情報セキュリティにおける安全なネットワークの属性とは？

ネットワークセキュリティとは

ネットワークセキュリティとは、多様な潜在的脅威がネットワーク内に侵入・拡散するのを防ぎ、企業インフラの可用性と完全性を守るための一連の技術です。

ネットワークセキュリティアーキテクチャは、ネットワークそのものと、その上で動作するソフトウェアを保護するツール群で構成されます。効果的なネットワークセキュリティ手法は、スケーラブルかつ自動化された複数の防御ライン（多層防御）を採用しており、それぞれの防御層が管理者によって定められたセキュリティポリシーを適用します。

ネットワークセキュリティは、ネットワークの境界（エッジ）および内部に複数の保護レイヤーを設けることで機能します。各セキュリティレイヤーは特定の戦略を実装し、所定のポリシーに従って動作します。その結果、認可されたユーザーのみがネットワークリソースへのアクセスを許可され、不正なユーザーは悪用行為や悪意ある活動から遮断されます。

ネットワークセキュリティとコンピュータセキュリティの違い

ネットワークインフラの保護は、国が適切な防御態勢を敷いて攻撃の侵入経路を守ることに例えられます。一方、コンピュータセキュリティは、単一のPCを外部からの侵入から守る補助的な手段に近いものです。利用者を無防備な状態にさらさないという点では、前者の方が優れており、実用的なアプローチと言えます。

予防策としては、個々のコンピュータへのアクセスとネットワーク自体を保護することで、コンピュータ本体に加え、ネットワークで接続されたプリンターやNAS（ネットワーク接続ストレージ）といった共有リソース全体を安全に保ちます。

ネットワークセキュリティでは、攻撃が進展する前に入口の段階で食い止めることが可能です。対照的に、コンピュータセキュリティの対策は個々のホストの保護に焦点が当てられがちです。セキュリティが侵害された一台のホストは、必ずしも安全とは言えないネットワークに接続された複数のホストへ感染を広げる恐れがあるため、この違いは重要です。

ネットワークセキュリティの主要な構成要素

認証とステートフルファイアウォール

ネットワークセキュリティは、ユーザー認証、通常はユーザー名とパスワードによる認証から始まります。認証が完了すると、ステートフルファイアウォールがアクセスポリシーを適用し、ネットワークユーザーが利用できるサービスを制御します。この仕組みは不正アクセスの防止には非常に有効ですが、ネットワーク上を伝播するコンピュータワームなど、潜在的に有害なコンテンツまでは検査できないという限界があります。

侵入防止システム（IPS）

侵入防止システム（IPS）は、マルウェアなどの脅威を検知・阻止する役割を担います。IPSは、通信内容・トラフィック量・異常の観点から不審なネットワークトラフィックを監視し、DoS（サービス拒否）攻撃などからネットワークを保護します。さらに、2つのホスト間の通信を暗号化してプライバシーを確保することも可能です。ネットワーク上で発生した個々のイベントは、監査目的やリアルタイムの高度な分析のために追跡・記録できます。

ハニーポットによる監視と早期警戒

ハニーポットとは、本質的にはおとりとして機能するネットワーク接続可能なリソースであり、監視・早期警戒ツールとしてネットワーク内に設置できます。攻撃者がこれらのおとりリソースを侵害しようとする際に用いる手法は、攻撃中および攻撃後に記録・分析され、新たな悪用技術の把握につながります。こうした分析結果は、ハニーポットによって守られている実際のネットワークのセキュリティをさらに強化するために活用することができます。