記事をシェアする:

理想的なマイクロセグメンテーションに必要な４要素

Vol.1ではゼロトラストやマイクロセグメンテーションが登場した背景、マイクロセグメンテーションの有効性を説明いたしましたが、本稿Vol.2では「どのようなマイクロセグメンテーションが理想的であるのか？」「マイクロセグメンテーションを選定する際に気を付けるべきポイント」についてご説明したいと思います。

１．正確に現状の通信状況の把握

マイクロセグメンテーションを行う際に非常に重要な要素の1つとして「どの通信を許可すればよいか？」を正確に把握する必要があります。

もしポリシーに漏れが発生してしまった場合、通常の通信ができずビジネスに支障をきたす可能性があります。これではセキュリティーの命題である「業務に影響なく悪意ある攻撃を防止する」が実現できなくなります。

では、誰が正確に通信状況を把握しているのでしょうか？サーバーを管理している担当者でしょうか？アプリケーションのメーカーでしょうか？アプリケーションの構築業者でしょうか？

答えは、正確に通信状況を把握している「サーバーそのもの」です。

マイクロセグメンテーション・ポリシーを正確に作成する通信情報は「対象のサーバーから情報を収集できるもの」が最適であると考えます。

２．設置する場所に依存しないセグメントを作成できること

一般的なファイアウォールやルータなどは、セキュリティーのアクセス制御（ACL）とネットワーク経路は一体化しているためセグメンテーションを行える場所は限られていますが、理想的なマイクロセグメンテーション・ソリューションはネットワークの構成に依存することなくアクセス制限を実施することが可能であるべきです。

ネットワーク機器でセグメンテーションした場合セグメント間の通信制御は可能ですが、そのセグメントの内部はAny：Anyで通信ができてしまいます。

そもそもマイクロセグメンテーションを実施したい部分に通信制御ができるネットワーク機器がない場合はネットワーク機器を設置することから始める必要があり、セグメント化するまでの期間とネットワークを再設計した際のアプリケーション等への影響なども考慮する必要があります。

理想的なマイクロセグメンテーションでは、IaaS・VM・コンテナ上などインフラ環境に依存することなく、細かく通信をサーバー単位で制御できるものが理想的です。これからの技術革新も踏まえてもネットワーク機器でのセグメンテーションは現実的ではないと考えられます。

３．運用負荷の軽減

マイクロセグメンテーションの真髄は、対象サーバーと通信する送信元・送信先のIPアドレスとポートを最小限間で絞り、不要なアクセスが一切発生しないようにすることで攻撃者からの不正アクセスを防止することです。

そのため、通信元・通信先のIPアドレスとポートを利用してマイクロセグメンテーション・ポリシーを作成しますが、運用段階になったとき必ず通信元・通信先のIPアドレスとポートを変更する必要が出てくるはずです。

従来のネットワーク機器でのセグメンテーションの場合は、ネットワーク機器1つ1つのアクセスリストにAllowすべきIPアドレスとポートを書いていく必要がありますが、設定変更を行う運用工数がかなり負担になりがちです。

また通信が不要になったマイクロセグメンテーション・ポリシーの削除が部署間の連絡不足等で漏れてしまいセキュリティー・ホールになってしまう可能性があります。

理想的なマイクロセグメンテーションとしては、通信先・通信元を動的に把握してポリシーに自動的に反映させることで、運用の負荷及び削除の漏れによるセキュリティー・ホールを残さないようにすることが重要と考えます。

４．ポリシー適用前にテストが実施できること

前述したようにセキュリティー施策を実施する際に注意すべきポイントは「業務に影響なく悪意ある攻撃を防止する」です。

従来のネットワーク機器でのセグメンテーションでは、機器のアクセス・リストに設定をPushした「直後」に通信の遮断が開始されます。

そのため、もし適用したポリシーが誤っていた場合・漏れていた場合は業務通信に影響がでてしまいます。

理想的なマイクロセグメンテーションでは、ポリシーを適用する前に事前にブロックされる通信を把握。業務通信に影響がないことを確認した上で通信のブロックが行えるものを採択すべきと考えます。

以上のことからマイクロセグメンテーションは高度化する脅威に対しての防御力を上げることは間違いありませんが、上記で説明した４つの要素を具備しているソリューションを選定する必要があると考えられます。

まとめ

クラウド推進やCOVID-19によるテレワーク急増などにより企業ネットワークとネットワーク・セキュリティーは変革を求められています。

IBM Securityでは効果的なマイクロセグメンテーションソリューションの提供を行っており、マイクロセグメンテーションの実装に必要な以下の様な製品やサービスをご提供しています。

• illumio社のIllumio ASP(Adaptive Security Platform)における導入前コンサルティング・サービス、お客様環境における検証サポート、実環境への導入作業、運用サービス

またインフラ・ストラクチャセキュリティだけでなく企業様全体サイバーセキュリティー対策に関する幅広い知見と独自のフレームワークなどを活用しリスクアセスメントを推進、将来のロードマップ及び移行計画の策定をご支援いたします。

【関連情報】

IBM Securityのゼロトラスト・ソリューションの概要はこちら

【著者情報】

2000年よりネットワークエンジニアとして活動後、サイバーセキュリティー業務に従事。大手国内キャリア、アジア大手キャリア、セキュリティソフトウェアベンダを経て、2020年に日本アイ・ビー・エム株式会社に入社。インフラ・エンドポイントセキュリティソリューションを中心に様々な業界のセキュリティーソリューションサービスの提案活動/導入業務に携わる。