ネットワークセグメンテーション入門｜横移動攻撃を防ぐ境界設計の考え方

「社内ネットワーク、全部つながってます」——この一言を聞いたとき、攻撃者の視点で考えると背筋が凍ります。

1台の端末が侵害されたとき、同じネットワークに属するすべての端末・サーバーが攻撃者の射程に入ります。ランサムウェアが瞬く間に社内全体に広がるのは、多くの場合このフラットなネットワーク構成が原因です。

この記事では、ネットワークセグメンテーションの基本的な考え方と、現場で使える設計パターンを整理します。

ネットワークセグメンテーションとは——ネットワークを「区画」に分ける考え方
なぜ分けるのか——セグメンテーションが防ぐリスク
1. 横移動攻撃（ラテラルムーブメント）を封じ込める
2. 被害範囲を限定する——感染が広がる前に止める
セグメンテーションの設計パターン
設計時に決めておくべきこと
1. どの通信を許可し・どの通信を拒否するか
2. セグメント間の通信ルールをドキュメント化する
よくある失敗パターン——「分けたつもり」で穴があった現場
実務チェックリスト——ネットワークセグメンテーション設計の確認ポイント
まとめ——今日確認すべきことは1つです

ネットワークセグメンテーションとは——ネットワークを「区画」に分ける考え方

ネットワークセグメンテーション（Network Segmentation） 1つの大きなネットワークを複数の小さな区画（セグメント）に分割し、セグメント間の通信を制御する設計手法。侵害の影響範囲を限定し、横移動攻撃を防ぐことが主な目的。

ネットワークセグメンテーションは「壁を作る」設計です。同じセグメント内の通信は自由に行えますが、セグメントをまたぐ通信はファイアウォールやアクセス制御リスト（ACL）で制御します。

最小権限の考え方をネットワークに適用したものと理解すると、設計の意図が明確になります。最小権限の原則については「最小権限の原則とは？」で解説しています。

なぜ分けるのか——セグメンテーションが防ぐリスク

横移動攻撃（ラテラルムーブメント）を封じ込める

横移動攻撃（ラテラルムーブメント：Lateral Movement） 攻撃者が最初に侵害した端末を起点に、同じネットワーク内の他の端末・サーバーへと侵害範囲を広げていく攻撃手法。フラットなネットワークでは特に被害が拡大しやすい。

攻撃者は1台の端末を侵害した後、そこから社内ネットワークを探索して価値の高いターゲット（ドメインコントローラー・ファイルサーバー・バックアップサーバー）を探します。セグメンテーションで適切な「壁」があれば、この横移動を途中で止めることができます。

ランサムウェアが感染拡大する仕組みと初動対応については「ランサムウェア対応の初動手順」を参照してください。

被害範囲を限定する——感染が広がる前に止める

セグメンテーションの効果は「侵害を防ぐ」ことだけではありません。侵害が発生した後でも、被害が広がる速度を落とし・範囲を限定する効果があります。

セグメンテーションなし	セグメンテーションあり
1台の感染が全端末に拡大	感染がセグメント内に封じ込められる
DCやバックアップサーバーまで到達	重要サーバーへの経路が遮断されている
被害範囲の特定が困難	セグメント単位で調査・封じ込めができる

セグメンテーションの設計パターン

基本パターン：機能別に分ける

最初に取り組むべきセグメンテーションは「機能別」の分割です。役割の異なるシステムを同じネットワークに混在させないことが基本です。

セグメント名	配置するシステム	外部からのアクセス
DMZ	WebサーバーなどインターネットからアクセスされるサーバーDMZ	許可（制限あり）
業務セグメント	一般ユーザーのPC・業務端末	不可
サーバーセグメント	ファイルサーバー・業務アプリケーションサーバー	業務セグメントから限定的に許可
管理セグメント	ドメインコントローラー・バックアップサーバー・監視サーバー	管理者端末からのみ許可

DMZ（DeMilitarized Zone：非武装地帯） インターネットと内部ネットワークの間に設ける中間ネットワーク。外部からアクセスされるサーバーをここに配置し、内部ネットワークへの直接アクセスを防ぐ。

発展パターン：信頼レベルで分ける（ゾーニング）

機能別の分割に加えて、「信頼レベル」でネットワークを階層化するアプローチです。

【信頼レベル別ゾーニングの例】

Tier 0（最高信頼）：ドメインコントローラー・PKI・特権管理端末
    ↑ 厳格なアクセス制御
Tier 1（高信頼）：重要サーバー・バックアップ・監視基盤
    ↑ 限定的なアクセス制御
Tier 2（通常）：一般業務端末・業務アプリケーション
    ↑ 標準的なアクセス制御
Tier 3（低信頼）：ゲストネットワーク・IoT機器・BYOD端末

上位のTierには下位のTierから直接アクセスできない設計にします。AD環境でのTierモデルの詳細については「AD特権アカウントの設計」を参照してください。

実装手段——VLAN・ファイアウォール・NSGの使い分け

セグメンテーションの実装には複数の手段があります。環境に合わせて組み合わせて使います。

実装手段	特徴	主な用途
VLAN	L2レベルでの分離。スイッチで設定	オンプレミス環境でのセグメント分割
ファイアウォール	L3〜L7レベルでの通信制御。ルールベース	セグメント間の通信を細かく制御
ACL（アクセス制御リスト）	ルーターやL3スイッチでの通信制御	シンプルなIP・ポートベースの制御
Azure NSG	AzureのVNet内でのトラフィック制御	クラウド環境でのセグメンテーション
Azure Firewall	クラウド向けマネージドファイアウォール	AzureのVNet間・インターネット通信の制御

Azureでのネットワークセキュリティ設計については「Azureネットワークセキュリティ設計入門」で詳しく解説しています。

設計時に決めておくべきこと

どの通信を許可し・どの通信を拒否するか

セグメントを分けた後に重要なのは「セグメント間の通信ルール」を明確にすることです。「分けたはいいが通信ルールが曖昧」な状態では、セグメンテーションの効果が半減します。

設計の基本はホワイトリスト方式です。「必要な通信だけを許可し、それ以外はすべて拒否する」という考え方で通信ルールを定義します。

【通信ルール設計の例】

業務セグメント → サーバーセグメント：
  許可：TCP 445（ファイル共有）・TCP 80/443（Web）
  拒否：その他すべて

業務セグメント → 管理セグメント：
  拒否：すべて（管理者端末からのみ許可）

サーバーセグメント → 管理セグメント：
  許可：TCP 3389（RDP）from 管理端末のみ
  拒否：その他すべて