サーバー間通信を可視化するマイクロセグメンテーション
アカマイ・テクノロジーズ合同会社（以下、アカマイ）は、ランサムウェア対策やサプライチェーンのセキュリティ強化にも活用されるマイクロセグメンテーションに関するメディア向けセミナーを5月17日に開催した。
今回解説されたマイクロセグメンテーションは、同社が推進するゼロトラストセキュリティモデルの鍵となる技術だ。ゼロトラストセキュリティモデルは調査会社のフォレスターが「全てを信用せず、あらゆる権限を最小にして常に監視する」として2012年に提唱したセキュリティ概念だ。組織内情報を盗む場合、何らかの手段で侵入したのちに、重要情報の探索行動「ラテラルムーブメント」を行うことが多い。
ラテラルムーブメントを避けるためにはネットワーク分離（セグメンテーション）が重要になるが、従来のアカマイはEAA（Enterprise Application Access）とAMFA（Akamai MFA）というZTNA（Zero Trust Network Access）のための技術は持っていたが、マイクロセグメンテーションの技術を保有していなかった。
そこで、2021年9月にイスラエルのGuardicoreを買収し、ゼロトラストセキュリティポートフォリオを拡大。アカマイによるマイクロセグメンテーションソリューション「Akamai Guardicore Segmentation」（仮称）は7月に発表する予定だ。
今回、来日したNathan Perdue氏（Vice President, Global Sales Enterprise Security）は「ゼロトラストセキュリティモデルを実現する中核がマイクロセグメンテーションである」と紹介。ネットワーク内部をマイクロセグメンテーションによって細かく分割することにより、ランサムウェアの緩和や漏えい検知、可視化に有用だと述べた。
アカマイのゼロトラストでEast-West（ネットワーク内通信）を担当するのがAkamai Guardicore Segmentationとなる
Nathan Perdue氏（Akamai Technologies Vice President, Global Sales Enterprise Security）
Perdue氏は、Guardicoreの採用事例をいくつか紹介した。ドイツ銀行では内部監査に対処するために2年間かけてセグメンテーション化を試みて失敗したものの、Guardicoreのマイクロセグメンテーション製品を使う事で半年で3万台のサーバーのマイクロセグメンテーション化が行えたという。
また、米国のヘルスケア業界ではフラットなネットワークが多いものの、支払いやカルテなどの機微情報もあるため可視化が欠かせない。ある企業ではクラウド移行とともにGuardicoreによって6000台のサーバーの可視化が行えたという。
米国ではラテラルムーブメントに無防備なシステムで被害を受けてもサイバー保険の支払いを拒否されることがあると、マイクロセグメンテーションの重要性を説いていた。
続いて、シニアプロダクトマーケティングマネージャーの金子春信氏は、エンタープライズにおけるセグメンテーションの現状を理解するために1000人のITセキュリティ意思決定者を対象に調査を行ったGuardicoreの「State of Segmentation」レポートを使いつつ、マイクロセグメンテーションの解説を行った。
同レポートによると96％の回答者が何らかのかたちでネットワークセグメンテーションを行っているものの、ミッションクリティカルな「重要アプリケーション」、「公開アプリケーション」、「ドメインコントローラー」、「エンドポイント」、「サーバー」、「ビジネス上重要な資産／データ」全てをセグメンテーションしている回答者はわずか2％。50％は1つのみと回答していた。また、セグメンテーションにおける課題としてコンプライアンス要件（44％）、適切なツールが限られている（42％）、複雑さ（38％）を上げており、複雑さを軽減し多くの要求に応えるのはソフトウェアベースの製品であるという。
マイクロセグメンテーションの手法としてはL3スイッチやファイアウォールのオーケストレーション、ハイパーバイザーでSDNと分散ファイアウォールを構築する方法もあるが、インフラの制限を受けてしまう。そこで、GuardicoreはOS上で動作するエージェントを採用することでインフラの制限を回避するとともに、厳格な検査ができるという。デモではタグ付けによってタグに沿った通信がどこからどこへどのぐらい行われているかを一目で把握できることは示された。
アカマイの製品群でランサムウェアから自社ネットワークをいかに守るかを説明した図。自社ネットワーク内のラテラルムーブメントを監視・可視化するのがGuardicore
エージェントは仮想マシン、ベアメタル、IaaS、コンテナと幅広く対応。ベアメタル環境もかなり古いOSまでサポートしているのが特徴だ
全てのサーバーに対してマイクロセグメンテーションを導入するためにはライセンス数と展開作業の負担が大きくなる。金子氏はサービス提供時にこうした問題を軽減する方法を検討すると回答した。
