管理システム（クラウド上のアプリ）にスムーズにアクセスできていました。
ある日、Aさんがうっかり怪しいメールの添付ファイルを開いてしまい、PCがランサムウェアに感染しかけたとします。
1. 検知: PCに常駐しているEDRが、その不正な動きをミリ秒単位で察知します。
2. 通報: EDRはクラウド上の管理基盤を通じて、ZTNAのシステムへ「PCの安全スコアが急降下しました！」というシグナルをAPI経由で即座に飛ばします。
3. 動的遮断: ZTNAのポリシーエンジンは、「なるほど、Aさんの身分証明は正しいけれど、今使っているそのPCは危険な状態だな」と判断します。そして、「顧客管理システムへのアクセス権を、今この瞬間から剥奪（または制限）する」という命令をネットワーク機器に下します。
結果として、Aさんが慌ててシステムにアクセスしようとしても、画面には「お使いのデバイスにセキュリティ上のリスクが検知されたため、アクセスが拒否されました」と冷たく表示されるわけです。
このように、人間の手動による対応を待つことなく、システム同士が連携して自動的に門を閉ざす仕組みを「動的なアクセス権の剥奪・制限」と呼びます。
—
4. 実務で役立つ！ ポリシー連携のイメージと設定の考え方
「なるほど、仕組みは分かったけれど、実際の現場ではどうやって設定するの？」
そんな疑問を持つ方のために、ZTNAポリシーエンジンがEDRからのシグナルを受け取った際に動作する、擬似的な設定ファイルのイメージを見てみましょう。
実際の製品（Cloudflare One、Palo Alto Prisma Access、Zscalerなど）によって書き方は異なりますが、概念的な考え方は共通しています。
# ZTNA アクセス制御ポリシーのサンプル設定
policy_name: "secure-access-to-crm"
description: "EDRの健康状態と連動した顧客管理システムへのアクセス制御"
# 誰からのアクセスを対象にするか
target_users:
- group: "all-employees"
# アクセスを許可するための「条件（ポスチャーチェック）」
conditions:
- device_identity: "valid"
- edr_status:
provider: "CrowdStrike"
# EDRのデバイス評価（ZTAスコアや脅威レベル）を指定
# 例: "low" (安全) の場合のみ許可し、"medium" や "high" なら即座に弾く
max_allowed_threat_level: "low"
# 条件を満たさない場合の振る舞い
action_on_violation:
- block_access: true
- notify_user: "お使いのデバイスでセキュリティアラートが検知されました。情シスへご連絡ください。"
- trigger_remediation: "edr_isolation" # 必要に応じてネットワークから隔離するこのように、ポリシーファイルの中で「max_allowed_threat_level: "low"」といった閾値（しきいち）を設けておきます。EDRから送られてくるシグナルがこの基準を超えた瞬間、ZTNAは自動的にアクセスを遮断するのです。
—
5. トラブルシューティングの現場から：よくある落とし穴
現場でこのZTNAとEDRの連携を構築・運用していると、たまにこんなトラブルに直面することがあります。
- 「誤検知（False Positive）で正社員が仕事できなくなった件」
社内の開発者がちょっと特殊なコンパイルツールを入れただけで、EDRが「怪しい挙動だ！」と勘違いして危険信号を出し、ZTNAが慌ててその人のアクセスをすべて遮断してしまう……というケースがよくあります。
対策: EDR側の検知チューニングを適切に行うとともに、ZTNA側で一時的な例外申請フローや、警告（Warning）レベル留めにしておいて自己修復を促す猶予期間を設けるなど、ビジネスの止まらない工夫が現場のエンジニアには求められます。
ネットワークの向こう側で、APIやWebhookといった目に見えない糸がピンと張り巡らされ、パケットやJSONデータが秒速で飛び交うことで、私たちの安全なリモートワーク環境が保たれているのです。
—
まとめ
今回は、ZTNAとEDRのリアルタイム連携について、身近な例えを交えながら解説しました。
- 従来の境界防御（社員証を見せれば安心）は終わりを告げた。
- ZTNAは、ユーザーだけでなく「デバイスの健康状態」を常に監視する。
- EDRが危険なシグナルをキャッチすると、ZTNAがリアルタイムで動的にアクセス権を剥奪・制限する。
- 現場では、誤検知による業務停止を防ぎつつ、セキュリティを担保するバランス感覚が重要になる。
「セキュリティを厳しくしすぎると仕事がしづらくなる、かといって緩めると会社が危ない」――このジレンマをスマートに解決してくれるのが、今回ご紹介したZTNAとEDRの連携技術です。
インフラやネットワークの世界は、一見すると難解な用語ばかりで尻込みしてしまうかもしれませんが、身近な世界に置き換えてみると、とても理にかなった面白い仕組みで成り立っています。
一歩ずつ、着実に知識を深めていきながら、これからのゼロトラスト時代を支える素敵なエンジニアを目指していきましょう！ それではまた次回の記事でお会いしましょう！
コメント