マイクロセグメンテーション（Microsegmentation）とは？
まず ”マイクロセグメンテーション” とは、2013年11月にVMware（現Broadcom）のNSXブログのネットワーク仮想化で「micro-segmentation」という用語が初めて使用され、その3年後の2016年に、ガートナーが「情報セキュリティ・テクノロジートップ10」でマイクロセグメンテーションが発表されたことで広く世間に認知されました。この時の定義は「エンタープライズネットワークのパブリック、プライベート、ハイブリッドクラウドインフラ全体で、より細かいゾーニング（zoning）を実装するための取り組み」とされていましたが、以下のように定義は変遷しています。
- 2013-2014年：L2/L3セグメンテーションの延長として、単一L2セグメント上で分散ファイアウォールを使って細かく分ける技術
- 2014-2016年：「より小さな単位（ときに個別VM）ごとに セキュリティコントロール（Security Controls）を行う」アプローチ
- 2016年以降：ワークロード/アプリケーション単位の明示的通信制御、ホスト/ワークロードファイアウォールをエンフォースメントポイントとする詳細ポリシー
2009年にゼロトラスト（Zero Trust）を定義したフォレスターが「microperimeter（マイクロペリメーター／微小な境界防御）」という用語を使用していましたが、マイクロペリメーターを具体的に実現するためのネットワーク技術がマイクロセグメンテーションとされています。
マイクロセグメンテーションとは、ネットワークを物理的・論理的な大きなゾーンではなく、ワークロード（サーバ、アプリケーション、デバイス）単位の細かなセグメントに分割し、セグメント間のすべての通信を明示的に許可または拒否することで、内部ネットワークの水平移動・横展開（ラテラルムーブメント）を防止し、リソース中心のセキュリティ制御を実現するアーキテクチャ。
Zero Networksについて
現在のサイバー攻撃者が圧倒的に有利な状況を覆し、主導権を防御側に取り戻すソリューションとして注目されているのが、Zero Networks です。
Zero Networksは、世界初SASEプラットフォームベンダーである Cato Networks社と同じく、サイバーセキュリティの中心地、イスラエルの企業です。
現在シリーズCでの累計調達額は1億ドルを突破し、売上高300%成長を記録。Global 2000に含まれる14のエンタープライズを含む350社以上に導入されています。
Zero Networks で特筆すべき点は導入実績の「質」と言われています。導入企業の約3割が銀行や投資銀行といった金融業界が占めており、その他にはエネルギー、製造、製薬といった、一秒の停止も許されない「オペレーショナル・レジリエンス（業務の強靭性・復旧力）」を最優先する業界で圧倒的な支持を得ています。
サーバ数台から、クライアントPCやIoT/OTを含む数万台規模のマイクロセグメンテーションを、単一プラットフォームでサービスが行える拡張性・柔軟性と信頼性が評価されています。
昨今のサイバーセキュリティ状況について
セキュリティの「壁」はすでに突破されている
昨年（2015年）の大手飲料メーカや、直近では冷凍食品メーカのランサムウェア被害が報道されていますが、サイバーセキュリティにおいて「境界を守れば安全である」という従来の境界型防御の概念は、もはや過去の遺物となっています。強固な「壁（＝境界）」を築いたつもりでも、サイバー攻撃者は正規の鍵を使って玄関からどうどうと入ってきている、というのが私たちが直面している事実です。
企業のVPNを廃止し、ZTNAを導入し、正面玄関を廃止したとしても、海外拠点・グループ企業・サプライチェーン企業・保守事業者などにVPNが裏口として残り、攻撃者の侵入経路となっています。また、SASE（Secure Access Service Edge）を導入することで、WANを超える拠点間の侵入を防御することはできますが、拠点内部ネットワーク（LAN）の水平移動・横展開（ラテラルムーブメント）を防ぐことは困難です。
ゼロトラストに向けて、エンドポイントセキュリティの強化や、SASEを導入しても、サイバー攻撃者の侵入を100%防ぐことが不可能な時代に「封じ込めこそが新たな予防策となる（Containment is the new prevention）」というパラダイムシフトを受け入れる必要があります。
侵入から「1時間以内」にネットワークの心臓部へ
具体的には、1ステップ目で内部システムの85%に、そしてわずか2ステップ目（1つのシステムから別のシステムへの移動）で、全システムの100%に到達できると言われています。
たった「1%の管理用ポート」が、セキュリティ侵害の90%を引き起こす
アラートを増やすのは「逆効果」
従来型のMFA（多要素認証）では防げない領域がある
Zero Networksは、管理用ポートをネットワーク層でデフォルト閉鎖し、デバイスを攻撃者から完全に「不可視」の状態にします。アクセスが必要な時だけ本人確認を行い、ジャストインタイム（JIT）でポートを一時的に開放します。これにより、認証前のエクスプロイトはもちろん、攻撃者の最初の一歩である「Reconnaissance（偵察行為）」そのものを不可能にします。攻撃者は見えないデバイスは攻撃することはできません。
Zero Networks のソリューションについて
ネットワーク層MFA
|
項目
|
従来型MFA（IDベース）
|
Zero Networks（ネットワーク層MFA）
|
|---|---|---|
|
動作レイヤー
|
OSI第7層（アプリケーション）
|
OSI第3・4層（ネットワーク/トランスポート）
|
|
ポートの状態
|
恒久的に開放（ポートオープン）
|
デフォルトで完全閉鎖（ステルス化）
|
|
脆弱性保護
|
認証前のエクスプロイトには無防備
|
認証前にパケットを破棄するため保護が可能
|
|
偵察行為への応答
|
ポートスキャンに応答してしまう
|
スキャンに対して無反応（デバイスが消失）
|
|
アクセスの性質
|
常時接続可能
|
ジャストインタイム（認証時のみ開放）
|
- ステルス化：すべての特権ポートはデフォルトで閉鎖。攻撃者がネットワークをスキャンしてもターゲットは見つかりません。
- アクセス要求とMFA：管理者がアクセスを試みると、ネットワーク層でトラフィックが阻止され、即座にMFAによる本人確認が要求されます。
- 動的開放：MFAの認証成功後、その管理者のデバイスに対してのみ、特定のポートが期間限定で開放されます。
- 自動閉鎖：セッション終了後、または設定時間が経過すると権限は自動で取り消され、ポートは再び閉鎖されます。
AI駆動型学習によるポリシー自動生成
- SaaS AIの制御：従業員によるChatGPT、Gemini、Copilot等の利用をネットワーク層で可視化・制御し、シャドーAIによるデータ漏洩を防止。
- AIエージェントの制御：環境内で動作するAIエージェントに固有の識別子を付与し、最小権限の範囲内でのみ動作を許可。
- LLMの保護：ネットワーク層でモデル基盤をセグメント化し、許可されたシステム以外からのバックドアの仕込みや改ざんを物理的に遮断。
エージェントレス型
エージェントレス、スイッチ連携により、数万台規模の環境においても、既存ネットワーク資産（スイッチ、FW、クラウドセキュリティグループ等）を統合制御することで、迅速に展開することが可能となります。
まとめ ～事業継続性を支えるマイクロセグメンテーションの未来～
