ほとんどの企業セキュリティシステムは、攻撃者の侵入を阻止するように設計されています。ファイアウォール、エンドポイント保護、ID管理、メールセキュリティはすべて、侵害防止に重要な役割を果たします。しかし、十分に防御された組織であっても、侵害を受ける可能性はあります。境界セキュリティ対策とは異なり、ネットワークセグメンテーションは、攻撃者が既に内部に侵入した後の被害を最小限に抑える役割を担います。組織を外部から保護することは可能ですが、内部にも強固な防御策が必要です。
この記事では、セグメンテーションの仕組み、ビジネスの回復力にとってなぜ重要なのか、従来のVLANとマイクロセグメンテーションの違い、そして実用的なセグメンテーション戦略の構築方法について説明します。また、仮想化インフラストラクチャにおけるセグメンテーションの役割と、Sangforのエンタープライズグレードプラットフォームが物理環境と仮想環境の両方でセキュリティをどのようにサポートしているかについても考察します。まずは、ネットワークセグメンテーションとは何かを詳しく見ていきましょう。
ネットワークセグメンテーションとは何ですか？
ネットワークセグメンテーションとは、コンピュータネットワークをより小さな、制御されたサブネットワークまたはセキュリティゾーンに分割する手法です。これらのゾーン間の通信は、ファイアウォール、アクセス制御リスト、またはソフトウェア定義ネットワークによって適用されるセキュリティポリシーによって管理されます。セグメンテーションは、すべてのデバイスとアプリケーションが自由に通信することを許可するのではなく、どのシステムがトラフィックを交換できるか、どのサービスを使用できるか、そしてどのような条件下で使用できるかに関するルールを確立します。
最大のメリットは、被害範囲の縮小です。ワークステーションが1台侵害された場合でも、セグメンテーションによってそのデバイスが人事データベースや製造ネットワークにアクセスするのを防ぐことができます。攻撃者は侵害されたワークステーションにアクセスできる可能性はありますが、次のステップに進むには追加の権限が必要となるか、セキュリティ境界を越えてアクセスする必要があります。
2013年のTarget社の情報漏洩事件のパターンを考えてみましょう。この事件では、攻撃者はサードパーティベンダーから認証情報を盗み出し、Target社のネットワークに侵入し、最終的に決済カードデータにアクセスしました。この事件は、境界防御だけでは不十分であることを示しています。攻撃者が一度足がかりを得ると、システム間を移動できる能力が、新たなセキュリティ上の懸念事項となるのです。
これはランサムウェア攻撃で用いられる原理と同じです。攻撃者は従業員のノートパソコンを侵害しても、必ずしもそのノートパソコンを暗号化する必要はありません。ドメインコントローラー、バックアップシステム、ファイルサーバー、そして業務上重要なアプリケーションへとさらに深く侵入する方が、より大きな利益を生む可能性があります。これはまさに横方向移動の問題であり、攻撃者は最初の侵害を足がかりに、ネットワーク環境全体へのアクセスを拡大していくのです。フラットなネットワークでは、広範な接続性によって、こうしたアクセス拡大がはるかに容易になります。
ネットワークセグメンテーションが重要な理由とは？
効果的なネットワークセグメンテーションは、制御された境界を導入することで、攻撃者がアクセスできるシステムや、侵害されたアカウントやワークロードが引き起こす損害を制限します。2026年現在、企業はハイブリッドクラウド、仮想マシン、コンテナ、リモートアクセス、そしてますます自動化される攻撃の管理という重圧にも直面しています。これらの環境はネットワークセグメンテーションのセキュリティをより複雑にする一方で、その重要性もより一層高めています。
ネットワークセグメンテーションは、さらにマクロセグメンテーションとマイクロセグメンテーションの2つのグループに分類できます。マクロセグメンテーションは、企業IT、本番環境、開発環境、DMZ、運用技術といった広範なゾーンに環境を分割します。これは通常、VLAN、ファイアウォール、ルーティング制御を用いて実装されます。
一方、マイクロセグメンテーションは、個々のワークロード、アプリケーション、またはワークロードのグループに対して、よりきめ細かなポリシーを適用します。たとえば、同じホスト上の2つの仮想マシンは、同じ物理インフラストラクチャを共有していても、通信を制限される場合があります。どちらのアプローチにもそれぞれの役割があります。マクロセグメンテーションは主要なセキュリティ境界を確立し、マイクロセグメンテーションはその境界内で制御を追加します。
ネットワークセグメンテーションはゾーン間の通信を制御することを可能にするが、ネットワーク分離と呼ばれるより制限的なアプローチもある。これは通信を完全に遮断するか、厳密に管理された接続のみを許可する。これは、エアギャップ環境、機密性の高いシステム、および特定の運用技術ネットワークで有効である。しかし、どちらのアプローチもシステムを完全に侵害から守るものではない。重要なのは、侵害が発生した場合の影響を制御することである。
ビジネスの視点：セグメンテーションが実際に防ぐもの
ネットワークセグメンテーションは、エンドポイント保護、IDセキュリティ、インシデント対応の代替となるものではありません。そのビジネス上の価値は、これらの対策が失敗した場合の影響を最小限に抑えることにあります。以下に、このアプローチを採用することで得られるビジネス上のメリットをいくつか示します。
ランサムウェアの爆発範囲封じ込め
ランサムウェア攻撃者は、広範囲にわたる混乱を引き起こす前に、システムを発見し、追加の認証情報を取得し、共有リソースにアクセスする必要があることがよくあります。セグメント化された環境は、これらの経路を制限できます。たとえば、攻撃者が財務部門のワークステーションを侵害した場合、ポリシーによってバックアップ管理サーバーや本番データベースへのアクセスが阻止される可能性があります。攻撃者は、単にネットワークを通過するだけでなく、追加の制御を突破する必要が生じます。
これはランサムウェアが1つのデバイスや部門に限定されることを保証するものではありませんが、リスクを軽減する効果はあります。しかし、設定ミスのあるルール、侵害された特権アカウント、共有管理インフラストラクチャなどによって、侵入経路が生じる可能性があります。セグメンテーションは、テスト済みのバックアップ、エンドポイント制御、IDセキュリティ、インシデント対応と組み合わせることで、最も効果を発揮します。
横方向の動きの防止
MITRE ATT&CKフレームワークでは、横方向移動を攻撃の明確な段階として定義しています。攻撃者は、リモートサービス、有効なアカウント、または盗まれた認証情報を使用して、あるシステムから別のシステムへと移動する可能性があります。セグメンテーションは、到達可能なシステムとサービスの数を減らすことで、これらの手法を困難にします。不要な正当な接続を減らすことも、攻撃者が悪用できる機会を減らすことにつながります。
侵害範囲の限定
セグメンテーションは、機密情報を信頼性の低い環境から分離するのに役立ちます。開発ワークロードは、本番環境の顧客記録に自動的にアクセスできるようにすべきではなく、インターネットに接続されたアプリケーションは、内部管理システムに無制限にアクセスできるようにすべきではありません。
適切に設計されたポリシーは、業務機能に必要なサービスと宛先に通信を限定します。これにより、調査に関わるシステムの数を減らし、対応者が影響を受けた区域をより迅速に特定できるようになります。
コンプライアンスおよび監査の範囲
ネットワークのセグメンテーションは、コンプライアンスプログラムを支援する上でも有効です。PCI DSSでは、セグメンテーションは、カード会員データ要件の対象となるシステムの範囲を縮小する手段として用いられています。ただし、そのためには、適切な制御が設計され、検証されている必要があります。MITREのガイダンスも同様に、重要なシステムを特定し、論理的または物理的な制御によってそれらを分離し、不正アクセスがブロックされているかどうかをテストすることを推奨しています。
セグメンテーションはコンプライアンスの代替手段ではありません。組織は依然として、アーキテクチャ、アクセス制御、ログ記録、および適用される要件を検証する必要があります。しかし、データの機密性や業務機能に応じてシステムを分離することで、コンプライアンスの境界を定義し、維持することが容易になります。
セグメンテーションがどのように役立つのかをより深く理解できたところで、さまざまなアプローチを探り、それぞれのアプローチが実際に何を制御しているのかを理解することから、適切なアプローチを選択することが始まることを見ていきましょう。
ネットワークセグメンテーションのアプローチ：VLANからマイクロセグメンテーションまで
異なるアプローチは、異なる問題を解決する。組織にとって最適なネットワークセグメンテーションツールは、環境、トラフィックパターン、および必要な制御レベルによって異なる。現場でよく見られる主なアプローチをいくつか紹介する。
| アプローチ | 主な役割 | 重要な考慮事項 |
| VLANベースのセグメンテーション | 広範囲のネットワークゾーンを分離する | ルーティングおよびファイアウォールポリシーは、不要なVLAN間アクセスを防止する必要があります。 |
| ファイアウォールベースのゾーン | ネットワーク間のトラフィックを制御します | 規則の複雑さと東西間の検査能力は、規模が大きくなるにつれて重要になる。 |
| ソフトウェア定義ネットワーク | 物理インフラと仮想インフラ全体にわたるポリシーを一元管理する | 適切なインフラと運用に関する専門知識が必要です。 |
| マイクロセグメンテーション | 個々のワークロード間の通信を制限する | 正確なアプリケーション依存関係と、きめ細かなポリシー適用が必要です。 |
| IDに基づくセグメンテーション | ユーザー、デバイス、およびコンテキストに基づいてアクセス権限を適用します。 | 信頼性の高いID、デバイス、およびポリシーの統合が必要です。 |
VLANベースのセグメンテーション
VLANは、レイヤ2ネットワークトラフィックを論理的なブロードキャストドメインに分割します。部門、サーバー環境、その他の広範なシステムグループを分離するために広く使用されています。このアプローチは、馴染みやすく、広くサポートされており、実装も比較的容易であるため、依然として有用です。ただし、VLANは必ずしも完全なセキュリティ境界となるわけではありません。VLAN間ルーティング、ファイアウォールの許容ルール、共有サービスなどによって、ゾーン間のトラフィックが依然として許可される可能性があります。
企業が成長するにつれて、VLANの数や関連するルールの管理が難しくなることがあります。重要なのは、組織がいくつのVLANを持っているかではなく、それによって構築されたトラフィックポリシーがアクセスを効果的に制限しているかどうかです。
ファイアウォールベースのゾーンセグメンテーション
ファイアウォールは、ゾーン間の境界でルールを適用します。一般的に、外部に公開されるサービスは安全なサブネットワーク（DMZ）に配置され、企業ユーザーを本番システムから分離し、運用技術へのアクセスを制限します。
このアプローチは、VLAN分離のみの場合よりも強力な強制力を提供します。課題は、アプリケーションの変更に伴ってルールを維持することです。アプリケーションの導入時には適切だったファイアウォールルールが、移行、新たな依存関係の発生、または所有権の変更後に不要になったり、過度に寛容になったりする可能性があります。
ソフトウェア定義ネットワーク
ソフトウェア定義ネットワーク（SDN）は、ネットワークポリシーをトラフィックを転送する物理ハードウェアから分離します。管理者はポリシーを一元的に定義し、サポートされている物理インフラストラクチャと仮想インフラストラクチャ全体に適用できます。これは、仮想マシンがホスト間を移動したり、ワークロードが頻繁にプロビジョニングされたりする動的な環境で特に役立ちます。ポリシーは、固定された物理ポートやネットワークロケーションに完全に依存するのではなく、ワークロードに追従できます。
マイクロセグメンテーション
マイクロセグメンテーションは、ワークロードまたはアプリケーションレベルで制御を適用します。Webサーバーは特定のポートでアプリケーションサーバーと通信できますが、アプリケーションサーバーは指定されたデータベースにのみアクセスできます。明示的に許可されない限り、その他のトラフィックは拒否されます。このアプローチは、企業とインターネット間ではなく、内部システム間を移動する東西トラフィックに有効です。従来のネットワークセグメンテーションでは、ワークロードがホストを共有している場合や、トラフィックが物理的なネットワーク制御ポイントを迂回する場合に、ギャップが生じる可能性があります。
VMware NSXとSangfor aNETは、仮想化環境におけるきめ細かなセグメンテーションをサポートするために使用されるソフトウェア定義ネットワーク技術の例です。これらの技術の機能、アーキテクチャ、ライセンス、および運用要件は、組織のインフラストラクチャとセキュリティの目標に照らし合わせて評価する必要があります。
アイデンティティに基づくセグメンテーション
IDベースのセグメンテーションは、ネットワークアクセスの判断にコンテキストを追加します。IPアドレスのみに依存するのではなく、ポリシーはユーザーのID、デバイスのセキュリティ状態、またはアクセス対象のアプリケーションを考慮に入れることができます。これは、ゼロトラストセグメンテーションとも一致します。ゼロトラストセグメンテーションでは、ユーザーやワークロードが信頼できるネットワーク内にあるという理由だけでアクセスが許可されるのではなく、定義されたポリシーに基づいてアクセスが継続的に評価されます。ネットワークセグメンテーションは、ID、デバイスセキュリティ、アプリケーション制御と並んで、このモデルの一部を構成します。
さまざまなセグメンテーション手法を見てきたところで、フレームワークを実用的かつ効率的に実装する方法を見ていきましょう。これらの手法を実際に機能するプログラムにするには、すべてを一度に実装するのではなく、順序立てて実行することが重要です。
ネットワークセグメンテーションの実装：実践的なフレームワーク
セグメンテーションにおける最も一般的な間違いは、プロジェクトを一度限りのネットワーク再設計として扱うことです。より持続可能なアプローチは、ビジネスリスクから始め、管理可能な境界を設定し、組織がトラフィックについてより深く理解するにつれて制御を拡大していくことです。組織におけるセグメンテーションの実装を支援するために、従うべきシンプルなフレームワークを設計しました。
ステップ1：既存の交通の流れをマッピングする
アクセスルールを変更する前に、どのシステムがどのシステムと通信しているかを理解する必要があります。ネットワークフロー監視を行うことで、アプリケーションの依存関係、リモート管理パス、データベース接続、システム間の予期しないトラフィックなどを明らかにすることができます。
CISAは、主要ネットワーク、データフロー、相互依存関係、サードパーティおよびクラウド環境への接続を記述したネットワーク図を保管することを推奨しています。これらの記録は、対応者がどこに注意を集中すべきかを示すことで、インシデント対応にも役立ちます。ここでの目的は、紙に設計されたネットワーク図だけでなく、実際のトラフィックをマッピングすることです。
ステップ2：事業リスクに基づいてゾーンを定義する
システムの機密性、機能、およびビジネスへの影響に基づいてグループ分けします。有用な出発点としては、企業ユーザー、本番アプリケーション、開発、インターネット接続サービス、およびIDやバックアップシステムなどの制限付きインフラストラクチャが挙げられます。各ゾーンについて、次の点を確認してください。
- どのシステムが通信する必要があるのか？
- どのようなサービスが必要ですか？
- どの接続が許容できないリスクを生み出すのか
- 保険契約の所有者は誰ですか？
- インシデント発生時に、アクセス権限はどのように確認されるのでしょうか？
リスクベースのアプローチを採用することで、すべてのシステムに同じ実装労力を費やすことを避けることができます。価値の高い資産には、より厳格な境界とより頻繁な検証が必要です。
ステップ3：マクロセグメンテーションから始める
広い境界線を設けることで、管理しやすい基盤が構築されます。次に、必要に応じて企業環境、本番環境、DMZ、開発環境、OT環境を分離し、ビジネスアプリケーションが引き続き機能することを検証します。これは、組織の信頼を築くための実践的な方法でもあります。このようにすることで、ネットワークのセグメンテーションは、すべての接続を同時に再設計しようとする大規模で破壊的なプロジェクトではなく、測定可能な一連の変更へと発展します。
ステップ4：マイクロセグメンテーションを段階的に追加する
マクロセグメンテーションが機能するようになったら、最も価値の高いワークロードとアプリケーションに制御を拡張します。まずは、重大なリスクを伴うシステムや、通信要件が比較的明確なシステムから始めましょう。例えば、最初にバックアップ管理サーバーへのアクセスを制限し、次に決済処理アプリケーションや機密性の高いデータベースに対してワークロードレベルの制御を追加するといった方法が考えられます。これにより、セキュリティチームはポリシーを洗練させながら、重要なビジネスサービスを損なうリスクを軽減できます。
ステップ5：監視、テスト、および保守
セグメンテーションポリシーは、新しいワークロードの導入、アプリケーションの変更、インフラストラクチャの移行に伴い、変化していきます。CISAとMITREはともに、ネットワークドキュメントの維持、アクセス監視、セグメンテーション制御が意図どおりに機能するかどうかのテストの重要性を強調しています。成熟したプログラムには、定期的なポリシーレビュー、アクセステスト、制限ゾーン間のパスの検証が含まれるべきです。ファイアウォールコンソールに存在するルールは、意図した境界が有効であることの証明にはなりません。
これはセグメンテーションに対する包括的なアプローチですが、現代のテクノロジー環境においては、企業は仮想化環境やHCI環境に適用されるセグメンテーションについても理解しておく必要があります。
仮想化環境およびHCI環境におけるネットワークセグメンテーション
仮想化によってワークロード間の通信方法が変わるため、ネットワークセキュリティの適用場所も変化します。従来の物理環境では、サーバー間のトラフィックは通常、スイッチ、ルーター、ファイアウォールを経由します。しかし、ハイパーバイザー環境では、同じ物理ホスト上の2つの仮想マシンは、物理ネットワークを経由せずに通信できます。これにより、物理ネットワーク境界でのみ適用されるポリシーではすべての内部通信経路を制御できない可能性があるため、エンタープライズネットワークのセグメンテーションに対する新たなアプローチが生まれます。
仮想化環境では、少数の物理サーバー上で多数のアプリケーションやワークロードをホストできます。しかし、共有インフラストラクチャの利便性は、適切なレイヤーで制御が適用されない限り、侵害された仮想マシンが他のワークロードにアクセスできてしまう可能性があることを意味します。
ワークロードレベルのセグメンテーションは、仮想マシン間の通信、許可されるポート、およびワークロードがホスト間を移動する際にポリシーがどのように適用されるかを制限できるため、この問題を解決するのに役立ちます。これは、コンピューティング、ストレージ、ネットワークが共通のインフラストラクチャプラットフォームに統合されているHCIにおいて特に重要です。SangforのaNETコンポーネントは、Sangfor HCI環境内でのソフトウェア定義ネットワークとマイクロセグメンテーションをサポートし、物理環境、仮想環境、クラウド環境を横断して運用する組織にエンタープライズグレードの仮想化とセキュリティを提供します。
aNETの本質的な目的は、管理者が仮想化されたワークロードに対してきめ細かなネットワークポリシーを適用できるようにし、物理ネットワーク機器だけに頼ることなく東西トラフィックを制御できるようにすることです。VMwareの代替ソリューションを検討している企業にとって、これは重要なアーキテクチャ上の考慮事項です。ネットワークセグメンテーションは、独立したネットワークソリューションとしてではなく、ハイパーバイザー、ストレージ、管理、セキュリティ制御と併せて評価する必要があります。
aNETとVMware NSXの比較
VMware NSXとSangfor aNETは、仮想化環境におけるきめ細かなセグメンテーションをサポートするために使用されるソフトウェア定義ネットワーク技術の例です。これらの技術の機能、アーキテクチャ、ライセンス、および運用要件は、組織のインフラストラクチャとセキュリティの目標に照らし合わせて評価する必要があります。
NSXを大規模に導入・運用するには、基盤となるvSphereおよびvSANのライセンスに加えて、通常は専門的なネットワーク知識も必要となります。
一方、Sangfor aNETは、HCIプラットフォームの一部として統合されたネットワーク機能とマイクロセグメンテーションを提供するように設計されています。aNETは追加のライセンスや個別の管理コンソールを必要とせず、aSV、aSAN、およびSangfor Cloud Platformスタック全体と連携して運用を簡素化します。
VMwareの移行プロジェクトの多くは、ソース環境では文書化されているものの、移行先環境では正確に再現されないポリシーによって、特定のセグメンテーションリスクを生み出します。そのため、以前はアクセスが制限されていたワークロードが、移行後に意図せず広範な接続性を得てしまう可能性があります。Sangfor HCIは、aNETのソフトウェア定義ネットワーク機能を活用することで、移行された仮想マシンにセグメンテーションポリシーを適用するためのフレームワークを提供します。
Sangforがセキュリティスタック全体にわたってネットワークセグメンテーションを実現する方法
セグメンテーションは、適用と検出が連携して機能する場合に最も効果を発揮します。ファイアウォールはトラフィックを制限できますが、セキュリティチームは、異常な接続が発生した場合、ポリシーが回避された場合、または侵害されたアカウントが制限されたインフラストラクチャにアクセスしようとした場合も把握する必要があります。Sangforのセキュリティおよびインフラストラクチャポートフォリオには、連携したセグメンテーションプログラムに貢献できる複数のコンポーネントが用意されています。
SangforのAthena NGFWは、企業ネットワーク、本番環境、DMZ、外部環境など、ネットワーク境界でのアクセス制御を適用することで、セグメンテーションにおいて重要な役割を果たします。ファイアウォールベースのセグメンテーションは、機密システムへのアクセスを制限したり、ゾーン間のトラフィックを制御したりするためにも使用できます。
Sangfor aNETは、仮想化環境にもセグメンテーションを拡張します。ワークロードレベルでソフトウェア定義ネットワークとマイクロセグメンテーションを適用することで、Sangfor HCI内の仮想マシンとアプリケーション間のトラフィックポリシーの適用を支援します。これにより、同一ホスト上のワークロード間のトラフィックが物理ファイアウォールに到達しない可能性があるという、境界のみのセグメンテーションにおける一般的な制限に対処できます。
SangforのAthena NDRは、セキュリティチームが不審なアクティビティを調査し、環境全体にわたる潜在的な脅威を特定するのに役立ちます。セグメンテーションプログラムでは、異常なトラフィック、横方向の移動の試み、または制限されたシステムに関連する不審なアクティビティを可視化することで、強制制御を補完できます。セグメンテーションは許可すべき通信を定義し、監視はアクティビティがそのポリシーに合致しない場合を特定するのに役立ちます。
Athena NDRの仕組みの概要
実用的なアーキテクチャでは、ゾーンレベルのファイアウォール制御とワークロードレベルのポリシーおよびセキュリティ監視を組み合わせます。これにより、不正アクセスを制限および検出するための複数の機会が提供されます。たとえば、企業はSangforのAthena NGFWを使用して本番ネットワークへのアクセスを制限し、aNETを使用してアプリケーションワークロード間の通信を制御し、Athena NDRを使用してこれらのシステムに関連する疑わしいトラフィックを調査することができます。具体的な統合方法と機能は、組織の導入要件に基づいて検証する必要があります。
VMwareの代替ソリューションを検討している企業にとって、重要なのはプラットフォームがハイパーバイザーやファイアウォールを提供しているかどうかだけではありません。組織のセキュリティ、可用性、運用、移行に関する要件を、アーキテクチャ全体でサポートできるかどうかが重要なのです。
ネットワークセグメンテーションは、評価の初期段階から含めるべきです。これは、ワークロードの接続方法、インシデントの封じ込め方法、インフラストラクチャの変更を安全に管理する方法に影響を与える、基礎的なアプローチです。最終的には、ネットワークセグメンテーションは、2026年のITインフラストラクチャツールキットにおける主要なプラクティスとなるべきです。
よくある質問
コンピュータネットワークをより小さなゾーンに分割し、それらの間の通信を制御することで、システム間の不要なアクセスを制限し、セキュリティ侵害が発生した場合の潜在的な影響を軽減する手法。
ネットワークセグメンテーションは一般的に、企業IT部門、本番環境、DMZ（非武装地帯）といったシステム群の間に大まかな境界を設定します。一方、マイクロセグメンテーションは、同じ物理ホストを共有するシステムを含め、個々のワークロードやアプリケーションに対してよりきめ細かな制御を適用します。
これは、攻撃者が初期アクセス権を取得した後にアクセスできるシステムの数を減らします。横方向の移動を制限し、機密性の高いリソースを保護し、侵害の潜在的な範囲を縮小するのに役立ちます。
攻撃者がランサムウェアをシステム間で拡散するために利用する可能性のある接続を制限することで、ファイルサーバー、バックアップインフラストラクチャ、その他の重要な資産へのアクセスを制限できます。ただし、ランサムウェアの封じ込めを保証するものではありません。
VLANはネットワークトラフィックを論理的なレイヤ2ネットワークに分離するもので、一般的に広範囲なゾーン分離に使用されます。マイクロセグメンテーションは、よりきめ細かなワークロードレベルの通信ポリシーを適用するため、仮想化環境やクラウド環境におけるトラフィック制御に適しています。
