ネットワーク セグメンテーションとは

ネットワーク セグメンテーションのメリット

使用するスキーマを問わず、セグメント化されたネットワークには、階層やサブネットのないフラットなネットワークに比べて、以下のような明確なメリットがあります。

• 機密データに対するサイバーセキュリティーの強化:このメリットには、侵害防止(南北方向の移動)、アクセス制御の強化、および各セグメントに対する個別のセキュリティー制御が含まれます。
• 規制コンプライアンスの要件への対応の簡素化:特定のデータにアクセスできるユーザーとそのデータの流れを制限することで、PCI DSSやGDPRなどの業界および政府の規制に対するコンプライアンスの証明と監査が簡素化されます。
• リスク分析とダメージ コントロールの簡素化:サイバー犯罪者がネットワーク全体を自由に移動できなければ、攻撃手法や組織のセキュリティー ポスチャーの弱点を特定することが容易になります。
• エンドポイントとユーザーの保護:これは双方にメリットが出るもので、エンドユーザーとデバイスは、脅威がエンドポイントに広がりにくいセグメント化されたネットワークではより安全となり、セグメント自体も、エンドポイントに起因する脅威から守られます。
• ネットワークの輻輳の軽減:一つのセグメントのアクティビティーによって、ネットワークの別の部分のアクティビティーが抑制されることはありません。小売店を例に挙げると、買い物客がゲストWi-Fiを使用していても、クレジットカードの決済処理が遅くなることはありません。

ネットワーク セグメンテーションのベスト プラクティス

効果的なネットワーク セグメンテーション モデルを実装、保守するための正しい方法の例として、ネットワーク セグメンテーションの5種類のベスト プラクティスを紹介します。

1. 過剰なセグメンテーションを避けること

初めてセグメンテーションを行う際、ネットワークを過度にセグメント化する組織が多く見られます。この場合、ネットワーク全体の可視性が低下し、セグメント化する前よりも管理が難しくなります。ただし、ネットワーク セグメンテーションが不十分にならないようにすることも重要です。セグメンテーションが不十分だと、攻撃対象領域が広いままとなり、セキュリティー ポスチャーが損なわれます。

2. 定期的な監査を実施すること

ネットワーク セグメンテーションはネットワークのセキュリティーを向上させる優れた方法ですが、脆弱性が排除されているか、アクセスの付与が厳重か、そしてアップデートがインストールされているかを継続的にチェックすることで初めて効果を発揮します。そして何より、セグメントの監査を通じ、悪用可能なギャップを保護範囲からなくし、ネットワークのリスクを軽減することで、苛烈な悪意のあるアクターに対して有利な立ち位置を維持できます。

3. 最小特権の原則に従うこと

最小特権アクセスは、アクセス管理全般を左右するものですが、ネットワーク セグメンテーションにおいてもその重要性は変わりません。最小特権の原則をすべてのネットワーク セグメントに適用することで、ユーザー、ネットワーク管理者、およびセキュリティー部門に対して、必要な場合にのみアクセスを許可することができます。最小特権アクセスがゼロトラスト ネットワーク アクセスの根本をなす理由は、まさにこの点にあります。

4. サードパーティーのアクセスを制限すること

サードパーティーのユーザーにアクセスを付与することは、それだけで高いリスクを伴います。そのため、特にさまざまなネットワーク セグメントに対してアクセスを付与する場合は、必要な部分にのみアクセスを付与することが重要です。セグメンテーションによってネットワーク全体のリスクは軽減されますが、ネットワークのセキュリティー ポスチャーにどのような影響を及ぼすかを考慮せずに、サードパーティーにアクセスを与えることは推奨されません。

5. 可能な部分を自動化すること

ネットワークをセグメント化すると、自動化を行える貴重な機会が数多く得られます。自動化には可視性の向上、平均修復時間(MTTR)の短縮、セキュリティーの改善といった一般的なメリットがありますが、ネットワーク セグメンテーションを自動化すると、新しい資産やデータをすばやく識別して分類することができます。そして、これ自体がセグメンテーションのベスト プラクティスの一つでもあります。

従来のセグメンテーションの欠点

複数のクラウドやデータ センターに分散された現在の複雑なネットワーク アーキテクチャーにおいて、従来のファイアウォールやVLANのセグメンテーション モデルに大きな弱点があるという点は軽視できません。

従来のファイアウォールには、水平移動を可能にするフラットなネットワークを構築してしまうという、セグメンテーションの利点を損なう重大な欠点があります。これを補うのは運用上大きな負担がかかるうえに複雑であるため、実現はほぼ不可能です。多くの追加機能がある次世代ファイアウォールも、アプリケーションへのアクセスのためにユーザーをネットワーク上に置くことには変わりはありません。また、VLANにも同じ弱点があります。

従来のアプローチでは、以下の課題への対処が必要になります。

• 過度の信頼:従来のファイアウォールベースのセグメンテーションは外部からの攻撃を防ぐように構築されており、内部の脅威に対して脆弱性が残る可能性があります。
• 設定ミス:現代のアーキテクチャーではVLANに設定ミスが生じる可能性が大いにあり、特にサードパーティーのクラウド プロバイダーを使用していて、自分でインフラストラクチャーを変更できない場合には注意が必要です。
• 管理の作業負荷の高さ:新しいアプリやデバイスを使用したり変更を適用する場合には、その都度ファイアウォール ルールを更新する必要が生じることになり、脆弱性スキャンなどの日常的な作業についてもより多くのリソースが必要になります。
• 制御の複雑さ:従来の方法はきめ細かい制御に欠けているため、リモート ワーカーやパートナー、顧客などのセグメンテーション ポリシーを定義するのが複雑になります。
• スケーラビリティーの問題:ネットワークの拡大に対処するには、より小さなセグメントを作成するか、既存のセグメントをアップグレードする必要があるため、拡張と保守のコストが高くなります。
• パフォーマンスの低下:ファイアウォールやルーターなどのネットワーク デバイスを追加すると、ネットワーク全体のパフォーマンスに悪影響が生じます。