重要端末専用の「クリーンルームVLAN」構築：インターネット直接通信の禁止設定
外部との接触を断ち、純粋な「作業場」を作る
基幹DBサーバー、バックアップストレージ、あるいは機密性の高い開発用PCなど、本来「インターネット通信を必要としない」端末が外部と自由に通信できる状態は、マルウェアのダウンロードやC&Cサーバーへのデータ流出を許す致命的な隙となる。**「クリーンルームVLAN」**は、これらの重要端末を論理的な「密室」に隔離し、外部（インターネット）との直接通信をデフォルトで禁止する設計指針である。
構築のコア・コンセプト
「何でもできる」状態から制限するのではなく、「何もできない」状態から必要な通信だけをピンポイントで許可するポジティブリスト方式を採用する。
1. デフォルト・ドロップ（拒否）の設定
- ルーター/ファイアウォールの設定: *
クリーンルームVLAN→WAN（インターネット）：すべての通信を拒否（Deny All）。- これにより、端末が万が一感染しても、攻撃者のサーバーへ情報を送る（ビーコニング）ことが物理的に不可能になる。
2. 厳選された通信のみの「穴あけ」
業務上どうしても必要な通信がある場合のみ、以下の通り個別に許可（Allow）する。
- OS・ソフトのアップデート: 特定の更新サーバー（Microsoft Update、WSUS、特定の配布リポジトリ等）のドメイン・IPのみを許可。
- 時刻同期（NTP）: 内部のNTPサーバー、または信頼できる外部NTPへの通信のみ許可。
- バックアップ: 隔離されたバックアップ専用VLANへの一方向通信のみ許可。
3. ジャンプサーバー（踏み台）経由の管理
管理者がクリーンルーム内の端末を操作する場合、外部やメインネットワークから直接アクセスさせず、**「ジャンプサーバー」**を介した多要素認証（MFA）を必須とする。
運用のメリット
- ゼロデイ攻撃への耐性: 未知の脆弱性を突かれても、外部と通信できなければ被害は最小限に留まる。
- 「うっかり」の防止: 作業ミスによる外部へのデータ送信や、不要なソフトウェアのインストールを構造的に防げる。
- ログの純度向上: そもそも通信が少ないため、異常なトラフィック（内部スキャンなど）が発生した際に即座に検知できる。
注意点
- DNSの扱い: インターネットを遮断しても、DNS（名前解決）が外部へ抜けていると、DNSトンネリングによるデータ流出の可能性がある。内部DNSサーバーを参照させ、外部への直接問い合わせは遮断すべきである。
