マイクロセグメンテーションとは何か？

　ガートナーでは、マイクロセグメンテーションを次のように定義しています。


　これだけではちょっとわかりづらいと思うので、もう少し詳しくひも解いていきましょう。

　世界的にサイバー攻撃が激化する中、企業はネットワークのユーザーIDをチェックしてアクセスを制御するIDaaS（IDentity as a Service）や、エンドポイントを監視するソリューションEDR（Endpoint Detection and Response）などを積極的に採用し、対策を講じています。

　しかし、これらのセキュリティ対策は、IaaS（Infrastructure as a Service）、PaaS（Platform as a Service）などのクラウド、コンテナ、データセンターまで含むサーバファーム（サーバが蓄積されている場所）は対象ではありません。インターネット全体のセキュリティを高めるため、各種サービスやサーバファームへのアクセスを制御する仕組みが求められるのです。

　こうした背景から必要とされるのがマイクロセグメンテーションです。

「マイクロセグメンテーションをわかりやすく説明すると、サーバへアクセスしようとするたびにエンドポイントの環境やユーザーを認証し、適切な権限の範囲でアクセスを許可し、その後のトランザクションも監視するという考え方のセキュリティです。認証によってきめ細かくトランザクションを制御するので、攻撃者が侵入できたとしても、早い段階で検知ができるため、攻撃が広がるのを防ぐ効果も期待できます。多数のセグメントに分割されたワークロードごとに、脅威や脆弱性、不用意なリスク拡大を抑え込むことができるのです」（池田氏）

　マイクロセグメンテーションは、IDにひも付いたセグメンテーションであるため、「アイデンティティ（ID）ベースのセグメンテーション」と呼ばれることもあります。あるいはゼロトラストと関わりが深いので、「ゼロトラストネットワークセグメンテーション」などと呼ばれることもあります。

　マイクロセグメンテーションの機能は、認証、暗号化、トラフィックの検査などが挙げられます。池田氏は次のように説明します。

「具体的には、怪しいパケットが混じっていたらアラートを上げる、パケットごとフィルタリングするといったアクションがあります。利用者の作業が終わったら、いったんトランザクションとコンセッションは終了し、次に作業する際は改めて認証からやり直します。セキュリティチェック、暗号化、トラフィックの検査の繰り返しが、マイクロセグメンテーションの機能です」（池田氏）

必要とされるようになった背景

　これまでのネットワークセキュリティは、境界型のセキュリティゲートウェイに多くが委ねられていました。しかし、コロナ禍を機にテレワーク環境などが整備され始め、モバイル端末や自宅のPCからパブリッククラウド上のさまざまなインターネットとつながることが日常的になると、クラウドまで含めたセキュリティゲートウェイ、つまりSASE（Secure Access Service Edge）が必要とされるようになってきました。

　SASEとは、2019年にガートナーが提唱した次世代クラウドネットワークセキュリティの実現モデルです。

「SASEは包括的なネットワーク機能とクラウド型のセキュリティゲートウェイを組み合わせることによって、インターネットも含めたネットワーク上に新たな仮想的で動的なネットワークを構築します。この仕組みを実装するときに必要なのが、マイクロセグメンテーションと呼ばれる技術です」（池田氏）

　つまり、SASEを構成する技術の1つが、マイクロセグメンテーションというわけです。ゼロトラストなセキュリティ対策としてSASEが認知・導入され始めているのと同時に、マイクロセグメンテーションという技術も注目を集めてきています。

従来のマイクロセグメンテーションとの違い

　マイクロセグメンテーションは新しい技術ではなく、2017～2018年ごろにも注目されていました。ガートナーが発表した2022年のセキュリティのハイプサイクルでは、マイクロセグメンテーションは幻滅期にあたります。


　しかし池田氏によると、現在、マイクロセグメンテーションは、5～6年前に注目されたころと比較すると適用範囲が広がってきていると言います。

「以前に注目されていたマイクロセグメンテーションは、今と違い、データセンター内のサーバ間のセグメンテーションにフォーカスしていました。複数のサーバにファイアウォールを入れる代わりに、ネットワーク仮想化の技術を使ってセグメントを細かく分けるというものでした。ネットワークを細かく刻むことによって、マルウェアが侵入した際、ウイルスの水平展開（ラテラルムーブメント）ができないようにするという考え方です。しかし、現在のマイクロセグメンテーションは、ユーザーやデバイスがサービス（アプリケーション）にアクセスする際のセキュリティに着目しています」（池田氏）

　以前のマイクロセグメンテーションの防御範囲は、データセンター内のリソースだけを対象としていました。しかし、パンデミック発生後、防御範囲が内側だけではなく、外側のインターネットの世界まで広がっています。従来のセグメンテーション戦略の延長で対応するのでは運用が難しくなったため、マイクロセグメンテーションの適用範囲が拡大してきました。

【次ページ】ベンダー各社の動向、メリット、今後の市場の見通し