ネットワークセグメンテーションとVLAN

ネットワークセグメンテーションは、大規模でフラットなネットワークを、より小さく分離されたゾーンに分割します。セグメンテーションがなければ、1台の侵害されたホストがネットワーク上の他のすべてのデバイスと通信でき、攻撃者は内部に侵入した後、自由に活動できてしまいます。セグメンテーションは、ネットワーク層で最小権限の原則を適用します。ワークステーションがデータベースサーバーに直接アクセスできないようにし、ゲストWi-Fiデバイスから内部のファイル共有が見えないようにします。セグメンテーションによって、侵害時の被害範囲を大幅に縮小できます。

VLAN（Virtual Local Area Network）は、物理的な場所に関係なくポートをグループ化する、スイッチ上に作成された論理ネットワークです。同じVLAN内のデバイスは、同じ物理セグメント上にあるかのように通信します。異なるVLAN間のデバイスは、アクセス制御を適用するルーターまたはレイヤー3スイッチを経由しなければ通信できません。VLANには、VLAN ID（1～4094）を含む802.1Qヘッダーが付与されます。これにより、1本の物理リンク（トランクポート）で複数のVLANのトラフィックを同時に運べます。

VLANがレイヤー2でセグメンテーションを行うのに対し、サブネットはレイヤー3（IP）でセグメンテーションを行います。通常、各VLANは独自のサブネットに対応し、サブネット間のルーティングはアクセス制御リストを適用するファイアウォールまたはルーターによって制御されます。これにより、明確に分離できます。たとえば、VLAN 10は企業ユーザー向けの10.10.10.0/24、VLAN 20はゲスト向けの10.20.20.0/24といった構成です。サブネット間のファイアウォールルールによって、IPレベルで許可するトラフィックとブロックするトラフィックを適用します。

DMZ（非武装地帯）は、スクリーンドサブネットとも呼ばれ、インターネットと内部ネットワークの間に位置するネットワークゾーンです。Webサーバー、メールサーバー、DNSサーバーなどの外部公開サーバーをDMZに配置すると、外部ユーザーがそれらにアクセスできる一方で、内部システムに直接アクセスすることはできません。DMZホストが侵害されても、内部ファイアウォールによって攻撃者が機密性の高い内部リソースへ到達するのを防止できます。DMZは、Security+で重点的に出題される重要なセグメンテーションの概念です。

マイクロセグメンテーションは、ネットワーク分離をワークロードレベルまで拡張し、ネットワークゾーン間だけでなく、個々のVM、コンテナ、アプリケーション間にもセキュリティポリシーを適用します。Software-Defined Networking（SDN）やハイパーバイザーベースのツール（VMware NSX、AWS Security Groups）を使用すると、ハードウェアを変更せずにポリシーを適用できます。マイクロセグメンテーションはゼロトラストアーキテクチャの中核要素です。これは、同じデータセンターやクラウドリージョンで実行されるワークロード間の暗黙的な信頼を排除するためです。

VLANホッピングは、ルーターを経由せずに、トラフィックが所属するVLANから別のVLANへ抜け出すことを可能にする攻撃です。方法は2つあります。1つ目はスイッチスプーフィングです。攻撃者がNICを802.1Qトランキング用に設定し、スイッチとトランクリンクをネゴシエートすることで、すべてのVLANにアクセスします。2つ目はダブルタギングです。攻撃者がフレームを2つの802.1Qヘッダーで包み、別のVLAN宛てに見せかけます。防御策には、Dynamic Trunking Protocol（DTP）の無効化、アクセスポートの明示的な設定、ユーザートラフィックでのネイティブVLANの不使用などがあります。

ネットワークセグメンテーションの最も極端な形態がエアギャップです。これは、外部ネットワークとの物理的または論理的な接続を持たないネットワークです。エアギャップシステムは、最高機密の政府ネットワーク、産業用制御システム、原子力施設の制御などで使用されます。データ転送には物理メディア（USBドライブ、CD）が必要ですが、これ自体がリスクを生みます（StuxnetはUSBを介して拡散し、エアギャップで隔離されたイランの遠心分離機に到達しました）。エアギャップシステムにも、厳格なメディア管理、ハードウェア書き込み防止装置、エンドポイント保護などの制御が必要です。

NAC（Network Access Control）は、デバイスのネットワーク接続を許可する前にセキュリティポリシーを適用します。NACシステムは、完全なネットワークアクセスを許可する前に、デバイスのセキュリティ状態（パッチレベル、ウイルス対策ソフトの状態、証明書）を確認します。確認に失敗したデバイスは修復用VLANに隔離され、更新サーバーにのみアクセスできるようにします。NACは認証に802.1Xを使用し、ディレクトリサービスと通信して、ユーザーの役割やデバイスの種類に基づいてポリシーを適用します。

従来の境界セキュリティは、外部ソースからデータセンターに出入りするデータであるNorth-Southトラフィックに重点を置いていました。現代の攻撃者は、データセンターやクラウド環境内のサーバー間を横方向に移動するEast-Westトラフィックを悪用します。このトラフィックは、歴史的に検査が行われていませんでした。マイクロセグメンテーションと内部ファイアウォールによって、East-Westトラフィックのリスクに対処できます。SIEMの相関ルールでは、通常とは異なるEast-West接続パターンを監視する必要があります。たとえば、ワークステーションが突然数十台の内部ホストと通信し始めた場合、ワームや攻撃者が活動している可能性があります。

物理インフラ（電力網、浄水処理、製造設備）を制御するICS/SCADAネットワークは、企業ITネットワークから厳格に分離する必要があります。Purdueモデルは、フィールドデバイス（レベル0）からプラント制御（レベル2）、企業IT（レベル4）までの階層を定義し、直接接続を防ぐためにレベル2とレベル3の間にDMZを設置します。NERC CIP標準は、エネルギー分野の組織にこの分離を義務付けています。企業ネットワークへの侵害によって、物理アクチュエーターやセンサーを直接操作できる状態になってはなりません。

ネットワークセグメンテーションの最終的な目的は、1つの侵害による影響範囲、つまり攻撃者が1つのセグメント内に侵入した後に引き起こせる被害の範囲を最小化することです。セグメンテーションを、その他の制御（エンドポイント検知、厳格なIAM、パッチ管理）と組み合わせることで、多層防御を実現できます。これは、攻撃者が順番に突破しなければならない、複数の独立した防御層です。セグメンテーションだけでは初期侵害を防げませんが、攻撃者の活動を遅らせ、検知の機会を生み出し、制限のない横方向の移動に依存するランサムウェアやワームの影響を抑えます。

このレッスンで扱ったCompTIA Security+（SY0-701）の概念について、理解度を確認しましょう。

このレッスンでは、VLANがブロードキャストドメインと横方向の移動を制限する論理的なレイヤー2セグメンテーションを提供すること、DMZ（スクリーンドサブネット）が外部ファイアウォールと内部ファイアウォールの間で外部公開サーバーを分離すること、そしてVLANホッピング攻撃は、動的トランキングを無効化し、ネイティブVLANを変更し、未使用ポートをデッドVLANに割り当てることで防止できることを学びました。次は、DoS、スプーフィング、MITMなど、一般的なネットワーク攻撃について学びます。