ネットワーク セキュリティ ベストプラクティス

強固なネットワーク セキュリティのベストプラクティスは、増々巧妙化する今日のサイバー脅威から身を守るために、これまで以上に重要になっています。この記事では、不正アクセスやデータ侵害に対してネットワークを強化するために必要な、さまざまなネットワークおよびセキュリティのベストプラクティスと技術を紹介します。

ネットワーク デバイスとセキュリティ ソリューションの種類

企業ネットワークセキュリティのベストプラクティスに入る前に、組織が活用できる一般的なネットワーク機器の種類とセキュリティソリューションを整理しましょう：

• ブリッジ（Bridges） かつては、2台以上のホスト、またはネットワークセグメントを接続するために使われていました。現在では時代遅れになっており、もう利用されていません。
• ハブ（Hubs） かつては、ローカルエリアネットワーク（LAN）機器を接続するために使われていました。内蔵されたインテリジェンスがないため、ハブは現代のネットワーク構成ではほとんど使用されません。
• A ネットワークスイッチ（network switch） は、LAN内のコンピューター、サーバー、プリンター、その他のデバイスを接続するための標準的なネットワーク機器です。MACアドレスを使用してデータを管理し、特定のデバイスへ転送します。ハブと異なり、スイッチはトラフィックをインテリジェントに制御してネットワークの混雑を抑え、ネットワークパフォーマンスを向上させることができます。
• A ネットワークルーター（network router） は、インターネット接続と社内ネットワーク間の通信を促進するために、異なるネットワーク間でデータパケットを振り分けます。ルーターは IP アドレスを使用して、データパケットをネットワーク間で送信する際の最も効率的な経路を判断します。また、アクセス制御リストなどのセキュリティ機能を提供して、ネットワークへのアクセスを制限することもできます。
• A gateway は、別々のネットワーク上にあるデバイスの仲介役として機能し、異なる通信プロトコルを使用していても相互に通信できるようにします。
• A firewall は、1つのネットワークを別のネットワークから切り離します。ファイアウォールはハードウェアまたはソフトウェアの形で提供され、ルーターやサーバーなどの機器に組み込むこともできます。ファイアウォールの代表的な例は、内部ネットワークと外部の世界の間に立つ障壁として機能する専用アプライアンスです。
• A network access control (NAC) システムは、ネットワークにアクセスしようとしているデバイスが、定義されたセキュリティ基準（例：最新のアンチウイルスソフト、システム更新、特定の設定）を満たしているかを評価し、その上でアクセスを許可または拒否します。
• A web filter は、あらかじめ定められた基準に基づいてインターネット上のコンテンツへのアクセスを制限します。たとえば、この種のセキュリティ ソリューションは、組織のポリシーで定義された悪意のある、または不適切なWebサイトへのアクセスをブロックできます。
• A proxy server は、ユーザーのデバイスとインターネットの間で仲介役として機能します。プロキシ サーバーは、ユーザーのIPアドレスを隠すだけでなく、Webリクエストをフィルタリングして、悪意のあるサイトやコンテンツへのアクセスをブロックできます。
• email filter（スパムフィルター）は、不要なメールがユーザーの受信トレイにそもそも届くのを防ぐか、届いた場合でも潜在的に悪意のあるハイパーリンクや添付ファイルを削除するのに役立ちます。単純なフィルターは、組織のポリシーまたはベンダー指定のパターンを使ってスパムを検知します。高度なフィルターは、ヒューリスティック（経験則）手法によって、不審なパターンや単語の出現頻度を見つけ出します。
• DDoS mitigation ツールは、分散型サービス拒否（DDoS）攻撃を初期段階で特定し、関連するトラフィックの急増を吸収するとともに、攻撃の発生元の特定を支援するよう設計されています。
• Load balancers は、ネットワークトラフィックを複数のサーバーに均等に分散することで、ネットワークセキュリティに貢献します。たとえば、DDoS 攻撃の最中に特定の 1 台のサーバーが過負荷状態になるのを防ぐのに役立ちます。

詳しい背景については、付録 A の「ネットワークシステムの OSI モデル」を参照してください。

エンタープライズ ネットワーク セキュリティのベストプラクティス

これらの基本を踏まえたうえで、組織のセキュリティ体制（セキュリティ・ポスチャ）を改善して攻撃を阻止するのに役立つ、よく知られたネットワークセキュリティのベストプラクティスと、進行中の脅威を迅速に検知して対応するためのベストプラクティスを見ていきましょう。

脅威の予防のためのネットワークセキュリティのベストプラクティス

ネットワークを分離してください。

ネットワークセキュリティにおける中核的なベストプラクティスの1つである network segmentation は、ネットワークを論理的または機能的なゾーンに分割することを意味します。これは、ルーターやスイッチなどの物理的手段によって実現することもでき、VLAN を使って仮想的に実現することも可能です。目的は、セキュリティ侵害を1つのゾーン内に封じ込め、結果として混乱と被害を抑えることにあります。セグメンテーションにより、IT チームは各ゾーンに対して異なるセキュリティ制御と監視を適用できるようになります。

特に、組織は demilitarized zone (DMZ) を内部ネットワークとインターネット、またはその他の信頼できないネットワークとの間に設けるバッファとして活用できます。DMZ には Web アプリケーションサーバーなどの外部公開サービスが配置されます。これらのサービスが侵害されたとしても、攻撃者は内部ネットワークに直接アクセスできません。

セグメンテーションの極端な形として air gap があります。ここでは、システム（バックアップを備えたサーバーやその他の機密情報など）がネットワークから完全に切り離されます。

セキュリティデバイスを正しく配置してください。

セキュリティデバイスの配置方法によって、どれだけの防御効果が得られるかが変わります。特に、ファイアウォールを効果的に配置することが重要です。理想的には、ファイアウォールを各ネットワークゾーンの接続ポイントに設置し、異なるセグメントの間に境界（バリア）を作るようにします。現代のファイアウォールには、侵入検知・防御システム、DDoS 対策、Web フィルタリングなどの統合機能が備わっていることが多く、周辺防御（パリメータディフェンス）に非常に適しています。

Webアプリケーションファイアウォール（WAF）は、DMZ のようにアプリケーションがホストされているゾーンに配置するのが最適です。こうすることで、SQLインジェクションやクロスサイトスクリプティングといった脅威からWebアプリケーションを保護するのに役立ちます。アプリケーションのトラフィックを管理するロードバランサーやDNSサーバーも、トラフィックの流れを最適化しセキュリティを高めるため、DMZ内に配置すべきです。

ネットワーク機器を物理的に保護してください。

もう一つの安全なネットワーク基盤のベストプラクティスは、ネットワーク基盤へのアクセスを厳密に制御することです。配線用のクローゼット（wiring closets）、主配線盤（main distribution frames：MDFs）、中間配線盤（intermediate distribution frames：IDFs）、サーバー、そして特にデータセンターには、認可された担当者のみがアクセスできるようにすべきです。いかなる重要エリアにも入るには認証を必須にしてください。

さらに、内部者が機密データを持ち出すことを防ぐため、USBメモリや外付けドライブの使用を禁止すべきです。

ネットワークアドレス変換（NAT）を使用してください。

ネットワークアドレス変換（NAT）は、組織内のすべてのプライベートアドレスを、外部との通信のための単一のパブリックIPアドレスに変換します。NATがなければ、世界はずっと前にIPv4アドレスが枯渇していたでしょう。しかし、ネットワークセキュリティにおけるNATの利点は、外部から内部ネットワークの構造を見えなくし、プライバシーとセキュリティの層を追加できることです。

パーソナルファイアウォールを使用してください。

パーソナルファイアウォールは、各コンピューターまたはサーバー上に常駐するソフトウェアベースのファイアウォールです。OSに組み込まれていることも多い一方で、サードパーティ製のアプリケーションとしてインストールすることもできます。従来のファイアウォールと同様に、入出力の通信（インバウンド／アウトバウンド）を制限してデバイスを保護します。

パーソナルファイアウォールの設定は、端末上で動作するアプリケーションやサービスの種類が多いため、最初は手間（時間）がかかることがあります。 ただし、この手順を利便性のために省くと、端末がマルウェアやハッキングに対して脆弱になり得ます。より広いネットワークの中で各端末のセキュリティを確保するために、必ずパーソナルファイアウォールを有効化してください。

可能であればホワイトリスティングを使用してください。

アプリケーションのホワイトリスティングとは、承認済みのソフトウェアのリストを作成し、それらのアプリケーションだけを実行可能にする運用です。この戦略はリスクを大幅に低減できます。たとえば、フィッシング攻撃や悪意のあるWebサイトによって届けられたマルウェアが実行されるのを防げます。

ただし、ホワイトリスティングが常に現実的とは限りません。組織内の誰かが実行する正当な理由を持つアプリケーションすべてを反映できるよう、リストを常に最新の状態に保つ必要があるためです。

Web プロキシ サーバーを使用してインターネット アクセスを管理します。

Web プロキシ サーバーは、送信（アウトバウンド）接続を認証し監視することで、正当なユーザーが開始した Web トラフィックのみを許可できるようにします。たとえば、これによりネットワーク内のマルウェアが攻撃者のコマンド＆コントロール サーバーと通信するのを防ぐのに役立ちます。

最小権限を徹底します。

外部のサイバー脅威にだけ注目すると、同じくらい重要なインサイダー脅威という側面を見落とす可能性があります。各ユーザーのアクセス権を、その職務に必要なものに制限することが不可欠です。これにより、ユーザーが意図的または不注意で引き起こしうる被害を減らし、さらに攻撃者がアカウントを侵害した際に得られる権限も抑えられます。加えて、盗まれた認証情報が役に立たないように、強力な認証対策を導入してください。

リモート アクセスには VPN の使用を必須にします。

仮想プライベートネットワーク（VPN）は、公共のネットワーク基盤の上に安全でプライベートなネットワーク接続を確立します。これにより、リモートユーザーがローカルに接続されているかのようにネットワークへ接続できるようになります。VPNは、転送中のすべてのデータを暗号化する安全なトンネルを使用して、インターネット越しにLAN同士を安全に結び付ける用途にも利用できます。VPNには、サーバーおよびワークステーションに導入された専用ハードウェア、またはVPNソフトウェアのいずれかが必要です。

脅威の検知と対応のためのネットワークセキュリティのベストプラクティス

基準となるネットワークプロトコルを設定し、使用状況を監視します。

有線および無線ネットワークにおけるさまざまなプロトコルの基準（ベースライン）利用状況を確立します。正確な基準を作成するには、ルーター、スイッチ、ファイアウォール、無線アクセスポイント、ネットワークスニファー、専用のデータ収集装置など、さまざまなソースからデータを収集する必要があります。次に、これらの基準からの逸脱を監視します。逸脱は、データトンネリング、悪意のあるソフトウェアが許可されていない宛先にデータを送信していること、その他の脅威を示している可能性があります。

ハニーポットとハニーネットを使用します。

ハニーポット（honeypot）とは、実在のネットワーク資産のように見えるよう設計された欺瞞（でいま）のシステムであり、ハニーネット（honeynet）とは、より大規模で複雑なネットワーク環境を模擬するためのハニーポットのネットワークです。これらは、攻撃者をそれらと相互作用させることを目的としており、本物の資産から悪意ある攻撃者をそらすことに加えて、セキュリティチームが攻撃手法を研究し、脅威管理を効果的に行うためのその他の情報を収集できるようにするために用意されています。

侵入検知および防御システムを使用してください。

ネットワーク全体での活動を監視し、ログを記録したうえで分析して、異常なログイン、疑わしいコンピューターイベント、その他の異常を見つけ出すことが重要です。 侵入検知システム（IDS） は、潜在的に悪意のある活動の兆候がないかネットワークのデータフローを監視し、異常があれば管理者に通知します。 侵入防止システム（IPS） も脅威についてネットワークトラフィックを監視しますが、管理者へのアラートに加えて、脅威をブロックまたは軽減するための行動を自動的に実行できます。 

これらのツールは、ネットワークのセキュリティ戦略において価値ある一部になり得ます。たとえば、現在の活動を確立されたベースライン（baseline）と比較することで、ランサムウェアやSQLインジェクション攻撃を示唆するネットワーク活動の急増を検知できる可能性があります。また、攻撃シグネチャ（attack signatures）—特定の攻撃、または攻撃パターンに共通する特徴—を用いて、組織のベースラインを逸脱する活動を生成しない攻撃も見つけ出すことができます。

適切な場合は、攻撃への対応を自動化してください。

多くの最新のセキュリティツールは、既知の脅威に自動的に対応するように設定できます。たとえば、これらのシステムは次のことができます。

• IP アドレスをブロック — IPS やファイアウォールは、攻撃の発信元となった IP アドレスをブロックできます。このオプションは、フィッシング攻撃やサービス拒否攻撃に対して非常に効果的です。しかし、攻撃者の中には攻撃中に送信元 IP アドレスをスプーフィングする場合もあるため、誤ったアドレスがブロックされてしまうことがあります。
• 接続を終了 — ルーターやファイアウォールは、攻撃者に対して RESET TCP パケットを狙い撃ちすることで、侵入者が侵害されたシステムとの間で維持している接続を妨害するように設定できます。
• 追加情報の取得 — ツールは、初期アクセスの地点、侵害されたアカウント、侵入者がネットワーク内でどのように移動したか、そして侵害されたデータが何かを判断するのに役立つ、価値のある情報を収集することもできます。

ボーナスのベストプラクティス

最後のネットワークセキュリティのベストプラクティスは、脅威の防止と検知＆対応の両方に適用されます。

複数のベンダーを利用します。

異なるベンダーのソリューションを利用することで、単一障害点に伴うリスクを下げられるため、サイバーレジリエンスが強化されます。つまり、あるベンダーのソリューションが侵害されても、他のベンダーのソリューションがあることで、防御の盾を維持するのに役立ちます。このアプローチは、進化する脅威やセキュリティ要件に対応するうえでも、より高い適応力を可能にします。さらに広く言えば、ベンダーが最も先進的で費用対効果の高いソリューションを提供しようと努力するため、競争力のある価格につながり、イノベーションも促進され得ます。

結論

ここで詳述したネットワークセキュリティのベストプラクティスに従うことで、貴社はコストのかかる業務停止やセキュリティインシデントのリスクを低減できるだけでなく、現在の厳格な法的要件への準拠も確実にできます。

付録 A：OSI モデル

OSI（Open Systems Interconnection）モデルは、ネットワークシステムのための確立されたフレームワークです。物理的なハードウェアからアプリケーションレベルの相互作用まで、7つの層で構成されています。