サイバー攻撃が増加し、リモートワークなどのオフィス外での働き方が広がっている今、リスク対策としてゼロトラストへの転換が進んでいます。「マイクロセグメンテーション」はゼロトラストに欠かせない技術のひとつ。どのようなメリットがある技術なのでしょうか。

侵入されても機密データを守る

マイクロセグメンテーションとは、ネットワークをセグメント（大きなネットワークのうちの1部分のネットワークまたはデータ）ごとに細分化して、そのセグメント間で行うトラフィックを可視化、制御する技術です。

ネットワークをセグメントで分ける手法は、以前から行われていました。主に、各ネットワークにファイアウォールを設けたり、仮想的なネットワーク（VLAN）などで境界を作ったりする方法でした。

マイクロセグメンテーションは、サーバー、PC、コンテナなどのホスト単位で論理的な境界をつくるものです。

サイバー攻撃者が組織内ネットワークに入り込んだあと、内部のほかのシステムを攻撃することを「ラテラルムーブメント（lateral movement）」と言いますが、マイクロセグメンテーションはこれを防ぐためのものです。その他の対策をとって侵入を防ぐ対策を行い、それでも防ぎきれなかった場合に個人情報など機密情報やアプリケーションだけでも守ろうという目的をもちます。

機密情報のデータやアプリケーションを管理するサーバーを、特定のセグメントに配置しておけば、サイバー攻撃を受けたり、企業内のネットワークに侵入されることがあったりしても、機密サーバーに入られるリスクを低減できるのです。

マイクロセグメンテーションの技術

現在主流のマイクロセグメンテーションは、サーバーやPCなどにエージェントソフトを導入し、仮想的なネットワークを分割する方法です。マイクロセグメンテーション製品の主な働きはネットワークの可視化とアクセス制御です。

ネットワーク上のPC、サーバーなどのOSにエージェントソフトをインストールし、そのエージェントが通信制御を行い、通信元と通信先をすべて可視化できる仕組みです。ネットワーク上にあるなら、オンプレミスサーバーもクラウドサーバーも同様に監視できます。アクセス制御は、例えば、人事システム、営業システム、会計システムなどといったセグメント分けをして、人事システムから会計システムへのアクセスは許可し、営業システムから人事システムへのアクセスは許可しない、などと設定します。

こういったルール作りを「アクセスポリシー」ともいいますが、このアクセスポリシーの作成をAIが補助する機能を持つソリューションも出てきています。

エージェントが一定期間、トラフィックの傾向を学習し、相互に頻繁なアクセスするサーバー同士、あるいは1度もやり取りがないサーバー同士などを把握して、AIによる機械学習でアクセスポリシーを作成するというものです。ポリシー違反が発生した場合には、ネットワーク上で異常を検知して可視化されます。万が一侵入があり、不正に組織内ネットワークで不正アクセスがあれば、このシステムによって可視化され、なおかつアクセスが遮断されます。

マイクロセグメンテーションソリューション

ゼロトラストソリューションは、必ずマイクロセグメンテーションの技術を用いています。ですから、マイクロセグメンテーションではなく、ゼロトラストソリューションとして探してもいいでしょう。

マイクロセグメンテーションとして製品展開している例

Akamai Guardicore Segmentation
ITインフラ全体の動的なマップを作成した「ネットワークマップ」でネットワーク上のアクティビティをリアルタイムまたは履歴で表示。AIベースのポリシーワークフローを組み合わせて、セグメンテーションポリシーを迅速に作成できます。

単一のプラットフォームで、ネットワークの可視化から脅威防御、セキュリティ侵害検知などを行います。ゼロトラストを実現し、セキュアなクラウド移行やテレワーカーのセキュリティなども守ります。
https://www.akamai.com/ja/products/akamai-guardicore-segmentation

ゼロトラストソリューションとして紹介している例

Microsoft ゼロトラスト

ゼロトラストで制御される領域として、「ID」「エンドポイント」「アプリ」「データ」「インフラストラクチャ」「ネットワーク」を挙げています。「ネットワーク」について、内部ネットワーク上にあっても、デバイスやユーザーを信頼しないことの徹底、内部の通信の暗号化、さらにアクセスをポリシーで制御してマイクロセグメンテーションの技術を用いてリアルタイムでの脅威検出を行おうとしています。
https://www.microsoft.com/ja-jp/security/business/zero-trust

マイクロセグメンテーションの導入時には

将来的に新しいデバイスを追加するかリプレースすること、またはシステムやアプリケーションの刷新を行うことはどの企業でも必ずあるでしょう。その都度、セグメントの設定を変更しなければならないので、既存のポリシーをそのまま反映させることができるような柔軟さを持たせるように心がけましょう。

一時的にでもポリシーが外れてしまうことがあれば、その隙をついてサイバー攻撃を受ける可能性もあります。アプリケーションのアップデートや機能追加などがあった場合にも途切れることがないように、セキュリティレベルが低下することがないように気をつける必要があります。

まとめ

・マイクロセグメンテーションはネットワークを分割して情報漏えいを抑える

・サイバー攻撃者に侵入されても横移動ができないようにするのが目的

・ゼロトラストに必ず用いられている技術