ネットワークセグメンテーションとは？
ネットワークを複数の区画（セグメント）に分割することで、万一侵入されても被害を最小化する設計手法です。
セグメント分割なし vs あり — 侵入被害の違い
❌ 分割なし（フラットネットワーク）
侵入者が1台乗っ取り → 社内ネット全体を自由に移動
→ DBサーバ・給与システム・開発環境に全アクセス可能
→ ラテラルムーブメント（横展開）が止まらない
→ DBサーバ・給与システム・開発環境に全アクセス可能
→ ラテラルムーブメント（横展開）が止まらない
✓ セグメント分割あり
侵入者が1台乗っ取り → 同じセグメント内しか移動できない
→ DBサーバには別のファイアウォールが存在
→ 被害範囲を限定できる
→ DBサーバには別のファイアウォールが存在
→ 被害範囲を限定できる
DMZ（非武装地帯）
DMZ（Demilitarized Zone）は、インターネットと内部ネットワークの中間に置く隔離ゾーンです。WebサーバやDNSサーバなど「外部に公開が必要なサーバ」をDMZに置きます。
3層ネットワーク構成（標準的なDMZ構成）
インターネット
世界中からのアクセス（信頼できない）
外部ファイアウォール
HTTP/HTTPS(80/443)のみ通過許可。それ以外を全てブロック
DMZ
Webサーバ・メールサーバ・DNSサーバを配置
ここが攻撃されても内部ネットワークには直接届かない
ここが攻撃されても内部ネットワークには直接届かない
内部ファイアウォール
DMZから内部への通信を厳しく制限（DBへの接続は特定ポートのみ）
内部ネットワーク
DBサーバ・認証サーバ・社員PC等。インターネットから直接アクセス不可
ラテラルムーブメント（横展開）とは？
侵入者がネットワーク内を移動して権限昇格・目的達成を目指す動きです。
ラテラルムーブメントの典型的な流れ
侵入
フィッシング → 一般社員PCにマルウェア感染
探索
同じセグメントの他PCを探索 → 認証情報を収集（Mimikatz等）
権限昇格
管理者アカウントの認証情報を入手 → Active Directoryに侵入
目的達成
DBサーバ・バックアップサーバにアクセス → データ窃取 / ランサムウェア展開
セグメンテーションがあれば各ステップで壁にぶつかり、横移動が難しくなる
マイクロセグメンテーション
従来のVLAN単位の分割より細かく、サーバ単位・ワークロード単位でポリシーを適用する現代的な手法です。
VLAN（従来）
ネットワーク層でセグメントを分割。同一VLAN内では自由に通信できる
マイクロセグメンテーション
サーバ単位でポリシーを設定。「このWebサーバはDBサーバのポート3306のみ通信可能」のように細かく制御
単一障害点（SPOF）の排除
SPOF排除の設計パターン
SPOF例
ファイアウォールが1台 → 故障 or 攻撃 → 全通信停止
SPOF排除
ファイアウォールを2台（アクティブ/スタンバイ構成）→ 片方が落ちても継続
セキュリティグループ・ACL（Access Control List）で通信を制御
試験ポイントまとめ
DMZ = インターネット公開サーバを内部ネットワークから隔離するゾーン
セグメンテーション = ネットワーク分割でラテラルムーブメントを阻止
SPOF = 1箇所の故障で全体が止まる個所 → 必ず冗長化する
Webサーバはインターネットに公開 → DMZへ。DBサーバは内部ネットワークのみ
