2.3ネットワークインフラと技術

ネットワークを安全に組むには、1つの強い壁に頼るのではなく、役割の違う仕組みを多層に重ねるという考え方が基本です。この節では、そうした守りの設計思想であるセキュリティアーキテクチャを土台に、公開用と内部用を隔てるDMZ、リソースを柔軟に使う仮想化とクラウド、攻撃者をわざと誘い込むハニーポット、通信を代理・検査するプロキシサーバ、そして侵入の検知を担うIDSと検知＋遮断まで行うIPSを取り上げます。それぞれが「何をする箱なのか（隔離・検知・遮断・観察・代理）」を、名前と役割で識別できるようになることが目標です。

2.3.1多層防御・DMZ・仮想化とクラウド

• セキュリティアーキテクチャ＝境界防御・セグメンテーション・アクセス制御・監視などを組み合わせ、守りを多層（多層防御）に設計する全体像。1つの対策が破られても次の層で食い止める、という発想。
• DMZ（非武装地帯）＝Webサーバやメールサーバなど外部に公開する機器を、内部ネットワークから隔離して置く緩衝域。DMZ上の公開サーバが侵害されても、内部の重要システムへ直接には及ばないようにする。「公開するものは内部と分けて置く」典型。
• 仮想化＝1台の物理サーバ上に複数の仮想マシンを作り、資源を分けて使う技術。環境を分離できるが、土台のハイパーバイザや設定不備が新たな攻撃面にもなる。クラウド＝サーバやストレージをインターネット越しに借りる形態で、責任共有モデル（事業者と利用者で守る範囲を分担）の理解が要点。

2.3.2観察・代理・検知/遮断：ハニーポット・プロキシ・IDS/IPS

• ハニーポット＝わざと攻撃者を誘い込む囮（おとり）のシステム。本物そっくりに見せて攻撃を引き受け、手口の観察や本番システムからの気そらしに使う。正規の利用者はアクセスしないので、そこへの通信は不審の強いサインになる。
• プロキシサーバ＝クライアントとサーバの間に立ち、通信を代理する中継役。アクセス先のフィルタリング、内容の検査、ログ取得、送信元の隠蔽などに使う。出入り口を1か所に集約して制御・可視化できるのが利点。
• IDS（侵入検知システム）＝不審な通信を検知して警報を出すが、それ自体は通信を止めない（受動的・記録と通知）。IPS（侵入防止システム）＝検知に加えて通信経路上（インライン）でその場で遮断・ブロックまで行う（能動的）。「IDSは見張り、IPSは見張り＋遮断」と覚える。

中小企業のネットワークを見直す場面を考えます。この会社は自社のWebサイトを社内のファイルサーバと同じ島（同一セグメント）に置いていました。これは危険です。外部に公開するWebサーバは攻撃を受けやすく、そこが乗っ取られると同じ島の重要なファイルサーバまで一気に危険にさらされるからです。入門レベルの正しい判断は、公開サーバはDMZに隔離して置くこと。DMZに置けば、万一Webサーバが侵害されても内部の重要システムへ直接は届きにくくなります。次に、境界には通信を監視する仕組みを入れたいのですが、ここでIDSとIPSのどちらを選ぶかが判断ポイントになります。もし「まず何が起きているか可視化し、正規の通信を誤って止めてしまうリスクを避けたい」段階なら、検知して警報を出すだけのIDS（受動）から始めるのが無難です。一方、「既知の攻撃はその場で自動的に止めたい」なら、インラインで遮断まで行うIPS（能動）を選びます。両者の違いは性能の優劣ではなく、「検知だけか、遮断までか」という役割の違いです。さらに、攻撃の傾向を観察したいならハニーポットという囮を置く、社員のWebアクセスを一括で制御・記録したいならプロキシサーバを通す、といった具合に、目的に応じて役割の違う箱を組み合わせます。これがセキュリティアーキテクチャ＝多層防御の実際です。入門段階では、それぞれの技術が「隔離・検知・遮断・観察・代理」のどれを担うのかを正しく識別し、状況に合った箱を選べることが目標です。

2.3.3この節のまとめ

• セキュリティアーキテクチャは多層防御の設計。DMZは公開サーバを内部から隔離する緩衝域
• 仮想化は1台に複数環境、クラウドは責任共有、ハニーポットは囮で観察、プロキシサーバは代理・フィルタ・ログを担う
• IDSは検知のみ（受動）、IPSは検知＋その場の遮断（能動・インライン）。「止めるか否か」で区別する