ネットワークセキュリティゾーンとは？種類と構成方法を徹底解説

ネットワークセキュリティゾーンの基本概念

ネットワーク内部には複数のセキュリティゾーンが存在し、それぞれに固有のセキュリティ要件が課されています。各ゾーンは単一のインターフェース、またはインターフェースのグループで構成され、個々のインターフェースに対してセキュリティポリシーが適用されます。

一般的には、ファイアウォールなどのレイヤー3デバイスによってこれらのゾーンが分離され、ネットワーク間を行き来するすべてのトラフィックが検査対象となります。これにより、不正な通信や脅威の侵入を効果的に防ぐことができます。

主なセキュリティゾーンの分類

4つの基本的なセキュリティゾーン

セキュリティゾーンは、管理レベルの観点から大きく以下のように分類されます。

• 非管理ゾーン（Uncontrolled Zone）：インターネットなど、組織の管理外にある公共領域を指します。
• 管理ゾーン（Controlled Zone）：組織のイントラネットやDMZ（非武装地帯）など、一定の管理下に置かれた領域です。
• 制限ゾーン（Restricted Zone）：特に厳格なアクセス制御が適用される重要エリアです。

ファイアウォールにおける3つのゾーン

ファイアウォール設計では、信頼レベルに基づいて次の3つに分類されるのが一般的です。

• プライベートゾーン：最も信頼度の高い社内ネットワーク（内部LAN）。
• パブリックゾーン：信頼できない外部ネットワーク（インターネット）。
• DMZ（非武装地帯）：Webサーバーやメールサーバーなど、外部に公開するサーバーを配置する中間領域。

ネットワークセキュリティゾーンの定義

ネットワークセキュリティゾーンとは、類似したアクセス制御ポリシーを持つシステム群を指す用語です。システムのIPアドレスに基づいて所属ゾーンが判定され、1つ以上のIPアドレス、あるいはそれらの組み合わせによってゾーンが構成されます。

セキュリティゾーンへの割り当て方法

セキュリティゾーンは、内部ネットワークや外部ネットワークなど、ネットワークの一部を表現します。IPセキュリティゲートウェイのネットワークインターフェースを特定のセキュリティゾーンに割り当てることで、ルールベースの送信元・宛先カラムでゾーンのテーブルオブジェクトを利用できるようになります。

ファイアウォールのセキュリティゾーン機能

ファイアウォール上のセキュリティゾーンを活用すると、ネットワークの特定インターフェースを通過するトラフィックの管理・ログ記録が可能になり、フィルタリング設定も柔軟に行えます。インターフェースがトラフィックを通過させる前に、必ずそのインターフェースをセキュリティゾーンに割り当てておく必要があります。また、ファイアウォールのポリシールールは、セキュリティゾーンを使ってトラフィックの送信元と宛先を識別します。

なお、Cisco ISA500のような機器では、導入を簡素化するために、デフォルト設定済みの事前定義ゾーンが十数種類用意されています。コンピュータセキュリティにおけるセキュリティゾーンとは、セキュリティポリシーによって管理される一連のインターフェース群を意味します。

Internet Explorerの4つのセキュリティゾーン

Webブラウザの世界でも同様の考え方が採用されています。Internet Explorerでは、すべてのWebサイトが次の4つのセキュリティゾーンのいずれかに割り当てられます。

• インターネット
• ローカルイントラネット
• 信頼済みサイト
• 制限付きサイト

サイトが属するゾーンによって、適用されるセキュリティ設定が決まります。

ゾーニングの概念とその種類

セキュリティゾーニングとは、資産のリスクレベルに応じてシステムをサブセットに分割する考え方です。ファイアウォールなどの対策を講じることで、万一一つのゾーンでインシデントが発生しても、他のゾーンへの影響を最小限に抑えることができます。

セキュリティゾーンの変更手順

必要に応じて独自のセキュリティゾーンを作成することもできます。Internet Explorerの場合、「インターネットオプション」ウィンドウの「セキュリティ」タブから設定画面を開き、各ゾーンを個別に選択して、それぞれに希望するセキュリティレベルを設定できます。ほとんどのユーザーにとっては、デフォルト設定で十分満足できるものとなっています。

セキュリティゾーンポリシーとは

同じセキュリティレベルを使用するWebサイトのグループを「セキュリティゾーン」と呼びます。このポリシーを有効にすると、「インターネットオプション」ダイアログボックスの「セキュリティ」タブにある「レベルのカスタマイズ」ボタンとセキュリティレベルのスライダーが無効化されます。一方、ポリシーを無効化または未構成にした場合は、ユーザー自身がセキュリティゾーンの設定を変更できるようになります。