マイクロセグメンテーションの概要と組織に必要な理由

マイクロセグメンテーションが重要な理由

マイクロセグメンテーションは、境界ベースの防御からワークロード単位の保護への移行を可能にします。内部(東西)トラフィックを分離し、セキュリティ制御を物理インフラから切り離すことで、柔軟で信頼性の高いセキュリティ モデルを構築します。クラウド環境では、リスクの軽減と運用の維持のために一貫したポリシー施行とゼロトラストの原則が不可欠であり、このアプローチは非常に有効に機能します。

マイクロセグメンテーションのメリット

• リアルタイムの可視化：豊富なメタデータを含む正確な資産インベントリーを取得し、マルチクラウド環境に展開されたリソースを把握できます。
• ラテラル ムーブメントの制限：きめ細かなセグメントにより、侵害が発生した場合に攻撃者がネットワーク全体に拡散することを防ぎ、ランサムウェアなどの攻撃を阻止します。
• 財務と評判の保護：攻撃の影響を最小限に抑えることで、復旧作業、罰金、顧客の信用失墜による多額の損失を回避できます。
• 管理の簡素化：アイデンティティーベースのポリシーが環境の変化に合わせて自動的に適応することで、手作業が削減され、ダウンタイムを回避できます。
• 制御の強化：一元的なアプリケーション認識型制御により、ネットワーク トラフィックを明確に把握し、最大のリスクに集中できます。
• コンプライアンスと監査の合理化：きめ細かなセキュリティ制御と優れた可視性により、監査が簡素化され、規制要件への準拠も容易になります。
• ゼロトラストの原則の施行：自動化ツールによって厳格なアクセス ルールを適用することで、攻撃対象領域を削減し、重要なシステムへの不正アクセスを防止できます。

マイクロセグメンテーションの仕組み

マイクロセグメンテーションでは、個々のアプリケーション、デバイス、プロセスのレベルで、アイデンティティーベースの非常にきめ細かなポリシーを施行します。

一般的な組織におけるマイクロセグメンテーションの基本的な仕組みは次のとおりです。

• 資産とトラフィック フローのマッピング：ワークロードとアプリ、関連する通信を精査して東西トラフィックを明確に可視化し、ネットワーク全体の潜在的な脆弱性を明らかにします。
• 最小特権ポリシーの設定：各ワークロードやアプリケーションの通信が機能上必要な最小限の範囲でのみ行われるよう、きめ細かなルールを作成します。
• 動的な制御の施行：静的なIPやハードウェアではなく、ワークロードのアイデンティティーに基づいてポリシーを割り当て、ワークロードの移動や拡張に応じて一貫したセキュリティを確保します。
• 監視と調整：トラフィックを継続的に追跡して、ポリシーを施行し、不正アクセスをリアルタイムでブロックします。脅威のラテラル ムーブメントを防止するために、脅威を迅速に封じ込めます。

マイクロセグメンテーションのユース ケース

マイクロセグメンテーションは、次のような一般的なユース ケースを成功させるうえで不可欠な要素となっています。

• クラウド移行の保護：ワークロードを分離し、ハイブリッド環境やマルチクラウド環境で一貫したポリシーを施行することで、ワークロードをクラウドに移行する際のリスクと中断を最小化します。
• M&Aの合理化：機密性の高いシステムを分離して、ラテラル ムーブメントを阻止し、統一されたセキュリティ ポリシーを適用することで、買収した組織のネットワークを安全に統合します。
• ゼロトラスト戦略の採用：厳格なアクセス制御を施行して、ゼロトラストの原則に従ってすべてのユーザーとデバイスを検証し、重要なビジネス資産を保護します。
• コンプライアンスの簡素化：きめ細かな制御の適用、機密データの保護、包括的な監査証跡の提供により、HIPAAやGDPRなどの規制要件を順守します。
• 安全な運用の拡張：セキュリティ ポリシーを新しいインフラやアプリケーション、オフィスに適合させることで、ダウンタイムや中断を発生させることなく運用を簡単に拡張します。

マイクロセグメンテーションとネットワーク セグメンテーションの違い

ネットワーク セグメンテーションとマイクロセグメンテーションは同じ意味で使用されることもありますが、目的が異なります。ネットワーク セグメンテーションはハイレベルでのゾーン分離に最適ですが、マイクロセグメンテーションはよりきめ細かな適応型アプローチを採用しているため、クラウドのような現代の環境に適しています。

マイクロセグメンテーションで従来のセグメンテーションの限界を克服できる理由

従来のネットワーク セグメンテーションは、IPアドレス、ポート、ファイアウォールなどの静的な手法によってゾーンを保護します。南北トラフィックには効果的なものの、東西トラフィック(内部ワークロードやアプリケーション間の通信)には対応できません。ひとたび「セキュリティ ゾーン」にアクセスできるようになった攻撃者は、ネットワークを水平移動できるため、ランサムウェアなどの高度な攻撃による被害のリスクが高まります。

こうした従来の手法は、可視性と複雑さの面でも課題があります。通信がどのように行われているか(IPアドレス、ポートなど)は把握できる一方、どのアプリケーションやデータ フローが通信しているかは把握できません。こうしたコンテキストの欠如により、きめ細かなポリシーの施行が難しくなり、運用負荷とコストが増加します。

マイクロセグメンテーションは、ワークロードを分離し、ゾーン内のトラフィックを保護することで、こうしたギャップを解消します。ワークロードのメタデータベースのポリシーにより、許可された通信のみを確保し、クラウド移行や拡張などの変更に動的に適応します。これにより、可視性を向上し、脅威の封じ込めを強化し、現在の複雑なIT環境の管理負荷を軽減します。

マイクロセグメンテーションを成功させるためのベスト プラクティス

マイクロセグメンテーション戦略を成功に導くには、組織のニーズに合わせた慎重な準備が必要です。以下のベスト プラクティスに従うことで、成功の基盤を築くことができます。

1. 環境の理解：ワークロード、アプリケーション、ユーザーの役割、トラフィック フローをマッピングすることで、重要な資産を特定し、潜在的な脆弱性を明らかにします。
2. 最小特権ポリシーの定義：関係者と協力し、各ユーザーやリソースが必要なデータとシステムのみにアクセスを制限するアクセス ルールを確立します。
3. IAMシステムとの連携：アイデンティティーとアクセス管理(IAM)プラットフォームが、きめ細かなロールベースのアクセスとゼロトラストをサポートするように設定されていることを確認します。
4. 拡張性を確保するための計画：ネットワークの拡張やクラウド移行、ITインフラの変更に対し、大規模な再構成を行うことなく動的に調整できるソリューションを選択します。
5. 可視性と監査への対応：ポリシーの有効性を維持するために、リアルタイムのトラフィックの監視、レポート、監査機能を提供するツールを優先します。
6. 適切なベンダーとの提携：業界やセキュリティの目標に合わせた専門知識、自動化、サポートを提供するテクノロジー パートナーを選択します。

Zscalerが提供するゼロトラスト セグメンテーション

Zscaler Microsegmentationは、クラウド ネイティブのゼロトラスト アーキテクチャーを通じてゼロトラスト セグメンテーションを提供し、従来のソリューションと比較して複雑さとコストを削減します。最新のマルチクラウド環境やハイブリッド環境向けに設計されており、運用上の障壁を取り除くことで、ゼロトラスト セグメンテーションの効率的な導入を支援し、次のことを可能にします。

• 包括的な可視性：資産の詳細なインベントリーやワークロード間のリアルタイムのトラフィック フローを表示し、死角を排除します。
• AIを活用した自動化：ポリシーに関する推奨事項を自動で提示し、最小限の管理で正確かつきめ細かなルールを作成できるようにします。
• 攻撃対象領域の削減：ゼロトラストの原則を施行して東西トラフィックを制限し、ラテラル ムーブメントと不正アクセスを排除します。
• 複雑さを伴わない統合：Zscalerプラットフォームを拡張してマイクロセグメンテーションを実現し、コストと手間のかかるポイント ソリューションを排除します。
• 組み込みの拡張性：ネットワークの進化、移行、または新しいワークロードの導入に応じてポリシーを自動的に適応させ、一貫したセキュリティを確保します。