ネットワークセグメンテーション設計: リスクとコストを一度に下げる

breachリスクとセキュリティコストの両方を下げたい組織に、正確に一つのアーキテクチャ変更を選べるなら、それは新しい製品やプラットフォームではありません。ネットワークセグメンテーションです。私の知るどの統制も同じ金で最も高くつく二つの問題を同時に減らしてはいません。

理由は簡単です。ほぼすべての高価なセキュリティ問題が一つの根を共有します。平らなネットワークは小さな問題を大きく育てます。セグメンテーションがその結び目を切ります。最初の過ち以降攻撃者が届く範囲を制限し、コンプライアンスフレームワークが気にかけるシステム集合を縮め、管理しきれなかった塊を小さなチームが本当に理解できるものに変えます。

なぜ平らなネットワークは静かに崩れるのか #

フラットなネットワークとは大部分のシステムが大部分のシステムと話せるネットワークです。それがデフォルトの行き着き先です。平たさが便利だからです。新しいサーバーがDBを必要としてもファイアウォール規則の交渉は要らず、開発者のノートパソコンがテスト環境を必要としても更新する物はありません。

代償は後に来ます。実際の侵入がどう進むか見てください。初期足場は通常小さいです。フィッシングされたノートパソコンのクレデンシャル、脆弱なVPN機器、管理ポートをインターネットへ向けたまま忘れられたテストサーバー。単体ならその足場の価値はわずかです。breachを高価にするのは横移動です。最初に侵害された機械から攻撃者はネットワークを探索し、クレデンシャルを収穫し、ユーザー端末から決して届くべきでないサーバーへ到達し、価値あるものを握るまで昇格します。

平らなネットワークはその旅の各歩みを無料にします。セグメントされたネットワークは各歩みに攻撃者から見える対価(労力、時間、騒音)を課します。ペネトレーションテスターなら差がどれほど劇的か語れます。平坦な環境では我々は日常的に一台のノートパソコンから数日でドメイン全体掌握まで行きます。よく設計されたセグメントの前では同じengagementが最初のホップで止まり続きます。

セグメンテーションが買うもの #

1. 最初の侵害の影響を限定 #

ゾーンが執行される境界で分かれていれば、ワークステーション一台の侵害が決済システムやドメインコントローラや産業制御へのアクセス権を与えることはありません。攻撃者は事業ではなく一つのセグメントを握ります。午後に復旧できる事故とbreach発表の違いです。

2. 横移動を止めます #

ワークロード間の東西トラフィックはまれで、目的があり、観察されるべきです。多くの環境では三つとも当てはまりません。セグメンテーションは着地した攻撃者に開いた廊下ではなく袋小路を見せ、存在せざるを得ない経路は監視可能なほど狭くします。

3. コンプライアンススコープを縮小 #

ここで費用削減が具体的数字になります。PCI DSSはCDE(カード保持者データ環境)とそれに接続するすべてに適用されます。penetration testingで検証された適切な分離があればCDEは数百ではなく数台かもしれません。範囲内のシステムが減れば証拠収集、評価工時、年次検証費用、パッチと監視すべき面も減ります。同じ論理がISO 27001リスク処理や隔離についてのあらゆる規制会話にも利します。

クライアントが先にセグメンテーションプロジェクトを終えて評価工数が半減した例を見てきました。セグメンテーションの工事費は通常それが生む初年度の評価節約より安いのです。

4. ネットワークを管理可能にします #

一番感謝されない恩恵: セグメントされたネットワークは知ることができるネットワークです。トラフィック流が文書化された経路に閉じ込められると異常が目立ちます。一度も話したことのないデータベースへ急に触れるワークロードは事件か誤設定か、どちらにせよ注目に値します。平らなネットワークでは同じ信号が騒音に溺れます。全員がいつも全員と話しているので。セグメンテーションこそモニタリングを意味あるものにします。

耐える設計原則 #

良いセグメンテーションはアプライアンス買い物ではなくアーキテクチャです。重要な原則:

箱ではなくデータから始める。 機微データがどこに住みどう流れるか特定します。カードデータ、クレデンシャル、個人情報、財務記録。保護すべきものの周りにゾーンが形成されます。去年の図面中心ではありません。

信頼と機能で階層を定義。 多くの組織の実用的基準線:

インターネット向きサービス、ユーザー端末、アプリケーション層、データ層、そして別系統の管理網。各境界に明示許可リスト。その他全部拒否。

デフォルト拒否、目的を持って追加。 ゾーン間で許される各フローには所有者と書かれた理由が必要です。誰も規則の存在理由を言えないなら、それは悪用待ちのfindingです。

クラウドの中でもセグメント。 セキュリティグループ、VPC、サービスポリシーがセグメンテーションです。クラウドプラットフォームが実装を変えるだけです。規律は同じです。本番は非本番と隔離、データベースはインターネットから不可、管理面は別経路。

セグメントを試験してください。想定しないでください。 攻撃の下で耐えるセグメントだけが認められます。PCI DSS特に、標準は最低年一回・主要変更後の分離検証 penetration testingを要求します。 浸透テストが各ゾーンから横移動を試みてこそ設計が働いているのか図面だけで綺麗なのか分かります。

現実的な道 #

誰も稼働中のネットワークを週末に作り直しません。効く順序:

1. 発見。 数週間かけ実際のトラフィックを地図化。本当のネットワークは常に文書と違います。
2. 宣言。 目標ゾーンを定義し各境界を越えねばならない流れを書き出し、業務側の署名を取ってください。
3. 王冠を先に柵。 化粧の前に決済システム、ドメインインフラ、機敏データ保管庫を。
4. 波状移行。 インターネット向きから順にシステムをゾーンへ段階移動、低賭け地域で壊れを修復しつつ安いうちに学びます。
5. 検証して維持。 境界は年次試験、規則は四半期レビュー、文書なき越境フローは反証されるまで事件扱い。

大半の組織は粘り強い1〜2四半期で守れる基準線に届き、初期段階は縮んだ監査範囲ですぐ元を取ります。

結論 #

セキュリティ支出には普通トレードオフがあります。リスクを下げるか、コストを下げるか。ネットワークセグメンテーションは常設の例外です。成功した侵入の被害に上限を付け、事故を高くする横移動を飢えさせ、応えるすべてのフレームワークの範囲を狭め、チームが推論できるネットワークを残します。勝てる二位はありません。

弊社の構成・アーキテクチャ評価が 実際のトラフィックを地図化しチーム実行可能なセグメンテーションロードマップを設計し、 浸透テストがセグメントが本当に耐えるか確認します。または schedule an Engineering & Scoping Sessionで始点を一緒に決めましょう。