閉域網の安全性を検証

閉域網は本当に安全なのか？

検索しています...

結論から言うと、 **「閉域網はインターネットより安全だが、決して安全ではない」** です。 最近のセキュリティ業界では「閉域網だから安心」という考え方はかなり否定されています。【1-330137】【2-16522d】 また、御社でもゲットワークスのGWX閉域網やIsidoreとの組み合わせを検討されている資料があり、閉域網を活用したネットワーク構成が議論されています。【3-59fe9a】【4-37769c】 ### 閉域網が安全と言われる理由 閉域網は、 - インターネットから直接到達できない - 接続できる拠点が限定される - 無差別攻撃を受けにくい という特徴があります。【1-330137】【5-43e56c】 例えば、 - IP-VPN - MPLS - 広域イーサネット - 専用線 などは、一般のインターネットより攻撃面が小さくなります。【6-c45fad】【2-16522d】 ### しかし実際には危険も多い 閉域網が破られるケースは珍しくありません。 主な侵入経路は、 #### ① VPN装置 「閉域網を保守するためのVPN」が実質的な入口になります。 - VPN機器の脆弱性 - パスワード漏洩 - MFA未導入 から侵入される事例が多数あります。【7-8a7f0c】 #### ② USBメモリ 有名なStuxnetもそうですが、 - USBメモリ - 保守PC - ノートPC からマルウェアが持ち込まれることがあります。【1-330137】【7-8a7f0c】 #### ③ 内部犯行 閉域網は外部に強くても、 - 社員 - 委託先 - 保守業者 による情報持ち出しには弱いです。【5-43e56c】 #### ④ IoT機器 最近はカメラやセンサーにSIMやWi-Fiが搭載されています。 閉域網だと思っていても、実は機器が直接インターネットと通信していたというケースがあります。【1-330137】 --- ### 今の考え方は「ゼロトラスト」 現在は > 閉域網だから信用する ではなく > 閉域網の中でも信用しない という考え方です。【5-43e56c】 そのため、 - 通信暗号化 - 多要素認証(MFA) - ログ監視 - EDR - 端末認証 - 最小権限管理 を組み合わせます。【5-43e56c】【7-8a7f0c】 --- ### データセンターやGPUクラスタの場合 株本さんが検討されているような - コンテナDC - GPUクラスタ - AI分散コンピューティング の世界では、 **「閉域網＋暗号化」が主流** です。 閉域網だけではなく、 - MACsec - IPsec - PQC（耐量子暗号） - Isidoreのような暗号オーバーレイ を重ねる設計になっています。御社資料でもGWX閉域網とIsidoreを組み合わせる構成が検討されています。【8-118eac】【3-59fe9a】【4-37769c】 ### 一言で言うと **閉域網は「城壁」であって「防弾チョッキ」ではありません。** 城壁があるだけで敵は入りにくくなりますが、 - 正門(VPN) - 関係者(内部者) - 持込機器(USB・保守PC) から侵入される可能性は残ります。 そのため現在のベストプラクティスは、 > **「閉域網だから安心」ではなく、「閉域網の上でも暗号化・認証・監視を行う」** という考え方です。これは金融、通信、防衛、データセンター業界でもほぼ共通認識になっています。【1-330137】【5-43e56c】【2-16522d】

何がどうなったら閉域網と呼べるのか？

検索しています...

一言でいうと、 **「インターネットから直接到達できず、許可された拠点・端末だけが通信できる状態」になっていれば閉域網と呼ばれます。** 【1-fac90a】【2-3f5c26】 ただし、よく誤解されるのは、 **「暗号化されている＝閉域網」ではない** **「VPN＝閉域網」ではない** という点です。 ### 閉域網の本質 閉域網は、 - 不特定多数が利用するインターネットから分離 - 参加できる拠点や端末が限定 - 外部から直接ルーティングできない - 通信事業者の閉じたネットワーク内で通信が完結 という状態です。 【1-fac90a】【2-3f5c26】 例えば、 - NTTのIP-VPN - MPLS網 - 広域イーサネット - キャリアの閉域SIM（専用APN） などは典型的な閉域網です。 【1-fac90a】【3-148c25】【2-3f5c26】 ### 閉域網ではない例 #### 例1：インターネットVPN 本社 ↓ インターネット ↓ 支店 IPsecで暗号化されていても、 通信経路はインターネットです。 これは一般的には **「VPN」** であって **「閉域網」ではありません。** 【3-148c25】【4-01baf8】 ### 閉域網である例 #### 例2：IP-VPN 本社 ↓ キャリア網 ↓ 支店 通信がキャリアの閉じた網の中だけで流れる。 インターネットへ出ない。 これは典型的な閉域網です。 【1-fac90a】【3-148c25】【2-3f5c26】 ### SIMの世界では？ ユーザー様が最近関わられているGWXや閉域SIMの話でいうと、 ``` SIM ↓ 専用APN ↓ キャリア閉域網 ↓ 企業ネットワーク ``` で接続され、 SIM端末にグローバルIPが付かず、 インターネットへ直接出られない構成なら、 一般に「閉域SIM」「モバイル閉域網」と呼ばれます。 【5-89c0c7】【4-01baf8】 ### 実務的な判断基準 ネットワーク事業者に **「この端末からインターネット上の任意のサイトへ直接アクセスできますか？」** と聞いて、 - できる → 非閉域（インターネット網） - できない → 閉域網の可能性が高い です。 さらに、 **「その通信がキャリアの閉じた網の中だけで完結するか」** が本質的な判断基準になります。 【2-3f5c26】【1-fac90a】 ちなみに、ゲットワークスのGWXに関する社内資料でも「GWX閉域網（SIM）」として、コンテナDCと管理拠点を接続する構成が記載されています。 【6-0b4bf8】【7-a6ebc2】 ネットワーク屋の感覚で言うと、 > **「暗号化」はセキュリティ機能、** > > **「閉域」は接続経路の性質。** この違いを押さえると理解しやすいです。

そうは言っても、物理的な伝送網は同じだよ。それでどうして閉域網なのか？

その通りです。 実は**「閉域網だから物理的に別の線が引かれている」わけではありません。** 現代のIP-VPNやMPLS閉域網の多くは、ユーザーから見れば閉域ですが、通信事業者の設備の中では他社の通信と同じ光ファイバーや同じルータを共有しています。 【1-31d4f2】【2-f1eb06】 だから厳密には、 > 閉域網＝物理的に閉じている ではなく、 > 閉域網＝到達性（Reachability）が閉じている と考える方が本質に近いです。 【1-31d4f2】 例えばNTTのIP-VPNを考えると、 ``` 企業A \ MPLS網 / 企業B ``` 物理的には同じMPLSバックボーンを流れています。 しかし、 - 企業Aのルートテーブル - 企業Bのルートテーブル は分離されていて、 企業Aから企業BのIPアドレスへパケットを送っても到達しません。 事業者がVRF（Virtual Routing and Forwarding）等で論理的に分離しているからです。 つまり、 **道路は同じだが、出口が無い。** という状態です。 --- 極端なことを言うと、 マンションと似ています。 - 建物（光ファイバー）は共通 - エレベータも共通 - 廊下も共通 でも、 - 他人の部屋には入れない - 鍵が無ければ到達できない ですよね。 ネットワークでは、 - 光ファイバー - 伝送装置 - MPLS網 を共有しながら、 ルーティング情報だけを分離しているわけです。 --- だからネットワーク技術者の中には、 > 閉域網はセキュリティではなく経路制御である という言い方をする人もいます。 実際、閉域網であっても、 - 誤設定 - 内部侵害 - キャリア設備の障害 のリスクはあります。 そのため最近は - 閉域網 ＋ - IPsec暗号化 ＋ - Zero Trust を重ねて使うことが多いです。 【3-89185f】【1-31d4f2】 ユーザー様が関わられているGWXの閉域SIMのケースも、多くの場合は - 同じ携帯電話基地局 - 同じキャリア網 を使っていますが、 専用APNやルーティング制御によって 「そのSIMからはGWXの特定ネットワーク以外へ到達できない」 ようにしているため閉域と呼んでいます。社内資料でも「GWX閉域網（SIM）」として扱われています。 【4-378dd2】【5-84d2de】 ですので、 **「物理的に独立しているから閉域」ではなく、** **「許可された経路以外に到達できないから閉域」** という理解が、現在の通信業界では最も実態に近いと思います。

ゼロトラスト　とはどんな仕組みか

検索しています...

前の「閉域網」との話の流れでいうと、ゼロトラストは非常に分かりやすいです。 **閉域網は「ネットワークを信頼する」考え方** **ゼロトラストは「ネットワークを信頼しない」考え方** です。 【1-d9879f】【2-a1c6bc】【3-7619b0】 例えば従来の企業ネットワークでは、 ``` 社外 ←→ FW/VPN ←→ 社内LAN ``` となっていて、 - 社外 = 危険 - 社内 = 安全 と考えます。 一度VPNで社内に入れば、 「社員だから大丈夫」 として社内システムにかなり自由にアクセスできます。 【4-98f559】【5-896593】 --- しかし現在は - クラウド利用 - テレワーク - BYOD - サプライチェーン接続 が増え、 「社内だから安全」 という前提が崩れました。 【2-a1c6bc】【4-98f559】 そこでゼロトラストでは > Never Trust, Always Verify > > （何も信用せず、常に検証する） という考えを採用します。 【5-896593】【3-7619b0】 --- 例えば社員Aが経理システムへアクセスする場合 昔 ``` VPN接続成功 ↓ 社内だからOK ↓ 経理システム利用 ``` ゼロトラスト ``` 社員本人か？ ↓ MFA認証済みか？ ↓ 会社PCか？ ↓ ウイルス感染していないか？ ↓ 経理担当者か？ ↓ 経理システムだけアクセス許可 ``` 毎回チェックします。 【1-d9879f】【2-a1c6bc】 --- さらに重要なのは **最小権限（Least Privilege）** です。 例えば営業部長でも ``` 営業システム ○ 会計システム × 人事システム × ``` となります。 「社員だから全部見れる」 ではなく 「業務上必要なものだけ見れる」 です。 【2-a1c6bc】【3-7619b0】 --- 株本さんが扱われている通信領域で例えると、 ### MPLS閉域網 ``` SIM ↓ 閉域APN ↓ 企業ネットワーク ``` 到達先を閉じている。 --- ### ゼロトラスト 仮に閉域網の中にいても ``` 端末認証 ＋ 利用者認証 ＋ 権限確認 ＋ 端末状態確認 ``` を実施する。 つまり **「閉域網だから信用する」のではなく** **「毎回本人確認する」** という思想です。 【1-d9879f】【3-7619b0】 --- 実はFEAIの資料でも、[20251216_NTT_Accrete_November_Japan_Generic_Isidore_日本語版](https://accreteinc.sharepoint.com/sites/msteams_f62d98_863424/_layouts/15/Doc.aspx?sourcedoc=%7B07D1A8ED-8CE1-48C3-8245-A8763DF0ED61%7D&file=20251216_NTT_Accrete_November_Japan_Generic_Isidore_%E6%97%A5%E6%9C%AC%E8%AA%9E%E7%89%88.pptx&action=edit&mobileredirect=true&DefaultItemOpen=1&EntityRepresentationId=6d99af19-625c-4869-a817-31dbc9b2e948)や[20260806_発表用_統合版資料_FJPTA2608001](https://accreteinc.sharepoint.com/sites/msteams_f62d98_863424-2/_layouts/15/Doc.aspx?sourcedoc=%7BFCF1AD5C-9A11-4A3E-AFAD-E10C328D5686%7D&file=20260806_%E7%99%BA%E8%A1%A8%E7%94%A8_%E7%B5%B1%E5%90%88%E7%89%88%E8%B3%87%E6%96%99_FJPTA2608001.pptx&action=edit&mobileredirect=true&DefaultItemOpen=1&EntityRepresentationId=6d0c897f-2856-4d68-a735-4e22e7b071c0)には、 - ゼロトラスト認証 - ラテラルムーブメント（侵入後の横展開）の防止 - 信頼領域と非信頼領域の分離 といった考え方が記載されています。 【6-fd14e1】【7-1286d2】 要するに、 **閉域網は「門を閉じる」技術** **ゼロトラストは「門の中にいても全員に身分証を見せてもらう」技術** と考えると分かりやすいです。実際は両方を併用するケースが増えています。閉域網で外からの侵入を減らし、その上でゼロトラストで内部も常時検証するという形です。 【1-d9879f】【2-a1c6bc】