マイクロセグメンテーションとSoftware-Defined Perimeter

フラットネットワークでは、攻撃者が1台のエンドポイントに侵入すると、ほぼすべての他のシステムと自由に通信できてしまいます。これにより、攻撃者が侵害されたワークステーションから機密サーバー、ドメインコントローラー、データストアへと移動するラテラルムーブメントが急速に進みます。マイクロセグメンテーションは、ネットワークを小さく分離されたゾーンに分割することで、この問題に直接対処します。

マイクロセグメンテーションは、ワークロードが明示的に認可された相手とのみ通信する、きめ細かなセグメントにネットワークを分割します。大まかな単位でセグメント化する従来のVLANとは異なり、マイクロセグメンテーションはワークロードまたはアプリケーションレベルでポリシーを適用し、多くの場合、個々のコンテナや仮想マシンにまで適用します。トラフィックはデフォルトで拒否され、許可されたフローだけが明示的に許可されます。

ネットワークトラフィックには、2つの方向があります。North-Southトラフィックは、ユーザーやインターネットと内部リソースの間を流れるトラフィックです（垂直方向）。East-Westトラフィックは、データセンター内部のワークロード間を流れるトラフィックです（水平方向）。従来のファイアウォールは主にNorth-Southトラフィックを検査します。マイクロセグメンテーションは、初回の侵害後に攻撃者が内部システム間を移動する経路であるEast-Westトラフィックに重点を置きます。

Software-Defined Networking（SDN）は、制御プレーン（トラフィックの転送先に関する判断）とデータプレーン（パケットの実際の転送）を分離します。集中型のSDNコントローラーが転送ルールをネットワークデバイスに設定するため、物理スイッチを再構成せずに、ソフトウェアでマイクロセグメンテーションを実装できます。これにより、大規模な環境全体でポリシーを迅速かつ一貫性のある形で変更し、監査できるようになります。

Software-Defined Perimeter（SDP）は、ネットワークリソースをデフォルトで見えない状態にします。つまり、認証されていない接続要求には応答しません。ユーザーはまずSDPコントローラーで認証を行い、コントローラーがアイデンティティとデバイスのセキュリティ状態を確認します。その後、アクセス権を持つ特定のリソースに対してのみ、暗号化されたトンネルを動的に作成します。これにより、ネットワークレベルの偵察とラテラルムーブメントの経路を排除できます。

Zero Trust Network Access（ZTNA）は、SDPの概念を実装する製品カテゴリーです。広範なネットワークアクセスを許可するVPNとは異なり、ZTNAは特定のアプリケーションにのみアクセスを許可します。ユーザーはZTNAブローカーに接続してアイデンティティとデバイスの認証を受け、ブローカーが対象アプリケーションへの接続をプロキシします。代表的な実装には、Cloudflare Access、Zscaler Private Access、Palo Alto Prisma Accessがあります。

クラウドプラットフォームには、ネイティブのマイクロセグメンテーションツールが用意されています。AWS Security Groupsでは、EC2インスタンスごとにインバウンドとアウトバウンドのルールを細かく設定できます。Azure NSGs（Network Security Groups）は、サブネットまたはNICのレベルで適用されます。Google VPC Firewall Rulesは、タグを対象に設定できます。いずれも暗黙の拒否モデルで動作し、明示的に許可されたトラフィックだけが通過するため、クラウド環境でのマイクロセグメンテーションの基盤として自然に利用できます。

コンテナ化された環境では、IstioやLinkerdなどのサービスメッシュが、ポッド間の相互TLS（mTLS）によってマイクロセグメンテーションを実装します。サービス間のすべての呼び出しが認証および暗号化され、どのサービス間の通信を許可するかを認可ポリシーで明示的に定義します。これにより、ゼロトラストのEast-West制御を、Kubernetesクラスター内の個々のマイクロサービスにまで適用できます。

従来のネットワークセグメンテーションでは、VLAN、DMZ、サブネットを使用して大まかなセキュリティゾーンを作成します。マイクロセグメンテーションははるかにきめ細かく、サブネットレベルではなくワークロードまたはプロセスレベルでポリシーを適用します。VLANには、相互通信を信頼された50台のサーバーが含まれる場合があります。一方、マイクロセグメンテーションでは、そのVLAN内の特定のサーバーだけが、特定の相手の特定のポートに接続できるようにし、ラテラルムーブメントの経路を大幅に縮小します。

効果的なマイクロセグメンテーションには、ポリシーを適用する前に、既存のネットワークフローを包括的に可視化することが必要です。検出ツールは、ワークロード間の実際の通信パターンをマッピングします。一般的な方法は、まず監視モードで導入し、すべてのトラフィックを観察してポリシー案を生成し、その後強制モードに切り替えて未認可のフローを拒否することです。これにより、導入時に正当なトラフィックを誤ってブロックすることを防げます。

マイクロセグメンテーションの主なセキュリティ上の利点は、被害範囲を縮小することです。攻撃者が営業VLAN内のワークステーションを侵害しても、マイクロセグメンテーションのポリシーによって、そのワークステーションから財務データベース、人事システム、ドメインコントローラーへの通信を防止できます。攻撃者は侵入したセグメント内に隔離されるため、被害が広がる前にインシデントを封じ込め、復旧しやすくなります。

このレッスンで扱ったCompTIA Security+（SY0-701）の概念について理解度を確認しましょう。

このレッスンでは、マイクロセグメンテーションがワークロードレベルでネットワークを分割することでラテラルムーブメントを制限すること、ソフトウェア定義境界がIDの検証までリソースを見えなくすること、そしてZTNAがネットワークレベルではなくアプリケーションレベルのアクセスを許可することでVPNに取って代わることを学びました。次は、条件付きアクセス ポリシーによってIDが新たな境界となる仕組みを見ていきます。