ネットワークセキュリティとは| IBM

ネットワークセキュリティとは

ネットワークセキュリティは、コンピュータネットワークをサイバー脅威から保護することに焦点を当てたサイバーセキュリティの分野です。ネットワーク・セキュリティの主な目的は、ネットワーク・リソースへの不正アクセスを防止すること、サイバー攻撃や進行中のセキュリティ侵害を検出して阻止すること、許可されたユーザーが必要なときに必要なネットワーク・リソースに安全にアクセスできるようにすることの3つである。

ネットワークの規模と複雑さが増大するにつれて、サイバー攻撃のリスクも増大します。例えば、IBMの「Cost of a Data Breach 2022」レポートによると、調査対象となった組織の83％が2回以上のデータ侵害（機密情報や機密情報への不正アクセスをもたらすセキュリティ侵害）を経験している。これらの攻撃は高額でした。データ侵害の世界平均コストは 435 万ドルですが、米国におけるデータ侵害の平均コストはその 2 倍以上である 944 万ドルです。

ネットワークセキュリティは、ネットワークインフラストラクチャ、リソース、トラフィックの整合性を保護して、これらの攻撃を阻止し、財務的および運用上の影響を最小限に抑えます。

ネットワークセキュリティ技術の種類

ネットワークセキュリティシステムは、ネットワークの境界と内部の 2 つのレベルで機能します。

境界では、セキュリティ制御がサイバー脅威がネットワークに侵入するのを阻止しようとします。しかし、ネットワーク攻撃者が侵入することもあるため、IT セキュリティチームは、ラップトップやデータなど、ネットワーク内のリソースを制御することもあります。たとえ攻撃者が侵入したとしても、彼らには自由な統治権はありません。ハッカーと潜在的脆弱性の間に複数のコントロールを重ねるこの戦略は、 "「深層防御」と呼ばれる。"

ネットワークセキュリティシステムを構築するために、セキュリティチームは次のツールを組み合わせます。

ファイアウォール

ファイアウォールは、正当なトラフィックを通過させながら、不審なトラフィックがネットワークに出入りするのを阻止するソフトウェアまたはハードウェアです。ファイアウォールは、ネットワークのエッジに展開することも、大規模なネットワークを小さなサブネットワークに分割するために内部で使用することもできます。ネットワークの一部が侵害された場合でも、ハッカーは残りの部分から遮断されます。

ファイアウォールには、さまざまな機能を持つさまざまな種類があります。基本的なファイアウォールはパケットフィルタリングを使用してトラフィックを検査します。より高度な次世代ファイアウォール（NGFW）には、侵入防御、AIと機械学習、アプリケーションの認識と制御、脅威インテリジェンス・フィードが追加され、保護機能が強化されている。

ネットワークアクセスコントロール(NAC)

ネットワークアクセスコントロール (NAC) ソリューションはゲートキーパーのように機能し、ユーザーを認証および認可して、ネットワークへのアクセスを許可するユーザーとネットワーク内で何を実行できるかを決定します。「認証」とは、ユーザーが本人であることを確認することを意味します。「認可」とは、認証されたユーザーにネットワークリソースへのアクセス許可を与えることを意味します。

NAC ソリューションは、ユーザーの権限が職務に基づいた役割ベースのアクセス制御 (RBAC) ポリシーを適用するためによく使用されます。たとえば、若手開発者はコードを表示して編集することはできても、ライブにプッシュすることはできない場合があります。対照的に、上級開発者はコードを読み書きし、本番環境にプッシュすることができました。RBAC は、権限のないユーザーをアクセスが許可されていない資産から遠ざけることで、データ侵害の防止に役立ちます。

一部の NAC ソリューションは、ユーザーの認証に加えて、ユーザーのエンドポイントでリスク評価を実行できます。目標は、セキュリティで保護されていないデバイスや侵害されたデバイスがネットワークにアクセスできないようにすることです。古いマルウェア対策ソフトウェアまたは不適切な構成を備えたデバイスでユーザーがネットワークに入ろうとすると、NAC はアクセスを拒否します。一部の高度な NAC ツールは、非準拠のエンドポイントを自動的に修正できます。

侵入検知および防止システム(IDPS)

侵入検知および防御システム (IDPS) (侵入防御システム (IPS) とも呼ばれる) は、ファイアウォールの背後に直接展開して、受信トラフィックをスキャンしてセキュリティ上の脅威を検出できます。これらのセキュリティ・ツールは、侵入検知システム（IDS）から発展したもので、不審なアクティビティにフラグを立てて確認するだけだった。 IDPS には、トラフィックのブロックや接続のリセットなど、侵害の可能性に対して自動的に対応する機能が追加されています。IDPSは、ブルートフォース攻撃やサービス拒否（DoS）攻撃、分散型サービス拒否（DDoS）攻撃を検知し、ブロックするのに特に効果的である。

仮想プライベートネットワーク (VPN)

仮想プライベートネットワーク (VPN) は、データを暗号化し、IP アドレスと場所をマスクすることでユーザーの身元を保護します。VPN を使用すると、インターネットに直接接続するのではなく、代わりにインターネットに接続する安全なサーバーに接続することになります。

VPN を使用すると、コーヒーショップや空港にあるような安全ではない公衆 Wi-Fi 接続を介しても、リモートワーカーが企業ネットワークに安全にアクセスできます。VPN はユーザーのトラフィックを暗号化し、通信を傍受しようとするハッカーからトラフィックを守ります。

VPN の代わりに、ゼロトラストネットワークアクセス (ZTNA) を使用する組織もあります。ZTNA はプロキシサーバーを使用するのではなく、ゼロトラストアクセスコントロールポリシーを使用してリモートユーザーを安全に接続します。リモートユーザーが ZTNA 経由でネットワークにログインしても、ネットワーク全体にはアクセスできません。代わりに、ユーザーは使用が許可されている特定の資産にのみアクセスできるため、新しいリソースにアクセスするたびに再検証する必要があります。ゼロトラストセキュリティの仕組みの詳細については、以下の「ネットワークセキュリティへのゼロトラストアプローチ」を参照してください。

アプリケーション・セキュリティー

アプリケーション・セキュリティとは、セキュリティ・チームがアプリとアプリケーション・プログラミング・インターフェース（API）をネットワーク攻撃者から保護するために講じる措置を指す。現在、多くの企業がアプリを使用して主要なビジネス機能を実行したり、機密データを処理したりしているため、アプリはサイバー犯罪者の一般的な標的となっています。また、非常に多くのビジネスアプリがパブリッククラウドでホストされているため、ハッカーがその脆弱性を悪用して民間企業のネットワークに侵入する可能性があります。

アプリケーションのセキュリティ対策は、悪意のある攻撃者からアプリを保護します。一般的なアプリケーションセキュリティツールには、Web アプリケーションファイアウォール (WAF)、ランタイムアプリケーション自己保護 (RASP)、静的アプリケーションセキュリティテスト (SAST)、および動的アプリケーションセキュリティテスト (DAST) が含まれます。

Eメール・セキュリティー

IBM Security X-Force Threat Intelligence Indexによると、フィッシングは最も一般的なサイバー攻撃の最初のベクトルです。電子メールセキュリティツールは、フィッシング攻撃やユーザーの電子メールアカウントを侵害するその他の試みを阻止するのに役立ちます。ほとんどの電子メールサービスには、スパムフィルターやメッセージ暗号化などのセキュリティツールが組み込まれています。メールセキュリティツールの中には、サンドボックスと呼ばれる隔離された環境で、セキュリティチームがネットワークを公開することなく、メールの添付ファイルにマルウェアが含まれていないか検査できるものもあります。

関連するセキュリティ技術

次のツールは厳密にはネットワークセキュリティツールではありませんが、ネットワーク管理者はネットワーク上のエリアや資産を保護するためにこれらを使用することがよくあります。

データ損失防止（DLP ）とは、機密データが盗まれたり、誤って流出したりしないようにするための情報セキュリティ戦略とツールのことです。 DLPには、データの流れを追跡し、機密情報を暗号化し、不審な動きが検出された場合に警告を発する、データセキュリティポリシーと専用のテクノロジーが含まれます。

エンドポイントセキュリティソリューションは、ラップトップ、デスクトップ、サーバー、モバイルデバイス、IoTデバイスなど、ネットワークに接続するすべてのデバイスを、それらを使用してネットワークに侵入しようとするハッカーから保護します。ウイルス対策ソフトウェアは、デバイス上のトロイの木馬、スパイウェア、およびその他の悪意のあるソフトウェアを、ネットワークの他の部分に広がる前に検出して破壊できます。エンドポイントでの検出と対応 (EDR) ソリューションは、エンドポイントの動作を監視し、セキュリティイベントに自動的に応答する、より高度なツールです。統合エンドポイント管理(UEM)ソフトウェアを使用すると、企業は単一のコンソールからすべてのエンドユーザーデバイスを監視、管理、および保護できます。

セキュア Web ゲートウェイなどのWeb セキュリティソリューションは、悪意のあるインターネットトラフィックをブロックし、ユーザーが不審な Web サイトやアプリに接続するのを防ぎます。

ネットワーク・セグメンテーションとは、大規模なネットワークを物理的またはソフトウェアによって、より小さなサブネットワークに分割する方法である。ネットワーク・セグメンテーションは、侵害されたサブネットワークを他のネットワークから遮断することで、ランサムウェアやその他のマルウェアの拡散を制限することができる。セグメンテーションはまた、アクセスすべきでない資産から正規ユーザーを遠ざけるのにも役立ちます
。

クラウドセキュリティソリューションは、データセンター、アプリ、その他のクラウド資産をサイバー攻撃から保護する。ほとんどのクラウドセキュリティソリューションは、ファイアウォール、NAC、VPNといった標準的なネットワーク・セキュリティ対策をクラウド環境に適用したものに過ぎない。多くのクラウド・サービス・プロバイダーは、自社のサービスにセキュリティ対策を組み込んだり、アドオンとして提供しています
。

ユーザーとエンティティの行動分析（UEBA）は、行動分析と機械学習を使用して、ユーザーとデバイスの異常な活動にフラグを立てます。 UEBAは、内部脅威やユーザーアカウントを乗っ取ったハッカーを捕まえるのに役立ちます。

ネットワークセキュリティへのゼロトラストアプローチ

従来の企業ネットワークは集中管理されており、主要なエンドポイント、データ、アプリはオンプレミスにありました。従来のネットワークセキュリティシステムは、脅威がネットワーク境界を突破しないようにすることに重点を置いていました。ユーザーがアクセスすると、そのユーザーは信頼できるものとして扱われ、実質的に無制限のアクセスが許可されました。

しかし、組織がデジタルトランスフォーメーションを追求し、ハイブリッド・クラウド環境を採用するにつれ、ネットワークは分散化しつつあります。現在、ネットワークリソースは、クラウドデータセンター、オンサイトおよびリモートのエンドポイント、モバイルおよび IoT デバイスにわたって存在します。

分散型ネットワークでは、境界ベースのセキュリティ管理はあまり効果的でないため、多くのITセキュリティチームがゼロトラストのネットワークセキュリティフレームワークに移行しています。ゼロトラストネットワークセキュリティでは、境界に焦点を当てるのではなく、個々のリソースの周囲にセキュリティ制御を配置します。ユーザーは決して暗黙的に信頼されているわけではない。ユーザーがリソースにアクセスしようとするたびに、ユーザーがすでに企業ネットワーク上にあるかどうかに関係なく、認証され、許可される必要があります。認証されたユーザーには最小限のアクセス権限のみが付与され、タスクが完了するとすぐに権限が取り消されます。

信頼ゼロのネットワーク・セキュリティは、きめ細かなアクセス・ポリシー、継続的な検証、できるだけ多くのソースから収集されたデータ（上記のツールの多くを含む）に依存し、適切なユーザーだけが適切なタイミングで適切な理由で適切なリソースにアクセスできるようにします。

エンタープライズネットワークセキュリティソリューション

多層防御のアプローチは企業のネットワークを保護できますが、IT セキュリティチームが多数の個別のセキュリティ制御を管理する必要があることも意味します。エンタープライズネットワークセキュリティプラットフォームは、異種のセキュリティツールを統合し、セキュリティチームが単一のコンソールからネットワーク全体を監視できるようにすることで、ネットワークセキュリティ管理を合理化します。一般的なネットワークセキュリティプラットフォームには次のものがあります。

セキュリティ情報とイベント管理（SIEM）は、社内のセキュリティ・ツールから情報を収集し、中央ログに集約し、異常のフラグを立てます。
セキュリティ・オーケストレーション、自動化、対応（SOAR）ソリューションは、セキュリティ・データを収集・分析し、セキュリティ・チームがサイバー脅威に対する自動化された対応を定義・実行できるようにします。
ネットワーク検知・対応（NDR）ツールは、AIと機械学習を用いてネットワーク・トラフィックを監視し、疑わしい活動を検知します。
XDR（Extended Detection and Response）は、セキュリティツールを統合し、すべてのセキュリティレイヤー（ユーザー、エンドポイント、電子メール、アプリケーション、ネットワーク、クラウドワークロード、データ）にわたってセキュリティオペレーションを一元化するオープンなサイバーセキュリティアーキテクチャです。XDR を使用すると、必ずしも連携して動作するように設計されていないセキュリティソリューションが、脅威の予防、検出、調査、対応においてシームレスに相互運用できます。XDRは、脅威の検出、インシデントのトリアージ、脅威の探索のワークフローを自動化することもできます。