5.5ネットワークセキュリティ設計の構成要素

エンタープライズのセキュリティ設計は、単一の万能機器ではなく役割の違う仕組みを層に重ねることで成立します。境界で怪しい通信を止める仕組み、端末そのものの健全性を担保する仕組み、内部の横移動（ラテラルムーブメント）を止める仕組み、そして回線区間の盗聴を防ぐ仕組みはそれぞれ別物です。ENCOR では各要素の定義よりも、「この要件（例：IP アドレス設計を変えずに部門間通信を止めたい／隣接スイッチ間の盗聴を防ぎたい）にはどれが正解か」という適材適所の判断が問われます。

5.5.1脅威防御とエンドポイントセキュリティ

• 脅威防御は、既知の攻撃シグネチャを検知してインラインで遮断する IPS、未知の検体を隔離環境で実行して挙動から判定するサンドボックス、外部の脅威インテリジェンス（Talos 等の評価情報）によるレピュテーションフィルタを組み合わせる。IDS は検知/通知のみで遮断しないという区別は繰り返し問われる。
• エンドポイントセキュリティは端末側の防御。従来型のシグネチャベース対策に加え、EDR（Endpoint Detection and Response）が挙動の記録と事後追跡・隔離を担う。ネットワーク接続時に OS パッチ・マルウェア対策の稼働状況を確認するポスチャ評価（ISE と連携）は、基準を満たさない端末を検疫 VLAN へ隔離し是正を促す。
• 次世代ファイアウォール（NGFW）は、ポート/プロトコルだけでなくアプリケーション識別（同じ 443 上の異なるアプリを区別）とユーザ識別（ID 基盤と連携し「誰が」で制御）を行い、IPS 機能や URL フィルタを統合する。「HTTPS を許可した結果すべてのアプリが通ってしまう」という従来型 FW の限界を埋めるのが要点。