信頼できる場所（ブランチオフィスなど）からトンネル（GRE/IPSec）が既に設定されている場合、信頼されているネットワークでは「Tunnel v2.0」、信頼されていないネットワークでは「なし」の設定が推奨されます。これにより、Zscaler Client Connectorは企業ネットワーク上では事前に確立されたトンネルを使用し、信頼されていないネットワークでは直接接続またはその他の安全な方法（VPNやZCCトンネルなど）にフォールバックします。これは、Zscalerのハイブリッド展開に関するベストプラクティスと一致しています。
参考資料: Zscaler デジタルトランスフォーメーション学習ガイド - トラフィック転送と導入モデル > クライアントコネクタ転送プロファイル設定

ZPA管理コンソール（またはAPI/Infrastructure-as#Code経由）でサーバーグループを作成する際、そのサーバーグループにサービスを提供するApp Connectorグループを明示的に選択します。これらのコネクタグループは、到達可能性を通知し、含まれるアプリケーションサーバーへのトラフィックを誘導するために使用されます。

ZscalerのDeception機能は、不正なアクティビティや不審なアクティビティを特定する偽装アセットやトラップを展開することで、内部リソースへのアクセスを試みる侵入者を検知します。このプロアクティブな脅威検知アプローチは、他の防御を回避した攻撃者を特定するのに役立ちます。

ブラウザ分離は、Webページをリモートのコンテナ環境でレンダリングすることで、潜在的に悪意のある、または信頼できないWebサイトへの安全なアクセスを可能にします。これにより、有害なコンテンツがユーザーのデバイスから隔離され、エンドポイントのセキュリティを損なうことなく安全なブラウジングが確保されます。このアプローチは、従来のコンテンツフィルタリングでは不十分な、未知のURLやリスクの高いURLに対して特に効果的です。
参考資料: Zscaler デジタルトランスフォーメーション学習ガイド - Zscaler クラウドセキュリティサービス > ブラウザ分離

Zscaler Identity Threat Detection and Responseは、主にLDAPクエリを実行することで、Active Directory（AD）ドメインに関する情報を収集します。LDAPクエリにより、システムはADインフラストラクチャからユーザーとドメイン情報を直接かつ正確に取得できるため、アイデンティティ脅威や不審なアクティビティの検出と分析が可能になります。
学習ガイドでは、このセキュリティ コンテキストで AD ドメイン データにアクセスするための信頼性の高い標準的な方法として、LDAP クエリの使用を強調しています。