マイクロセグメンテーションは、ネットワークをより小さな「セグメント」に分割し、セキュリティとデータトラフィックの制御を強化するネットワークセキュリティ戦略だ。主にネットワークの外周を防御する従来のネットワークセキュリティとは異なり、マイクロセグメンテーションはネットワーク内部の個々のワークロードやデバイスの保護に重点を置く。
マイクロセグメンテーションの導入は複雑になり得るが、セキュリティの強化と管理の容易化というメリットは大きい。本ガイドでは、ネットワークにおけるマイクロセグメンテーションの基本概念、メリット、ベストプラクティスについて解説する。
マイクロセグメンテーションの仕組み
マイクロセグメンテーションは、ネットワークをマイクロセグメントと呼ばれる、より小さな独立したセグメントに分割することで機能する。これらのセグメントは個別のセキュリティ境界として機能し、組織はインフラのさまざまな構成要素間を流れるネットワークトラフィックを制御・監視できる。マイクロセグメンテーションは、大きく次の3つの方式に分類できる。
- エージェントベースのマイクロセグメンテーション：ネットワークワークロードにソフトウェアエージェントをインストールし、セグメンテーションポリシーを適用する。
- ネットワークベースのマイクロセグメンテーション：、スイッチ、ルーター、ソフトウェア定義ネットワーク（SDN）などのネットワークインフラコンポーネントを利用して、セグメンテーションポリシーを適用する。
- クラウドネイティブなマイクロセグメンテーション：などのクラウドサービスプロバイダーと統合し、Google CloudやAWSが提供するセキュリティ機能を利用して、クラウド環境にセグメンテーションポリシーを適用する。
マイクロセグメンテーションはネットワークセグメンテーションとどう違うのか？
ネットワークセグメンテーションは基本概念として、ネットワークをサブネットワークに分割することを意味する。この分割は、部門の区分、チームの境界、さらには物理的な場所などの基準に基づいて行われることが多い。通常は、ファイアウォール、ルーター、仮想LAN（VLAN）を利用して実現する。
ただし、攻撃者が侵入すると、攻撃対象領域内を比較的容易に移動できる。ネットワークセグメントに機密データが存在する場合、そのデータは必ずしも他のデータから分離されておらず、独自のセキュリティプロトコルも備えていない可能性が高い。
マイクロセグメンテーションでは、ネットワーク内のデータを完全にマッピングし、重要度と必要なアクセス権限に応じて分類・分離する。データの中でも特に機密性の高いマイクロセグメントを特定したら、より具体的なセキュリティ境界を適用し、多要素認証（MFA）の要件など、その他の安全対策も講じる。
マイクロセグメンテーションはネットワークでどのように利用されるのか？
マイクロセグメンテーションは、ネットワークをより小さなセグメントに分割し、各セグメントに固有のアクセス ポリシーを適用することで、保護、制御、監視を強化するためにネットワークで利用される。また、最新のクラウド環境やデータセンター環境において、ネットワークトラフィックをきめ細かく制御し、セキュリティゾーンを分離して、機密データをサイバー脅威から守るうえでも重要だ。
マイクロセグメンテーションのメリット
Statistaの最近のレポートによると、先進的な企業の回答者の80％超が、マイクロセグメンテーションは自社のゼロトラストセキュリティ戦略に大きな影響を与えると考えていた。最も大きなメリットとして挙げられたのは、運用効率の向上とセキュリティチームの可用性向上だった。
マイクロセグメンテーションには、その他にも次のようなメリットがある。
脆弱性への露出を低減
マイクロセグメンテーションはネットワークセグメントを分離することで、脆弱性への露出を低減する。これにより、攻撃者がネットワーク内を横方向に移動することがより困難になる。
規制遵守を強化
マイクロセグメンテーションは、組織が規制遵守の要件を満たすのに役立つ。機密データとシステムが適切に保護され、監査されるようにすることで、罰金や法的問題を回避できる。
ポリシー管理を効率化
マイクロセグメンテーションを使えば、個々のユーザーの権限を追跡・維持するのではなく、各ネットワークセグメントに固有のセキュリティルールを定義して適用できるため、ポリシー管理が簡素化される。
マイクロセグメンテーションの一般的な課題
マイクロセグメンテーションの導入には、インフラの適応、プロセスの最適化、既存ツールとの統合など、いくつかの一般的な課題がある。
インフラの適応
マイクロセグメンテーションの導入では、既存のネットワークインフラの変更が必要になることが多く、分割されたネットワークアーキテクチャに対応するため、更新や新しいテクノロジーへの投資が必要になる可能性がある。
プロセスの最適化
組織は、新しいマイクロセグメンテーション戦略に合わせてネットワークとセキュリティのプロセスを再評価し、最適化しなければならない場合がある。これは、少なくとも導入当初は複雑で、多大なリソースを必要とする可能性がある。
既存ツールとの統合
マイクロセグメンテーションを既存のネットワークセキュリティツールやシステムに統合するのは難しい場合がある。シームレスな運用と管理を実現するには、互換性の問題への対応や設定の調整が必要になる可能性があるためだ。
マイクロセグメンテーションのベストプラクティスとは？
マイクロセグメンテーションを効果的に導入するには、次のベストプラクティスに従うことが重要だ。
境界を慎重に定義する
時間をかけてネットワーク内のデータフローと依存関係を把握し、ネットワークの各部分を分離する境界を定義する。境界を設定する際は、事業部門、部署、セキュリティゾーンなどの要素を考慮する。効果的なセキュリティポリシーを作成するには、境界を正確に定義することが不可欠だ。
アプリケーションを理解する
さまざまなアプリケーションがどのように相互に連携するかを理解する。関連するアプリケーションをまとめ、それぞれの固有のニーズとセキュリティ要件に沿ったセグメントを作成する。このアプローチにより、ポリシー管理が簡素化され、アプリケーションの動作に合わせてセキュリティ対策を調整できる。
アクセスレベルを特定する
組織内の役割と責任に基づいて、異なるアクセスレベルを明確に定義する。ユーザーとシステムがそれぞれのタスクに必要なリソースにのみアクセスできるようにする、最小権限の原則を導入する。
セグメンテーションを段階的に導入する
段階的な導入から始め、まずは機密性の高い領域に重点を置く。この段階的なアプローチにより、ポリシーを微調整し、問題を特定して対処できるほか、ネットワークの他の領域に拡大する前に初期セグメントから学ぶことができる。
マイクロセグメンテーションの種類
マイクロセグメンテーションにはさまざまな種類があり、それぞれ特定の目的を果たすよう設計されている。アプリケーション、ユーザー、ティア、環境によるセグメンテーションなどがある。
アプリケーションセグメンテーション
アプリケーションセグメンテーションは、セキュリティ境界を作成してアクセスを制御することで、機密データを扱うアプリケーションの保護に重点を置く。ネットワークアプリケーション間の東西トラフィックを効率的に管理する。
ユーザーセグメンテーション
ユーザーセグメンテーションは、役割とグループメンバーシップに基づいてユーザーのアクセスを制限する。これにより、ネットワークリソースの可視性を限定し、アクセスを個別に設定できる。
ティアレベルセグメンテーション
ティアレベルセグメンテーションは、組織内の異なるティアを分離して保護する。これにより、処理ティアとデータティアの間など、ティア間の通信を制御しながら、Webサーバーへのアクセスを制限できる。
環境セグメンテーション
環境セグメンテーションは、開発、テスト、本番、ステージングなど、さまざまな環境を持つネットワークに不可欠だ。これらの環境を分離し、環境間の通信を制限することで、攻撃者がネットワーク全体の脆弱性を悪用するのを防ぐ。
ファイアウォールとマイクロセグメンテーションの違い
ファイアウォールとマイクロセグメンテーションは、どちらもネットワークセキュリティを強化する役割を担う。ただし、ネットワークセキュリティへのアプローチは異なる。
1つのファイアウォールは、あらかじめ設定されたルールに基づいてネットワークトラフィックを監視・制御する。信頼された内部ネットワークと信頼されていない外部ネットワークの間に障壁を作り、不正アクセスを防止してサイバー脅威から保護する。代表的なファイアウォールソフトウェアにはNorton、Fortinet、およびpfSenseが含まれる。
マイクロセグメンテーションは、内部ネットワーク内のトラフィックの保護に重点を置く。アプリケーションの認識、ユーザーのID、特定のワークロード属性に基づいてセキュリティポリシーを適用する。
つまり、ファイアウォールとマイクロセグメンテーションはどちらも、企業のネットワークセキュリティスタック全体を構成する重要な要素であり、一方が他方を打ち消すものではない。
まとめ：マイクロセグメンテーションが企業ネットワークのセキュリティと管理を強化
マイクロセグメンテーションは、ネットワーク内の精密な制御に重点を置くことで、ネットワークセキュリティを強化する効果的な戦略だ。また、より広範なゼロトラストアーキテクチャの取り組みにおける重要な要素でもある。導入には一定の課題が伴う可能性があるものの、セキュリティと制御の向上というメリットを考えれば、中規模または大規模な企業ネットワークにとって価値ある投資だ。
ネットワークのセグメンテーションに関する詳しいアドバイスと情報については、次のおすすめガイドを参照してほしい：