セキュリティアーキテクチャ・設計 重要度:★★出題: AM2・PM1
マイクロセグメンテーション
まいくろせぐめんてーしょん / Micro-Segmentation
ネットワークをワークロードやアプリケーション単位の極小ゾーンに分割し、ゾーン間の通信を厳格に最小権限化する設計。
3行速習ポイント
- 従来のVLANやサブネット単位の境界防御では防げなかった同一セグメント内の横展開（ラテラルムーブメント）を阻止
- ホスト型FWやSDN（Software-Defined Networking）、サービスメッシュを用いてワークロード間通信を個別認可
- ゼロトラスト（NIST SP 800-207）における中核的なネットワーク分離アプローチ
図解
図従来型VLAN境界防御 と マイクロセグメンテーションの比較
従来型サブネット・VLAN境界防御従来構成の課題
南北通信（North-South）のみをFWで検査
一度セグメント内部の端末・サーバが侵害されると、同一VLAN内の隣接サーバへSMB/RDP等で自由に横展開（ラテラルムーブメント）される
マイクロセグメンテーション構成ゼロトラスト設計
東西通信（East-West）をワークロード単位で個別認可
ホスト型FW・SDN・サービスメッシュ（mTLS証明書認証）を用い、業務上必須のサーバ間通信のみをホワイトリスト許可して横展開を完全遮断
💡 社内LANへの侵入を前提（Assume Breach）とし、ワークロード間の東西通信（East-West）を最小権限化して被害範囲を極小化
概要と本質
一度社内LANやデータセンタ内部に侵入した攻撃者は、同一セグメント内の隣接サーバへ次々と感染を広げるラテラルムーブメントを行います。マイクロセグメンテーションはサーバ1台・コンテナ1個単位で論理的な防護壁を設け、業務上必須の通信のみをホワイトリスト許可します。
重要ポイント・コア概念
- East-West（東西）トラフィック制御：データセンタやクラウド内部のサーバ間通信を可視化・制限
- アイデンティティベース制御：IPアドレスだけでなく、サービス証明書（mTLS）やワークロードIDに基づいて通信を認可
- 侵害範囲（Blast Radius）の極小化：万一1台のサーバが侵害されても他システムへの波及を遮断
午後記述・情報セキュリティ対策での攻略ポイント
午後問題では「社内LANへの侵入を前提とした被害局所化策」「業務サーバ間の不要なSMB/RDP通信の遮断」の解答要素として活用できます。
午後記述で使える加点キーワード（クリックでコピー）
関連する重要用語
この用語が出題された過去問を解く（1分演習）
即時アウトプットで定着情報処理安全確保支援士 過去問演習で実践力を鍛える
