変更要約: 初版
2.2ネットワークアドレスとセキュリティ
ネットワークで使う住所——L3のIPv4/IPv6アドレスと、L2で機器固有のMACアドレス——の役割、範囲を/24のように表すCIDR、プライベートIPを共有のグローバルIPに変換するNAT、そして自由に割当できるプライベートアドレスと世界で一意なパブリックアドレスの違いを押さえ、被害を島に閉じ込めるネットワークセグメンテーションという守りの基本を学びます。
ネットワークのセキュリティを語るには、まず「どんな住所で誰と通信しているか」を読めることが土台になります。機器にはL2の固定的なMACアドレスとL3のIPアドレス（IPv4/IPv6）という2種類の住所があり、アドレスの範囲は192.168.1.0/24のようにCIDRで表します。社内で自由に使えるプライベートアドレスと、インターネット上で一意なパブリックアドレスを橋渡しするのがNATです。そしてこれらの住所の考え方を使い、ネットワークをいくつもの区画に分けて被害を閉じ込めるネットワークセグメンテーションは、入門段階で最も重要な守りの一つです。この節では、住所の役割を識別し、セグメンテーションがなぜ効くのかを理解します。
2.2.12種類の住所とアドレス表記
- IPv4アドレス＝
192.168.1.10のような32ビット（4つの数字）のL3アドレスで、設定で変わる。数が枯渇しつつあるため、より広大な128ビットのIPv6（2001:db8::1のような表記）への移行が進む。IPは「ネットワーク上のどこか」を指す論理アドレス。 - MACアドレス＝
00:1A:2B:3C:4D:5Eのような48ビットのL2アドレスで、ネットワークカードに焼き付けられた機器固有の識別子（原則変わらない）。同一セグメント内でのフレーム配達に使う。IP＝論理（設定で変わる）／MAC＝物理（機器固有）の違いを押さえる。 - CIDR（クラスレス表記）＝
192.168.1.0/24のように、アドレスの後ろに/ビット数を付けてネットワークの範囲を表す方法。/24なら先頭24ビットがネットワーク部で、192.168.1.0〜192.168.1.255の範囲を指す。セグメントの大きさや所属を読むのに必須。
2.2.2パブリック/プライベートとNAT・セグメンテーション
- プライベートアドレス（
10.0.0.0/8・172.16.0.0/12・192.168.0.0/16）＝組織内で自由に使える、インターネットにそのままでは出られないアドレス。パブリックアドレス＝世界で一意でインターネット上で通用するアドレス。内側はプライベート、外向きはパブリック、と使い分ける。 - NAT（ネットワークアドレス変換）＝内部のプライベートアドレスを、出口で共有のパブリックアドレスに付け替える仕組み。少数のグローバルIPを多数の端末で共有でき、内部のアドレス構成を外から隠す副次的な効果もある（ただしNATは暗号化ではなく、単独ではセキュリティ機能ではない点に注意）。
- ネットワークセグメンテーション＝ネットワークを用途や信頼度で複数の区画（セグメント／VLANなど）に分け、区画間の通信を制御すること。ある区画が侵害されても被害をその島に閉じ込め、横方向への拡大（ラテラルムーブメント）を抑えられる。最小権限をネットワークに適用した守りの基本。
「IPv4=32ビット・設定で変わる論理／IPv6=128ビット／MAC=48ビット・機器固有の物理」「CIDR /24 は先頭24ビットがネットワーク部」「プライベート(10/172.16/192.168)は内部用・パブリックは世界で一意」「NATはプライベート↔パブリック変換（暗号化ではない）」「セグメンテーションは被害を島に閉じ込め横展開を防ぐ」が頻出です。住所の役割と守りの効き方を区別しましょう。
ある小さな会社で、事務PC・来客用Wi-Fi・工場の制御機器がすべて同じ1つのフラットなネットワーク（同一セグメント）につながっているとします。ある日、来客が持ち込んだノートPCがマルウェアに感染していて、同じセグメント内の機器を次々にスキャンし始めました。ここで問題になるのが、セグメントが1つしかないと、感染が全機器に地続きで広がってしまうことです。もし事前にネットワークセグメンテーションで「事務」「来客用」「制御機器」を別々の区画に分け、区画間の通信を必要最小限に絞っていれば、来客用の島で起きた感染をその島に閉じ込め、重要な制御機器やサーバへの横展開を止められたはずです。ここで住所の知識が生きます。各区画は192.168.10.0/24（事務）・192.168.20.0/24（来客）のようにCIDRで範囲を分け、区画境界のルータやファイアウォールで通信を制御します。内部では自由に使えるプライベートアドレスを割り当て、インターネットへ出るときだけNATで共有のパブリックアドレスに変換します。ここで注意したいのは、NATがあるからといってそれ自体はセキュリティ対策ではないという点です。NATは主にアドレスを共有・変換する仕組みで、区画を分けて被害を閉じ込めるのはセグメンテーションと、その境界での通信制御（次節以降のファイアウォール/ACL）の役割です。入門段階では、「住所（IP/CIDR）で区画を設計し、セグメンテーションで被害を島に閉じ込める」という守りの基本形を、正しく識別できることが目標です。
| 用語 | 層/性質 | 要点 |
|---|---|---|
| IPv4 / IPv6アドレス | L3・論理（設定で変わる） | IPv4=32ビット、IPv6=128ビットでアドレス空間が広大 |
| MACアドレス | L2・物理（機器固有） | 48ビット・NICに焼き付き同一セグメント内の配達に使う |
| CIDR | 表記法 | /24 は先頭24ビットがネットワーク部で範囲を表す |
| プライベート/パブリック | アドレスの種別 | プライベートは内部用、パブリックは世界で一意 |
| NAT | 変換の仕組み | プライベート↔パブリックを変換（暗号化ではない） |
| セグメンテーション | 守りの設計 | 区画分けで被害を島に閉じ込め横展開を防ぐ |
ひっかけ： 「NATを使えばプライベートアドレスが隠れるので、それだけで十分なセキュリティ対策になる」は誤りです——NATは主にアドレスの共有・変換の仕組みで、通信内容を暗号化したり攻撃を検査したりはしません。被害の閉じ込めはネットワークセグメンテーションと境界の通信制御（ファイアウォール/ACL）の役割です。また「MACアドレスはIPと同じで設定で自由に変えられる論理アドレス」も誤り＝MACはL2で機器固有の物理アドレスです。
2.2.3この節のまとめ
- IPv4(32ビット)/IPv6(128ビット)はL3の論理アドレス、MACアドレス(48ビット)はL2で機器固有の物理アドレス。範囲はCIDR（/24等）で表す
- プライベートアドレスは内部用、パブリックアドレスは世界で一意。NATが両者を変換するが、それ自体は暗号化やセキュリティ機能ではない
- ネットワークセグメンテーションは区画分けで被害を島に閉じ込め、横展開（ラテラルムーブメント）を防ぐ守りの基本
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 事務PC・来客用Wi-Fi・制御機器がすべて同じ1つのセグメントにある。来客のPCがマルウェアに感染し、周囲の機器を次々にスキャンし始めた。被害の拡大を島に閉じ込める最も基本的な対策はどれか。
Q2. IPアドレスとMACアドレスの違いを新人に説明する。最も正確な説明はどれか。
Q3. 社内では 192.168.10.0/24 のようなプライベートアドレスを使い、インターネットへ出るときだけ共有のグローバルIPに変換している。この変換の仕組みと、その性質について最も適切なものはどれか。