サイバーセキュリティの多重防御とは？入口対策・内部対策・出口対策を解説
Section titled “サイバーセキュリティの多重防御とは？入口対策・内部対策・出口対策を解説”多重防御とは
Section titled “多重防御とは”多重防御（Defense in Depth） とは、単一のセキュリティ対策に依存せず、異なる場所・方法で複数の防御策を組み合わせる考え方です。どれか一つの防御が突破されても、別の防御で攻撃を検知・阻止し、被害を最小限に抑えます。
サイバー攻撃を完全に防ぐことは困難です。たとえば、不正なメールを入口でブロックできなくても、端末上の異常な実行を検知し、社内の別システムへの移動を制限し、さらに外部への情報送信を遮断できれば、被害を抑えられます。
日本では、多重防御を入口対策・内部対策・出口対策の3つに分けて説明することがあります。これは防御を考えるための分かりやすい整理方法であり、すべての対策が必ず1つの区分だけに属するわけではありません。
| 区分 | 主な目的 | 代表的な対策 |
|---|---|---|
| 入口対策 | 不正侵入やマルウェア感染を防ぐ | ファイアウォール、WAF、IPS、メールセキュリティ、MFA、脆弱性管理 |
| 内部対策 | 侵入後の権限昇格、横展開、被害拡大を防ぐ | EDR、ネットワーク分離、最小権限、PAM、ログ監視 |
| 出口対策 | 不正な外部通信、機密情報の流出を防ぐ | Egressフィルタリング、DNSフィルタリング、プロキシ、DLP |
入口対策：不正侵入・感染を防ぐ
Section titled “入口対策：不正侵入・感染を防ぐ”入口対策は、攻撃者がネットワーク、端末、アカウント、公開サービスを通じて組織に侵入することを防ぐための対策です。
想定される攻撃と具体的な対策
Section titled “想定される攻撃と具体的な対策”| 攻撃・侵入経路 | どのような攻撃か | 具体的な対策 |
|---|---|---|
| フィッシング | 偽のメールやWebサイトからID・パスワードを盗む | メールフィルタリング、URL検査、フィッシング耐性のあるMFA（パスキー／FIDO2など）、利用者教育 |
| マルウェア添付メール | 添付ファイルやリンクから不正なプログラムを実行させる | 添付ファイル検査、サンドボックス、アンチマルウェア、マクロ制限 |
| 公開サーバーの脆弱性攻撃 | VPN、Webサーバー、アプリケーションなどの弱点を悪用する | パッチ適用、脆弱性スキャン、不要な公開ポートの閉鎖、WAF、IPS |
| Webアプリケーション攻撃 | SQLインジェクションなどを使ってデータやシステムを狙う | 入力値の適切な処理、パラメータ化クエリ、認可設計、WAF、セキュリティテスト |
| パスワード攻撃 | 漏えいした認証情報の使い回しや総当たりでログインする | MFA、パスキー、レート制限、漏えい認証情報の検知、ログイン監視 |
| 不正なリモートアクセス | VPN・RDP・管理画面などを乗っ取って侵入する | 公開範囲の縮小、強固な認証、端末状態の検証、アクセス制御、管理インターフェースの非公開化 |
主なセキュリティ技術
Section titled “主なセキュリティ技術”- ファイアウォール（FW）：IPアドレス、ポート、通信状態などに基づき通信を制御する。
- WAF（Web Application Firewall）：Webアプリケーションを狙う不正なHTTP通信を検査・遮断する。ただし、安全なアプリケーション実装の代わりにはならない。
- IDS／IPS：不審な通信を検知する（IDS）、または検知して遮断する（IPS）。
- メールセキュリティ：迷惑メール、危険なURL、悪意のある添付ファイルを検査する。
- MFA／パスキー：認証情報の窃取による不正ログインのリスクを低減する。
- 脆弱性管理：資産の把握、設定診断、パッチ適用を継続的に実施する。
ポイント： ファイアウォールを設置しただけでは、正規のWeb通信や盗まれた認証情報を使う攻撃は十分に防げません。公開サービス・認証・端末など、それぞれの侵入経路に応じた防御が必要です。
内部対策：侵入後の被害拡大を防ぐ
Section titled “内部対策：侵入後の被害拡大を防ぐ”内部対策は、侵入やマルウェア感染が起きることを前提として、攻撃者の行動を検知・制限し、重要な情報やシステムに到達させないための対策です。
想定される攻撃と具体的な対策
Section titled “想定される攻撃と具体的な対策”| 攻撃・不正活動 | どのような攻撃か | 具体的な対策 |
|---|---|---|
| 横展開（Lateral Movement） | 侵害された端末から別の端末やサーバーへ移動する | ネットワークセグメンテーション、内部FW、端末間通信の制限、EDR |
| 権限昇格 | 一般ユーザーから管理者権限を奪う | 最小権限、PAM、管理者アカウントの分離、脆弱性対策 |
| 認証情報の窃取 | 端末内の資格情報や認証トークンを盗む | EDR、認証情報保護、管理者権限の制限、短寿命の資格情報 |
| ランサムウェアの拡散 | 共有フォルダーや他のサーバーへ侵入し暗号化する | 共有アクセス制御、ネットワーク分離、EDR、変更不能または隔離されたバックアップ |
| 内部不正 | 正規の権限を悪用して情報を閲覧・持ち出す | RBAC／ABAC、操作ログ、アクセスレビュー、重要操作の承認 |
| ログ削除・防御機能の停止 | 攻撃の痕跡を消したりセキュリティ製品を無効化したりする | ログの集中保管、改ざん防止、EDRの保護設定、異常監視 |
主なセキュリティ技術
Section titled “主なセキュリティ技術”- EDR（Endpoint Detection and Response）：端末やサーバー上の不審な挙動を検知し、調査や端末隔離などに活用する。
- ネットワークセグメンテーション：端末、サーバー、管理系、重要データ領域などを分離し、不要な相互通信を制限する。
- 最小権限・PAM（特権アクセス管理）：ユーザーとサービスの権限を必要最小限に抑え、管理者権限を厳格に管理する。
- SIEM（Security Information and Event Management）：認証、端末、ネットワークなどのログを集約・相関分析し、異常を検知する。
- バックアップと復旧訓練：暗号化・破壊されたシステムを復旧する。バックアップ自体へのアクセスを制限し、復元可能性を定期的に確認する。
ポイント： 内部ネットワークだから安全だと判断してはいけません。侵入済みの端末や乗っ取られた正規アカウントからのアクセスも検証する必要があります。
出口対策：不正通信・情報流出を防ぐ
Section titled “出口対策：不正通信・情報流出を防ぐ”出口対策は、侵害された端末やアカウントから攻撃者の外部基盤へ通信する行為を検知・制限し、情報流出などの被害を抑える対策です。
想定される攻撃と具体的な対策
Section titled “想定される攻撃と具体的な対策”| 攻撃・不正活動 | どのような攻撃か | 具体的な対策 |
|---|---|---|
| C2通信 | マルウェアが攻撃者の指令サーバー（Command and Control）と通信する | DNSフィルタリング、プロキシ、宛先制御、ネットワーク検知 |
| データの外部送信 | 顧客情報や機密文書を外部サーバーへアップロードする | DLP、送信先制限、アップロード制御、転送量の異常検知 |
| DNSトンネリング | DNS問い合わせに情報を埋め込んで持ち出す | 社内承認DNSへの集約、DNSログ監視、不審な問い合わせの検知・遮断 |
| 個人用クラウドへの持ち出し | 私用ストレージや未承認SaaSへファイルをアップロードする | CASB／SSE、DLP、SaaS利用制御、監査ログ |
| 暗号化通信を使う流出 | HTTPSなど通常の暗号化通信に紛れて情報を送る | プロキシ・SWG、通信先や挙動の分析、必要に応じた適法なTLS検査、端末・クラウド側DLP |
| メール・外部媒体経由の持ち出し | 個人メールやUSBメモリを通じてデータを持ち出す | メールDLP、外部共有の制御、USB制御、データ分類とアクセス制限 |
主なセキュリティ技術
Section titled “主なセキュリティ技術”- Egressフィルタリング：ネットワークから外部への通信を、必要な宛先・ポート・プロトコルに制限する。
- DNSフィルタリング：悪意のあるドメインへの名前解決をブロックする。ただし、IPアドレス直指定や許可済みサービスの悪用には別の対策が必要。
- プロキシ／SWG（Secure Web Gateway）：Webアクセスを集約し、URL・宛先・コンテンツなどに基づいて制御する。
- DLP（Data Loss Prevention）：機密情報を識別し、メール、Web、端末、クラウドなどからの不適切な持ち出しを検知・制限する。
- CASB／SSE：クラウドサービスへのアクセスを可視化・制御し、データ保護を支援する。
ポイント： 出口対策だけで情報漏えいを完全に防ぐことはできません。許可されたクラウドサービスや暗号化通信を悪用した流出もあるため、データ自体のアクセス制御や監視と組み合わせます。
攻撃の流れで見る多重防御
Section titled “攻撃の流れで見る多重防御”たとえばランサムウェア攻撃では、次のように複数の防御策を組み合わせます。
| 攻撃の段階 | 攻撃者の行動例 | 対応する防御 |
|---|---|---|
| 1. 初期侵入 | フィッシングメールのリンクから認証情報を盗む | メールセキュリティ、フィッシング耐性のあるMFA |
| 2. 実行・感染 | 不正なプログラムを端末で動かす | アンチマルウェア、EDR、実行制御 |
| 3. 横展開 | 別のサーバーへ侵入し管理者権限を得る | ネットワーク分離、最小権限、PAM、ログ監視 |
| 4. 外部通信・情報流出 | C2へ接続し機密データを送る | DNS・送信通信制御、SWG、DLP |
| 5. 暗号化・業務停止 | ファイルを暗号化しサービスを停止させる | EDRによる隔離、バックアップ、復旧手順と訓練 |
重要なのは、入口で失敗しても内部と出口で防ぎ、さらに被害から復旧できるようにすることです。
多重防御・多層防御・ゼロトラストの違い
Section titled “多重防御・多層防御・ゼロトラストの違い”| 概念 | 考え方 |
|---|---|
| 多重防御（Defense in Depth） | 異なる防御手段を組み合わせ、単一の防御の失敗に備える。 |
| 多層防御 | 防御を複数の層に配置する考え方。日本語では多重防御とほぼ同じ意味で用いられることも多い。 |
| ゼロトラスト（Zero Trust） | ネットワークの内外という位置だけで信用せず、アクセスごとにID、端末、権限、状況などを評価する考え方。 |
多重防御とゼロトラストは対立するものではありません。ゼロトラストに基づく認証・認可やアクセス制御も、多重防御を構成する要素になります。
導入時の優先順位
Section titled “導入時の優先順位”- 守る資産と攻撃経路を把握する：機密情報、公開システム、管理者アカウント、外部接続を洗い出す。
- 基本対策を徹底する：パッチ適用、MFA、不要な公開の停止、端末保護、バックアップを整える。
- 侵入後の拡大を抑える：最小権限、ネットワーク分離、管理者権限の保護を実施する。
- 外部通信と情報の持ち出しを制御する：DNS、Web、クラウド、メールなどの経路を評価する。
- 検知・対応・復旧を検証する：ログ監視、インシデント対応訓練、復旧テストで実効性を確認する。
特定の製品を導入すること自体が目的ではありません。攻撃が一つの防御を突破した場合、次に何が阻止・検知するのかを具体的に設計することが重要です。
多重防御は、侵入を防ぐ入口対策、侵入後の行動を制限する内部対策、外部への不正通信や流出を防ぐ出口対策を組み合わせる考え方です。加えて、継続的な監視、インシデント対応、バックアップ・復旧も不可欠です。
攻撃経路やシステム構成に合わせて複数の対策を重ね、ひとつの失敗が重大な被害につながらない設計を目指します。