Zero Networksのセグメントサーバ導入から通信可視化・自動ポリシー生成までを実機検証

こんにちは！

■前回記事
Zero Networksの特許機能「ネットワーク層MFA（JITアクセス）」を実機検証　～WFPで実現するRDP保護とラテラルムーブメント対策～ – TechHarmony

まず押さえたい「セグメントサーバ」の役割

仕組み

セグメントサーバは、Windows Server上に導入するソフトウェア型コンポーネントです。Zero Networksポータルとお客様環境の管理対象アセット（※）の間をつなぎ、アセット情報や通信状況の収集、ポリシー配布などの中継点として動作します。

エージェントレス方式では、セグメントサーバからWindowsへWinRM、LinuxへSSHで接続します。一方、セグメントコネクター方式では、管理対象アセットからセグメントサーバへHTTPSで接続します。どちらもZero Networksポータル上でアセットを一元管理し、通信の可視化、学習、ポリシー確認へ進む点は共通です。

※アセット：Zero Networksで管理・保護対象となるIT資産のことです。 具体的には、Windowsサーバ、Linuxサーバ、クライアント端末、Active Directory（AD）サーバなど、ネットワーク上で通信を行う機器やシステムが該当します。

 

■Zero Networks構成イメージ

 

ここがポイント

• セグメントサーバは、クラウド管理画面と社内アセットをつなぐ中継点
• エージェントレスはセグメントサーバから対象へ接続
• セグメントコネクターは対象アセットからセグメントサーバへ接続
• 方式が違っても、可視化、学習、ポリシー適用を同じ管理画面で扱える

 

エージェントレスとエージェント型は何が違う？

Zero Networksでは、環境や運用要件に応じて複数のアセット管理方式が提供されています。
今回はその中から、「エージェントレス方式」と「セグメントコネクター方式（エージェント型）」を利用して検証を実施しました。
どちらも通信の可視化やマイクロセグメンテーションを実現できる点は共通していますが、アセット登録の仕組みや管理通信の方法に違いがあります。
まずは今回検証した2つの方式の違いを見ていきます。

■エージェントレス方式とエージェント型の違い

比較観点	エージェントレス方式	セグメントコネクター方式（エージェント型）
通信の起点	・セグメントサーバ → アセット	・アセット → セグメントサーバ
主な管理通信	・Windows: WinRM ・Linux: SSH	・HTTPS
端末へのソフト導入	・原則不要	・必要（OS再起動は不要）
ソフト導入時間（インストールされるまでの時間）	–	Windows：30秒程度 Linux：10秒程度
導入環境	・エージェントを導入できない、導入を避けたい環境向け ・エージェント導入等の運用負荷をかけたくない	・インターネットに通信できないデバイス向け ・会社のセキュリティポリシー上、リモートから「WinRM」や「SSH」 の使用が難しい ・Windowsかつドメイン参加が難しいサーバ
登録方法	・AD参加後自動登録または手動登録など	・セグメントコネクターインストール時に自動登録
今回の対象	・Windows Server/RHEL	・Windows Server/RHEL

 

セグメントサーバを導入する

仕組み

最初にZero Networksポータルからセグメントサーバ用インストーラーと登録用トークンを準備し、ドメイン参加済みのWindows Serverへ導入します。
インストール完了後、Zero Networksポータル上でセグメントサーバがオンラインとして認識されることを確認します。

実際の検証手順

①セグメントサーバを構築する。
今回は検証のため、下記で作成しました。
※実際の実環境での必要なリソース・アクセス要件・ドメインアクセス要件についてはZero Networks導入後のマニュアルに記載されているため、そちらでご確認ください。

■セグメントサーバ構成

OS/方式	CPU（コア）	メモリ（GB）	ストレージ（GB）	ネットワークアダプタ
Windows Server 2025 ／エージェントレス	4	8	150	1GBブリッジ

■前提条件
・インストールは標準で、特別なWindows機能は必要ありません。
・オペレーティングシステムや地域の設定・フォーマット言語は米国英語にする必要があります。
・セグメントサーバはドメインに所属している必要があります。
・セグメントサーバは静的IPアドレスを持っている必要があります。

②OSインストール後、上記前提条件やアクセス要件・ドメインアクセス要件の設定が完了したら、Zero Networksが用意しているPowerShellスクリプト（ZNConnectivityTest.ps1）をセグメントサーバで実行してホスト名と必要なポートへのネットワーク接続をテストします。

③テスト成功後、Zero Networksポータルサイトで「Settings」→「Segment」→「Segment Servers」でセグメントサーバ追加画面を開く。

④「Download」を押下し、インストーラーを取得する。
「Generate installation token」を押下し、トークンを取得し、コピーする。

⑤ダウンロードしたデプロイメントパッケージをセグメントサーバのCドライブにコピーします。
ファイル（trust-setup.exe）を実行する。

⑥「Next」をクリックしてセットアップを開始します。

⑦生成されたインストールトークンを入力し、「Next」をクリックします。

⑧必要なパラメータを入力し、「Next」をクリックします。
※1台目のセグメントサーバ導入時に下記が表示され、登録後にZero Networksポータルにドメイン情報が登録されます。
2台目以降のセグメントサーバ導入時には、本画面は表示されません。

⑨すべてのテストが無事に合格するのを待ってから、「Next」をクリックします。

⑩セットアップが終了すると下記画面が表示されるので、「Finish」をクリックします。

⑪インストール後、Zero Networksポータルサイトで「Settings」→「Segment」→「Segment Servers」で
セグメントサーバが登録されていることが確認できます。

 

⑫セグメントサーバ構築後、ADオブジェクトやグループポリシーの管理（GPO）へも自動で必要なユーザ・グループなどが作成されていることが確認できました。

■ユーザ追加
zn_mgmt：ユーザーはWinRMを通じてリモートファイアウォール操作を行う権限が与えられます。

■グループ追加
ZeroNetworksMonitoredAssets：ゼロネットワークスが監視するすべての資産を含んでいます。
ZeroNetworksProtectedAssets-DoNotModify：ゼロネットワークスによって保護されているすべての資産を含みます。
ZNRemoteManagementGroup：ZNRemoteManagmentユーザーを含み、WinRM権限やハードニングのためにさまざまなGPO設定で使用されます。

■2つのGPOが追加
ZeroNetworksMonitor：セグメントサーバーが資産を遠隔監視できるようにします。
ZeroNetworksProtectedAssets-DoNotModify：割り当てられたグループの資産のホストベースのファイアウォールを起動し、重要なファイアウォール構成を強化します。

ここがポイント

• セグメントサーバ追加時にADオブジェクトやGPOの設定も自動で変えるため、管理ユーザには必要な設定を入れることなく、セグメンテーションが可能となる。

 

4つの方式でアセットを登録する

Windowsをエージェントレスで登録

仕組み

Windowsサーバをエージェントレス方式で利用する場合、対象サーバをActive Directory（AD）へ参加させることで、Zero NetworksはAD上の資産情報を取得し、監視対象として認識します。

その後、セグメントサーバからWinRMを利用して対象サーバへ接続し、通信情報の収集や管理を開始します。監視対象として登録されるため、サーバへ追加のエージェントを導入することなく資産管理を開始できる点が特長です。

導入手順

①検証サーバを構築し、ADに検証サーバを参加させる。
②AD参加後、Zero Networksポータル画面で「Network」→「Assets」→「Monitored」へ進み、対象サーバーが「Ready for learning」ステータスで追加されていることを確認する。

■サーバをAD登録後に自動でアセットに登録される

Linuxをエージェントレスで登録

仕組み

Linuxサーバをエージェントレス方式で利用する場合、対象サーバをアセットへ登録し、セグメントサーバからSSH接続を行うことで、Zero Networksは対象サーバの資産情報や通信情報を収集し、監視対象として管理します。

セグメントサーバはSSHを利用して対象サーバへ接続し、通信情報の収集や管理を開始します。監視対象として登録されるため、サーバへ追加のエージェントを導入することなく資産管理を開始できる点が特長です。

導入手順

①「Settings」→「Entity repositories」→「Linux」に進み、「Default Linux Profile」をクリックする。

②以下の項目に記入し、「Save」をクリックする。

ユーザー名 – zn-admin
パスワード – 希望するパスワード(最低8文字)を設定します。
SSH秘密鍵 – 任意の秘密鍵を指定。例えば、以下のコマンドで生成。

ssh-keygen -t ecdsa

 

③「Network」→「Assets」→「All」に進み「Add Linux asset」をクリックする。

 

④以下の項目に記入する。

DisplayName：資産の表示名
FQDN or IP address：FQDN または IP address

⑤「Download」をクリックし、ダウンロードしたスクリプトを希望のLinuxマシンにコピーし、以下のコマンドでスクリプトを実行する。

chmod +x add_zn_user.sh
./add_zn_user.sh

⑥実行後、Zero Networksポータル画面で「Network」→「Assets」→「Monitored」へ進み、対象サーバーが「Ready for learning」ステータスで追加されていることを確認する。

Windowsへセグメントコネクターを導入

仕組み

ワークグループ環境や、セグメントサーバから対象サーバへのWinRM接続が利用できない環境では、Windowsサーバにセグメントコネクターを導入します。

エージェントレス方式ではセグメントサーバから対象サーバへ接続して情報を収集しますが、セグメントコネクター方式では対象サーバ側からセグメントサーバへHTTPS通信を行うため、通信方向が逆になる点が特徴です。

導入手順

①Zero Networksポータルでセグメントコネクター用インストーラー／トークンを準備する。
「Settings」→「Segment」→「Segment Connector」の画面でWindowsのダウンロードアイコンまたはLegacy Windows(Windows 7、Windows Server 2008 R2、Windows Server 2012用)をクリックしてインストールファイルをダウンロードする。

②「Add new token」をクリックし、新しいトークンを作成して「add」をクリックします。

 

③インストーラーファイルをマシンにコピーして解凍する。

④ 以下のコマンドPowerShellで実行します。
※今回はWORKGROUPのWindowsサーバを登録するため、「-source」はWORKGROUPを指定。

.\segment-connector-windows-installer.exe -install -token <CLOUD_TOKEN> -source WORKGROUP

⑤インストール後、Zero Networksポータル画面で「Network」→「Assets」→「Monitored」へ進み、対象サーバーが「Ready for learning」ステータスで追加されていることを確認する。

 

Linuxへセグメントコネクターを導入

仕組み

Linux環境では、SSHによるエージェントレス管理が利用できる一方で、運用ポリシーやネットワーク制約により管理通信を許可できないケースもあります。

そのような場合は、Linuxサーバへセグメントコネクターを導入することで、対象サーバ側からセグメントサーバへHTTPS通信を行い、通信の可視化やセグメンテーション制御を実現できるのが特徴です。

導入手順

①Zero Networksポータルでセグメントコネクター用インストーラー／トークンを準備する。
「Settings」→「Segment」→「Segment Connector」の画面でLinuxアイコンをクリックしてインストールファイルをダウンロードする。

②「Add new token」をクリックし、新しいトークンを作成して「add」をクリックします。

 

③インストーラーファイルをマシンにコピーして解凍する。

④ 以下のコマンドを実行して、ファイルを実行可能にする。

chmod +x segment-connector-linux-installer

⑤以下のコマンドを実行します。

./segment-connector-linux-installer -install -token <Token> -assetId <AssetID>

※Linuxは事前にZero Networksポータル内に存在する必要があるため、事前にアセットを追加してからAssetIDを確認して入力する。

⑥インストール後、セグメントコネクターでマシンが監視されているか確認するには、監視対象のアセット画面を開き、「Monitored By」欄に「Segment connector」の数値があるか確認する。

登録したアセットの通信学習とセグメンテーション

仕組み

本検証では、「Ready for Learning」状態となったアセットを「Learning」モードへ移行し、通信の学習を実施しました。

学習期間中は、RDP、SMB、WinRM、RPCなど、実環境で利用されることを想定した通信を発生させ、Zero Networksがアセット間の通信関係や利用ポートを継続的に収集・分析できる状態としました。

学習した通信情報をもとに、Zero Networksは推奨セグメンテーションポリシーを自動生成します。これにより、管理者は実際の通信実態を把握したうえで、必要な通信のみを許可するセグメンテーションの適用を進めることができます。

実施結果

①「Network」→「Monitored」へ進み、画面で学習したい対象アセットを選択後、「Learn/segment」ボタンをクリックする。

②「Network segment」の設定画面で学習期間や学習方法を選択し、「Confirm」をクリックする。

■Network segment設定画面

■詳細設定

設定内容	選択可能項目	今回の設定
学習期間	Segment immediately（今すぐセグメンテーションする）、 14days、30days、60days、90days	14days
セグメント適用を実施するメンテナンス時間帯を指定	No preferred segmentation window （セグメンテーションを実施する時間帯を指定しない）	No preferred segmentation window ※学習期間終了後に自動でセグメンテーションが実施される。
Enforce block rules while in learning （学習期間中に通信ブロックを実施する）	チェックあり・なし	なし

 

③Assets一覧で学習開始（Learning状態）されたことが確認でき、Zero Networksポータルの管理者へ学習が開始されたことのメールが送信される。
※Zero Networksで自動エンジンによるセグメンテーションを実施するためには最低でも10日間通信を学習させる必要があります。
実際に学習開始させるとポータル画面右上に最初のルールが作成される日付が表示されます。

■学習開始

 

■学習開始メール

■最初のルールが作成される日付が確認可能

 

④その後、学習期間中に実際に業務で必要な通信を仮定して検証端末から下記通信を発生させました。
今回の検証ではWindows Server 2025をターゲットに通信がどう学習されてどう確認ができるのかを確認しました。

■実際の必要な通信

テスト	送信元	送信先	通信内容
管理通信	Windows10検証端末	Windows Server 2025検証端末	RDP,WinRM
ファイル共有	Windows10検証端末	Windows Server 2025検証端末	SMB
サービス接続	Windows10検証端末	Windows Server 2025検証端末	RPC

⑤通信テスト実施後、「Network」→「Monitored」から対象のアセットを選択し、「Simulate Segmentation」画面を確認しました。
その結果、実際に発生させた通信が可視化されており、セグメンテーション適用時に許可候補となる通信や制御対象となる通信を事前に確認できることを確認しまし
た。

なお、実際のセグメンテーション設定はZero Networks独自のアルゴリズムに基づいて生成されるため、「Simulate Segmentation」画面に表示される内容と完全に一致するわけではありません。しかし、セグメンテーション適用前にどのような通信が許可対象として扱われるかを把握できるため、事前の影響確認に有効です。

■許可候補となる通信や制御対象となる通信を確認可能

 

 

⑥学習期間の終了後、対象アセットが自動的にセグメンテーションされ、「Segmented」ステータスへ遷移することを確認できました。
また、学習期間中に実際に発生した通信に基づいて、必要な通信のみが「Rules」に許可ルールとして自動生成されることも確認できました。

なお、前述のとおり、自動生成されるセグメンテーションルールはZero Networks独自のアルゴリズムに基づいて作成されます。そのため、どの通信が最終的に許可ルールとして生成されるかを事前に明示することはできません。
本検証では、発生させた通信が学習結果として反映され、適切にルール化されることを確認しました。

■自動セグメンテーションで許可ルール設定

 

学習期間の終了後、自動化エンジンによって新しいルールを自動的に作成させたくない場合は、「Settings」→「Automation engine」→「Network rule review」にてルールレビューを有効にすることができます。
このオプションを有効にすると、すべてのポータル管理者、運営者、閲覧者に新たまたは更新されたオートメーションエンジンルールに関する情報を含むメールが届きます。
ルールレビューを有効にするべきルールクラスを選択でき、管理者の承認後、そのルールが適用されますので、自動でルールを任せたくない場合は設定する必要があります。
※Zero Networksとしては完全自動化のマイクロセグメンテーションソリューションを目指しているため、組織の要件がない限りこの機能の使用は推奨しません。

■ルール承認設定画面

⑦セグメンテーション後、許可サーバからのみ通信ができるようになり、対象サーバがマイクロセグメンテーション化されていることを確認しました。
実際に許可端末と拒否端末からRDPを実施しましたが、下記結果となり、通信ができなくなりました。

■許可サーバ通常通り通信可能

■拒否サーバから通信不可

実際の運用でどこまで見えるか

ここまでは、導入から通信学習、自動セグメンテーション、ルール生成までの流れを確認してきました。
では、実際の運用フェーズでは管理者はどのような情報を確認できるのでしょうか。

本章では、運用担当者の視点でZero Networksの管理画面を確認し、登録したアセット間で発生する通信やブロックされた通信、生成されたルールなどをどのように把握できるのかを検証しました。

マイクロセグメンテーション製品は「通信を制御する」ことだけでなく、「なぜその通信が許可または拒否されたのかを把握できること」も重要です。今回は、実際に発生させた通信を例に、日常運用や障害調査で活用できる情報を確認していきます。

アクティビティから通信状況を確認する

Zero Networksはアセット間通信を継続的に監視しています。
「Network」→「Visibility」→「Activities」画面では、「送信元からどのユーザでどのプロセスを使って通信を発生させたのか」、「どのサーバからどのサーバへ通信が行われたのか」、「どのポートが利用されたのか」、「許可・拒否の結果はどうだったのか」を各アクティビティの接続状況を確認できます。

またフィルターを使ってアクティビティ検索をさまざまなカテゴリに絞ることができます。ドロップダウンメニューからカテゴリ(例えばIP)を選択したら、検索からオプションを選択し、「Include」をクリックします。検索条件は検索ドロップダウンメニューの下に表示されますので、他の複数条件で検索したければ、別条件でカテゴリを選択し、「Include」をクリックすることで複数条件での検索が可能となります。

セグメンテーション導入後は、「通信エラーが発生した際の原因調査」や「新たに発生した通信の確認」、「ルールによってブロックされた通信の確認」が運用上重要となります。
Zero Networksでは、Activities画面からアセット間の通信状況や許可・拒否の結果をリアルタイムに確認できるため、障害調査や運用監視に活用できます。

■Activities画面

アクティビティ分析を見る

「Network」→「Visibility」→「Analysis」画面では収集した通信情報をAIが分析し、「通信量の多いアセット」や「RDP利用状況」など、注目すべき通信傾向を可視化できます。

通信ログを一件ずつ確認するのではなく、環境全体の状況を俯瞰して確認したい場合や、新たなリスクや運用上の課題を発見したい場合に活用できます。

また対象の件数をクリックすると「Activities」画面に遷移し、その通信の詳細な内容が確認できます。

■Analysis画面

 

 

インターネット通信の利用状況を可視化する

Zero Networksでは、アセットから発生しているインターネット向け通信を可視化し、どのような外部サービスが利用されているかを確認できます。
運用担当者はこの機能を利用することで、組織内で利用されているSaaSやクラウドサービス、生成AIサービスの利用状況を把握し、不審な通信や想定外のサービス利用が発生していないかを確認できます。

インターネット通信の詳細を確認するには、「Network ⇒ Visibility ⇒ Internet」へアクセスします。

本画面では、通信先を「カテゴリ → サブカテゴリ → サービス名」の階層構造で可視化しており、どのサービスへの通信が発生しているのかを直感的に把握できます。また、各ノードには通信量やアクティビティ数が表示されるため、通常時と比較した際の利用状況の変化や急激な増加を容易に確認できます。

例えば、生成AIサービスやファイル共有サービス、クラウドストレージなどの利用状況を確認することで、シャドーITの検知やセキュリティリスクの早期発見に活用できます。
さらに、表示されたサービス名横の数字をクリックすることで、そのサービスに関連する通信詳細が確認できる「Activities」へ遷移することができ、通信元アセットや通信内容の詳細調査を行うことも可能です。

ラボ環境では、Microsoft Office関連サービスに対して3,900件の通信が発生していることを確認できました。

■Internet画面

Asset Map / Group Mapで通信の全体像を可視化する

Zero Networksでは、環境内のアセットやグループ間の通信関係を視覚的に把握できる「Asset Map」および「Group Map」機能が提供されています。

本機能を利用することで、どのサーバや端末がどのシステムと通信しているのかをグラフィカルに確認できるため、システム間の依存関係や通信経路を直感的に把握できます。また、セグメンテーション導入前の通信状況の分析や、導入後の許可ルールが想定どおりに適用されているかの確認にも活用できます。

Asset MapおよびGroup Mapでは、ドロップダウンメニューから対象のアセットまたはグループを選択することで、その通信状況を可視化したアクティビティマップを表示できます。運用担当者は「Network → Visibility → Asset MapまたはGroup Map」から直接アクセスできるため、環境全体の通信状況を迅速に確認することが可能です。

特に、以下のような場面で有効です。

・対象サーバがどのシステムと通信しているかを確認したい場合
・セグメント化前に通信経路や依存関係を把握したい場合
・ポリシー適用後に想定外の通信が発生していないか確認したい場合
・システム移行や更改時に影響範囲を調査したい場合

複雑なシステム環境では、通信ログだけで全体像を把握することは容易ではありません。本機能を活用することで、アセット間やグループ間の関係性を視覚的に理解でき、運用・保守やセキュリティ対策に役立てることができます。

また、Clientsなどのノードをクリックしてドリルダウンすることで、より詳細な通信情報を確認できます。
許可されている通信だけや拒否している通信だけを確認したいなどがある際は画面上のフィルター条件で指定が可能となっています。

■実際に今回セグメント化した検証サーバのAsset Map
直感的にどのような通信が発生しているか確認が可能

 

■ドリルダウンした詳細画面（Incoming、Outgoing）
実際に許可したRDP、SMB、WinRM、RPC通信について、Incoming通信としてどの程度利用されているかに加え、どのプロセスによって通信が発生したのかも確認できます。

 

 

Policeis Mapで通信許可範囲を可視化する

Zero Networksでは、生成された通信許可・拒否ルールを「Policeis Map」として可視化できます。
「Network →Monitored →対象アセット→Policeis map」へ進むことで確認可能となります。

Asset Mapが実際に発生している通信の関係性を把握するための機能であるのに対し、Policeis Mapでは「どのアセットが、どこに対して、どのような通信を許可されているのか」を視覚的に確認できます。そのため、セグメンテーション適用後の通信許可範囲を把握したい場合や、許可・拒否ルールが意図した内容になっているかを確認したい場合に有効です。

また、複数のルールが適用されている環境でも、アセット間の許可関係をグラフィカルに確認できるため、影響範囲の把握やルールレビューを効率的に実施できます。実運用では、想定外の通信が許可されていないかの確認や、システム変更時の事前影響調査などにも活用できます。

■Policeis Map画面
今回ラボ環境で設定した許可設定がPrivileged（特権設定）やTrivial（些細な）設定として追加されていることがわかります。

 

結論：まずは「見える化」することで、セグメンテーションの第一歩を踏み出せる

今回の検証では、セグメントサーバの導入からアセット登録、通信の学習、自動セグメンテーション、そして運用時の可視化機能まで、一連の流れを確認しました。

マイクロセグメンテーションは、最初から通信を遮断することが目的ではありません。
まずは「誰が、どの端末から、どのプロセスで、どこへ通信しているのか」を把握し、その実態に基づいて必要な通信だけを許可していくことが重要です。

Zero Networksでは、アセットを登録して通信を学習させることで、実際の利用状況に応じたセグメンテーションルールが自動生成されます。
さらに、通信状況や通信先サービス、アセット間の関係性なども管理画面から可視化できるため、これまで把握しづらかった環境内の通信実態を整理しながらセグメンテーションを進められることを確認できました。

特に今回の検証で印象的だったのは、「可視化 → 学習 → セグメント化」という一連の流れを同じ管理画面上で進められる点です。通信状況を確認しながら学習結果や推奨ルールを把握でき、そのままセグメント化へ移行できるため、導入初期の通信整理や影響確認を効率的に実施でき、マイクロセグメンテーション導入時のハードルを下げる仕組みになっていると感じました。