ネットワークセグメンテーション
ネットワークを、役割や重要度ごとに区画（セグメント）に分け、区画の間の通信を必要なものだけに絞ることです。侵入された1つの区画から、他の区画へ広がるのを防ぎます。侵入した1台を足場に、内部の別の機器へ移っていくことを「横への移動」（lateral movement）と呼びます。
分け方
ISC2 の CISSP 試験アウトラインは、分け方を物理的な分割・論理的な分割・マイクロセグメンテーションの3つに分けて例を挙げています。主な用語の意味は次のとおりです。
| 用語 |
意味 |
| アウトオブバンド |
別の通信経路を使うこと（NIST の用語集）。例：管理用の通信を業務の通信と別の経路で運ぶ |
| エアギャップ |
2つのシステムの境目で、物理的につながっておらず、論理的なつながりも自動化されていない（データは人の手でしか移せない）状態（NIST の用語集。出典は CNSSI 4009-2022） |
| VLAN |
データリンク層で区切られた範囲。1つの物理的な LAN を、論理的に独立した複数の VLAN に分けられる（NIST の用語集） |
| VPN |
既存のネットワークの上に作る仮想的な専用の通信路（VPN）。分割の文脈では、特定の相手だけをつなぐ論理的な区画として働く |
| VRF（仮想ルーティング） |
1台のルータの中に、互いに混ざらない複数の経路の表を持たせる仕組み |
| オーバーレイ |
同じ物理的なネットワークを共有するアプリケーションどうしの通信を隔てるために、ソフトウェアで定義したネットワーク（NIST SP 800-190。コンテナの基盤の文脈の定義） |
''VLAN で分けても、区画の間の通信を絞る規則が無ければ、分割にはなりません。''区画の間をつなぐ機器で、通してよい通信を決めます。
マイクロセグメンテーション
NIST SP 800-215（2022年11月）は、マイクロセグメンテーションを、データセンターやクラウドの中の内部のネットワークを互いに隔てられた区画に分け、区画を出入りする通信を監視・制御できるようにする設計の手法としています。主な目的は、攻撃が広がるのを防げるだけの隔離で、(a) 境界を破って内部に入った者と、(b) 内部の利用者が始めたもの、の両方の許可されていない横への移動を制限します。区画が小さいので、通信を細かく監視できることも利点に挙げています。
同じ文書は、前提として、利用者と同じように、アプリケーションやサービスごとに一意の識別子（SP 800-215 の例では SPIFFE ID。短い期限の X.509 証明書や JWT の形で検証できる）を持たせることを挙げています。プロキシ、アドレス変換、動的な基盤があるクラウドなどでは、IP アドレスで相手を見分ける方法が成り立たないからです。
通信の向き
- 南北（north-south）：外部と内部の間の通信。境界のファイアウォールが見る
- 東西（east-west）：内部どうしの通信。横への移動はここを通る。境界のファイアウォールだけでは見えない
関連するページ
出典
確認日：2026年10月16日
最終更新：2026年10月16日 16:27
