ブラウザ分離とは？

ブラウザ分離とは？

ブラウザ分離（リモートブラウジングとも呼ばれる）は、インターネット閲覧活動から、「Webページをローカルに読み込んで表示する」部分を分離する、サイバーセキュリティ手法です。

通常、Webサイト訪問者は、ローカルデバイス上で動作するブラウザでWebページのコンテンツとコードを直接読み込みます。セキュリティの観点からは、このようなコンテンツやコードは未知の配信元（クラウドホスティングやWeb サーバーなど）から来ることが多いため、インターネット閲覧にはかなりの危険が伴います。ですが、ブラウザ分離を支える技術であるリモートブラウザ分離（RBI）を使用することで、Webコンテンツの読み込みと実行を、ローカルデバイスから離れたクラウド上で行うことができます。

危険な環境での監視作業に機械を使用して人間を危険から遠ざけるように、リモートブラウジングは、危険なWebコンテンツの検出を「アウトソース」します。これにより、インターネットユーザー（および接続するネットワーク）を、マルウェアやその他の脅威を運ぶ危険なWebサイトから隔離することができます。

企業がブラウザの分離を使う理由は？

現在では、業務処理が社内ネットワーク内だけで行われることはほとんどありません。その代わりに、従業員は（オンサイト、完全リモート、ハイブリッドを問わず）ほとんどの時間をWebサイトや電子メールなどのクラウドベースのアプリケーションにアクセスして仕事をこなし、それらはWebブラウザを使用して行われます。

ファイアウォール、VPN、ネットワークアクセス制御が内部ネットワークに向けられた攻撃を阻止するのに役立つように、ブラウザ分離はブラウザが発信源となる攻撃を阻止するのに役立ちます。

ブラウザの分離は、本質的にデフォルトで接続要求を信頼しないZero Trustセキュリティモデルの重要な構成要素です。このZero Trustの原則をブラウジングに適用した場合、デフォルトでどのWebサイトのコードもデバイス上で実行することを信頼しないことを意味します。

ブラウザ分離の主な利点

• マルウェア、ランサムウェア、その他の悪意のあるスクリプトがローカルにダウンロードされたり実行されたりすることを防止します
• Webサイト全体をブロックすることなく、悪意のあるWebコンテンツをブロックします。
• ブラウザのzero-day*脆弱性リスクを最小化します

*ゼロデイエクスプロイトとは、これまでに確認されていない、あるいはパッチの提供がない脆弱性を突いた攻撃のことです。稀なケースではありますが、ゼロデイエクスプロイトを阻止することはほぼ不可能です。

リモートブラウザー分離（RBI）とは？

「クラウドホスト型ブラウザ分離」とも呼ばれるリモートブラウザ分離（RBI）技術は、ユーザーのローカルデバイスや組織の内部ネットワークから遠く離れたクラウドサーバーでWebページを読み込み、そのページに関連付けられたすべてのコードを実行します。ユーザーの閲覧セッションは終了時に削除されるため、セッションに関連する悪意のあるCookieやダウンロードは削除されます。

リモートブラウザ分離（RBI）の仕組み

リモートブラウザ分離技術は、信頼できないブラウザの活動をユーザーのデバイスや企業ネットワークからできる限り遠ざけるものです。一般的に、これはユーザーのWebブラウジングをリモートブラウザ分離ベンダーが管理するクラウドサーバー上で行うことで実現します。その後、リモートブラウザ分離がユーザーのデバイスに結果の出力を転送することでユーザーは通常通りWebページを利用できるようになりますが、ローカルブラウザやデバイスに実際にWebページがすべて読み込まれることはありません。マウスクリック、キーボード入力やフォーム送信などのユーザーアクションは、すべてクラウドサーバーに転送され、そこでさらなる制御が加えられます。

リモート型ブラウザの分離を行うサーバが、ユーザーのデバイスにWebコンテンツを送信するには、次の3つの方法があります：

• クラウドからブラウザにストリーミングする：「ピクセルプッシュ」とも呼ばれるこの手法は、Webコンテンツをユーザーのデバイスではなくリモートサーバー上でレンダリングして処理します。次にサーバーはWebページの視覚的表現をインタラクティブな画像または動画ストリームとしてユーザーのデバイスに送信します。高いネットワーク帯域幅を必要とするため、エンドユーザーのブラウジング体験に遅延が生じる可能性がありますが、この方法を使用した場合、悪意のあるコンテンツをリモートサーバーだけに留めることができます。
• クラウド内で各Webページの悪意のあるコンテンツを削除するための書き換えを行った後、ローカルユーザーのブラウザに送信する：ドキュメントオブジェクトモデル（DOM）の再構築とも呼ばれるこの手法は、Webページを隔離された環境で読み込み、潜在的な攻撃を排除するための書き換えを行います。コンテンツが浄化されると、ユーザーのデバイスに送信され、そこでWebページのコードが再度読み込まれて実行されます。この手法の場合、信頼できないサードパーティのコードがローカルデバイスに送信される可能性が残りますが、ピクセルプッシュよりも元のWebページのエクスペリエンスが維持されます。
• 実際のウェブサイトのコードではなく、「描画」コマンドを配信する：Skiaは、Android、Google Chrome、Chrome OS、Mozilla Firefox、その他多くのハードウェアやソフトウェアのプラットフォームで動作するグラフィックエンジンです。ネットワークベクターレンダリング（NVR）と呼ばれるリモートブラウザ分離技術では、このSkiaの「描画」コマンドを中継して暗号化した後、ユーザーのローカルデバイス上で実行されているWebブラウザに「配信」します。NVRはWebサイトの実際のコードではなく、描画コマンドを配信するため、「ピクセルプッシュ」や「ドキュメントオブジェクトモデル（DOM）の再構築」よりも高速で安全です。

ブラウザー分離のその他の種類は？

リモートブラウザ分離に替わる一般的な手法には、オンプレミスとクライアントサイドのブラウザ分離があります：

• オンプレミス型のブラウザ分離は、動作はリモートブラウザ分離と同じですが、組織が完全に管理権を持つ社内サーバー上で行います。
• クライアントサイドブラウザ分離では、特別なソフトウェアがインストールされたユーザーデバイス上にWebページを読み込みます。このソフトウェアは、仮想化技術またはサンドボックス技術を使用して、すべてのブラウジング活動を仮想マシン上に保持します。

クライアントサイド型ブラウザの分離の仕組みとは？

クライアントサイド型ブラウザの分離では、ブラウザセッションを仮想化します。リモート型やオンプレミス型ブラウザの分離とは異なり、クライアントサイド型ブラウザの分離はユーザーのデバイス自体でこれを行います。これは仮想化あるいはサンドボックス化によってブラウジングをデバイスの他の部分から分離しようとします。

仮想化：仮想化とは、コンピュータを物理的に変更することなく、コンピュータを別々の仮想マシンに分割するプロセスです。これは、「ハイパーバイザー」と呼ばれるオペレーティングシステムの下のソフトウェアの層で行われます。理論的には、ある仮想マシンで起こったことは、それらが同じデバイス上にある場合でも、隣接する仮想マシンに影響を与えることはありません。ユーザーのコンピューター内にある別の仮想マシンでWebページを読み込むことで、コンピューターの他の部分の安全性を確保することができます。

サンドボックス化：サンドボックスは、仮想マシンに似ています。これは、安全にテストを実行できる独立したコンテナ型仮想環境です。サンドボックス化は、一般的なマルウェア検出技術です。多くのマルウェア対策ツールは、潜在的に悪意のあるファイルをサンドボックス内で開いて実行し、その動作を確認します。一部のクライアントサイド型ブラウザ分離製品は、Webブラウジングの活動をサンドボックスを使用して安全に閉じ込めるものがあります。

クライアントサイド型ブラウザの分離は、潜在的に悪意のあるコンテンツを実際にユーザーのデバイスに読み込むことになるため、ユーザーとネットワークにリスクをもたらすことに変わりはありません。有害なコードをデバイスから物理的に分離することは他のタイプのブラウザの分離の中核となる概念ですが、クライアントサイド型ブラウザの分離にはこの分離がありません。

リモートブラウザ分離はどのような脅威に対して防御するか？

すべてのWebページとWebアプリは、HTML、CSS、JavaScriptのコードで構成されています。HTMLとCSSはマークアップ言語であり、書式設定命令を提供するのみですが、JavaScriptは完全なプログラミング言語です。JavaScriptは多くのWebアプリケーション機能の実現に非常に有用ですが、悪意を持って使用されることもあります。

JavaScriptを使ったブラウザベースの攻撃は、いくつかの種類があります。以下に最も一般的なものを一部紹介します：

• ドライブバイダウンロード攻撃：Webページを読み込むだけで、悪意のあるペイロードのダウンロードが開始されます。ドライブバイダウンロードは、通常、ブラウザのパッチが適用されていない脆弱性を利用します。
• マルバタイジング：悪意のあるコードが正規の広告ネットワークに挿入されます。悪意のある広告が表示されるとコードが実行され、訪問者は悪意のあるウェブサイトにリダイレクトされてしまいます。
• クリックジャック：ユーザーが意図していないものをクリックしてしまうようにWebページをデザインすることです。クリックジャックは、偽りの広告収入を得るため、ユーザーを安全でないWebサイトに誘導するため、あるいはマルウェアのダウンロードを開始させるために使用されることがあります。

その他の一般的なブラウザ内攻撃（JavaScriptを使用する場合としない場合があります）には、以下のようなものがあります：

• リダイレクト攻撃：ユーザーが正規のURLを読み込もうとすると、攻撃者が管理するURLにリダイレクトされます。
• ブラウザの中間者攻撃：中間者攻撃は、ブラウザの脆弱性を突いてユーザーのブラウザを侵害し、ユーザーに表示されるWebコンテンツを変更したり、ユーザーになりすましたりすることができます。
• クロスサイトスクリプティング：WebサイトやWebアプリに悪意のあるコードが挿入されます。これにより、攻撃者は、セッションクッキーやログイントークンを盗み、正当なユーザーになりすますなど、さまざまな悪意ある活動を行うことができます。

ブラウザセッションを制御された環境に分離することで、ユーザーの端末や組織のネットワークから悪意のあるコンテンツやコードを排除することができます。例えば、ブラウザの分離を使用している組織内のユーザーであれば、ドライブバイダウンロード攻撃の影響を受けることはありません。ダウンロードはリモートサーバーまたはサンドボックス内で行われ、ブラウジングセッションの終了時に破棄されます。

リモートブラウザ分離は、悪意のあるWebスクリプトを含まない脅威をブロックできるか？

リモートブラウザ分離の新たな活用例には、ブラウザ内部で動作する攻撃の阻止以外にも、次のようなものがあります：

• マルウェアからユーザーを保護：HTTPSインスペクション、セキュアWebゲートウェイ（SWG）、その他のZero Trustセキュリティサービスとリモートブラウザ分離を連携することで、ウイルス、ワーム、トロイの木馬、ランサムウェア、その他のマルウェアの拡散を阻止することができます。
• マルチチャネルのフィッシング攻撃の阻止：多くの攻撃者は、ユーザーをアカウント侵害やデータ流出の危険にさらす最初の手段として、メールにリンクを埋め込みます。リモートブラウザ分離をZero Trustクラウドメールセキュリティと連携させることで、こうした「マルチチャネル」フィッシング攻撃のリスクを排除することができます。
• サードパーティ権限の管理：リモートブラウザ分離をクラウドベースのIDおよびアクセス管理（IAM）ソリューションと連携させることで、リスクの高いサードパーティユーザに対するリモートブラウザ分離ポリシーを自動適用することができます（契約社員が特定のWebページに認証情報を入力するのをブロックするなど）。

Cloudflareのブラウザ分離はどのように役立つか？

Zero Trustセキュリティモデルは、ユーザーがWebサイトを99回安全に読み込めたとしても、100回目にWebサイトの安全性が損なわれている可能性があると仮定しています。ブラウザ分離は、この仮定を際に実装する方法の 1 つです。

CloudflareのZero Trustプラットフォームの一部として、Cloudflareのブラウザ分離はこの「決して信用しない」という考え方をインターネット閲覧に適用しています。Zero Trustのブラウジングは、信頼できないWebコンテンツからユーザーを隔離し、信頼できないユーザーやデバイスからブラウザ操作のデータを保護します。

Cloudflareのリモートブラウザ分離サービスは、安全な描画コマンドをデバイスに配信するためにNVR技術を採用することで、あらゆるブラウザ、あらゆるWebページとの互換性を確保し、悪意のあるWebページコードの送信を阻止し、遅延を最小限に抑えます。Cloudflareのブラウザ分離は、専用に構築されたグローバルネットワーク上で稼働するネットワーク接続サービスとZero Trustセキュリティサービスを組み合わせたSASEプラットフォームであるCloudflare Oneに含まれています。