IoTデバイス専用VLANによる内部感染拡大（ラテラルムーブメント）の阻止

IoT機器は「管理外の侵入口」になりやすい

スマート家電、ネットワークカメラ、センサーなどのIoTデバイスは、PCやサーバーに比べてOSのアップデートが頻繁に行われず、パスワード変更も疎かになりがちだ。攻撃者がこれらの脆弱なIoT機器を最初に乗っ取った後、同じネットワーク内にあるPCや NAS へ攻撃を広げる手法を**「ラテラルムーブメント（側方移動）」**と呼ぶ。

対策：マイクロセグメンテーションの導入

「信頼できない」IoTデバイスを、業務データが流れるメインネットワークから完全に切り離す。

1. VLANによる論理的な分離

• IoT専用VLANの作成: IoT機器（テレビ、照明、カメラ等）をすべて専用のVLAN（例：VLAN30）に集約する。
• 通信の方向制御:
  • IoT → メインネットワーク: 完全遮断。IoT機器からPCやサーバーへ通信を開始することを禁止する。
  • メインネットワーク → IoT: 特定の管理端末からのみアクセスを許可。
  • IoT → インターネット: 機器のクラウド機能に必要な通信のみ許可。

2. ルーター・ファイアウォールでのフィルタリング

L3スイッチや高性能ルーターのACL（アクセス制御リスト）を用いて、VLAN間のトラフィックを監視・制限する。

運用上のメリット

• 被害の局所化: 万が一、ネットワークカメラが乗っ取られても、攻撃者はそのVLANの外（PCや顧客データがある場所）へ出ることができない。
• 帯域の保護: IoT機器特有のブロードキャストトラフィックがメインネットワークに流れ込むのを防ぎ、通信の安定性を向上させる。
• ログの明確化: 「IoT VLANから外へ向かおうとした通信」をログに残すことで、不正な動きを即座に検知できる。

注意点

• 双方向通信が必要な機器: AirPlayやDLNA（スマホからテレビへ映像を飛ばすなど）を利用する場合、VLANを跨ぐための特別な設定（mDNSリフレクター等）が必要になるため、利便性とのトレードオフを検討する。