マイクロセグメンテーション（英: Microsegmentation）は、ネットワークセキュリティにおいて、データセンターやクラウド環境内の個々のワークロードレベルでセキュリティゾーンの境界を確立するネットワークセキュリティアーキテクチャである。これにより、ワークロードを分離し、独立して保護することが可能になる。当初はデータセンターネットワークに適用されていたが、マイクロセグメンテーションはクライアントネットワーク環境でも使用されている。 マイクロセグメンテーションの種類 ネイティブOSホストベースのファイアウォールによるセグメンテーション セグメント間のネットワークトラフィックを規制するために、OSのファイアウォールを使用する。ルーター、ネットワークファイアウォール、またはセキュリティエージェントに依存するのではなく、各ホストのファイアウォールが監査と強制を実行し、マシン間のラテラルムーブメントを制限する。

ホストエージェントによるセグメンテーション ホストエージェントによるセグメンテーション手法は、一元管理されるエンドポイントベースのエージェントに依存しており、データフローの可視性を提供し、不明瞭な通信や暗号化された通信の識別を容易にする。侵害されたデバイスはホストとして動作し、直接制御される可能性があるため、ホストベースのエージェント技術はマイクロセグメンテーションの効果的な手法として広く認識されている。しかし、この手法ではすべてのホストにソフトウェアをインストールする必要がある。

ハイパーバイザーによるセグメンテーション ハイパーバイザーによるセグメンテーションは、すべてのトラフィックがハイパーバイザーを通過するマイクロセグメンテーションの実装である。これにより、ハイパーバイザーレベルでのトラフィック監視が可能になり、既存のファイアウォールの使用が許可され、インスタンスの作成や削除に伴うルールの移行がサポートされる。

ネットワークセグメンテーション ネットワークセグメンテーションのアプローチは、既存のインフラストラクチャに基づいて構築され、セグメンテーションにアクセス制御リスト (ACL) などの実績のある技術を使用する。

用途 マイクロセグメンテーションは、内部ネットワークの攻撃経路を制限することで、攻撃の拡散を抑制するのに役立つ。IoT環境では、マイクロセグメンテーションは組織がデバイス間のラテラルコミュニケーションを制御するのに役立つ。これは、境界防御に重点を置いたセキュリティ対策では管理されないことが多い。

課題 マイクロセグメンテーションは一般に、Linux、Windows、macOSなどの一般的なオペレーティングシステムを実行している環境と互換性があるが、メインフレームやその他のレガシーシステムのサポートは限定的である。初期の導入段階では、一部のアプリケーションがマイクロセグメンテーションをサポートしていない場合があり、運用上の問題が発生する可能性がある。すべての内部システムの要件を満たすポリシーを定義することも困難な場合がある。ポリシーの策定には、内部でのトレードオフや長期にわたる調整が必要になることがあり、組織によってはこのプロセスに時間がかかる場合がある。導入の複雑さを軽減し、ポリシーのトレードオフを管理するために、組織は自動化やセルフサービスアプリケーションを使用している。

脚注