ランサムウェア攻撃が高度化する昨今、すべての侵入を検知して完全に防ぐことは難しい。侵入を前提に被害拡大を防ぐ「封じ込め」が不可欠となる中、IllumioとIIJグローバルソリューションズは「リスクの可視化とセグメンテーション」を実践、体験できるハンズオンセミナーを開催した。
「デモ以上、PoC未満」の体験型セミナー
2026年4月、IllumioとIIJグローバルソリューションズは共同で、マイクロセグメンテーションのハンズオンセミナー「Illumiverse Labs: Breach Containment」を開催した。同イベントの会場になったのは、IIJグローバルソリューションズが運営する施設「ソリューションラボ」である。受講者自身がセキュリティ製品を操作して、「デモ以上、PoC未満」の形で体験できる点が特徴になっている。参加者に事前にニーズをヒアリングした上でシナリオを設計する双方向型のプログラムを提供しており、2025年度は30社以上の企業が利用した。
IIJグローバルソリューションズの大畑浩史氏は「仕様や機能の話ではなく、お客さまが求めている価値をここで実際に体感していただくこと。それがソリューションラボを設置した目的です」と話す。
侵入は「いつか」ではなく「必ず」起きる
高止まりするランサムウェア被害の現実。セミナーの冒頭、Illumioの古川依紀氏はランサムウェア被害の現況を数字で示した。2025年の被害報告件数は226件に上り、その復旧総額が「1000万円以上」に上がった組織は全体の5割を超え、「1カ月未満」で復旧できた組織は5割強にとどまるなど、被害の長期化、高額化が続いている（同社調べ）。
また、同氏は国内医療メーカーのランサムウェア攻撃による被害事例を挙げた。当該企業の調査によれば、攻撃者はグループ内のネットワーク機器を経由することでデータセンターのネットワークに侵入して、複数のサーバのデータを暗号化した。この攻撃によって製品の受注・出荷が停止したほか、患者や従業員などの個人情報約191万件が漏えいしたおそれがあるとしている。
「この事例ではEDRを導入済みだったにもかかわらず、攻撃者の手法が巧妙かつ高度であったため検知できなかったと言われています。このようにセキュリティ対策を一定レベルで実施していても、侵入されてしまうのが現実です」
こうした被害の深刻化には、攻撃の加速も大きく影響している。クラウドストライクの「2025年版グローバル脅威レポート」によると、サイバー犯罪のブレイクアウトタイムは2025年にはわずか29分に短縮され、最速はわずか27秒だったという。
「AI時代、攻撃の高度化・自動化によって、侵入はかつてとは比較にならない速度で進行します。もはや問われるのは『すべてを時間内に検知できるか』ではなく、『侵入後にどこで止められるか』です」
防御側がどれだけ投資しても侵入を100％防ぐことはできない。それを前提に、仮に感染しても全滅しないサイバーレジリエンスを実現するためには、侵入後の被害拡大を封じ込める仕組みが不可欠といえる。
可視化と封じ込めの両輪を実現するIllumio Breach Containment Platform
検知だけに頼らない封じ込めの仕組みとしてIllumioが提供するのが「Illumio Breach Containment Platform」だ。侵入前後を問わず一貫したカバレッジを提供する「Illumio Insights」と「Illumio Segmentation」の2つの製品で構成している。
Illumio InsightsはAIセキュリティグラフを核としたハイブリッド環境対応のDetection & Response（D+R）ソリューションだ。クラウドのフローログやファイアウォールログ、エージェントからのデータをAI/MLがリアルタイムで分類・ラベリングし、リスクの高い通信、外部脅威インテリジェンスDBと照合した危険なIPとの通信、地政学的リスクの観点からの国別トラフィックなどをInsights Hubダッシュボードで多角的に可視化する。IaaSであればAPI連携で既存環境を変更せずに数分で接続でき、エージェントレスで数千ワークロードを分散で処理できる。疑わしいリソースを発見した場合は「Quarantine」（隔離）機能を用いて環境からワンクリックで隔離も可能だ。
Illumio Segmentationは、ハイブリッド環境において統一されたポリシーを軸に展開し、ラテラルムーブメントを封じ込める機能だ。アプリケーション、ロケーション、ロール、環境の4種類のラベルでワークロードを動的にグループ化する。IPアドレスが変わってもセキュリティポリシーが自動追随するため、ファイアウォールやACLの手動更新が不要になる。データセンターやエンドポイントに導入するエージェントはユーザースペースで動作してカーネルに一切触れないため、OSの再起動も通信の遮断も不要で導入できる。仮にエージェントに障害が発生しても既存のプロビジョニング済みポリシーに従って通信を継続可能だ。
前半ハンズオン：3つのシナリオでリスクを可視化
ハンズオンは、これら2つの製品を体験する構成だ。前半ではIllumio Insightsを使ったリスクの可視化を実践した。架空企業のハイブリッドクラウド環境で予期しない異常が次々と浮かび上がるシナリオの下、参加者はCISOチームの一員として調査に当たった。
リモートアクセスツール「RustDesk」への不審な通信から悪意のあるIPを特定、RDPトラフィックの急増を検知しポリシーの違反を発見、社外への異常なアウトバウンド通信からデータ窃取の兆候を読み取るという、3つのシナリオで構成。「エントリポイントになった不審なリモートアクセス→RDPを悪用したラテラルムーブメント→異常なアウトバウンドによるデータ窃取」という攻撃の全体像を、Illumio Insightsの画面でひとつながりのストーリーとして追体験する内容だ。
「本来は止めておくべきサービスが許可された状態になっていることがあります。セキュリティに自信のある企業でも、実際のPoC環境でこうした弱点が見つかることは珍しくありません」
後半ハンズオン：ポリシーでラテラルムーブメントを封じ込める
ハンズオン後半はセグメンテーション機能の実践に移った。「ランサムウェアのリスク軽減」ではTelnet、RDP、SMBなどリスクの高いプロトコルを一括ブロックするポリシーを、「環境の分離」では開発環境から本番環境へのラテラルムーブメントを防ぐポリシーをそれぞれ構築。プロビジョニング前に影響範囲をマップ上で確認できるドラフトビュー機能によって安心して適用判断ができる内容になっていた。
「シンプルなルール1つで、ハイブリッド環境全体にわたるリスクの高いサービスを止められます。ここから着手することで、ランサムウェアの拡散経路を一気に断ち切ります」
リスクの可視化と封じ込めを涵養する今回のハンズオンは、「どう侵入を検知するか」ではなく「検知をすり抜けた攻撃をどう止めるか」という問いに、参加者が自ら手を動かしながら向き合う機会になった。少人数制で講師とインタラクティブに会話をしながら実際の環境に触れられるため、製品の特徴を短時間で把握できることもハンズオンセミナーの魅力だ。
Illumioは今後も同ワークショップを開催する予定だ。次回以降のスケジュールについては以下のサイトで公開している。 https://www.illumio.com/illumiverse-labs
※本記事は、Illumio Japanからの寄稿記事を再構成したものです。
