マイクロセグメンテーション まいくろせぐめんてーしょん
簡単に言うとこんな感じ！
社内ネットワークを「超細かく仕切る」技術だよ！泥棒が一部屋に入っても他の部屋に行けないようにする鍵付き壁、みたいなイメージ。サーバーやアプリごとに通信を厳しく制限して、万が一ハッカーが侵入しても社内を自由に動き回れないようにするんだ！
マイクロセグメンテーションとは
マイクロセグメンテーションとは、データセンターやクラウド環境のネットワークを、サーバー・アプリケーション・ワークロード単位で細かく分割し、それぞれの間の通信をきめ細かく制御するセキュリティ技術です。従来のファイアウォールが「社内 vs 社外」という大きな境界を守るのに対し、マイクロセグメンテーションは社内の中を何十・何百もの小さなゾーンに区切ることで、侵入者の動きを封じ込めます。
攻撃者がネットワークに侵入した後、社内を自由に横断して情報を盗む行為は**ラテラルムーブメント（横移動）と呼ばれます。昔のネットワークは「外から守れれば中は自由」という設計思想でしたが、これが狙われてきました。マイクロセグメンテーションは「中に入ってもどこにも行けない」**状態を作り出すことで、このラテラルムーブメントを防ぐのが最大の目的です。
ゼロトラスト（何も信頼しない、すべて検証する）という現代のセキュリティ思想を、ネットワーク内部に具体的に実装する手段として注目されています。特にクラウドやコンテナ環境で複数のサービスが混在する今日、マイクロセグメンテーションは企業のセキュリティ設計の中核に位置づけられるようになっています。
マイクロセグメンテーションの仕組み
マイクロセグメンテーションでは、ネットワークを論理的に分割し、各セグメント間の通信にポリシー（許可・拒否のルール）を設定します。
| 項目 | 従来の境界型セキュリティ | マイクロセグメンテーション |
|---|---|---|
| 守る対象 | 外部との境界（入口・出口） | 内部の通信すべて |
| 分割の粒度 | 部署・VLANレベル | サーバー・アプリ・コンテナ単位 |
| 侵入後の対策 | ほぼなし | 横移動を自動的にブロック |
| 管理方法 | 物理ファイアウォール | ソフトウェア定義（SDN・エージェント） |
| 向いている環境 | オンプレミス中心 | クラウド・ハイブリッド・コンテナ |
主な実装方式
マイクロセグメンテーションには複数の実装アプローチがあります。
- ホストベース方式 — 各サーバー・VMにエージェントをインストールし、OSレベルでトラフィックを制御。クラウドにも適用しやすい
- ネットワークベース方式 — SDN（Software Defined Networking）スイッチやファイアウォールで制御。既存インフラに近い形で導入できる
- ハイパーバイザーベース方式 — 仮想化基盤（VMwareなど）のレイヤーで制御。VM同士の通信を仮想化層で遮断する
覚え方：「ホテルの鍵付き廊下」
フロアにたどり着いても、各部屋には個別の鍵が必要——それがマイクロセグメンテーション。「ロビーに入れても部屋には入れない、部屋に入れても隣には行けない」というイメージで覚えよう！
歴史と背景
- 2000年代前半 — VLANによるネットワーク分割が一般的。ただし粒度が粗く、同一VLAN内では自由に通信できた
- 2013年頃 — VMwareが仮想化環境でのマイクロセグメンテーションを提唱。NSX（ネットワーク仮想化製品）として製品化
- 2014年 — Forrester Researchがゼロトラストネットワークの概念を体系化。マイクロセグメンテーションがその中核技術として位置づけられる
- 2016〜2018年 — WannaCryなどのランサムウェアがラテラルムーブメントで大被害。企業が内部分離の重要性を痛感し、関心が急拡大
- 2020年〜 — NIST（米国標準技術研究所）がゼロトラストアーキテクチャのガイドライン（SP 800-207）を公開。マイクロセグメンテーションが正式にゼロトラストの実装手段として明記される
- 現在 — クラウドネイティブ・Kubernetes環境でのマイクロセグメンテーション（NetworkPolicy等）が標準的な設計要素に
従来のVLAN分割との違い・比較
従来のVLAN（仮想LAN）によるセグメント分割と比べたとき、マイクロセグメンテーションがどう異なるかを図解します。
主なマイクロセグメンテーション製品・サービス
| 製品・サービス | ベンダー | 特徴 |
|---|---|---|
| NSX | VMware（Broadcom） | 仮想化基盤に統合。老舗の定番製品 |
| Illumio Core | Illumio | エージェント型。可視化が強力 |
| Cisco Secure Workload | Cisco | データセンター向け。AIで自動分類 |
| Akamai Guardicore | Akamai | クラウド・オンプレ混在環境に対応 |
| Azure Network Security Group | Microsoft | クラウドネイティブ。AzureのVMに標準搭載 |
関連する規格・RFC
| 規格番号 | 内容 |
|---|---|
| NIST SP 800-207 | ゼロトラストアーキテクチャのガイドライン。マイクロセグメンテーションをZTAの実装要素として定義 |
| RFC 4364 | BGP/MPLS IP VPN（ネットワーク分離の基盤技術） |
関連用語
- ゼロトラスト — 「何も信頼しない」を前提にすべての通信を検証するセキュリティ思想
- VLAN — ネットワークを論理的に分割する技術。マイクロセグメンテーションの前身的な役割
- SDN（ソフトウェア定義ネットワーキング） — ネットワーク制御をソフトウェアで行う技術。マイクロセグメンテーションの実装基盤
- ラテラルムーブメント — 攻撃者がネットワーク内を横移動する攻撃手法。マイクロセグメンテーションが防ぐ主な脅威
- ファイアウォール — ネットワークの境界でトラフィックを制御する装置・ソフトウェア
- SASE（サシー） — ネットワークとセキュリティを統合したクラウド型アーキテクチャ
- コンテナ・Kubernetes — マイクロセグメンテーションが特に重要になるコンテナ化された実行環境
- EDR（エンドポイント検出・対応） — 端末レベルで脅威を検知・対応するセキュリティ技術。マイクロセグメンテーションと組み合わせて多層防御を構成