ネットワークセグメンテーションとは

たとえば、企業ネットワークに次の端末が存在するとします。

• 一般社員が利用するPC
• 業務システムを提供するサーバー
• ネットワーク管理者が使う管理端末
• 来客が利用するゲストWi-Fi
• 監視カメラやセンサーなどのIoT機器

これらをすべて同じネットワークへ収容し、 相互に自由な通信を許可すると、 1台の端末が侵害されたときに他のシステムへ攻撃が広がりやすくなります。

そこでネットワークを複数のセグメントへ分割し、 必要な通信だけを通過させます。

なぜネットワークを分割するのか

ネットワークセグメンテーションとVLANの違い

ネットワークセグメンテーションを学ぶとき、 特に混同しやすいのがVLANです。

VLANはセグメンテーションを実現するための 手段の一つです。

たとえば、営業部をVLAN 10、技術部をVLAN 20へ分けたとしても、 L3スイッチで両VLAN間を無制限にルーティングしていれば、 セキュリティ上の分離効果は限定的です。

何を基準にセグメントを分けるのか

セグメントを決めるとき、 部署だけを基準にする必要はありません。

実務では複数の視点を組み合わせます。

企業ネットワークのセグメンテーション例

典型的な企業ネットワークを例に考えます。

User Zone

一般社員が利用するPCを収容します。 業務サーバーへの必要な通信は許可しますが、 管理用ネットワークへの通信は原則として許可しません。

Server Zone

社内業務システム、ファイルサーバー、 データベースなどを配置します。

サーバーだからすべて相互通信を許可するのではなく、 アプリケーションの通信要件に基づいて制御します。

Management Zone

ネットワーク機器、ファイアウォール、 サーバー管理インターフェースなどへアクセスする 管理端末を収容します。

一般社員PCからSSH、HTTPS、RDPなどで 管理対象へ直接接続できないようにすることが重要です。

Guest Zone

来客や社外端末を収容します。 原則としてインターネットアクセスのみを許可し、 社内ネットワークへのアクセスは制限します。

IoT Zone

監視カメラ、プリンター、センサーなど、 一般PCとは管理方法やセキュリティ特性が異なる機器を分離します。

セグメント間通信をどう制御するか

セグメントを作成したら、 次に「セグメント間でどの通信を通すのか」を決めます。

「必要な通信を許可する」考え方

ネットワークセグメンテーション設計の進め方

1. 保護対象を洗い出す サーバー、端末、管理機器、クラウド、IoTなど、 ネットワーク上に存在する資産を整理します。
2. 業務とデータの重要度を確認する どの業務が重要なのか、 個人情報・機密情報などを扱うかを確認します。
3. 通信要件を確認する どの端末が、どのサーバーへ、 どのプロトコル・ポートで通信するのかを整理します。
4. セグメント分割方針を決める 利用者、サーバー、管理、ゲスト、IoTなど、 分離すべきグループを決めます。
5. セグメント間通信を定義する 許可する送信元・宛先・サービス・通信方向を決めます。
6. 制御ポイントを決める ファイアウォール、ACL、 クラウドセキュリティ機能など、 どこで通信を制御するかを決めます。
7. ログ・監視方法を決める 拒否ログ、許可ログ、 異常通信などをどこで記録・監視するかを決めます。
8. 試験方法を決める 許可すべき通信だけでなく、 拒否すべき通信が本当に遮断されるかも試験します。

通信要件マトリクスを作る

セグメンテーション設計で非常に重要な成果物が、 通信要件マトリクスです。

「どこから、どこへ、何のために通信するのか」を一覧化します。

この表を作成しておけば、 ファイアウォールポリシーやACLへ落とし込みやすくなります。

マイクロセグメンテーションとは

従来のセグメンテーションでは、 VLANやサブネット、セキュリティゾーンなど、 比較的大きな単位でネットワークを分割します。

一方、 マイクロセグメンテーションでは、 ワークロード、サーバー、アプリケーションなど、 より細かい単位で通信を制御します。

同じサーバーセグメントでも通信を制限する

たとえば次の3台が同じサーバーネットワークに存在するとします。

• Web Server
• Application Server
• Database Server

単純に「サーバー用VLAN」としてまとめ、 サーバー同士の通信をすべて許可すると、 1台が侵害された場合に他のサーバーへ横展開される可能性があります。

より細かく、

• Web → Application：必要なポートのみ許可
• Application → Database：必要なポートのみ許可
• Web → Database：拒否

のように制御するのがマイクロセグメンテーションの考え方です。

ネットワークセグメンテーションとゼロトラストの関係

ネットワークセグメンテーションとゼロトラストは関連していますが、 同じものではありません。

セグメンテーションは、 ゼロトラストを実現する際にも利用できる重要な技術要素です。

しかし、 「社内VLANにいるから信頼する」 という考え方だけではゼロトラストにはなりません。

ネットワークセグメンテーションでよくある設計ミス

1．部署ごとにVLANを作って終わる

VLANを作成すること自体が目的になり、 VLAN間通信が無制限になっているケースです。

セキュリティ要件から、 どの通信を制御する必要があるのかまで設計します。

2．細かく分割しすぎる

セキュリティを高めようとして大量のVLANやポリシーを作ると、 運用が複雑になり、 設定ミスやルール管理の負荷が増える可能性があります。

セグメントを分けることによるリスク低減効果と、 運用負荷のバランスを考えます。

3．サーバー間通信をすべて許可する

「サーバーだから信頼できる」と考えて、 サーバーセグメント内の通信をすべて許可すると、 侵害されたサーバーから横展開される経路が残ります。

4．管理ネットワークへ一般PCから接続できる

ネットワーク機器の管理画面へ一般社員PCから直接アクセスできる構成は、 管理経路の保護という観点から見直す必要があります。

5．必要な通信を確認せずに遮断する

セキュリティを優先するあまり、 アプリケーションが実際に使用している通信まで遮断すると、 業務システムに障害が発生します。

現行通信の調査、ログ確認、関係者ヒアリング、 試験を行った上で適用します。

6．一度作ったルールを見直さない

システム廃止や構成変更後も不要な許可ルールが残ると、 当初より通信可能範囲が広がっていきます。

ポリシーには目的や管理者を記録し、 定期的に棚卸しできる状態にします。

セグメンテーション設計書に残す内容

セグメンテーションの結果は、 VLAN IDだけでなく、 なぜ分離するのかまで記録します。

主な成果物

• 論理ネットワーク構成図
• VLAN・サブネット一覧
• セキュリティゾーン一覧
• 通信要件マトリクス
• ファイアウォールポリシー一覧
• ACL一覧
• セグメント分割理由
• 試験項目書

顧客・上司へネットワークセグメンテーションをどう説明するか

技術に詳しくない相手へ、 「VLANを増やします」 とだけ説明しても、 セキュリティ上の価値は伝わりません。

技術ではなく、 リスクと業務への影響 へ変換して説明します。

技術をビジネス影響へ変換する

ネットワークセグメンテーションで使われる英語表現

実務で使える表現

自分の言葉で説明する課題