クラウドワークロードのセグメンテーション

クラウドワークロードのセグメンテーションは、VPCやVNetなどのクラウドネットワーク内の個々のワークロード間のトラフィックを制御するセキュリティ対策です。これはワークロードレベルでポリシーを設定するため、あるワークロードが侵害された場合でも、攻撃者はその周辺の他のワークロードに自由にアクセスすることはできません。そのポリシーが個々のワークロードやプロセスを分離できるほど細分化されると、人々はそれをクラウドワークロードのマイクロセグメンテーションと呼ぶ。

クラウドにおける南北方向のトラフィックと東西方向のトラフィックの違いは何ですか？

クラウドセキュリティでは、トラフィックを2つの方向に分割することがよくあります。南北方向のトラフィックは、クラウド環境のエッジ部分で出入りする。東西方向のトラフィックは、同一ネットワーク内のワークロード間を横方向に移動する。

ネイティブのクラウドコントロールは、南北方向の処理に優れています。AWSセキュリティグループとAzureネットワークセキュリティグループ（NSG）は、外部からワークロードにアクセスできるものを決定します。しかし、VPCやVNet内部の東西方向の経路を監視する役割ははるかに小さい。境界ルールに関係なく、同じサブネット上のワークロードは多くの場合、自由に相互に通信できます。

東西間のギャップが重要なのは、ほとんどの攻撃が最初のマシンで止まらないからだ。攻撃者は、あるワークロードに侵入すると、次のワークロード、そしてその次のワークロードへと到達する方法を探し始める。セキュリティチームはこれを横方向の移動と呼ぶ。ランサムウェアも同様の挙動を示し、一度システムに侵入するとホストからホストへと拡散していく。クラウドワークロードのセグメンテーションは、クラウドにおける横方向の移動防止策の一種であり、ランサムウェアの横方向の移動を封じ込める上で中心的な役割を果たします。つまり、感染が広がる範囲を制限するのです。

AWSセキュリティグループとAzure NSGだけでは、横方向の移動を阻止するのに十分ではないのはなぜですか？

セキュリティグループとNSGはアクセス制御の一種です。彼らは、ワークロードに接続できるものを決定する。それは役に立つ仕事だが、攻撃者が既に侵入した後に侵害を封じ込める仕事とは異なる。

実務的な観点から見ると、以下のようなギャップが存在する。ネイティブ制御は、VPC 内のインスタンス間やサブネット間で大規模なアクセス制御を強制しないため、同じサブネット上の 2 つのワークロードは通常、制限なく相互にアクセスできます。それらはクラウド間でも統一されていません。AWS、Azure、GCPはそれぞれ独自のコントロールプレーン、ルール構文、コンソールを備えているため、これら3つすべてを運用するチームは、複数のポリシーモデルを同時に管理する必要に迫られる。さらに、ルールが施行される前にその影響を安全にテストする方法も提供されていない。変更によって何が壊れるかは、出荷後に初めて分かる。

リフトアンドシフト方式の移行は、この問題をさらに悪化させる。チームがアプリケーションをデータセンターからクラウドに直接移行する場合、従来の東西接続も一緒に移行されます。誰も再確認しないため、それらはデフォルトで開いたままになっている。

答えは、VPC内部でのセグメンテーションです。このVPC内部のセグメンテーションは、セキュリティグループにとどまらず、ワークロードレベルでの制御を追加します。これはクラウド侵害の封じ込め機能を提供します。攻撃者が侵入した場合、ポリシーによって攻撃者の移動範囲が制限されます。

クラウドワークロードのセグメンテーションは、クラウドファイアウォールと同じものですか？

いいえ。クラウドファイアウォールは、セキュリティグループやNSGと同様に、外部からワークロードにアクセスできるものを決定する境界アクセス制御です。クラウドワークロードのセグメンテーションは、境界内のワークロード間にポリシーレイヤーを追加することで、ファイアウォール単独では不可能な、既に内部に侵入した侵害を封じ込めることを可能にします。

クラウドワークロードのセグメンテーションは、実際にはどのように機能するのでしょうか？

ほとんどのクラウドセグメンテーションツールは、細部は異なっていても、いくつかの共通する基本的な考え方を持っている。

業務量レベルでのポリシー。ネットワーク境界だけに頼るのではなく、セグメンテーションでは各ワークロードに制御点を設ける。一部のツールは、オペレーティングシステム上の軽量エージェントを使用してこれを実現します。その他にも、クラウドフローログを読み取り、NSGやセキュリティグループなどのネイティブコントロールに直接ルールを書き込む方法があり、ワークロード上にエージェントを一切配置しない。多くのプラットフォームは両方の方法をサポートしているため、チームはワークロードに応じて最適な方法を選択できます。

アイデンティティに基づく政策。クラウド上ではIPアドレスは常に変化する。ワークロードは拡大、縮小、移動、再配置される。そうなると、IPアドレスに紐づいたルールが機能しなくなる。そのため、最新のセグメンテーションでは、「Web層」「本番環境」「データベース」といったラベルを用いて、ポリシーをワークロードの識別情報に結び付けます。すると、その方針は業務量に応じてどこへでも適用される。

施行前の政策モデリング。取り締まりを開始するのが、最もリスクの高い部分だ。誤ったルールは、実際のアプリケーションが必要とするトラフィックを遮断してしまう可能性があります。より優れたツールを使えば、まずドラフトモードでポリシーを作成し、実際のトラフィックデータに基づいてテストすることができます。ルールがどのフローをブロックし、どのアプリケーションに影響を与えるかを、実際に運用を開始する前に確認できます。これにより、チームは変更期間を待つことなく、通常の勤務時間中に作業を行うことができます。

段階的な執行。チームが「すべてをブロックする」ために真っ直ぐに方向転換することはめったにない。一般的な手順としては、まずリスクの高いサービスやプレーンテキストのサービスをいくつか削除し、次に既知の安全なトラフィックのみを許可するデフォルト拒否モデルへと移行していくというものです。その最終状態は、ゼロトラストの原則、すなわち最小権限の原則と、ワークロード間の暗黙の信頼の排除に合致する。

クラウドワークロードのセグメンテーションは、AIによる高速攻撃や横方向移動攻撃を阻止できるのか？

攻撃者のスピードが上がっている。AIを活用したツールを使うことで、彼らは数分以内に周囲の環境をマッピングし、そこを横断する経路を見つけることができる。これはAIによる機械速度での横方向への攻撃であり、防御側の抱える問題を変えるものです。封じ込め策が、人間が脅威を発見して新しいルールを作成するのを待つ場合、攻撃者は通常すでに次の攻撃に移っている。

ここで、常時稼働型のセグメンテーションが役立ちます。これはAIによる高速な侵害封じ込めの一形態であり、インシデント発生前に既に導入されている、自動化されたワークロードレベルの制御である。ポリシーが事前に設定されていれば、攻撃者がどのように侵入したかに関わらず、そのポリシーは有効である。特定の脆弱性を認識する必要はありません。侵入者が盗まれた認証情報、リモートアクセスツール、またはゼロデイ脆弱性を利用したかどうかに関わらず、セグメンテーションによって拡散範囲は制限される。一部のチームはこれを脆弱性非依存型封じ込めと呼んでいる。なぜなら、制御の焦点は欠陥そのものではなく、経路にあるからだ。

実例としては、マイクロソフトを見てみよう。ミッドナイト・ブリザードによる国家主導のサイバー攻撃の後、マイクロソフトはハイブリッドインフラストラクチャ全体における横方向の移動を検知し、封じ込めるために、数千万ものワークロードにIllumioを導入した。同社が自社の内部防御策の一環として、サードパーティ製のセキュリティプラットフォームを公に名指ししたのは今回が初めてだった。

クラウドワークロードのセグメンテーションは、マイクロセグメンテーション、CDR、ゼロトラストとどのように異なるのでしょうか？

クラウドワークロードのセグメンテーションは、人々がよく混同するいくつかの用語と密接に関連しています。

ネットワークセグメンテーションとマイクロセグメンテーション。従来のネットワーク分割では、ネットワークを大きなゾーンに分割しますが、多くの場合、南北方向に沿って分割されます。マイクロセグメンテーションはさらに細かく、個々のワークロード間でポリシーを設定します。マイクロセグメンテーションは、従来のネットワークセグメンテーションよりも、よりきめ細かく動的なアクセスポリシーを作成する方法です。

セグメンテーションとクラウド検出・対応（CDR）の比較。CDRは、環境内で既に発生している脅威を監視し、チームに警告を発します。セグメンテーションによって、そもそも脅威が移動できる範囲が制限される。この2つはうまく連携する。侵入検知によって誰かが侵入していることが分かり、セグメンテーションによって侵入者の進行範囲が制限される。

セグメンテーションとゼロトラスト。ゼロトラストとは、最小権限の原則と暗黙の信頼を排除することを基本としたセキュリティモデルである。ゼロトラストのワークロード分割は、チームがそのモデルを実践する主な方法の1つであり、個々のワークロード間で最小権限ポリシーを適用するものです。

Illumioはクラウドワークロードのセグメンテーションにどのように取り組んでいますか？

Illumioは情報漏洩対策企業であり、クラウドワークロードのセグメンテーションは同社のプラットフォームの中核を成す機能です。この分野で選択肢を検討している読者のために、いくつか具体的な例を挙げておきます。

Illumioは、単一のコントロールプレーンから、AWS、Azure、GCP、データセンター、コンテナ、エンドポイント全体にわたって、ラベルベースのポリシーを適用します。エージェントレス展開をサポートしており、VPCおよびVNetのフローログを読み取り、ポリシーをネイティブのクラウド制御に書き込みます。また、オペレーティングシステムレベルの制御が必要なワークロード向けに、エージェントベースのモードも提供しています。そのエージェントはユーザー空間で動作します。トラフィックの流れに沿って動作したり、パケットを検査したりすることはなく、ポリシーは再起動後も保持されます。ドラフトモードのモデリングにより、チームはルールを実際に適用する前に、実際のトラフィックに対してルールをテストできます。

2026年初頭、IllumioはGartner Peer Insightsの「顧客の声」レポートのネットワークセキュリティ・マイクロセグメンテーション部門で「顧客が選ぶソリューション」に選ばれました。この期間にこの栄誉を獲得したベンダーはわずか2社のみでした。

よくある質問

クラウドワークロードのセグメンテーションとは何ですか？

これは、VPCやVNetなどのクラウドネットワーク内の個々のワークロード間のトラフィックを制御する手法です。これは、オペレーティングシステムのエージェントを介して、またはネイティブのクラウド制御にルールを書き込むことによって、ワークロードレベルでポリシーレイヤーを追加し、侵害されたワークロードが同じサブネット上の他のワークロードに自由にアクセスできないようにします。ポリシーが個々のワークロードを分離できるほど細分化されると、人々はそれをマイクロセグメンテーションと呼ぶ。

南北方向の交通と東西方向の交通の違いは何ですか？

南北方向のトラフィックは、エッジにあるクラウド環境に出入りする。東西方向のトラフィックは、同一ネットワーク内のワークロード間を横方向に移動する。ネイティブクラウドファイアウォールは、南北方向の通信に重点を置いています。攻撃者が侵入後に移動する方向は東西方向であり、クラウドセグメンテーションはまさにこの東西方向のトラフィックを制御することを目的としています。

クラウドワークロードのセグメンテーションは、クラウドファイアウォールと同じものですか？

いいえ。クラウドファイアウォールは、セキュリティグループやNSGと同様に、外部からワークロードにアクセスできるものを決定する境界アクセス制御です。クラウドワークロードのセグメンテーションは、境界内のワークロード間にポリシーレイヤーを追加することで、ファイアウォール単独では不可能な、既に内部に侵入した侵害を封じ込めることを可能にします。

クラウドVPCまたはVNetにおける東西トラフィックをどのように保護しますか？

ワークロードレベルのセグメンテーションを追加します。つまり、オペレーティングシステム上に軽量エージェントを配置するか、クラウドフローログを読み取ってNSGやセキュリティグループなどのネイティブコントロールにポリシーを書き込むことで、各ワークロードに制御ポイントを設ける必要があるということです。優れたツールを使えば、ルールを適用する前に実際のトラフィックに対する影響をモデル化できるため、誤って正常に動作しているアプリケーションを壊してしまうことを防ぐことができます。

AWSセキュリティグループとAzure NSGだけでは不十分なのはなぜですか？

これらはアクセス制御ツールであり、情報漏洩を封じ込めるためのツールではありません。これらは、外部からワークロードに何が到達できるかを決定するが、侵害されたワークロードが同じサブネット上の隣接ワークロードに到達するのを阻止するものではない。また、クラウド間での統一性もなく、ルールを本番環境に導入する前に安全にテストする方法もありません。セグメンテーションは、東西方向の制御が欠けている点を補う。

クラウド検出・対応（CDR）とマイクロセグメンテーションの違いは何ですか？

CDRは、環境内で既に発生している脅威を検知し、チームに警告を発します。マイクロセグメンテーションは、そもそもそうした脅威が移動できる範囲を制限する。この二つは相互補完的な関係にある。攻撃の速度が人間の対応能力を上回る場合、既に実施されている封じ込め策の重要性がより高まる。

マイクロセグメンテーションはAIによる攻撃を阻止できるのか？

はい。攻撃者の侵入を完全に防ぐことはできないものの、侵入後の拡散範囲を制限することができ、しかも誰かが脅威を特定するのを待つことなくこれを実現できる。AIを活用した攻撃は、ネットワーク全体に数分以内に拡散するため、手動による対応では追いつけない。セグメンテーションポリシーが既に導入されているため、攻撃者がどの脆弱性や認証情報を使用したかに関わらず、脅威が最初に特定されるのを待つことなく、その影響範囲を限定することができます。

関連用語

マイクロセグメンテーション、 横方向移動、 ゼロトラスト、 侵害封じ込め、東西トラフィック、クラウド検出および対応（CDR）。

‍