network-segmentation-review

ネットワークセグメンテーションのレビュー

意図したセグメンテーションの境界が実際に機能していることを確認します。

1. 意図した設計を把握する

• ネットワーク図を入手します。ゾーン（DMZ、内部、本番環境、社内、OT）、信頼レベル、意図した通信フローを確認します
• 文書化された許可済みの通信フローと、「それ以外はすべて拒否する」という方針を対応付けます

2. レイヤー2／3の境界を確認する

• VLAN ホッピング：ダブルタグ付け、ユーザーポートでの DTP ネゴシエーション、トランク上のネイティブ VLAN の不一致
• VLAN 間ルーティング：どの SVI が存在するか、それらの間に ACL が設定されているか
• ホスト間通信が不要な場所では、プライベート VLAN／ポート分離を使用します

3. ファイアウォールとルーターのポリシー

• ルールベースを確認します。any-any ルール、送信元／宛先の範囲が広すぎるルール（any→internal）、オブジェクトではなく IP アドレスを指定したルールがないか確認します
• シャドウルールと未使用のルールを確認します。拒否ルールでロギングが無効になっていないか確認します
• 管理アクセス：ユーザーセグメントから SSH／管理プレーンにアクセスできますか？

4. クラウドの境界

• セキュリティグループ：役割ごとにグループを設定し、Web 用以外のポートで 0.0.0.0/0 からのインバウンドを許可しないようにします
• NACL と SG の多層構成を確認します。ピアリング／トランジットゲートウェイのルートテーブルから、より広い CIDR が漏れていないか確認します
• エグレス制御：侵害されたワークロードが、任意のインターネット上の宛先に到達できますか（データ流出経路）？

5. 能動的な検証（許可されたテスト）

• 各ゾーンの代表的なホストから、境界を越える接続を試します。許可される接続（成功するはず）と拒否される接続（失敗してログに記録されるはず）を確認します
• ステートフルなデバイスでは、両方向の通信と戻りのトラフィックをテストします
• nmap -PN -sT -p <port> 形式の対象を絞ったプローブを使用し、ブロックを記録したデバイスを記録します

出力

検証済みの通信フローマトリクス（送信元ゾーン × 宛先ゾーン × ポート × 期待値 × 実測値）、デバイスレベルの証拠を伴うギャップ、境界ごとの修正策。