マイクロセグメンテーションとは何ですか？

マイクロセグメンテーションとは、ネットワークを小さく隔離されたセグメントに分割し、ネットワーク上の位置ではなく、ID、デバイスの状態、またはワークロードに基づいて、セグメント間できめ細かなアクセスポリシーを適用するネットワークセキュリティ技術です。これにより、あるセグメントで発生した侵害が、ネットワークの他の部分に横方向に拡散することを防ぐことができます。

主なポイント

• マイクロセグメンテーションは、リソースをポリシーによって制御される小さなゾーンに分割します。
• これにより、境界のみを対象とした防御から、セグメントごとのアクセス制御へと置き換えられます。
• ポリシーは、IPアドレスだけでなく、ID、デバイスの状態、またはワークロードに基づいて設定できます。
• これにより横方向の動きが制限され、破裂が単一のセグメントに限定される。
• Versa 同社のZTNA、SD-LAN、およびIoTセキュリティの各製品ラインにこれを適用しています。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ マイクロセグメンテーションとVersa · よくある質問

マイクロセグメンテーションはなぜ重要なのでしょうか？

境界ベースの防御は、ファイアウォールを通過したトラフィックは信頼できるという前提に基づいています。しかし、フィッシングや侵害されたIoTデバイス、盗まれた認証情報などを通じて攻撃者が境界を突破してしまうと、このモデルは機能しなくなります。フラットなネットワークでは、その単一の足掛かりから、ファイルサーバー、ドメインコントローラー、その他のエンドポイントなど、ほぼすべてのリソースにアクセスできてしまいます。セキュリティ侵害による被害の大部分は、侵入そのものではなく、その後に続く攻撃――つまり、攻撃者が横方向に移動し、価値の高い標的を探し回る行為――に起因しています。

マイクロセグメンテーションは、こうした自由な移動を制限します。ネットワーク全体ではなく、個々のリソースやデバイスのクラスごとにきめ細かなポリシーを適用することで、攻撃者や侵害されたデバイスを、侵入したセグメント内に閉じ込めることができます。 感染したノートパソコンやパッチが適用されていないIoTセンサーを、ネットワークの他の部分を停止させることなく隔離することができます。また、規制対象データを隔離するためのコンプライアンス規則にも対応しており、セキュリティチームはネットワークのエッジだけでなく、ネットワーク内部においても「ゼロトラスト」（すべての接続を検証し、デフォルトでは何も信頼しない）を徹底することができます。

マイクロセグメンテーションとは何ですか？

マイクロセグメントを作成するには、管理者が一致条件（ユーザー、デバイス、またはワークロードをそのセグメントに分類する属性）を定義し、セグメント間のトラフィックを制限または許可するポリシーを作成します。条件としては、ネットワーク属性（IP、MACアドレス、VLAN）や、セキュリティ属性（ID、デバイスの状態、フィンガープリント、または継続的に算出されるリスクスコア）が挙げられます。 ポリシーの適用は、トラフィックがセグメント境界を越える地点で行われます。通常は、トラフィックを検査し、そのセグメント間のペアに対してポリシーを適用する次世代ファイアウォールのルールを通じて行われます。

マイクロセグメンテーションとVLANのみによるセグメンテーションとの違いは、その粒度にあります。VLANはネットワーク上の位置に基づいてデバイスをグループ化し、その構成は概ね静的です。一方、マイクロセグメンテーションでは、IDやリアルタイムのセキュリティ状態に基づいてグループ化が可能であり、デバイスのリスクプロファイルが変化した瞬間に再割り当てを行うことができます。例えば、ウイルス対策ソフトが最新版でないエンドポイントを、問題が解決されるまでアクセス制限のあるセグメントに移動させ、コンプライアンスが回復次第、元のセグメントに戻すといったことが可能です。

マイクロセグメンテーションの種類

各アプローチの主な違いは、セグメントの境界を定義するために何を用いるかという点にあります。ネットワークベースのセグメンテーションは、IPサブネット、VLAN、MACアドレスなどの従来の属性を使用してトラフィックをグループ化します。これらは馴染み深いものですが、静的であり、デバイス上で何が起きているかについては把握できません。一方、アイデンティティおよびポスチャーベースのセグメンテーションは、物理的な接続場所とは無関係に、ユーザー、デバイス、またはワークロードが何であるか、およびその現在のセキュリティ状態に基づいて、それらをセグメントに割り当てます。 データセンターやクラウド環境で一般的なワークロードまたはホストベースのセグメンテーションは、多くの場合エージェントやハイパーバイザーフックを通じて、個々のサーバーや仮想マシンに対してポリシーを適用するため、ワークロードが移動してもポリシーがそれに追従します。適応型（動的）マイクロセグメンテーションは、これらいずれの方法にも継続的な監視機能を重ね合わせ、接続時に一度だけセグメントを割り当てるのではなく、リスクスコアの変化に応じてデバイスをセグメント間で移動させます。

マイクロセグメンテーションとVersa

Versa オペレーティングシステム（VOS）は、クライアントベースのデバイスとヘッドレスデバイスの両方にマイクロセグメンテーションを実装しています。「Versa 」SASE クライアントを実行しているエンドポイントデバイスは、エンドポイント情報プロファイル（EIP）— パッチレベルやウイルス対策ソフトの状態などの定期的なポスチャ更新情報 — を使用してマイクロセグメントに配置されます。詳細については、「SD-LAN 向けの EIP ベースのマイクロセグメンテーションの設定」を参照してください。一方、ヘッドレス IoT デバイスは、デバイスのフィンガープリントに基づいて配置されます。 ルールは、一致したトラフィックをスケーラブル・グループ・タグ（SGT）で分類し、NPUおよびNGFWポリシーがこれと照合してアクセスを制御します。「マイクロセグメンテーションの設定」を参照してください。

SD-LAN に関しては、Versaの Zero Trust LAN (ZT-LAN)アーキテクチャ は、次世代ファイアウォールをキャンパススイッチに直接組み込んでおり、クラウドの PoP へのヘアピン接続を回避しています。適応型マイクロセグメンテーションは、デバイスのリスクスコアを継続的に再評価し、コンプライアンスを満たさないデバイスを隔離セグメントに移動させます。詳細については、「SD-LAN 向けのマイクロセグメンテーションの設定」を参照してください。

よくある質問

マイクロセグメンテーションとVLANの違いは何ですか？

VLANは、物理的または論理的な位置に基づいてネットワークをセグメント化し、主に静的に一度設定されます。マイクロセグメンテーションは、その上にIDやセキュリティ状態に基づくポリシーを追加し、ユーザー、デバイス、またはワークロードを直接照合します。また、適応型の実装では、リスクやセキュリティ状態の変化に応じて、それらをセグメント間で自動的に移動させます。

マイクロセグメンテーションは、どのようにしてラテラルムーブメントを阻止するのでしょうか？

マイクロセグメンテーションでは、境界部だけでなくすべてのセグメント境界でアクセスポリシーを適用することで、攻撃者や侵害されたデバイスが他のリソースに到達するには、必ず検査ポイントを通過しなければならないようにします。これにより、あるセグメントに足場を築かれた場合でも、ネットワーク全体に自由に拡散することなく、そのセグメント内に封じ込められることになります。

マイクロセグメンテーションはゼロトラストと同じものですか？

いいえ。ゼロトラストは、より広範なセキュリティモデルであり、すべての接続を検証し、デフォルトでは何も信頼しないというものです。マイクロセグメンテーションは、検証済みの個々の接続が到達できる範囲を狭めることで、これを実装する一つの方法です。ゼロトラストは、セグメンテーションにとどまらず、アイデンティティ、デバイス、アプリケーションの管理も対象としています。

適応型マイクロセグメンテーションとは何ですか？

適応型（または動的）マイクロセグメンテーションは、接続時に一度だけ評価を行うのではなく、デバイスがセグメントに配置された後も、その状態を継続的に再評価します。状態が悪化した場合（アンチウイルスソフトが古くなっている、新たに脆弱性が発見されたなど）、そのデバイスは、問題が解決されるまで、より制限の厳しいセグメントに自動的に移動されます。

マイクロセグメンテーションには、すべてのデバイスにエージェントが必要ですか？

必ずしもそうとは限りません。Versa （SASE ）クライアントを使用するノートパソコンなど、クライアントを実行できるデバイスは、そのクライアントを通じて直接ポスチャを報告します。一方、IoTセンサーなど、エージェントを実行できないヘッドレスデバイスは、デバイスフィンガープリントを使用して識別され、セグメントに割り当てられます。

マイクロセグメンテーションの詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

マイクロセグメンテーションについてお読みの方は、次にこれらもぜひご一読ください。