本記事では、アメリカのサイバーセキュリティ企業 ColorTokens（カラートークンズ）社が発信しているセキュリティ情報（英文）を、日本の代理店である株式会社電巧社が許諾を得て日本語に翻訳し、要約して掲載しています。
※本記事は、掲載後に修正される可能性がございますので、ご了承ください
※過去の記事もアップしておりますので、現在の情報と異なる可能性がございます。記事下の最終更新日をご参考ください
VLANの限界を理解する： マイクロセグメンテーションによるサイバー防御の革命
過去のブログ記事「第一世代のネットワーク・セグメンテーションとソフトウェア定義のマイクロセグメンテーション」で、従来のネットワーク・セグメンテーション手法の問題点を取り上げました。
しかし、VLAN ACL はセグメンテーションの第一歩としては良いですが、今では賞味期限切れになっています。
これらの方法は、クラウドの統合、IoT の採用、アジャイルな展開など、今日のダイナミックな IT 環境を管理するために必要な柔軟性と粒度を欠いています。
さらに、VLAN ベースのセグメンテーションでは、横方向の移動（ラテラルムーブメント）やアプリケーションへの標的型攻撃などの高度な脅威に効果的に対処できません。
これらの限界を克服するためには、ソフトウェア定義のマイクロセグメンテーションを早急に採用する必要があります。
このような制約、特にVLANに焦点を当て、ColorTokens Xshield（カラートークンズ エックスシールド）のようなソフトウェア定義のマイクロセグメンテーションが、なぜこのような欠点を克服するソリューションを提供できるのかを掘り下げてみましょう。
VLAN ACLは基本的なセグメンテーションを提供しましたが、以下に述べるように、最新のネットワークを保護する上で有効性を妨げる制限があります：
スケーラビリティの問題
ACLを使用したVLANセグメンテーションは、基本的なレベルのネットワークセキュリティを提供する一方で、ネットワークスイッチに採用されているCAM（Content Addressable Memory）とTCAM（Ternary Content Addressable Memory）の制限により、複雑な問題を引き起こします。
ネットワーク上の VLAN やデバイスの数が増えるにつれて、スイッチの CAM テーブル・サイズは過大になります。
この制限により、スイッチが学習して効率的にトラフィックを転送できるユニークなMACアドレスの数が制限され、潜在的にパフォーマンスの低下やパケットのドロップにつながります。
TCAMはCAMに比べて高速なルックアップ機能を提供しますが、多くの場合、より高価であり、テーブル・サイズに制限があるため、大規模ネットワークにおけるVLANセグメンテーションのスケーラビリティがさらに制限されます。
CAMテーブルもTCAMテーブルも、各デバイスのVLANメンバーシップとアクセスコントロールエントリーを手動で設定する必要があります。
これは、頻繁に変更される大規模なネットワークでは、面倒でエラーが発生しやすくなります。
VLANコンフィギュレーションやデバイス・メンバーシップを変更すると、CAM/TCAMテーブルを手動で更新する必要があり、セキュリティの脅威やネットワークの変更に対する俊敏性や対応力の妨げになります。
セキュリティの問題
ポート/MACアドレス/VLAN割り当てを担当するスイッチのCAM（Content Addressable Memory）テーブルが飽和状態になります。
オーバーフローが発生すると、スイッチはアドレス情報を見つけることができず、ARPブロードキャストに頼り、スイッチをハブにしてしまう可能性があります。
攻撃者は、なりすましのMACアドレスをスイッチに流し込むことでこの弱点を利用し、CAMテーブルのオーバーフローを引き起こします。
スイッチが正当なエントリーを攻撃パケットで置き換えると、すべての受信パケットをすべてのポートにブロードキャストし始め、ハブのようになります。
このフラッディングは、攻撃者がデータを抜き取ったり、ARPスプーフィングを行ったりする機会を作り出し、攻撃が終了した後もアクセスを維持します。
dsniffのようなプログラムは、このような攻撃の実行を容易にします。
複雑なセットアップと管理
ホストサービスがセグメント化されている場合、かなりの数のACLルールを設定する必要があり、セットアップと管理が複雑になります。
さらに、ネットワーク・デバイスはACL機能に制限があり、多数のACL制約をインストールする基準を満たすことができません。
静的、柔軟性に欠ける、エラーが発生しやすい
これらのステップは一般的にインラインデバイスで構成されるため、既存のVLANグループを変更する際にもネットワークのダウンタイムが必要となります。
企業では、VLANネットワークが成長するにつれて、VLANのリストとそれが属する資産を管理するのが非常に面倒になり、管理者にさらなるオーバーヘッドを発生させることがあります。
IPアドレスやサブネットの変更はすべて手動で更新する必要があり、さらに手間がかかります。
ACLの手動コンフィグレーションは人為的なミスが発生しやすく、セキュリティの不備や意図しない結果を招く可能性があります。
追加コンポーネントの要件
VLAN ACLを実装するには、専用のファイアウォールやACL機能を内蔵したスイッチなど、追加のハードウェアリソースが必要です。
これは、ネットワークの全体的なコストを増加させるだけでなく、複雑性や潜在的な設定の誤りにつながる可能性があります。
きめ細かなセキュリティ・ポリシー施行の欠如： ACL/VACLはデータ/ネットワーク・レイヤで動作するため、アプリケーション、ユーザー・アイデンティティ、デバイス・タイプなどのコンテキストに基づいて、きめ細かなセキュリティ・ポリシーを実施する能力に欠けます。
これは、ゼロ・トラスト原則と動的アクセス制御の実装を妨げます。
テスト目的のポリシー実施シミュレーション機能の欠如
一般的に、ポリシーをシミュレートし、ビジネスへの影響を特定するオプションはありません。
動的な環境をセグメント化できない
VLANとACLは、クラウドワークロード、コンテナ化されたアプリケーション、OT/IoTデバイスなど、ユーザーやデバイスのプロファイルが頻繁に変更される動的な環境への適応に苦労しています。
ColorTokens Xshield（カラートークンズ エックスシールド）は、革新的なソフトウェア定義のマイクロセグメンテーションソリューションでネットワークセキュリティを再定義します。
軽量エージェントまたはエージェントレス技術によって展開可能なXshieldは、多様なデバイスにわたって堅牢なネットワークトラフィック制御と集中型ポリシー管理を提供します。
データセンター・サーバー、クラウドワークロード、ユーザー・エンドポイント、Kubernetesコンテナ、OT/IoT、レガシーOSデバイスにまたがり、エージェントベースとエージェントレスの両方のトラフィック・ポリシー実施による包括的な防御を実現します。
脆弱なVLANベースのネットワークとは異なり、エックスシールドはアプリケーション、ユーザーID、コンテキスト属性に基づいて動的にポリシーを適用し、CAMテーブルオーバーフロー攻撃などのリスクを軽減して全体的なセキュリティを強化します。
統一されたコンソールによって簡素化されたエックスシールドは、ポリシー管理を合理化し、直感的なダッシュボードを通じてリアルタイムのセキュリティに関する洞察を提供し、クラウド移行、IoT 統合、および俊敏なアプリケーション展開のためのヘルスケアランドスケープにシームレスに統合します。
ホストの周囲にマイクロ・パラメータを設定することで、ポリシー管理を簡素化し、最新のIT環境の動的なニーズに対応します。
内蔵のポリシー・シミュレーション機能により、導入前にセキュリティ対策を検証できるため、ダウンタイムを最小限に抑え、ビジネスの中断を防ぎます。
エフェメラルな環境向けに設計されたエックスシールドは、セキュリティ更新を自動化し、IPの変更に対応し、ポリシーのテストを効率的に行うことで、人的ミスを減らし、進化するインフラストラクチャで継続的なセキュリティを確保します。
結論として、VLAN のセグメンテーションはセキュリティの基礎となるレイヤーを提供するものの、横方向への伝播の防止には限界があり、俊敏性に欠けることから、より堅牢なソリューションの必要性が浮き彫りになりました。
企業は、各資産の周囲に定義されたマイクロ・ペリメータを備えたソフトウェア定義のマイクロセグメンテーションの実装を優先すべきです。
このアプローチは、進化するサイバー脅威に対する防御を強化するだけでなく、運用の柔軟性も確保します。
当初からソフトウェア定義型マイクロセグメンテーションを導入することで、組織は効果的に防御を強化し、セキュリティ対策を効率化することができます。
このような積極的な姿勢により、企業は侵害に備えることができ、適応性のあるセキュリティ対策で重要な資産を保護することができます。
ColorTokens Xshield（カラートークンズ エックスシールド）で未来へ飛躍し、マイクロセグメンテーションの変革力に浸ってください！
詳細は、公式サイトまでお問い合わせください
翻訳元記事
「Understanding the Limitations of VLANs: Revolutionizing Cyber Defense with Microsegmentation」
最終更新日：2024/6/4
著者：Sunil Muralidhar
この記事の著者：電巧社セキュリティブログ編集部
電巧社がおすすめするサイバーセキュリティ（マイクロセグメンテーション）の
資料をダウンロードする
メルマガ登録
ゼロトラストセキュリティ・マイクロセグメンテーションをはじめとして、サイバーセキュリティの最新情報や事例、セミナー開催情報などをお届けします。
本記事に関連するサービス
エンドポイントごとに分割して守る新サイバーセキュリティ技術「マイクロセグメンテーション」で、ランサムウェアなどのサイバー攻撃から情報資産を保護します。
「会社に情報システム部門がない…」
そんな企業様に最適！
最短2週間で導入可能・シンプルな運用・低コストでサイバー攻撃の被害を最小限に抑えます。
よく読まれている記事
関連する用語集
