マイクロセグメンテーションとは

マイクロセグメンテーションとは、ネットワークを小さな個別のセグメントに分割し、セキュリティを強化する戦略です。各セグメントまたはワークロードを相互に分離することで、データセンターやクラウド環境に、個別に保護できる、よりきめ細かなセキュアゾーンを構築します。

マイクロセグメンテーションでワークロードとアプリケーションを分離することにより、潜在的な攻撃対象領域を縮小し、セキュリティ侵害の影響を抑えることができます。また、管理者は、最小権限とゼロトラストの原則に基づいてトラフィックを制限するセキュリティポリシーを管理できます。さらに、ネットワークトラフィックの可視性を高め、そのフローをより適切に制御できます。

マイクロセグメンテーションで何が可能になるのか

マイクロセグメンテーションは、組織に次のような多くのメリットをもたらします。

• 攻撃対象領域の縮小：ネットワークをより小さなセグメントに分割することで、マイクロセグメンテーションは攻撃対象領域を縮小し、攻撃者が重要な資産にアクセスしにくくします。
• 侵害の封じ込めを強化：侵害が発生した場合、マイクロセグメンテーションは、攻撃者によるネットワーク内の移動を制限し、攻撃の影響を封じ込めるのに役立ちます。ネットワーク内の影響を受けた領域を隔離することで、マルウェアなどの悪意ある活動の拡散を防ぎ、侵害によって生じ得る被害を軽減できます。
• 規制コンプライアンスの強化：多くの規制フレームワークでは、機密データを保護するために、組織に強力なアクセス制御とセキュリティ対策の実装を求めています。マイクロセグメンテーションにより、許可されたユーザーとアプリケーションのみが機密リソースにアクセスできるようにすることで、組織が規制基準への準拠を実証しやすくなります。
• ポリシー管理の簡素化：マイクロセグメンテーションでは、ネットワークの特定のセグメントにセキュリティポリシーを適用できるため、ポリシー管理を簡素化できます。デバイスやユーザーごとのポリシー管理が難しい大規模または複雑なネットワークで、特に有用です。

マイクロセグメンテーションによって生じる課題とは？

マイクロセグメンテーションは、適切に計画・実装されていない場合、ネットワークのパフォーマンスとセキュリティに課題をもたらす可能性があります。

• パフォーマンスの低下。マイクロセグメンテーションにより、ネットワークの監視と管理が複雑になる可能性があります。また、ネットワークを細かく分割しすぎたり、セキュリティポリシーを過剰に適用したりすると、ネットワークトラフィックのパターンに影響し、ネットワークパフォーマンスが制限される可能性があります。各セグメントにセキュリティポリシーを適用すると、ネットワークに追加のオーバーヘッドが生じ、遅延やネットワークパフォーマンスの低下につながる可能性があります。
• セキュリティ上の不備。マイクロセグメンテーションは強力なセキュリティ手法ですが、すべてのトラフィックが適切にフィルタリングされ、許可または拒否されるように、ポリシーを正しく設定する必要があります。設定ミスや一貫性のないポリシー適用は、セキュリティ上の不備、正当なトラフィックの遮断、潜在的な脆弱性につながる可能性があります。

組織は、セグメントの数と規模、適用するセキュリティポリシー、ネットワークトラフィックパターンへの影響などを考慮し、マイクロセグメンテーション戦略を慎重に策定する必要があります。マイクロセグメンテーションがネットワークパフォーマンスに悪影響を及ぼしたり、セキュリティ上の不備を生じさせたりしないよう、適切なテストと監視を実施する必要があります。

マイクロセグメンテーションの仕組み

マイクロセグメンテーションにより、組織はネットワーク内にセキュアなゾーンやセグメントを構築し、ネットワークトラフィックをきめ細かく制御して、攻撃対象領域を最小限に抑えることができます。各セグメントには、セグメント間で許可されたトラフィックのみが流れるようにするポリシーと制御を適用し、セキュリティを確保します。

マイクロセグメンテーションは通常、物理ネットワークインフラストラクチャから独立した仮想ネットワークを構築できるソフトウェア定義ネットワーキング（SDN）を使用して実装されます。各ネットワークセグメントは、そのセグメントへの出入りを許可するトラフィックの種類を定義したポリシーによって保護されます。たとえば、アクセス制御リスト（ACL）を使用して、各セグメントへのアクセスを許可するユーザーやデバイスを制御できます。侵入検知・防御システム（IDPS）を使用すると、各セグメント内の悪意のあるアクティビティを検知してブロックできます。また、暗号化により、セグメント間を移動するデータを保護できます。

マイクロセグメンテーションにより、ネットワークトラフィックをきめ細かく可視化、制御できるため、不正なトラフィックや潜在的なセキュリティ侵害を特定しやすくなり、セキュリティインシデントにも迅速に対応できます。

マイクロセグメンテーションの制御には、主に3つの種類があります。

エージェントベースのマイクロセグメンテーション制御では、サーバー、ワークステーション、その他のネットワークデバイスなどのエンドポイントにインストールされたソフトウェアエージェントを使用して、ネットワークセグメンテーションポリシーを適用します。エージェントは、そのエンドポイント固有のポリシーを継続的に監視して適用します。また、管理コンソールから一元管理できるため、組織のネットワーク全体にわたるポリシーの設定と展開が容易になります。

ネットワークベースのマイクロセグメンテーション制御では、SDNを使用して、それぞれに固有のセキュリティポリシーと制御を備えた仮想ネットワークセグメントを作成します。これらの仮想セグメントは相互に分離されているため、攻撃者がラテラルムーブメントを行う可能性を抑えられます。ポリシーと制御は、エンドポイントレベルではなくネットワークレイヤーで適用されます。これにより、ユーザーID、アプリケーションの種類、ネットワーク上の場所など、さまざまな要素に基づいてネットワークトラフィックをセグメント化できます。

クラウドネイティブのマイクロセグメンテーション制御は、クラウド環境向けに特別に設計されています。ネットワークセキュリティグループや仮想プライベートクラウドなどのクラウドネイティブなセキュリティ機能を使用して、仮想ネットワークセグメントを作成し、セキュリティポリシーを適用します。これらの制御では、クラウドプラットフォームのネイティブなセキュリティ機能を活用し、すべてのクラウドインスタンスにきめ細かなセキュリティポリシーを自動的に適用します。

マイクロセグメンテーションにはどのような種類がありますか？

組織は、固有のニーズや目標に応じて、1つ以上の種類のマイクロセグメンテーションを導入できます。一般的なマイクロセグメンテーションの種類は次のとおりです。

アプリケーションセグメンテーション

アプリケーションセグメンテーションは、データベース、API、Webサーバーなど、アプリケーション内の特定のリソースへのアクセスを制御するセキュリティポリシーを作成することで、個々のアプリケーションを保護し、不正アクセスやデータ侵害の防止に役立ちます。また、組織は最小権限のアクセス制御を適用し、ユーザーとアプリケーションがそれぞれの機能を実行するために必要なリソースのみにアクセスできるようにすることも可能です。

階層セグメンテーション

階層セグメンテーションは、Web階層、アプリケーション階層、データベース階層など、アプリケーションスタックの各階層を保護し、攻撃者がアプリケーションスタック内を横方向に移動して機密データやリソースにアクセスするのを防ぎます。

環境セグメンテーション

開発、テスト、本番環境など、ネットワーク内の異なる環境やゾーンを保護することで、組織は各環境への厳格なアクセス制御を適用し、機密データやリソースにアクセスできるユーザーとアプリケーションを、許可されたものだけに限定できます。

コンテナのセグメンテーション

コンテナセグメンテーションは、コンテナ化された環境内の個々のコンテナまたはコンテナグループを保護し、攻撃対象領域を縮小するとともに、攻撃者がコンテナ環境内で横方向に移動するのを防ぐのに役立ちます。適切にセグメント化されていない場合、コンテナが相互のデータや設定ファイルにアクセスできる可能性があり、セキュリティ上の脆弱性につながるおそれがあります。

コンテナセグメンテーションのベストプラクティス

• コンテナの分離。 DockerやKubernetesなどのテクノロジーを使用して、コンテナをホストシステムおよび同じシステム上の他のコンテナから確実に分離します。これにより、コンテナが指定された範囲外のリソースにアクセスするのを防ぎます。
• ネットワークセグメンテーション。 ネットワークセグメンテーションを使用して、コンテナと他のネットワークリソース間の通信を制限します。これには、コンテナごとに個別のネットワークを作成し、コンテナ間のトラフィックを許可または拒否するファイアウォールルールを設定して、許可された通信のみが行われるようにすることが含まれます。
• ロールベースのアクセス制御。許可されたユーザーのみがコンテナおよび関連リソースにアクセスして変更できるように、ロールベースのアクセス制御（RBAC）を実装します。Kubernetes RBACなどのRBACフレームワークを実装することで、ユーザーのロールと権限を定義し、適用できます。
• イメージ署名。 イメージ署名を使用して、信頼できるイメージのみからコンテナが作成されるようにします。デジタル署名は、コンテナイメージの改ざんや変更の防止に役立ちます。
• ランタイム保護 ランタイム保護を使用して、コンテナの実行中にセキュリティ脅威を検出し、対応します。ランタイムセキュリティエージェントや脆弱性スキャナーなどのツールを使用すると、侵害の兆候がないかコンテナを監視し、リスクを軽減するための適切な措置を講じることができます。

クラウドセキュリティにおけるユーザーセグメンテーション

• RBACは、ユーザーの職務上の責任とアクセス要件に基づいて、特定のロールまたはグループを割り当てます。各ロールには、そのロールに適した一連の権限とアクセス制御が関連付けられています。RBACにより、ユーザーは業務に必要なリソースとデータにのみアクセスできます。
• 多要素認証（MFA）では、システムやアプリケーションへのアクセスを許可する前に、ユーザーに2つ以上の認証要素の提示を求めます。認証要素には、パスワード、セキュリティトークン、ワンタイムアクセスコード、生体認証データなどがあります。MFAは、特にRBACと組み合わせることで、クラウドリソースへの不正アクセスを効果的に防止できます。
• 継続的な監視では、不審な行動や潜在的なセキュリティ脅威を検出するために、ユーザーのアクティビティとシステムログを定期的に分析します。ユーザーの通常のアクセスパターンや行動から外れたアクティビティをセキュリティチームに通知することで、異常な行動の特定に役立ちます。
• 職務の分離により、重要なプロセスやシステムを1人のユーザーが完全に制御することを防ぎます。ユーザーごとに異なる役割と責任を割り当てることで、不正やエラーのリスクを軽減し、機密性の高い操作を複数の従業員が分担して実行する体制を確保します。
• 定期的なアクセスレビューでは、ユーザーが必要なリソースのみにアクセスできるよう、システムやアプリケーションへのユーザーアクセスを定期的に評価します。アクセスレビューは、不要なアクセス権の特定と削除に役立ち、不正アクセスのリスクを軽減できます。

マイクロセグメンテーションでワークロードが重要な理由

ワークロードは、ネットワーク上で実行される計算や処理の単位であり、マイクロセグメンテーションに不可欠な要素です。ワークロードには、正常に機能するために相互通信を必要とするアプリケーション、サービス、プロセスなどがあります。マイクロセグメンテーションでは、ワークロードレベルできめ細かなセキュリティ制御が可能になり、特定のワークロードを潜在的な脅威から分離して保護できます。ワークロードをセグメント化することで、組織は潜在的な攻撃対象領域を限定し、脅威の横方向への移動を防止するとともに、ワークロード単位でセキュリティポリシーを適用できます。

ワークロードには依存関係が存在する場合があります。これは、ネットワーク環境内のさまざまなアプリケーションやサービスとの間に関連性や相互作用があることを意味します。あるアプリケーションやサービスへのアクセスを変更すると、他のアプリケーションやサービスのパフォーマンスやセキュリティに影響を及ぼす可能性があるため、効果的なマイクロセグメンテーション戦略には依存関係の把握が重要です。マイクロセグメンテーションを実装する前に、依存関係をマッピングする必要があります。

境界型セキュリティとの違い

境界セキュリティ（ネットワークセキュリティ）とマイクロセグメンテーションは、ネットワークセキュリティの異なる側面に対応する2つのセキュリティ戦略です。境界セキュリティは、外部からのネットワークアクセスを制限し、通常はネットワークエッジに位置する外周を保護することで、外部の脅威に対する最初の防御線となります。セキュリティ境界を越えようとする「ノースサウス」（クライアントからサーバー）トラフィックを検査し、悪意のあるトラフィックを阻止します。境界セキュリティは通常、ファイアウォール、侵入検知・防御システム、VPNなどのテクノロジーによって実現されます。

マイクロセグメンテーションは、ネットワークをより小さなセグメントやゾーンに分割し、各セグメントにきめ細かなセキュリティ制御を適用することで、ネットワーク内部のセキュリティに重点を置く戦略です。これにより、組織はネットワーク内、およびアプリケーションやワークロードのレベルで「東西方向」のラテラルトラフィックを制御し、潜在的な攻撃対象領域を縮小できます。

ネットワークセグメンテーションとの違い

ネットワークセグメンテーションとマイクロセグメンテーションは、どちらもネットワークのセキュリティとパフォーマンスを向上させますが、根本的に異なります。従来のネットワークセグメンテーション（マクロセグメンテーションとも呼ばれます）では、機能や場所に基づいてネットワークをより大きなセグメントに分割します。通常は、ネットワークに出入りする「南北方向」（クライアントからサーバー）のトラフィックに重点を置きます。

マイクロセグメンテーションは、ネットワークをより小さなセグメントに分割し、それぞれに固有のセキュリティポリシーを適用します。これにより、東西方向のネットワークアクセスをよりきめ細かく制御し、ゼロトラストのアクセス制御を適用できます。マイクロセグメンテーションでは、ネットワークレベルではなく、個々のワークロードまたはアプリケーションのレベルでセキュリティポリシーを適用します。

ネットワークファイアウォールとの違い

ファイアウォールポリシーとは、組織のファイアウォールが、ネットワーク内の異なるセグメント間、またはネットワークとインターネット間のトラフィックを許可または拒否する方法を定義するルールです。これらのセグメントやレイヤー間でトラフィックを許可するか拒否するかは、ファイアウォールポリシーによって決まります。

ファイアウォールは、事前定義されたルールに基づいてトラフィックをフィルタリングし、ネットワークへのアクセスを制御します。ファイアウォールではセグメント間のアクセスを制御できますが、マイクロセグメンテーションではネットワークをより小さなセグメントに分割し、セグメントごとに固有のセキュリティポリシーを適用します。これにより、ネットワークアクセスをよりきめ細かく制御し、特定のアプリケーションやサービスへのアクセスを制限できます。

仮想ネットワークとの違い

仮想ネットワークは物理ネットワークインフラストラクチャ内で動作しますが、セキュリティで保護されたネットワーク上で、ソフトウェアを使用してコンピューター、VM、サーバーまたは仮想サーバーを接続します。これは、ハードウェアとケーブルでネットワークシステムを接続する従来の物理ネットワークモデルとは異なります。仮想ネットワークを使用すると、大規模なネットワーク内に分離された環境を構築し、特定のアプリケーションやサービスをマイクロセグメント化できます。

F5が支援できること

マイクロセグメンテーションは、攻撃者が利用できる攻撃対象領域を限定することで、組織がネットワーク内のアプリケーションとデータを潜在的な脅威からより効果的に保護できるよう支援します。また、ネットワークトラフィックの可視性と制御性を高め、セキュリティインシデントの特定と対応を容易にします。

F5は、組織がネットワーク内でマイクロセグメンテーションやその他のセキュリティ制御を導入・管理するのに役立つ製品とサービスを提供しています。F5がパブリッククラウド、ハイブリッドクラウド、データセンター、エッジサイト全体で実現する、シンプルでセキュアな接続についてご覧ください。また、F5が提供するアプリケーションレイヤーのセキュアなネットワーキングとクラウドネットワークの自動プロビジョニングにより、運用効率を向上させる方法をご確認ください。