ネットワーク分割

ネットワーク分割は、大きなネットワークを小さく隔離された下位ネットワーク (セグメント、ゾーン) に分けることです。区画ごとに独自のアクセス制御があるため、攻撃者が 1 つの区画を突破しても、ほかへ自由に移動することはできません。

分割は多層防御の中核となる考え方です。重要なシステム (データベース、管理画面) は、特定の送信元ネットワークからのみ到達できる制限された区画に置きます。これにより侵害の影響範囲が狭まります。

チームにとって、ネットワーク分割は認証情報の保護を補完します。攻撃者があるサービスのパスワードを盗んでも、ネットワーク側の制限によってそのサービスに到達できないことがあります。分割と、パスワードマネージャーによるサービスごとの固有パスワードを組み合わせることで、防御が層になります。