イングレスとエグレス：ネットワークにおける違いとは？

イングレスとは、定義されたネットワーク、デバイス、またはインターフェースに入るネットワークトラフィックのことです。エグレスとは、そこから出るトラフィックのことです。これらの用語は、測定対象地点に対する相対的なものであり、パケットに付随する永続的なラベルではありません。ラップトップからクラウドサービスへのリクエストは、ラップトップまたはオフィスネットワークからのエグレスであり、クラウドサービスへのイングレスです。ファイアウォールルールでは、クラウドプラットフォームは一般的に、イングレスをターゲットに入るパケット、エグレスをターゲットから出るパケットと定義します。イングレスおよびエグレストラフィックに関するGoogle Cloudの定義を参照してください。

入退出の概要

なぜ視点が重要なのか

従業員がウェブサイトを開く場面を想像してみてください。リクエストは従業員のノートパソコンと社内LANから送信されるため、これらのシステムからの送信となります。パケットが会社のゲートウェイに到達すると、LAN側のインターフェースからゲートウェイに入り、インターネット側のインターフェースから出ていきます。ウェブサイトのサーバーでは、同じリクエストが受信されます。応答は逆の経路をたどります。

そのため、ネットワークツールでは、単にイングレスとエグレスだけでなく、イン/アウト、受信/送信、またはRx/Txといった表示になる場合があります。ダッシュボードの「in」値は通常、測定対象の特定のインターフェースが受信したトラフィックを表し、必ずしも組織全体へのトラフィックを表すものではありません。コンテキストがホスト、インターフェース、サブネット、ファイアウォール、クラウド リソース、またはネットワーク全体のいずれであるかを常に確認してください。

出入りの監視方法

ネットワーク監視ソフトウェアは、インターフェースカウンタ、スループット、エラーと破棄、レイテンシ、およびデバイスの可用性を収集します。Simple Network Management Protocol (SNMP) は、一般的にサポートされているスイッチ、ルータ、ファイアウォール、およびサーバをポーリングします。IETFの Interfaces Group MIB 仕様 (RFC 2863)ifInOctetsは、受信および送信バイトのカウンタを定義していますifOutOctets。高速リンクでは、利用可能な場合は 64 ビットの高容量カウンタを使用してください。

SNMPはトラフィック量を表示しますが、どのアプリケーションやエンドポイントがトラフィックを生成したかは必ずしも表示されません。NetFlow、IPFIX、sFlow、またはjFlowを使用すると、送信元/宛先IPアドレス、ポート、プロトコル、およびフロー量を追加できます。パケットキャプチャはより詳細な情報を提供しますが、より多くのストレージ容量が必要となり、機密情報が漏洩する可能性があります。サポートされている場合はSNMPv3を優先し、監視アクセスを制限してください。

ネットワーク監視ツールを評価して

• SolarWinds Network Performance Monitorは、ネットワーク環境全体におけるインターフェースの使用状況、デバイスの状態、パス、アラート、およびパフォーマンスの傾向を追跡します。
• ManageEngine OpManagerは、デバイスとインターフェースの監視、トラフィックの可視化、検出、およびレポート機能を提供します。追加のフロー分析機能は、選択されたコンポーネントによって異なります。
• Paessler PRTGは、 SNMPインターフェース監視とフロープロトコル、および設定可能な帯域幅アラートを組み合わせた製品です。

デバイスのサポート状況、プロトコル、データ保持期間、アラート機能、導入方法、必要なインターフェース数やメトリック数を比較してください。SNMPは全体の帯域幅を示し、フローデータは帯域幅を消費している要素を特定するのに役立ちます。監視だけではトラフィックをブロックすることはできません。

データセキュリティにおける出口戦略

送信トラフィック自体は正常ですが、リスクとなるのは、機密ファイルが個人のメールアドレスに送信されたり、承認されていないクラウドサービスや疑わしい外部サーバーに送信されたりするなど、不正なデータ流出です。大量のアップロードだけでは、情報漏洩の証拠にはなりません。新しい送信先、異常なデータ量、見慣れないアプリやアカウント、営業時間外のアクティビティ、組織の基準値と異なる転送などを確認してください。

単一のダッシュボードに頼るのではなく、階層化されたコントロールを使用してください。

• ポリシーを設定する：承認済みのサービスを一覧表示し、機密データを分類し、共有ルールを説明する。
• 送信アクセスを制限する：ファイアウォールルール、セキュアなWebゲートウェイ、またはDNSフィルタリングを使用して、不要な宛先やサービスを制限します。
• ログを収集し、ファイアウォール、エンドポイント、ID、クラウド、ファイルアクセスに関するイベントを関連付け、通常のトラフィックからの重大な逸脱を警告します。
• 機密データを保護するため、データ損失防止（DLP）対策と、アップロード、コピー、リムーバブルメディアに関するエンドポイント制御を検討してください。正当な業務を妨げないよう、ポリシーをテストしてください。

SIEMツールが適合する場所

セキュリティ情報およびイベント管理（SIEM）プラットフォームは、ログを一元管理し、イベントを関連付けることで、アナリストがデータ盗難やアカウント侵害の可能性を調査できるようにします。ファイアウォールルール、DLP、エンドポイント保護を補完するものであり、それらに取って代わるものではありません。主な選択肢としては、SolarWinds Security Event Manager、Splunk Enterprise Security、ManageEngine Log360などがあります。現在の機能、ライセンス、データ量、および保持期間を比較してください。

簡単なチェックリスト

1. ホスト、インターフェース、サブネット、ファイアウォール、クラウド リソースなど、正確な境界を書き留めてください。
2. ツールが使用する「受信/送信」、「受信/送信」、「Rx/Tx」の意味を確認してください。
3. 方向、宛先、プロトコル、時間、および業務プロセス別のベースライントラフィック。
4. 役立つアラートを設定し、誰がそれらを調査するかを定義します。
5. 承認済みのワークフローと未承認の宛先の両方に対して、送信制限をテストします。

結論として、イングレスは「入力」、エグレスは「出力」を意味しますが、これはトラフィックが何に出入りしているかを特定した後で初めて意味を持ちます。インターフェースカウンタとフローデータを使用してパフォーマンスを把握し、送信アクティビティをID、エンドポイント、およびアプリケーションログと関連付けてセキュリティリスクを調査してください。