ネットワーク トラフィックを適切にセグメント化し、重要でない資産が重要な資産にアクセスするのを防ぐには、異なる物理インターフェイスまたは仮想インターフェイスを使用してトラフィックを論理的に分離することがベスト プラクティスです。
インターフェースの論理的分離が正しい答えである理由は何ですか?
安全なネットワークセグメンテーションを作成 -
ファイアウォールは、重要な資産と重要でない資産を別々のセキュリティ ゾーンに割り当てることができます。
セキュリティ ゾーン間のトラフィックは、セキュリティ ポリシーによって明示的に制御されます。
きめ細かなセキュリティ制御が可能 -
重要な資産 (データベース、金融システムなど) は、高セキュリティ ゾーンに配置できます。
重要でない資産 (ゲスト ネットワーク、IoT デバイスなど) は、セキュリティの低いゾーンに配置できます。
ネットワークパフォーマンスとコンプライアンスを強化 -
重要な資産と重要でない資産間のアクセスを制限することで攻撃対象領域を縮小します。
機密システムを分離することで、規制コンプライアンス (PCI-DSS、HIPAA など) を確保します。
他のオプションが間違っているのはなぜですか?
A . 送信元ゾーンと宛先ゾーンの両方に「any」を設定した拒否セキュリティ ポリシーを作成します。❌ 不正解です。これによりすべてのトラフィックがブロックされ、承認された通信も阻止されます。
B . 送信元ゾーンと宛先ゾーンの両方に「any」を設定した allow セキュリティ ポリシーを作成します。❌ 不正解です。これによりすべてのトラフィックが許可され、ネットワーク セグメンテーションの原則に違反します。
D . 単一のインターフェースを複数のセキュリティゾーンに割り当てます。❌
不正解です。単一のインターフェースは複数のゾーンに属することはできません。セキュリティ ポリシーを効果的に適用するには、論理的に分離する必要があります。
ファイアウォールの展開とセキュリティ機能に関する参照:
ファイアウォールの展開 - 重要な資産と重要でない資産が安全にセグメント化されていることを確認します。
セキュリティ ポリシー - 異なるセキュリティ ゾーン間のアクセス制御を適用します。
VPN 構成 - VPN アクセスがネットワーク セグメンテーションをバイパスしないようにします。
脅威の防止 - ネットワーク セグメント間の横方向の移動を防止します。
WildFire 統合 - ゾーン間のトラフィックをスキャンしてマルウェアの脅威を検出します。
ゼロ トラスト アーキテクチャ - 異なるセキュリティ ドメイン間の厳格なアクセス制御を実装します。
したがって、正しい答えは次のとおりです。
✅ C. 物理インターフェースと仮想インターフェースを論理的に分離して、インターフェースを通過するトラフィックを制御します。

他の方法では表示されない可能性のあるモノのインターネット (IoT) デバイスのトラフィックを監視するには、ネットワーク設計でファイアウォールを DHCP パスの外側に配置し、スイッチからファイアウォール上の TAP (テスト アクセス ポイント) インターフェイスへのトラフィック ミラーリングを使用する必要があります。
トラフィック ミラーリング: スイッチはトラフィックをファイアウォールの TAP インターフェイスにミラーリングし、ファイアウォールがデバイスの通信に直接干渉することなくトラフィックを検査できるようにします。
IoT監視：多くのIoTデバイスは軽量な通信プロトコルや非標準の通信方式を使用しているため、直接的な傍受は困難です。トラフィックミラーリングにより、動作分析、異常検知、脅威防御のためのパッシブ監視が可能になります。
ファイアウォールの配置: ファイアウォールを DHCP パスの外側に配置することで、監視によって IoT デバイスの通信が中断されることがなく、ネットワーク アクティビティの可視性も維持されます。
参照：
Palo Alto Networks IoT セキュリティのベストプラクティス
トラフィックミラーリングとTAPインターフェース