インフラストラクチャチームがマイクロセグメンテーションを好む5つの理由

理想的な世界では、より多くの、より緊密なセグメンテーションがより良いセキュリティ成果につながると、多くの人が自由に認めるでしょう。残念ながら、現実の世界では、セグメンテーションは時間がかかり、複雑で、費用がかかります。アプリケーションチームは、インフラストラクチャチームが必要とする情報を提供するのに苦労しており、すべてのビジネスロジックがIPアドレスに変換され、手動でチェックされるまでは何も起こりません。幸いなことに、 マイクロセグメンテーション はより良い方法を提供し、セグメンテーション制御を強化するための運用上の負担の多くを取り除きます。

インフラストラクチャチームが経験する5つのメリットを考えてみましょう。

1.セキュリティ上の理由から VLAN はもう必要ありません

マイクロセグメンテーションは、セグメンテーション適用ポイントをネットワークからアプリケーションインスタンスに移動します。つまり、セグメンテーションポリシーは、既存のサブネット、VLAN、またはゾーンとは独立して存在します。純粋なネットワークの観点から見ると、大規模なフラット ネットワークはうまく機能し、適切に拡張でき、管理も簡単です。セキュリティポリシーは、小規模で厳しく制約されたネットワークを用意し、管理が面倒になります。マイクロセグメンテーションはこの行き詰まりを解決します。セグメンテーションがネットワークの適用に依存しなくなったら、きめ細かなセグメンテーションとシンプルなVLAN構造を持つことができます。
 

2. 管理する ACL はもう必要ありません

マイクロセグメンテーションは、IP アドレスではなく、ラベルとメタデータによってセグメンテーションポリシーを定義します。最後に、ポリシーを作成するときに、サーバー名またはアプリケーション名と IP アドレスの間で手動で変換する必要はありません。マイクロセグメンテーションがポリシー定義をネットワーク構造から抽象化すると、ポリシー開発のプロセス全体がよりシンプルかつ迅速になります。純粋な 許可リスト モデルで指定されたマイクロセグメンテーションポリシーには、ルール順序の考慮事項を回避し、ポリシーの継承をサポートするという追加の利点があります。まとめると、マイクロセグメンテーションポリシーは、従来のACLよりも高速、シンプル、簡単でありながら、より厳密な制御を提供します。
 

3. すべてのアプリケーションのアプリケーショントポロジーを取得する

すべてのトラフィックの記録が含まれているにもかかわらず、ネットワーク フロー データはアプリケーションの動作を理解するのにあまり適していません。マイクロセグメンテーションは、基盤となるネットワークトポロジーに依存しないアプリケーション依存関係マップを生成します。複数のデータセンターやクラウドの場所にまたがるアプリケーションでも、単一のアプリケーションインスタンスとして視覚化されます。この明確さにより、組織全体、特にネットワークトポロジを本質的に気にしていないアプリケーション、DevOps、セキュリティチームとの会話が簡素化されます。特にセグメンテーションポリシーを策定する場合、この共通の理解により、承認の会話とポリシーの意思決定が合理化されます。
 

4. 自動セグメンテーション

最良のセグメンテーション ルールは、誰も作成したり調整したりする必要のないルールかもしれません。マイクロセグメンテーションはラベルとメタデータでポリシーを指定するため、ポリシー全体を自動化できます。マイクロセグメンテーションポリシーエンジンは、新しいデバイスやIPアドレスの変更を通知するAPI呼び出しを受信すると、必要なセグメンテーションルールを自動的に再計算して配布します。セキュリティポリシーは、常に最新の状態になります。ラベルは、サーバーのインスタンス化のためにDevOpsワークフローに簡単に組み込まれており、そのように統合されると、ポリシーが自動的に計算され、構築または廃棄されるすべてのサーバーに対して調整されます。
 

5. 運用上の苦痛なしに、よりきめ細かなセグメンテーションを求めるセキュリティの要望を満たす

セキュリティアーキテクトは、ほとんどの場合、セグメンテーションを減らすよりもセグメンテーションを増やすことを好みます。唯一の課題は、マイクロセグメンテーションがなければ、より詳細なセグメンテーションポリシーはインフラストラクチャ運用チームに多大なコストがかかることです。セグメンテーションポリシーがネットワークの適用、IPアドレス、またはネットワークから派生したフローデータに依存しなくなると、運用上の負担が大幅に軽減されます。ポリシー作成ツール、自動化、可視性によってプロジェクトが強化されれば、非常に緊密なセグメンテーションでも、予想される頭痛の種なしに達成できます。

ACL を使用したセグメンテーションには、時間のかかる労力が必要です。マイクロセグメンテーションはワークロードを軽減し、ロールベースのアクセス制御を通じて、アプリケーション、DevOps、セキュリティ、およびインフラストラクチャのチームに負荷を分散できます。従来の ACL ではコストがかかりすぎると考えられていたセグメンテーションの要望は、マイクロセグメンテーションを使用するとはるかに簡単になります。

従来、セグメンテーションは困難であったため、多くの場合、運用上の考慮事項によって何が実現可能かが決まります。しかし、マイクロセグメンテーションは、より厳格なセグメンテーションポリシーとより軽い運用上の負担の両方を実現するという楽しい可能性を提供します。マイクロセグメンテーションは、ネットワークからポリシーの適用を排除します。IP アドレスに依存せずにポリシーを再定義し、ポリシーの自動化を促進し、便利な視覚化およびポリシー作成ツールを提供します。

まとめると、インフラストラクチャチームは、きめ細かなポリシーを求める必要があるセキュリティの同僚を満足させることができます。実際、マイクロセグメンテーションは、ネットワークインフラストラクチャからセグメンテーションを削除できるという最高のニュースをインフラストラクチャチームに提供します。

詳細については、ネットワークインフラストラクチャからのセグメンテーションの切り離しに関する 論文 をご覧ください。