データセンターの保護にはマイクロセグメンテーション【ColorTokensブログ日本語翻訳】

本記事では、アメリカのサイバーセキュリティ企業 ColorTokens（カラートークンズ）社が発信しているセキュリティ情報（英文）を、日本の代理店である株式会社電巧社が許諾を得て日本語に翻訳し、要約して掲載しています。

※本記事は、掲載後に修正される可能性がございますので、ご了承ください
※過去の記事もアップしておりますので、現在の情報と異なる可能性がございます。記事下の最終更新日をご参考ください

データセンター向けマイクロセグメンテーションの仕組み

目次非表示

今日のデータセンターは、もはや単独で孤立した環境ではなく、複数の場所とデータセンターに広がっています。

さらに、ワークロードはクラウド間で動的に作成および削除/移行されています。

この現象により、内部トラフィックが急激に増加し、データセンターの境界が透過的になっています。

このようなハイブリッド環境で一貫したポリシーを維持することは、多くの企業にとって課題であり、データの盗難のリスクと露出を増加させています。

セキュリティの黄金の原則の一つは、適切な「セグメンテーション」を使用して資産を保護することです。

これは、多くのコンプライアンス標準やセキュリティのベストプラクティスの基盤となっています。

ランサムウェアやデータの外部への流出などのサイバー攻撃の頻度と洗練度が増加する中、企業はマイクロセグメンテーションを主要な防御手段として採用し、攻撃面積を縮小させています。

マイクロセグメンテーションにより、ネットワークを個々のホストまでセグメント化し、アタックサーフェスを単一のホストに孤立させることができます。

データセンターを保護するために、私たちはOSIモデルの異なる層で、複数のベンダーから提供される複数のセキュリティ製品を使用しています。

ネットワークのどのレイヤーが最も快適かに応じて、以下は最も一般的に実装されているマイクロセグメンテーションの手法です。

ネットワーク中心のセグメンテーションは、主に外部アクセスの制御手法を活用して内部トラフィックを処理します。

ポリシーは、ネットワークデバイスに制御を実装し、IP構造やACL（アクセス制御リスト）を使用して構成および実行されます。

このプロセスにより、管理者はネットワークをVLANごとにセグメント化し、各VLAN内のリソース数がアタックサーフェスを決定し、それを単一のホストに減らすには、ホストごとにVLANを作成する必要があります。

小規模なネットワークでは、内部トラフィック管理に境界型ファイアウォールを活用でき、大規模なネットワークではデータセンター全体に複数のインスタンスを実装する必要があります。

利点：

欠点：

ネットワーク中心のアプローチでは、マイクロ（細かい）セグメンテーションではなく、マクロ（大きい）セグメンテーションが作成される可能性があり、アタックサーフェスが増加する
ワークロードレベルで詳細なポリシーを持つことが難しく、同じポリシーを異なる環境に移動する柔軟性が制限される
動的なデータセンターでの多数のACLやセキュリティポリシーは非常に複雑で、異なる環境での管理および更新が困難
セキュリティ障害ドメインはセグメント内のリソース数によって定義される
セキュリティ検査に関するコストが非常に高額になる可能性があり、パブリッククラウドの実装ではファイアウォールのコストに加えて、複数のVM（仮想マシン）を実行してファイアウォール機能をサポートするためのコストもかかる（HA（高可用性）のために最低2つは必要）
ゲートウェイのボトルネックに基づくパフォーマンスへの影響がある