ゼロトラスト・SASE

マイクロセグメンテーション実装まいくろせぐめんてーしょんじっそう

ゼロトラストネットワーク分離ラテラルムーブメントソフトウェア定義境界ファイアウォールIDベースポリシー

マイクロセグメンテーション実装について教えて

簡単に言うとこんな感じ！

社内ネットワークを「廊下でつながった大部屋」から「鍵付きの個室がたくさん並ぶビル」に変える仕組みだよ。一部屋に侵入されても他の部屋には入れないから、被害が広がるのを防げるんだ！

マイクロセグメンテーション実装とは

マイクロセグメンテーション（Micro-Segmentation）とは、社内ネットワークを非常に細かい単位（ワークロード・アプリケーション・コンテナ単位など）に分割し、それぞれの間の通信を厳密にポリシーで制御するセキュリティ手法です。従来の「社内は安全」という前提を捨て、ゼロトラスト（Zero Trust）アーキテクチャの中核技術として位置づけられます。

従来のネットワーク設計は「城壁モデル」——外部からの侵入を防ぐ大きなファイアウォールを設けるものでした。しかし一度内側に攻撃者が入り込むと、社内を自由に横断移動（ラテラルムーブメント）できてしまいます。マイクロセグメンテーションはこの問題に対処し、侵入後の被害拡大を最小化します。

「実装」という言葉がついているのは、マイクロセグメンテーションが概念だけでなく、どのレイヤーで・どの製品や技術で・どう運用するかという具体的な構築設計まで含めて初めて機能するからです。ビジネスの現場でシステムを発注・選定する際には、この実装方式の違いを理解しておくことが重要です。

実装の3つのアプローチ

マイクロセグメンテーションには代表的な実装アプローチが3つあります。それぞれ適用範囲・コスト・管理のしやすさが異なります。

アプローチ	概要	主な適用先	メリット	デメリット
ネットワークベース	VLANやSDN（Software Defined Networking）でL3/L4レベルで分離	オンプレミスのデータセンター	既存インフラを活用できる	細かいアプリ単位の制御が難しい
ハイパーバイザーベース	仮想化基盤（VMwareなど）のvSwitchレベルで制御	仮想マシン環境	VM間通信をきめ細かく制御できる	特定ベンダーへの依存が生じやすい
エージェントベース（IDベース）	各サーバー・コンテナにエージェントを導入しポリシーを適用	クラウド・コンテナ・マルチクラウド	OSやIPに依存せずIDで制御できる	エージェント管理の運用負荷がある

覚え方：「NHA」の3段階

Network（ネットワーク層）→ Hypervisor（仮想化層）→ Agent（アプリ/OS層）と、より細かく・より柔軟になる方向で覚えましょう。上流ほど広い、下流ほど精密というイメージです。

実装規模の目安

組織規模	推奨アプローチ	主要製品例
中小企業（〜500名）	ネットワークベース＋クラウドSG	AWS Security Groups、Azure NSG
中堅企業（500〜5000名）	ハイパーバイザー or エージェントベース	VMware NSX、Illumio Core
大企業・金融・官公庁	エージェントベース（IDベース）	Illumio、Guardicore、Cisco Secure Workload

歴史と背景

2000年代前半：VLANによるネットワーク分割が普及。ただし管理が手動かつ粗粒度で、セキュリティ目的というより運用分離が主目的だった
2010年：Forrester ResearchのJohn Kindervagがゼロトラストモデルを提唱。「社内ネットワークを信頼しない」という発想が広まる
2012〜2015年：VMwareがNSX（Network Virtualization Platform）を発表。ソフトウェアによる仮想ネットワーク制御が現実的に
2016年：Illumioなどのエージェント型セグメンテーション専業ベンダーが台頭。ワークロード単位の可視化・制御が可能に
2017〜2018年：ランサムウェア（WannaCry、NotPetyaなど）の大規模被害を受け、ラテラルムーブメント対策としてマイクロセグメンテーションへの注目が急増
2020年〜現在：NIST SP 800-207（ゼロトラストアーキテクチャ）が公開。マイクロセグメンテーションがゼロトラストの主要な実装技術として公式に位置づけられる。クラウドネイティブ・コンテナ環境への対応も進む

従来のネットワーク分割との比較

従来のVLAN/ファイアウォール設計と、マイクロセグメンテーションの構造的な違いを図で示します。

実装ステップ：4フェーズで進める

大規模なマイクロセグメンテーション実装は、一気に進めると運用が破綻します。以下の4フェーズが業界標準的な進め方です。

フェーズ1【可視化】
  └─ 既存ネットワークの通信フローをすべて記録・マッピング
     （何が何と通信しているかを"見える化"）

フェーズ2【分類】
  └─ ワークロード・アプリをグループ（セグメント）に分類
     （例：人事システム群 / 顧客DBグループ / 開発環境）

フェーズ3【ポリシー設計】
  └─ 「どのセグメントが・どのセグメントと・どのポートで通信してよいか」
     を許可リスト（ホワイトリスト）で定義

フェーズ4【適用・運用】
  └─ 最初は検知のみ（監視モード）→段階的にブロックモードへ移行
     継続的にポリシーを見直し・更新

規格・RFC番号	内容
NIST SP 800-207	ゼロトラストアーキテクチャの定義。マイクロセグメンテーションを主要な実装ピラーとして明記
RFC 4301	IPsec セキュリティアーキテクチャ。ネットワークベースのセグメント間暗号化に関連
RFC 8981	IPv6 一時アドレス。エージェントベース実装でのID追跡に影響する仕様