マイクロセグメンテーションとは？
マイクロセグメンテーションは、ワークロードレベルのアクセス制御を実装し、現代のインフラストラクチャにおける不正なラテラルムーブメントを防止します。従来のネットワークセグメンテーションが物理トポロジーに基づいてネットワークを大きなゾーンに分割するのに対し、マイクロセグメンテーションはネットワークの場所に関係なく、個々のワークロード間でアイデンティティベースのポリシーを適用します。マイクロセグメンテーションの定義は進化し、アイデンティティベースかつワークロード中心のセキュリティ制御が、アプリケーションレベルの認識を持って複数のインフラ層にわたり動作することを含むようになりました。
マイクロセグメンテーションはゼロトラストアーキテクチャの基盤となる柱の一つです。このアーキテクチャは以下の3つのコア原則に基づいて動作します：
- ワークロード中心のポリシー適用がネットワーク中心の制御に取って代わります。ポリシーはIPアドレスではなく、アプリケーションのアイデンティティやユーザー認証情報に紐づきます。データベースをAWSに移行したり、Kubernetesでマイクロサービスを再デプロイした場合でも、セキュリティポリシーはワークロードに自動的に追従します。
- レイヤ7アプリケーション認識により通信パターンをきめ細かく制御できます。サブネット間の全トラフィックを許可するのではなく、あるマイクロサービスが他のマイクロサービスのどのAPIを呼び出せるかを定義します。このアプリケーション層の可視性により、ネットワーク層ファイアウォールでは見逃される攻撃行動を検出できます。NIST Special Publication 800-207によれば、このアプリケーション層へのシフトは、静的なネットワークベースの境界から、資産やワークロード中心のセキュリティ制御への転換を示しています。レイヤ7制御は従来のレイヤ2/3ネットワーク制御と併用され、アイデンティティベースのポリシー適用やレイヤ2 VLANやネットワークファイアウォールでは検知できないラテラルムーブメントの試みを検出します。
- デフォルト拒否の姿勢により、ネットワーク境界内の暗黙の信頼を排除します。すべての通信リクエストは、アイデンティティ、コンテキスト、リアルタイムのリスク評価に基づき明示的な認可が必要です。侵害された認証情報が認証に成功した場合でも、そのアカウントが通常とは異なるパターンでワークロードにアクセスしようとした際には、行動分析によりラテラルムーブメントの試みがブロックされます。
ランサムウェアの拡散はラテラルムーブメントに依存しています。攻撃者は初期アクセスから高価値ターゲットへと拡大する必要があります。マイクロセグメンテーションは環境全体に強制チェックポイントを設け、ランサムウェアがそれを回避できないようにします。
.png)
サイバーセキュリティにおけるマイクロセグメンテーションの重要性
マイクロセグメンテーションは、攻撃者が有効な認証情報を用いてネットワーク内部で活動するという、境界型セキュリティの根本的な失敗に対処します。従来のセキュリティモデルは、ネットワーク境界内のすべてが信頼できると仮定します。一度攻撃者がこの境界を突破すると、追加の制御に遭遇することなくシステム間を横断できます。調査によれば、攻撃者は初期侵害から48分以内にラテラルムーブメントを達成しています。
マイクロセグメンテーションは、ワークロード間のすべての接続に明示的な認可を要求することで、この暗黙の信頼を排除します。Webサーバーが侵害されても、ポリシーがアイデンティティと行動パターンの両方を検証するため、バックエンドデータベースへの接続はできません。マイクロセグメンテーションが従来のネットワークセグメンテーションとどのように異なるかを理解することで、このアーキテクチャの転換がゼロトラストセキュリティにとってなぜ重要なのかが明らかになります。
マイクロセグメンテーションとネットワークセグメンテーションの違い
従来のネットワークセグメンテーションは、物理または仮想ネットワークトポロジーに基づき、レイヤ2およびレイヤ3で粗い粒度の制御を行います。VLANはデバイスを場所や機能ごとにグループ化し、そのセグメント内のすべてに同じセキュリティポリシーを適用します。開発サーバーを1つのVLAN、運用システムを別のVLANに配置すると、すべての開発サーバー同士は自由に通信できます。
マイクロセグメンテーションは、レイヤ7アプリケーションレベルの制御を含む複数の層で動作します。ポリシーはネットワーク中心ではなく、ワークロード中心かつアイデンティティベースです。特定のAPIゲートウェイが特定のデータベース機能にアクセスできることを定義し、サブネットAがサブネットBに到達できるという定義ではありません。
- 静的対動的な適用が根本的な違いを示します。VLANはセキュリティポリシーを物理インフラに紐づけ、ネットワークトポロジーに基づく粗い粒度でレイヤ2で動作します。新しいクラウドワークロードのデプロイやコンテナのスケール時には、VLAN設定やファイアウォールルールを手動で更新する必要があります。ネットワークマイクロセグメンテーションのポリシーは、ネットワークアドレスではなくアイデンティティ属性やアプリケーションコンテキストに基づくため、ワークロードの移動に自動的に追従し、動的なポリシー適用が可能です。
- ノースサウス対イーストウエストのトラフィック制御は、従来のセグメンテーションの盲点を明らかにします。ネットワークファイアウォールは、環境への出入り（ノースサウス）のトラフィック制御に優れていますが、内部システム間（イーストウエスト）のラテラルトラフィック制御には苦戦します。攻撃の大半はこの内部移動で発生します。マイクロセグメンテーションは、組織内ネットワークでの攻撃者のラテラルムーブメントを抑止し、機密データや重要システムへのアクセスを防ぐことを目的としています。
マイクロセグメンテーションのコアコンポーネント
マイクロセグメンテーションアーキテクチャは、アイデンティティベースのアクセス制御を強制するために連携する4つの統合コンポーネントを必要とします。
- ポリシーコントローラーは中央管理プレーンとして機能し、セキュリティポリシーリポジトリを維持し、ワークロード属性、ユーザーコンテキスト、行動シグナルに基づいてアクセス決定を計算します。このコントローラーは、高レベルのセキュリティ要件をデプロイ自動化が消費できる実行可能なルールに変換します。
- エンフォースメントエージェントはインフラ全体にデプロイされ、接続リクエストを傍受・評価します。これらのエージェントは、仮想マシン上のカーネルモジュール、Kubernetesポッドのサイドカーコンテナ、またはクラウドセキュリティグループとの統合ポイントとして動作します。各エージェントはポリシーコントローラーへの常時接続を必要とせずにローカルで決定を強制し、ネットワーク分断時でも保護を維持します。
- アイデンティティプロバイダーは、証明書、APIキー、またはフェデレーテッドアイデンティティプロトコルを通じてワークロードやユーザーを認証します。マイクロセグメンテーションシステムは、リクエスト元が有効な認証情報を持っているかを確認するためにこれらのプロバイダーに問い合わせ、認可ポリシーの評価を行います。
- テレメトリコレクターは、エンフォースメントエージェントからネットワークフローデータ、ポリシー違反、行動異常を集約します。この継続的なフィードバックにより、ポリシーコントローラーは攻撃パターンを検出し、ポリシーの改善を推奨し、不審な活動への自動対応をトリガーできます。テレメトリ収集は、効果的な脅威ハンティングやコンプライアンス報告に必要な可視性を提供します。
これらのコンポーネントは、インフラアーキテクチャや運用要件に応じて異なる技術的アプローチでデプロイされます。
マイクロセグメンテーション技術の種類
組織は、インフラの種類や運用要件に応じて、主に5つの技術でマイクロセグメンテーションを実装します。
- ネットワークベースのマイクロセグメンテーションは、ソフトウェア定義ネットワーキング（SDN）コントローラーや分散仮想スイッチを用いてネットワーク層でポリシーを強制します。このアプローチは、集中管理型SDNコントローラーがワークロードのアイデンティティに基づき仮想スイッチのフローテーブルを動的にプログラムできる仮想化データセンターに適しています。
- ホストベースのマイクロセグメンテーションは、オペレーティングシステム上にエンフォースメントエージェントを直接デプロイし、ホストファイアウォールやカーネルレベルのパケットフィルタでトラフィックを制御します。この技術は、物理サーバーやレガシーシステム、ネットワークレベルの制御が利用できない環境に保護を提供します。
- クラウドネイティブマイクロセグメンテーションは、AWSセキュリティグループ、Azureネットワークセキュリティグループ、GCPファイアウォールルールなど、プラットフォーム固有の構成要素を活用します。クラウドプロバイダーがエンフォースメントインフラを管理し、中央ポリシーエンジンがワークロードのアイデンティティをAPI自動化でクラウド固有の設定に変換します。
- コンテナネイティブマイクロセグメンテーションは、IstioやLinkerdなどのサービスメッシュアーキテクチャと統合します。サービスメッシュはすべてのポッド間通信を傍受し、マイクロサービス間で相互TLS認証を用いてアプリケーション層でポリシーを強制します。
- アプリケーション層マイクロセグメンテーションはレイヤ7で動作し、接続の許可・拒否だけでなく、特定のAPIコールやデータベースクエリ、アプリケーション機能を制御します。この技術はアプリケーションフレームワークとの深い統合が必要ですが、ワークロードの動作を最も細かく制御できます。
これらの実装アプローチを理解することで、運用上の複雑さにもかかわらず組織がマイクロセグメンテーションを採用する理由が明らかになります。
マイクロセグメンテーションの仕組み
マイクロセグメンテーションは、ワークロードレベルでのアイデンティティ検証とポリシー適用によってアクセス制御を強制します。このアーキテクチャは、ポリシー決定ポイント（PDP）、ポリシー適用ポイント（PEP）、継続的監視システムという3つのコアコンポーネントが連携して動作します。
- ポリシー決定ポイントは、ワークロードのアイデンティティ、アプリケーションコンテキスト、ユーザー認証情報、行動属性を用いてアクセスリクエストを評価します。コンテナ化アプリケーションがデータベースと通信しようとする場合、ポリシーエンジンは「このワークロードアイデンティティは認可されているか？要求された操作は通常の行動パターン内か？ユーザーセッションに侵害の兆候はないか？」を検証します。
- ポリシー適用ポイントはワークロード間に配置され、接続の許可・ブロック・監視によって決定を強制します。これらの適用ポイントは、ネットワークインターフェース、ホストファイアウォール、サービスメッシュ、クラウドセキュリティグループなど、複数の層で動作します。従来のファイアウォールとの主な違いは、適用ポイントが静的なIPベースのルールではなく、動的なアイデンティティベースの決定を受け取る点です。ネットワークマイクロセグメンテーションの適用ポイントは、ポリシー決定ポイント（PDP）で計算された動的ポリシー（アイデンティティ、アプリケーション状態、資産特性、行動属性を含む）を用いて強制します。
- 継続的監視は、テレメトリをポリシーエンジンにフィードバックし、行動分析や脅威検出を行います。許可されたすべての接続は、通信パターン、データ量、アクセス時刻などのデータを生成します。Webサーバーが突然外部データベース接続を開始するなどの異常行動は、ポリシーの再評価や自動ブロックをトリガーします。この継続的な検証により、従来のネットワーク制御では見逃されるラテラルムーブメントの防止が可能となります。
NIST Special Publication 800-207によれば、このアーキテクチャはサイバーセキュリティ防御を静的なネットワーク境界から、資産・リソース・ユーザーに焦点を当てたものへと移行させます。アクセス決定はネットワークエッジで一度だけ行うのではなく、セッションごとに継続的な検証が行われます。
従来のセグメンテーションとマイクロセグメンテーションの補完関係
ネットワークセグメンテーションをマイクロセグメンテーションで置き換えるのではありません。既存のネットワーク境界の上にマイクロセグメンテーションを重ねることで、多層防御を実現します。
ネットワークセグメンテーションは、主要なセキュリティゾーン間のマクロレベルの分離を提供します。しかし、ネットワークセグメンテーションとマイクロセグメンテーションの比較調査によれば、従来のネットワークセグメンテーションはネットワークトポロジーに基づくレイヤ2で粗い粒度で動作し、セグメント内のすべてのデバイスが同じセキュリティポリシーを共有します。DMZ、社内ネットワーク、OT環境はVLANやサブネットでネットワーク層レベルで分離できますが、これらの境界だけではラテラルムーブメントに対する保護は限定的です。
現代のゼロトラストアーキテクチャでは、マイクロセグメンテーションやアイデンティティベースのワークロードレベルアクセス制御が、レイヤ7アプリケーションレベルの制御を含む複数層で動作し、ラテラルムーブメントを効果的に防止するために必要です。
従来のネットワークセグメンテーションは、設定ミスへの対策や境界突破時の粗い封じ込めを提供しますが、48分という平均ラテラルムーブメントウィンドウで活動する攻撃者には不十分です。マイクロセグメンテーションは、マクロレベルの分離を超えて、ネットワークの場所に関係なく個々のワークロード間できめ細かいアイデンティティ中心のポリシーを強制し、明示的な認可要件とデフォルト拒否の姿勢を提供することで、現代インフラにおける効果的な封じ込めを実現します。
マイクロセグメンテーションは、これらのゾーン内にきめ細かい制御を追加します。社内ネットワークセグメント内では、マイクロセグメンテーションにより侵害されたノートPCがすべてのサーバーにアクセスするのを防ぎます。Kubernetesクラスタ内では、コンテナが明示的に認可されたサービスとだけ通信できるようにします。アイデンティティベースの制御をサポートできないインフラには従来のセグメンテーションを維持しつつ、重要資産から順次マイクロセグメンテーションの適用範囲を拡大します。
マイクロセグメンテーションの主なメリット
マイクロセグメンテーションは、境界型防御の限界に直接対応する測定可能なセキュリティ向上をもたらします。主なメリットは以下の通りです：
- ラテラルムーブメントの封じ込めにより、攻撃者が初期侵害後にシステム間を移動するのを阻止します。調査によれば、攻撃者はアクセス獲得から48分以内にラテラルムーブメントを行います。マイクロセグメンテーションは、攻撃者が有効な認証情報を持っていても、この移動を阻止する強制チェックポイントを設けます。
- 被害範囲の縮小により、攻撃成功時の影響範囲を限定します。ランサムウェアが1つのワークロードを暗号化しても、マイクロセグメンテーションポリシーが隣接システムへの拡散を防ぎます。組織は封じ込め時間を数時間から数秒に短縮できます。
- コンプライアンスの簡素化により、データ分離やアクセス制御に関する監査要件に対応します。PCI DSS、HIPAA、SOC 2は機密システムへのアクセス制限を義務付けています。マイクロセグメンテーションは、どのワークロードが通信したかを示す完全なトラフィックログによるポリシー適用の監査証跡を提供します。
- 攻撃面の可視化により、ワークロード間のすべての通信経路を明らかにし、本来存在すべきでない不正な接続を発見します。この可視性は、設定ドリフト、シャドーIT、従来のネットワーク監視では見逃される放置サービスの特定に役立ちます。
- ポリシーの可搬性により、ワークロードがデータセンターやクラウド間を移動しても一貫したセキュリティを維持します。アイデンティティベースのポリシーはアプリケーションに自動的に追従し、インフラ変更ごとに手動でファイアウォールルールを更新する必要がありません。
これらのメリットは、組織が計画的な導入とリソース配分を通じて対処すべき実装上の課題を伴います。
現代インフラにおける実装
マイクロセグメンテーションは、異種混在インフラ全体で一貫したポリシーを強制し、各プラットフォームごとにセキュリティ制御を書き直す必要がないようにしなければなりません。インフラはオンプレミスデータセンター、複数のパブリッククラウド、コンテナ化アプリケーション、サーバーレス関数にまたがっています。
- クラウドネイティブ環境は独自の課題を提示します。ワークロードは動的にスケールし、IPアドレスは常に変化し、従来のネットワーク境界は存在しません。CISAのガイダンスによれば、マイクロセグメンテーションはIaaS、PaaS、SaaS、ハイブリッドアーキテクチャにまたがる「パブリックおよびプライベートクラウド環境」に明示的に対応する必要があります。これを実現するには、AWSのセキュリティグループ、Azureのネットワークセキュリティグループ、GCPのファイアウォールルールなどのクラウドネイティブ構成要素を、中央ポリシーエンジンがワークロードアイデンティティをプラットフォーム固有の強制設定に変換して管理します。包括的なクラウドワークロード保護には、動的なクラウドインフラに自動適応するマイクロセグメンテーションポリシーが必要です。
- コンテナオーケストレーションプラットフォーム（Kubernetesなど）はサービスメッシュ統合が必要です。サービスメッシュはマイクロサービス間に配置され、すべての通信を傍受してポッドレベルでマイクロセグメンテーションポリシーを強制します。開発者がCI/CDパイプラインを通じて新しいコンテナバージョンをデプロイすると、セキュリティポリシーもワークロードラベルやサービスアイデンティティに基づき自動的にデプロイされます。Kubernetesセキュリティを実装する組織は、マイクロセグメンテーションポリシーがコンテナオーケストレーションワークフローとシームレスに統合されていることを確認する必要があります。
- レガシーインフラは、すぐにアイデンティティベースの制御をサポートできません。マイクロセグメンテーションは、統合労力に見合う重要資産から段階的に導入します。アイデンティティ対応アーキテクチャに参加できないシステム向けの適用ポイントには、ホストベースファイアウォール、ネットワークタップ＆フォワード機構、複数層で動作するファイアウォールソリューションなどがあります。
マイクロセグメンテーションの一般的な失敗例
組織がマイクロセグメンテーションをネットワークエンジニアリングプロジェクトとして捉え、セキュリティアーキテクチャの変革として取り組まない場合、失敗します。これらの失敗は予測可能であり、包括的なセキュリティアーキテクチャの取り組みとして進めれば防ぐことができます。
- 可視性なしで開始すると、適用前に実装が失敗します。どのワークロードが正当に通信しているかを把握しないまま最小権限ポリシーを定義することはできません。組織は即座に適用を開始し、正当な業務トラフィックをブロックし、結果としてセキュリティ価値のない緩いポリシーに後退します。ポリシー適用前に、ネットワーク資産やトラフィックパターンの可視化・発見・クラスタ分析が必要であり、初期計画と分析フェーズが不可欠です。
- マイクロセグメンテーションを製品として扱い、プログラムとして扱わないと、運用上の変革が無視されます。ファイアウォールを購入してルールを設定するのではなく、セキュリティポリシーをアプリケーションデプロイ、インフラプロビジョニング、インシデントレスポンスに統合する必要があります。
- IPアドレスベースのポリシー実装は本末転倒です。マイクロセグメンテーションポリシーで特定のIPアドレスやサブネットを参照している場合、従来のセグメンテーションのより細かいバージョンを構築しただけです。価値は、インフラ変更に追従するアイデンティティベースのポリシーにあります。クラウド移行時にIPベースポリシーが破綻すると、組織はマイクロセグメンテーション自体を放棄し、現代ゼロトラストアーキテクチャを定義するワークロード中心のセキュリティモデルを失います。
- アプリケーション依存関係の無視は、ステークホルダーの信頼を損なう障害を引き起こします。現代アプリケーションは多数のマイクロサービス、外部API、データ依存関係を含みます。ポリシー定義で1つでも依存関係を見落とすと、重要な業務機能がブロックされます。マイクロセグメンテーションポリシーが正当な業務運用を妨げないよう、完全なアプリケーショントランザクションフローを文書化してからポリシーを定義する必要があります。
- 非現実的なカバレッジ期待値の設定は、実装が成功しても失敗と見なされます。すべてを即座に保護するわけではありません。重要資産から外側へ段階的にカバレッジを拡大します。「6か月で100%カバレッジ」という成功定義は、必ず失望を招きます。
マイクロセグメンテーションの課題と限界
マイクロセグメンテーションは運用上の複雑さをもたらし、組織はプロセス変更やスキル開発を通じてこれに対処する必要があります。
- 運用負荷は、セキュリティチームが数十のファイアウォールルールではなく、数千のきめ細かいポリシーを管理することで増加します。各アプリケーションデプロイにはポリシー定義、テスト、検証が必要です。組織はポリシーライフサイクル管理に必要な人員を過小評価し、古いルールが監査よりも早く蓄積するポリシースプロールを招きます。
- アプリケーション依存関係のマッピングがボトルネックとなります。ポリシーがアプリケーショントランザクションフロー全体を考慮しない場合、マイクロセグメンテーションは失敗します。数百のマイクロサービスやサードパーティ統合を持つ環境でこれらの依存関係をマッピングするには、自動発見ツールや長期間の観察が必要となり、実装が遅れます。
- パフォーマンスへの影響は、適用技術や実装品質によって異なります。ホストベースエージェントはパケット検査でCPU負荷を増加させます。ネットワークベースソリューションは追加ホップによる遅延を導入します。クラウドネイティブマイクロセグメンテーションは、セキュリティグループの動的更新時にAPIレート制限に直面します。組織は本番負荷下で適用ポイントのパフォーマンステストを実施する必要があります。
- スキルギャップが導入速度を制限します。セキュリティチームはネットワークファイアウォールには精通していますが、アイデンティティベースのポリシー、API駆動の自動化、コンテナネットワーキングの経験が不足しています。この知識ギャップにより、アプリケーションアーキテクチャを理解せずにポリシーを実装し、導入リスクが生じます。
- レガシーシステムの制約により、全体カバレッジが困難です。メインフレーム、産業用制御システム、独自アプリケーションはアイデンティティ対応アーキテクチャに参加できず、これらの資産には従来のセグメンテーションを維持する必要があります。
これらの課題にもかかわらず、業界を問わず多くの組織が実際の実装パターンを理解することでマイクロセグメンテーションを成功裏に展開しています。
マイクロセグメンテーションのベストプラクティス
可視性と資産発見を優先し、きめ細かいセグメンテーションポリシーを確立し、包括的な監視とコンプライアンス検証を維持しながら段階的に拡大する構造化されたフェーズド手法を採用することで、実装の成功率を高めることができます。
- ポリシー適用前にトラフィックパターンをマッピングする。30～90日間、環境全体で観察モードの監視を展開します。どのワークロードが通信しているか、使用プロトコル、データ量パターン、接続タイミングを把握します。このベースラインにより、維持すべき正当な依存関係と、適用前に調査すべき異常行動を特定できます。
- 価値が高く複雑性の低い資産から開始する。最初のマイクロセグメンテーション導入は、依存関係が明確な本番データベース、決済処理システム、特権アクセス管理インフラなど、重要ワークロードを対象とします。これらの資産は統合労力に見合い、リスク低減効果を測定できます。
- デフォルト拒否を段階的に実装する。まずは監視専用モードで、ポリシーがアラートを生成するがトラフィックをブロックしない状態から始めます。次に、アラート発生時にセキュリティチームが例外をレビュー・承認するブロックオンアラートへ進みます。最終的に例外ワークフロー付きの自律的強制へ移行します。この段階的アプローチにより、障害を引き起こす前にポリシーギャップを特定できます。
- DevOps環境ではCI/CDパイプラインと統合する。セキュリティポリシーは、開発者が新しいコードを出荷する際に自動的にデプロイされる必要があります。API駆動のポリシー管理により、セキュリティ要件をコードとして定義し、プルリクエストでレビューし、アプリケーション設定とともにバージョン管理できます。これにより、セキュリティポリシーをアプリケーション定義の一部として扱い、ネットワーク設定とは分離されます。
- 明確な例外ワークフローを定義する。サードパーティ統合、レガシーアプリケーション、緊急変更プロセスなど、ポリシー例外が必要になります。文書化された例外ワークフローがないと、組織はアドホックな「一時的」例外を作成し、それが恒久的なセキュリティホールとなります。プロセスには業務上の正当性、期間限定の承認、自動失効が必要です。
- カバレッジと適用率を測定する。環境のうち何パーセントにマイクロセグメンテーションポリシーが展開され、トラフィックのうち何パーセントにポリシーが実際に適用されているかを追跡します。これらの指標は進捗を定量化し、ギャップを特定します。NIST Special Publication 800-207によれば、企業は資産・ネットワーク・通信状態に関する情報を収集し、セキュリティ体制の継続的な改善に活用すべきです。
ゼロトラストの基盤としてのマイクロセグメンテーション
マイクロセグメンテーションは、ネットワーク境界内の暗黙の信頼を排除することで、ゼロトラストアーキテクチャの「決して信頼せず、常に検証する」という原則を強制します。3つの主要なセキュリティフレームワークが、ゼロトラスト実装の基盤インフラとしてマイクロセグメンテーションに収束し、アーキテクチャ原則、成熟度の進展、運用上のセーフガードに関する補完的なガイダンスを提供しています。
- NIST SP 800-207によれば、ゼロトラストアーキテクチャはネットワークベースの境界から、資産・リソース・ユーザーに焦点を当て、継続的な検証を行う必要があります。マイクロセグメンテーションとゼロトラストの関係は基盤的なものとなり、マイクロセグメンテーションがゼロトラストネットワークセキュリティポリシーの主要な強制メカニズムとなっています。
- このアーキテクチャはゼロトラストのアイデンティティの柱と直接結びついています。攻撃者が認証情報を盗んでも認証アクセスは得られますが、マイクロセグメンテーションがそのアクセスをラテラルムーブメントに利用するのを防ぎます。侵害された認証情報が認証に成功しても、不正なワークロードへの接続試行はブロックとアラートを引き起こします。
- CISAのゼロトラスト成熟度モデル バージョン2.0は、アイデンティティ、デバイス、ネットワーク、アプリケーションとワークロード、データの5つの柱にまたがるロードマップを提供します。マイクロセグメンテーションは主にネットワークの柱に位置しますが、認証のためにアイデンティティの柱、行動分析とワークロードレベルの可視性のためにアプリケーションとワークロードの柱に依存します。組織は、マイクロセグメンテーションとアイデンティティセグメンテーションを組み合わせることで、インフラ全体にきめ細かいアイデンティティベースのアクセス制御を強制し、セキュリティ体制を強化できます。
- CISAのモデルは、Traditional → Initial → Advanced → Optimalという進展段階を定義しています。現在ほとんどの組織はTraditionalまたはInitialの成熟度で運用しています。マイクロセグメンテーションゼロトラストアーキテクチャを実装する組織は、「ビッグバン」型の変革ではなく、リスクの高い資産を優先し、段階的にカバレッジを拡大するフェーズドアプローチを採用する必要があります。
- CIS Controls Version 8も、マイクロセグメンテーションをサポートする5つのコントロール（コントロール9：ネットワークポート・プロトコル・サービスの管理、コントロール11：エンタープライズ資産とソフトウェアの安全な構成、コントロール12：ネットワークインフラ管理、コントロール13：ネットワーク監視と防御、コントロール14：セキュリティ意識とスキルトレーニング）を通じて運用実装のフレームワークを提供し、ゼロトラスト成熟度の進展と整合します。
これらのフレームワークは、マイクロセグメンテーションがゼロトラストアーキテクチャにとってなぜ重要なのかを示しています。これは、侵害された認証情報によるラテラルムーブメントを防ぐ強制メカニズムです。マイクロセグメンテーションにより、インフラ全体に検証チェックポイントを設け、認証が成功しても攻撃者を阻止できます。実装には、これらのアーキテクチャ原則を異種混在インフラ全体で強制可能なポリシーに変換することが求められます。
実際の事例とユースケース
マイクロセグメンテーションは、アイデンティティベースのポリシーを強制することで、従来のネットワークセグメンテーションでは実現できないランサムウェアの拡散防止、データ流出防止、OT保護を実現します。以下は現実世界での適用例です：
- 医療機関が患者データシステムを分離。複数病院ネットワークが電子カルテ、医療機器、管理ワークロードをマイクロセグメンテーションポリシーで分離しました。フィッシング経由で請求部門がランサムウェアに感染した際、ポリシーが患者データベースへのラテラルムーブメントをブロックしました。病院はインシデントを12台のワークステーションに封じ込め、患者ケアを維持しました。従来のVLANセグメンテーションでは、ランサムウェアが病院ネットワーク全体に拡散していたでしょう。
- 金融サービス企業が決済処理を保護。クレジットカードプロセッサーは、データベースアクセスを特定のAPI機能に限定し、広範な接続を許可しませんでした。ペネトレーションテスト中、Webアプリケーションが侵害されても、通常のトランザクションパターン外のクエリは実行できませんでした。これにより、ネットワークファイアウォールでは許可されていたデータ流出を防止しました。
- 製造業がOTを保護。自動車メーカーは、エンジニアリングワークステーションからアセンブリコントローラーへの設定更新のみを許可し、逆方向の接続をブロックしました。マルウェアが社内ネットワークに感染した際も、マイクロセグメンテーションにより共用インフラであっても生産システムへの到達を防ぎました。
これらの実装が成功したのは、組織が即時の包括的カバレッジを目指すのではなく、実証済みの導入手法に従ったためです。
SentinelOneによるマイクロセグメンテーションの導入
SentinelOneはネットワーク隔離ポリシーを使用し、脅威の発生源で即座に対応・封じ込めを行うことができます。ラテラルムーブメントを防止でき、SentinelOneの行動AIエンジンでさまざまな悪意のある脅威を検出できます。エージェントを設定することで、エンドポイントが隔離された後もデバイスをネットワークから自動的に切断し、継続的な管理アクセスを維持できます。デバイスごとにきめ細かいポリシーを設定でき、SentinelOneの統合ファイアウォール制御機能を利用することで、ネットワークセキュリティポリシーを場所を問わず他のデバイスにも拡張できます。
SentinelOneのファイアウォールルールは、他のエンドポイントセキュリティ機能と同じSingularityコンソールから設定できます。ネットワークトラフィックの完全な可視性が得られます。SentinelOneのSingularity™ Network Discovery (Ranger)も有用な機能で、ネットワーク上のすべてのIP対応デバイスを自動的に発見・フィンガープリントできます。管理対象・非管理対象資産の可視化が可能です。これらを組み合わせることで、脅威を自律的に検出・無力化できます。
もう一つ強調したいのは、SentinelOneの条件付きアクセス機能です。Singularity™ Identity Solutionを通じて試すことができます。Microsoft Entra ID (Azure AD)、Okta、Ping Identityなど主要なアイデンティティプロバイダーと直接統合します。
SentinelOneの条件付きアクセス機能は、ゼロトラストモデルを強制し、リアルタイムのエンドポイントの健全性やセキュリティ体制に基づき、ユーザーの企業リソースへのアクセスを動的に調整できます。すべてのエンドポイントの健全性・コンプライアンス状態を評価し、事前定義された条件付きアクセスポリシーを強制します。適用または許可されるアクセスは二元的ではなく、コンテキスト認識型で適応的です。SentinelOneのポリシーは状況認識型で、侵害デバイスには自動的に強制を強化し、脅威が修復された際には緩和します。
SentinelOneは多要素認証の強制や、IdPソリューション内でリスクの高いユーザーグループへの動的追加も支援します。また、セキュリティオペレーションセンター向けに詳細なアラートを生成し、後の手動調査に役立てることも可能です。
まとめ
マイクロセグメンテーションは、個々のワークロード間でアイデンティティベースのポリシーを強制することで、攻撃者が悪用するラテラルムーブメント時の暗黙の信頼を排除します。従来のネットワークセグメンテーションの広範なIPベースゾーンとは異なり、マイクロセグメンテーションはレイヤ7アプリケーション認識とワークロード中心の制御を提供し、アプリケーションがインフラ変更に追従できるようにします。このアーキテクチャはゼロトラストの基盤的な柱として機能し、ポリシー決定ポイント、適用ポイント、継続的な行動監視を通じてすべての接続に明示的な認可を要求します。
実装には、トラフィックの可視化と依存関係のマッピングから始め、まず重要資産に焦点を当て、CI/CDパイプラインやアプリケーションワークフローと統合した段階的な展開でカバレッジを拡大する構造化された進行が必要です。
よくある質問
マイクロセグメンテーションは、ネットワークの場所に関係なく、個々のワークロード間でアイデンティティベースのアクセス制御を強制します。従来のIPベースのゾーンによるネットワークセグメンテーションとは異なり、アプリケーション層で細かなポリシーを適用し、ラテラルムーブメントを防止します。
マイクロセグメンテーションは、攻撃者が境界防御を突破した後のラテラルムーブメントを防ぎます。従来のネットワークセグメンテーションでは、有効な認証情報を持つ攻撃者がセキュリティゾーン内を自由に移動できます。マイクロセグメンテーションは、すべての接続に対して明示的な認可を強制し、認証情報が盗まれても攻撃者がワークロード間を移動するのを阻止します。
マイクロセグメンテーションは、ワークロードのアイデンティティと挙動に基づいてアクセス要求を評価するポリシー決定ポイント、接続を許可またはブロックするポリシー適用ポイント、異常なパターンを検知し自動的にポリシーを調整する継続的な監視を使用します。
マイクロセグメンテーションは、ネットワークベースのSDNコントローラー、オペレーティングシステム上のホストベースエージェント、クラウドネイティブセキュリティグループ、コンテナサービスメッシュ、アプリケーション層の制御を通じて導入されます。各手法は異なるインフラタイプに適しており、多くの組織はハイブリッド環境で複数のアプローチを組み合わせて使用します。
ネットワークセグメンテーションは、VLANやIPベースのルールを使用して広範なゾーンを作成します。マイクロセグメンテーションは、アプリケーション層で個々のワークロード間にアイデンティティベースのポリシーを適用し、ワークロードがインフラを移動しても自動的に追従します。
いいえ、両者は補完関係にあります。ネットワークセグメンテーションはマクロレベルのゾーン分離を提供します。マイクロセグメンテーションは、そのゾーン内で細かなワークロード単位の制御を追加し、境界突破後もラテラルムーブメントを防止します。
よくあるミスには、トラフィックパターンを把握せずにポリシーを適用すること、IPアドレスを使ってアイデンティティベースのポリシーを使用しないこと、アプリケーション依存関係を無視して障害を引き起こすこと、段階的な導入ではなく即時の包括的カバレッジを期待することが含まれます。
ポリシー適用前に30～90日間のトラフィック分析を計画してください。最初の本番導入は重要資産で通常3～6か月以内に行われます。大規模なエンタープライズカバレッジには12～18か月かかります。マイクロセグメンテーションは一度きりのプロジェクトではなく、継続的なセキュリティ対策です。
マイクロセグメンテーションは、AIによる脅威検知と連携し、自律的なポリシー調整を実現します。また、エッジコンピューティングやIoTデバイスにも拡張され、ゼロトラスト準拠フレームワークにおいて必須となります。クラウドネイティブな実装により、サーバーレスでの適用やインフラストラクチャ・アズ・コードとの統合を通じて、導入が簡素化されます。
