マイクロセグメンテーションとは？種類と価格、VLANやファイアウォールとの違い

この記事の答え

マイクロセグメンテーションは、サーバーやワークロードの間の通信を細かく分け、許可した通信だけを通す仕組みです。製品は、通信を絞るために作られた専用製品、基盤に組み込みの製品、仮想ファイアウォールに分かれます。価格を公開しているのはCloud NGFWで、Standardは$0.0193/GiBです。

マイクロセグメンテーションとは

マイクロセグメンテーションは、入られたあとの広がりを止めるための手法です。出入口のファイアウォールが外からの通信を見るのに対し、こちらは東西方向の通信、つまりサーバーどうしの通信を絞ります。

ネットワークセグメンテーションはゾーンを作り、ゾーンに入った通信は自由に動きます。マイクロセグメンテーションはワークロードの単位で分けるので、同じゾーンの中でも許可した通信だけが通ります。

選ぶときの3つの点

選ぶときは「守るサーバーの場所」「止める場所」「ルールの作り方」の3つを先に決めます。

守るサーバーの場所

クラウドと自社のサーバーが混ざっているなら、Illumio SegmentationやCisco Secure Workloadのように両方を対象にした専用製品が合います。
Nutanix AHVの上にVMがまとまっているなら、Nutanix Flow Network Securityで絞れます。
Google Cloudの中の通信なら、Cloud NGFWのタグで絞れます。

止める場所

Illumio Segmentationは、ホストOSのレベルでポリシーを適用します。WindowsはWindows Filtering Platform、Linuxはiptablesを使います。
Zscaler Microsegmentationは、エージェントを使ってホスト側で絞ります。
VM-SeriesとFortiGate VMは、仮想ファイアウォールで通信を検査して止めます。

ルールの作り方

Illumio Segmentationは、IPアドレスでなくワークロードのIDでルールを作ります。サーバーがクラウドへ移ってもルールが付いていきます。
Cloud NGFWは、IAMで管理するタグでルールを作ります。
Zscaler Microsegmentationは、AIのグループ推奨でルールの案を出します。

価格

公式に価格を出しているのは、7製品のうちCloud NGFWだけです。

Cloud NGFWのEssentialsは、ルールの料金が発生しません。
Cloud NGFWのStandardは、評価対象のデータ量で$0.0193/GiBです。

ほかの製品は見積もりで比べます。VM-Seriesは、柔軟なクレジットで価格を決める形です。

導入の前に確かめること

先に今の通信を見える形にします。止める通信を確かめずに有効にすると、業務の通信まで止まります。
Illumio Segmentationは、ドラフトモードで影響を確かめてから有効にできます。
VM-Seriesの無料試用は、AWS向けが15日間、Azure向けが30日間です。
基盤に組み込みの製品は、その基盤向けです。守るサーバーの一覧を先に作ります。