ネットワークトラストアーキテクチャの進化：ネットワークがゼロトラストの一部となるべき理由

なぜネットワークはゼロトラストの一部となるべきなのか？

結論：ID とデバイスのチェックで決まるのは「アクセスを許可してよいか」までです。アクセス後 の動きまでは制御できません。そこでネットワーク自身が、誰が・どのデバイスから・どのリソー スに到達できるかを常に制御し、セグメンテーションすることで被害の広がりを抑え、リスクの変 化に合わせてポリシーを自動で更新する必要があります。

かつては、社内ネットワーク内は安全とみなされ、セキュリティ対策を外部との境界（ペリメー タ）に集中させるのが一般的でした。しかし、ユーザー、アプリケーション、デバイスが分散した 今日、このモデルは現実に合いません。現在の攻撃は、1 人の認証情報や 1 台のエンドポイントが 侵害されるだけで、フラットな構成のネットワーク内を横方向に広がっていく（ラテラルムーブメ ント）ことがあります。

ゼロトラストは、「決して信頼せず、常に検証し、必要最小限のアクセスだけを許可する」という 考え方を打ち出しました。その次の進化が、ネットワークを単なる通信の通り道ではなく、アクセ スを積極的に制御する層へと変えることです。

継続的なネットワークトラストとは何か？

境界型セキュリティでは、「どこから接続しているか」が信頼の根拠でした。ID やデバイスに基づ く制御が加わったことでこれは改善されましたが、次のステップは、ID、コンプライアンス、セグ メンテーション、ネットワークでの制御を 1 つの運用モデルとしてつなげることです。

信頼の確認は、ログインの時点だけの確認では十分ではありません。接続後も、そのユーザーやデ バイスがネットワーク内のどこまでに到達できるかをネットワークのポリシーで制御し続け、状況 が変われば、それに合わせてアクセスを見直す必要があります。

結果： ネットワークは、ユーザーとアプリケーションをつなぐ単なる経路から、ポリシーを継続的 に適用する場所へと変わります。

ID とデバイスのシグナルをどのようにネットワークポリシーにするのか？

Microsoft Entra ID はユーザー ID の情報を、Microsoft Intune はデバイスのコンプライアンスと ポスチャ（セキュリティ状態）の情報を提供します。これらの情報は、有線・無線、キャンパス、 ブランチ、データセンターといったあらゆる環境のアクセス制御に直接反映されてこそ、真価を発 揮します。

Extreme Platform ONE™ Security は、Microsoft のセキュリティ製品群と連携します。 Extreme Platform ONE Security の NAC は、Entra ID からユーザー ID 情報を、Intune からコン プライアンスの状況を取得し、「誰が」「どのデバイスで」「今どのような状態か」に応じて、 ネットワークポリシーを動的に適用できます。

さらに、継続的アクセス評価がリスクの変化を検知した場合は、更新されたポリシーをほぼリアル タイムでネットワークに反映できます。Microsoft が ID とコンプライアンスに関するインテリジェ ンスを提供し、Extreme がそれをネットワーク上での制御へと広げる、という役割分担です。

結果： ID やコンプライアンスの情報が、一度きりのアクセスチェックで終わらず、継続的にネット ワークで適用されるポリシーになります。

Extreme Fabric はゼロトラストのセグメンテーションをどのように簡 素化するのか？

従来のセグメンテーションでは、VLAN、アクセスコントロールリスト、VRF（Virtual Routing and Forwarding）、ルーティングポリシー、オーバーレイ、ファイアウォールなどを組み合わせ る必要がありました。これらは効果的ですが、設定や管理の手間が増えがちです。

Extreme Fabric は、Shortest Path Bridging を基盤とし、ネットワークのエッジでサービスを定 義するだけで、安全でスケーラブルなマイクロセグメントを自動的に作成します。管理者は、コア ネットワークを手作業で再設定することなく、セグメンテーションを追加・変更できます。

結果：Extreme Fabric により、従来の設計で課題だった設定の手間を減らしながら、ネットワー ク全体のセグメンテーションを拡張しやすくなります。

各コンポーネントの連携

ハイパーセグメンテーションはどのようにラテラルムーブメントを抑制す るのか？

ファイアウォール、SASE、セキュア Web ゲートウェイ、エンドポイント向けツールは、主にネッ トワークの内外を行き来する通信（南北トラフィック：縦方向）を守ります。一方で、社内ネット ワーク内の通信（東西トラフィック：横方向）の保護は別の課題として残ります。特にフラットな ネットワークでは、1 台のエンドポイントが侵害されると、そこから多くの他のデバイスを探し出 し、通信できてしまうおそれがあります。

Extreme Fabric は、ユーザー、デバイス、アプリケーション、サービスをそれぞれ論理的なセグ メントに分け、ポリシーで許可された場合にのみ通信できるようにします。万一システムが侵害さ れても、ネットワークがリソース同士を隔離し、攻撃者が使える経路を制限します。

結果： ハイパーセグメンテーションは、ラテラルムーブメントに使えるリソースと経路を絞り込む ことで、侵害の封じ込めに役立ちます。

なぜ自動化が運用型ゼロトラストに不可欠なのか？

変更のたびにネットワークを手作業で設計し直していては、セキュリティポリシーを効率よく拡大 できません。Shortest Path Bridging では、サービスをエッジで設定すればファブリック全体に自 動的に展開されるため、スパニングツリー、複雑なオーバーレイルーティング、コアでの繰り返し の設定作業が大幅に減少します。

この仕組みにより、ハイブリッドワーク環境、分散したキャンパス、病院、大学、政府機関、大企 業など、さまざまな場面で、変更のたびにネットワークを設計し直すことなく、一貫したポリシー を適用できます。

結果：自動化により、セキュリティポリシーを無理なく拡大でき、繰り返しの設定作業や運用の複 雑さを削減することができます。

重要なポイント

• ゼロトラストを実現するためには、ログインの制御をして終わりではなく、ログイン後も ネットワーク全体でアクセスを制御し続ける必要があります。
• ID やデバイスコンプライアンスの情報は、ネットワークポリシーを直接制御することで、 より大きな価値を生みます。
• Extreme Fabric は、ハイパーセグメンテーションによって、コアネットワークを繰り返し 再設定することなく、ラテラルムーブメントを制限します。
• 自動化により、分散した環境でも一貫したセキュリティポリシーを拡大しやすくなります。

ネットワークを、能動的なゼロトラスト強制レイヤーにする

ゼロトラストは ID とデバイスの確認から始まります。そこに、ネットワークが継続的にアクセスを 制御し、状況の変化に合わせてポリシーを調整し、ラテラルムーブメントを制限する仕組みが加わ ることで、より完全なものになります。Extreme は、Microsoft のセキュリティ情報と Extreme Platform ONE Security、Extreme Fabric を組み合わせ、ゼロトラストによる制御をネットワー ク全体へ拡張します。

Extreme Networks の「統合されたシンプルなゼロトラストセキュリティ」の詳細は、こちらをご 覧ください。