ネットワークセキュリティの基礎知識｜管理者が機器購入前にベースラインを作成すべき理由

ネットワークセキュリティを強化するために新しい機器やツールの導入を検討する際、多くの管理者が見落としがちなのが「ベースライン（基準値）」の作成です。ベースラインは、ネットワークの正常な状態を数値で把握し、異常や問題を早期に発見するための重要な土台となります。本記事では、ネットワークベースラインの基本概念から作成手順、そして実践的なセキュリティ対策までをわかりやすく解説します。

ネットワークベースラインとは？その必要性

なぜネットワークベースラインを確立する必要があるのか

エンジニアがベースラインを設定することで、パフォーマンス障害や情報窃取の兆候となりうるトラフィックの変化を検出できるようになります。また、ネットワーク運用チームは、実施した変更による効果や投資対効果（ROI）を測定でき、その情報を今後の調整に活かすことが可能です。

ネットワークセキュリティにおけるベースラインの定義

セキュリティ分野における「セキュリティコントロールベースライン」とは、低・中・高という影響度レベルごとに定義された管理策（コントロール）の集合体を指します。米国国立標準技術研究所（NIST）によれば、セキュリティコントロールベースラインは「最低限必要なセキュリティ管理策のセット」と定義されています。

ネットワークパフォーマンスベースラインとは

ネットワークパフォーマンスベースラインとは、端的に言えば「正常なパフォーマンス」とはどのような状態かを定義するための一連の指標です。このベースラインをもとにネットワークトラフィックを比較することで、問題の兆候となるトラフィック変化をいち早く捉えることができます。

ネットワークベースラインの作成方法とタイミング

ベースライン作成の4ステップ

1. ステップ1：ハードウェア、ソフトウェア、構成情報のインベントリ（棚卸し）を作成する
2. ステップ2：ルーターがSNMP MIB（管理情報ベース）に対応していることを確認する
3. ステップ3：ルーターに対してポーリングを行い、特定のSNMP MIBオブジェクトの値を記録する
4. ステップ4：収集したデータを分析し、閾値（しきい値）として活用できる水準を導き出す

ベースラインを確立すべきタイミング

定期的にトラフィックを監視・記録することが、効果的なネットワークベースライン確立の手段となります。これにより、管理者はネットワークの通常状態からの逸脱（デビエーション）を容易に検出できるようになります。

データフロー図とネットワーク図の重要性

ネットワーク監視になぜベースラインとデータフロー図が必要か

データフロー図は、ネットワーク内でデータがどのように移動するかを可視化したものです。データの流れを理解することは、情報セキュリティポリシーの実装やリスク軽減策の策定において不可欠です。

データフロー図（DFD）の目的

データフロー図（DFD）は、情報システム内をデータが通過する経路を表現した図です。多くの場合、システム全体の概要を把握するための初期段階として作成され、その後の詳細な分析へとつなげられます。

ネットワーク図が重要である理由

プロジェクトネットワーク図は、プロジェクトの各段階で完了すべき作業をチームが視覚的に把握するための重要なツールです。各タスクの所要時間、実行順序、依存関係といった必要なコンテキストを提供します。

サーバーのセキュリティベースライン

サーバーセキュリティベースラインの目的

組織は、システム全体のすべてのアプリケーションとデバイスに対してセキュリティベースラインを設定することが重要です。その目的は、すべてのシステムが本来あるべき状態で機能することを保証することにあります。構成ベースラインは一般的な設定全般を扱いますが、セキュリティベースラインはセキュリティに関連する項目に特化しています。

セキュリティベースラインチェックリストとは

チェックリスト（ロックダウンガイドやハードニングガイドとも呼ばれます）とは、特定のセキュリティパラメータに従って製品を構成するための手順を記載した文書のことです。

ネットワークに実装すべきセキュリティ対策

基本的なセキュリティ対策チェックリスト

• セキュリティ管理策が適切に配置され、ネットワークが監査されていること
• セキュリティポリシーが見直され、組織内で周知されていること
• データのバックアップと災害復旧（DR）計画が整備されていること
• 機密情報が暗号化されていること
• アンチマルウェアソフトウェアを常に最新の状態に保つこと
• アクセス制御に多要素認証（MFA）を導入すること

ネットワーク・コンピュータセキュリティの5つの必須要件

1. ネットワークユーザー、ホスト、アプリケーション、サービス、リソースを正確かつ確実に識別できること
2. 建物やネットワークの境界（ペリメーター）での防御
3. データのプライバシー保護
4. システムセキュリティの継続的な監視
5. ポリシー管理システムの整備

ネットワークセキュリティの主な実装手法

• アクセス制御：不正なアクセスを防ぐ仕組み
• アンチウイルス・アンチマルウェアソフト：マルウェア感染の防止
• アプリケーションセキュリティ評価：アプリの脆弱性チェック
• 行動分析：異常な挙動の検知
• データ損失防止（DLP）：機密情報の漏えい防止
• DDoS攻撃対策：分散型サービス拒否攻撃への防御
• メールセキュリティ：フィッシングや添付ファイル経由の攻撃対策
• ファイアウォール：通信の許可・遮断の制御

ファイアウォールによるネットワークセキュリティの実装

ファイアウォールは、ネットワークのセキュリティを強化するためのハードウェアまたはソフトウェアです。許可されていない着信トラフィックをすべてブロックしながら、正当な通信のみを通過させます。従来型のネットワークセキュリティファイアウォールでは、ネットワークに入ってくるトラフィックと出ていくトラフィックが保護対象となります。

ネットワークセキュリティ実装のための実践ステップ

1. ネットワークの現状を評価（アセスメント）する
2. 事前に計画を立てる
3. インストールコードを取得する
4. 状況を継続的に監視する
5. ネットワークの分離とセグメンテーションを行う
6. 職場でセキュリティを優先事項とする文化を醸成する
7. 安全なワイヤレスネットワークを構築する
8. 必要に応じてマネージドサービスプロバイダー（MSP）を活用する

なぜネットワークセキュリティが重要なのか

家庭とビジネスの両方で求められるセキュリティ

安全なネットワーク環境は、家庭でもビジネスでも極めて重要です。一般のご家庭にも無線ルーターが設置されていることがほとんどですが、適切に保護されていない場合、悪用される危険性があります。ネットワークのセキュリティを確保することで、データ損失、盗難、侵害のリスクを大幅に低減できます。

セキュリティ対策の3つのカテゴリー

情報システムを保護するためのセキュリティ対策には、管理的対策、物理的対策、技術的対策の3種類があります。これらは、ソフトウェア、ファームウェア、ハードウェア、および手順など、セキュリティ仕様を満たすように設計されたシステムコンポーネントとして実装されます。

ネットワークセキュリティエンジニアに求められるスキルと経験

米国国家安全保障局（NSA）によると、サイバーセキュリティの典型的なエントリーレベル職には、学士号と3年間の関連経験が必要とされています。その他の組み合わせとしては、修士号と関連分野での1年の経験、または博士号（経験不問）などが挙げられます。