ディフェンシブ・セキュリティ・ハンドブック第2版

第17章. セグメンテーション

この作品はAIを使って翻訳されている。ご意見、ご感想をお待ちしている：[e-mail]

セグメンテーションとは、ネットワークをより小さなゾーンに区分するプロセスである。これには物理的、論理的な様々な形態がある。セグメンテーションには、特にセキュリティに関して多くの利点がある。しかし、残念なことに、セグメンテーションがほとんどないフラットなネットワークが、多くの組織でまだ一般的である。この章では、環境のセキュリ ティを高めるのに役立つ、様々なセグメンテーションの実践と設計について説明する。

ネットワーク・セグメンテーション

ネットワークのセグメンテーションには、主に物理的アプローチと論理的アプローチの2つがある。物理的セグメンテーションでは、ハードウェアを使ってネットワークをセグメントに分割する。すでに環境にある機器を利用するか、新しい機器を購入するための追加資金が必要になる（またはその両方）。論理的セグメンテーションでは、同じハードウェア上でネットワークの異なる部分を分離する。これには、特定のネットワーク、ルーティング、設計に関する十分な知識が必要である。この2つのアプローチはしばしば組み合わされ、どちらも多くの設計要素を考慮しなければならない。

フィジカル

ネットワークのセグメンテーションは、 可能であれば、ファイアウォール、スイッチ、ルーターなどの物理デバイスから始めるべきである。事実上、これはネットワークをより管理しやすいゾーンに分割し、（適切に設計されていれば）ネットワーク侵入、内部脅威、悪意のあるソフトウェアや活動の伝播に対する保護レイヤーを追加することができる。ファイアウォールをすべてのネットワークの出入り点に設置することで、流れるトラフィックを制御し、可視化することができる。しかし、ただファイアウォールを設置し、デフォルトの設定でネットワークのセキュリティが強化されると考えることはできない。

この基本的な第一歩によって、以下のような利点が得られる：

• パケットキャプチャソフトウェアやネットワークフロー解析ツールを使って、トラフィックを簡単に監視できる。

• ネットワーク関連のトラブルシューティング能力を向上させた。

• Network+上のブロードキャスト・トラフィックが少ない。

ネットワークの入口/出口点に物理デバイスを追加するだけでなく、環境内に追加デバイスを戦略的に配置することで、セグメンテーションの成功率を大幅に高めることができる。セグメンテーションを実装したい他のエリアとしては、メインの本番ネットワークと以下のようなエリアがある：

開発またはテストネットワーク

このネットワークには、テストされていない、あるいは非標準のデバイスやコードが接続される可能性がある。新しいデバイスを本番ネットワークからセグメンテーションすることは、ポリシーに明記された要件であるだけでなく、技術的なコントロールによって管理されるべきである。このような大量の未知の変数間の物理的なデバイスは、大いに必要とされる障壁を作り出す。

機密データ（特にPII）を含むネットワーク

セグメンテーションが規制基準の大半で義務付けられているのには、それなりの理由がある。

非武装地帯（DMZ）

DMZはサブネットワークで、、本番用ネットワークとインターネットまたは他の信頼されない大規模ネットワークの間に位置する。このゾーンにあるサーバやデバイスは、外部ネットワークからアクセスできるため、侵害のリスクが高くなる可能性が高い。このゾーンにあるデバイスの例としては、パブリック・ウェブ・サーバが挙げられる。 ...