ネットワークセグメンテーションがセキュリティとパフォーマンスを向上

ネットワークセグメンテーションは、公開された証拠がインターネットインフラストラクチャ、ガバナンス、運用依存関係、または市場の可視性に関連付けているため、BTW Media によってプロファイルされています。

• ネットワークセグメンテーションは、大規模ネットワークをより小さな分離されたセグメントに分割し、セキュリティを向上させ攻撃面を縮小します。
• ブロードキャストトラフィックを制限し、各セグメントに適したセキュリティポリシーを可能にすることでパフォーマンスが向上します。
• 適切な実装により、規制コンプライアンスの達成や、セキュリティ侵害時のインシデント対応時間の短縮が期待できます。

企業は、相互接続が進む現代において、機密データを侵害し業務を混乱させるサイバーセキュリティの脅威の高まりに直面しています。このリスクを軽減する効果的な戦略がネットワークセグメンテーションであり、大規模ネットワークをより小さく管理しやすい部分に分割します。

このアプローチは、問題を隔離しデータフローを制御することで、セキュリティだけでなくネットワークパフォーマンスも向上させます。組織がデジタル資産を保護する堅牢なソリューションを求める中、ネットワークセグメンテーションの原理と利点を理解することが不可欠になります。

ネットワークセグメンテーションの定義

ネットワークセグメンテーションは、ネットワークを複数のセグメントまたはサブネットに分割するアーキテクチャアプローチであり、それぞれが独自の小規模ネットワークとして機能します。これにより、ネットワーク管理者は詳細なポリシーに基づいてサブネット間のトラフィックフローを制御できます。組織は、監視の向上、パフォーマンスの向上、技術的問題の特定、セキュリティの強化のためにセグメンテーションを利用します。

関連記事：NIC（ネットワークインターフェースカード）に関する主な事実

関連記事：DMZ ネットワーク：定義、動作原理、利点

信頼の仮定

かつて、ネットワークアーキテクトはセキュリティ戦略を内部ネットワークの境界、つまり企業の重要なデータを外部から隔てる見えない線に集中させていました。境界内の人物は信頼できるとみなされ、脅威とは見なされませんでした。そのため、彼らは情報にアクセスする能力にほとんど制限がありませんでした。

しかし、レガシーセキュリティインフラストラクチャは通常、トラフィックの検査と制御の唯一のポイントとして境界ファイアウォールに依存するフラットなネットワークアーキテクチャです。ネットワーク境界はもはや以前のようには存在せず、データセンターのトラフィックのほとんどが東西方向であるため、従来のポートベースのファイアウォールは、クラウドとモバイルの世界では限られた価値しか提供しません。

最近の注目を集めた侵害事例は、この信頼の仮定に疑問を投げかけています。第一に、内部関係者が実際に侵害の原因となることがあり、多くの場合は不注意ですが、時には意図的です。さらに、脅威が境界内に侵入すると、ネットワーク内を横方向に自由に移動し、事実上すべてのデータ、アプリケーション、資産、サービス（DAAS）にアクセスできます。実質的に妨げられないアクセスにより、攻撃者は、多くの場合、侵害が検出される前に、幅広い貴重な資産を容易に持ち出すことができます。

ゼロトラストの対応

想定された信頼の本質的な弱点のため、多くの組織がゼロトラスト戦略を採用し始めました。ゼロトラストは、デフォルトでは誰も信頼できないと仮定し、既にネットワーク境界内にいる者も同様です。ゼロトラストは、組織の最も重要で価値のある DAAS を中心に構築された「保護表面」の原則に基づいて動作します。保護表面にはビジネス運営に最も重要なものだけが含まれるため、そのサイズはネットワーク境界全体の攻撃面よりも数桁小さくなります。

ここでネットワークセグメンテーションが役立ちます。セグメンテーションにより、ネットワークアーキテクトは保護表面の周囲にマイクロ境界を構築し、実質的に第 2 の防衛線を形成できます。場合によっては、仮想ファイアウォールによりセキュリティプロビジョニングを自動化し、セグメンテーションタスクを簡素化できます。方法に関わらず、許可されたユーザーは保護表面内の資産にアクセスでき、それ以外のユーザーはデフォルトでブロックされます。

セグメンテーションは攻撃者にとって悪い知らせです。なぜなら、想定された信頼の時代とは異なり、単に境界を突破するだけでは機密情報にアクセスするのに十分ではないからです。マイクロ境界は、物理的であれ仮想的であれ、脅威がネットワーク内を横方向に移動するのを防ぎ、初期侵害に至った作業の多くを無効にします。

ユースケース

組織はさまざまな用途にネットワークセグメンテーションを利用できます。

ゲストワイヤレスネットワーク：ネットワークセグメンテーションにより、企業は比較的低いリスクで訪問者や請負業者に Wi-Fi サービスを提供できます。誰かがゲスト認証情報で接続すると、インターネットアクセスだけを提供するマイクロセグメントに入ります。

ユーザーグループアクセス：内部侵害を防ぐために、多くの企業は内部部門を、許可されたグループメンバーと業務に必要な DAAS のみを含む個別のサブネットに分割します。サブネット間のアクセスは厳格に制御されます。たとえば、エンジニアリング部門の人物が人事サブネットにアクセスしようとすると、アラートがトリガーされ調査が行われます。

パブリッククラウドセキュリティ：クラウドサービスプロバイダーは通常、クラウドインフラストラクチャのセキュリティに責任を負いますが、お客様は、オペレーティングシステム、プラットフォーム、アクセス制御、データ、知的財産、ソースコード、および通常インフラストラクチャ上に存在する顧客向けコンテンツのセキュリティに責任を負います。セグメンテーションは、パブリックおよびハイブリッドクラウド環境でアプリケーションを分離する効果的な方法です。

PCI DSS準拠：ネットワーク管理者はセグメンテーションを使用して、クレジットカード情報をすべてセキュリティゾーン（本質的には保護表面）に隔離し、そのゾーン内で絶対的に最小限の正当なトラフィックのみを許可し、それ以外は自動的に拒否するルールを作成できます。これらの隔離されたゾーンは、多くの場合、仮想化された SDN であり、PCI DSS 準拠とセグメンテーションを仮想ファイアウォールを通じて実現できます。