ゼロトラスト時代におけるIPアドレス制限の役割：多層防御の一要素として再評価

ゼロトラストセキュリティモデルの基本原則

ゼロトラストセキュリティモデルは、「決して信頼せず、常に確認せよ」という考え方に基づいています。

従来は社内ネットワーク内部を安全とみなして信頼する境界型防御が主流でしたが、ゼロトラストではネットワークの内外を問わず全てのユーザー・デバイスを潜在的脅威とみなし、アクセスのたびに厳格な認証と検証を行います。

このモデルでは一度認証されたからといって永続的に信頼されることはなく、アクセス中も継続的にユーザーやデバイスの状態を監視・検証してセッションを管理します。

さらに、ユーザーが利用できるリソースや権限は必要最小限に絞る（最小権限アクセス）のが特徴で、万が一侵害されても被害範囲を局限できます。

こうしたゼロトラストの原則（「信頼しない前提」「常に検証」「最小権限」）により、組織内外のあらゆるアクセスに目を光らせることでセキュリティを強化するのが狙いです。

⇒【ロリポップ！固定IPアクセス】月額490円、すぐに使えて最大2ヶ月間無料！

多層防御におけるゼロトラストとIPアドレス制限の関係

サイバー攻撃が巧妙化する現代では、一つの対策だけで全ての脅威を防ぐことは困難です。

そこで注目されるのが多層防御（Defense in Depth）とゼロトラストの組み合わせです。

多層防御とは文字通り複数のセキュリティ対策を層状に重ねて段階的に防御する考え方で、一つの層が突破されても他の層で脅威を検知・遮断できるようにします。

一方、ゼロトラストは前述の通り「あらゆるアクセスを信頼しない」原則に基づくモデルです。

両者は相互補完的な関係にあり、多層防御で防御層を増やしつつゼロトラストで各アクセスごとの検証を徹底することで、より強固なセキュリティ態勢を構築できます。

こうした多層防御の一要素として、IPアドレス制限（IPホワイトリスト）やジオブロック（地理的制限）といった「接続元に基づくアクセス制御」が再評価されています。

ゼロトラストでは「特定のネットワークだからといって暗黙の信頼を置かない」ことが強調されるため、「ゼロトラストではIPアドレスによる制限は無意味ではないか？」と思われがちです。

しかしそれは誤解であり、米国標準技術研究所（NIST）のゼロトラストアーキテクチャでもアクセス制御の判断材料の一つとして“場所（ネットワーク位置やジオロケーション）”が挙げられていることが示す通り、IPアドレス情報も有用なコンテキストの一つです。

要は、「IPアドレスだけ」で固定的に許可・拒否を決めるのではなく、デバイスやユーザー情報・認証状況など他の要素と組み合わせて動的にアクセス制御することが望ましいということです。

適切に用いれば、IP制限はゼロトラスト環境でも有効な追加の防御層となり得ます。

実際、ホワイトリスト型のアクセス制御を組み込むことでリソースへのアクセス元を厳しく絞り込み、攻撃対象（攻撃面）の露出を減らしつつ、不正な接続試行を検知・ブロックするバリアを追加できます。

このように「信頼しない」ゼロトラストと、IP制限による防御層強化は両立可能であり、むしろ組み合わせることでより堅牢な防御態勢を築けるのです。

またジオブロック（地理的なアクセス制限）も多層防御の一環として有効です。

例えば業務上利用者が日本国内に限られるサービスであれば、海外からのアクセスを一律ブロックするといった設定が考えられます。

地域ベースでアクセスを許可するジオブロックにより、特に海外から仕掛けられる大量の攻撃やDDoS攻撃のリスクを大幅に軽減できます。

ゼロトラストではユーザーや端末の認証・端末状態チェック等に注力しますが、その前段階で不要な地域からの通信自体を遮断してしまえば、そもそも攻撃の土俵に乗らせない効果があります。

IPホワイトリストやジオブロックは、このようにゼロトラストの“常に検証”プロセスの前提条件を絞り込む役割を果たし、全体のリスク低減に寄与します。

⇒【ロリポップ！固定IPアクセス】月額490円、すぐに使えて最大2ヶ月間無料！

IPアドレス制限（IPホワイトリスト）のメリット

IPアドレス制限とは、文字通り特定のIPアドレスからのアクセスのみを許可し、それ以外は遮断するアクセス制御手法です。

このシンプルな仕組みにより、不特定多数の未知のIPからのアクセスを広くブロックできる点が大きなメリットです。

具体的な利点を整理すると:

外部からの不正アクセスや攻撃の遮断あらかじめ許可したIP以外はサービスやシステムに接続できなくするため、パスワードクラックや脆弱性スキャンなどの攻撃を大多数水際で防げます。実際、IPアドレス制限や地理的制限を導入することで、海外を含めた外部からの不正アクセスを遮断し情報漏えいを防止できるとされています。ゼロトラスト環境でも、認証や端末検証の前に未知のIPからのリクエスト自体を拒否できれば、攻撃の予備段階を大幅に減らせます。
攻撃対象領域（アタックサーフェス）の縮小許可された限られたIPからしかアクセスが来ない状況を作ることで、システムが直面するリスクの表面積を小さくできます。例えば社内システムを社内ネットワークの固定IPからのアクセスに限定すれば、攻撃者がそのIPを利用しない限り侵入は困難になります。万一認証情報が漏洩した場合でも、攻撃者が許可IPアドレスから攻撃を仕掛けられなければ被害を防げる可能性があります。まさに「知らない人は玄関に近づくことすらできない」状態を作るイメージで、他のセキュリティ層と合わせて侵入リスクを多角的に抑制します。
異常アクセスの検知が容易通常アクセス元が限定されることで、ログ監視において例外的なアクセスを発見しやすくなります。もし許可リストにないIPから接続を試みているログがあれば即座に不審と判断でき、追加の検証やブロック対応に繋げられます。ゼロトラストでは全アクセスのログ分析が推奨されますが、IP制限によってノイズとなる不要アクセスをそもそも除去できるため、セキュリティ担当者の監視負担も軽減できます。

一方で、IP制限には管理コストや柔軟性の課題もあります。IPアドレスが動的に変わる環境では許可リストの維持が難しく、正当なユーザーでもIPが変わればブロックされてしまう恐れがあります。

また拠点やユーザーが増えると許可するIPも増え、管理が煩雑になる点もデメリットです。

そのため現実には、ファイアウォールやVPN、多要素認証（MFA）など他の対策と組み合わせ、「IPで弾けるところは弾き、それ以外は認証強化で対応」といったバランスを取ることが重要だと指摘されています。

ゼロトラスト環境でもIP制限を多層防御の一層として取り入れる際は、こうした管理面の工夫（定期的なルール見直しや自動化ツール活用など）も検討すると良いでしょう。

⇒【ロリポップ！固定IPアクセス】月額490円、すぐに使えて最大2ヶ月間無料！

ゼロトラスト時代におけるIP制限活用の実例

実務において、IPアドレス制限は様々なシーンで活用されています。ゼロトラストの考え方を踏まえつつ、代表的なユースケースをいくつか見てみましょう。

クラウド/SaaSサービスでのアクセス制御 Microsoft 365やSalesforceをはじめ、多くのクラウドサービスでは管理コンソールなどにアクセス可能なIPアドレスを制限する機能を提供しています。例えばSaaS側のセキュリティ設定で自社オフィスのグローバルIPや専用VPNのIP以外からのアクセスを禁止すれば、従業員の認証情報が漏れてしまった場合でも全く関係ない第三者からのログイン試行を遮断できます。ゼロトラストではクラウド利用が前提となりますが、サービス側にこのようなIP制限（IPホワイトリスト）機能があればぜひ活用すべきです。サービス毎に設定方法が異なり管理工数は増えますが、アカウント認証+IP制限の二段構えでセキュリティ強度を上げられます。特に人事労務・会計など機密性の高いデータを扱うSaaSでは、不特定のネットからアクセスできないようIPフィルタリングを掛けておくと安心です。
社内システムへのリモートアクセス制御社内の業務システムや開発用サーバーをインターネット経由で使えるようにする場合も、接続元ネットワークを限定するIP制限が活躍します。従来は「社内ネットワークからしかアクセスできないようにする（社内の固定IPのみ許可）」ことが基本でしたが、テレワークの普及により自宅や外出先から社内システムに接続するニーズが増えました。この場合、単にアクセスを全開放するとセキュリティが低下してしまいます。そこで手段として用いられるのがVPN＋固定IPアドレスの組み合わせです。社員や関係者にはVPNサービスを介して会社指定の固定IPアドレスを割り当て、そのIPからのみ社内システムに入れるようにするのです。例えば当社の「ロリポップ！固定IPアクセス」のようなサービスを使えば、自宅・カフェ・出張先など場所を問わず常に同じ固定IPから社内ネットワークに安全接続でき、サーバー側ではその固定IP以外ブロックするだけでリモートアクセス制御が実現します。社内システムや社内向けWebサイトをインターネットに公開する際は、このようにVPN経由の固定IPアクセスに限定することでゼロトラスト的な「常に検証」を担保しつつ、ネットワーク面でも入り口を絞ることができます。
退職者・外部委託先へのアクセス制限組織から離れた人間のアクセスを確実に遮断することも重要です。退職者についてはアカウント無効化は当然ですが、併せてVPNや固定IPの利用権限も直ちに撤回し、以前許可していたIPからでも入れないようにします。また、外部委託のベンダーやパートナー企業にシステム管理を委ねている場合、そのアクセス元を厳格に管理する必要があります。典型的には「ベンダー社内ネットワークの固定IPからのみ接続許可」とし、それ以外の場所からはたとえベンダー担当者でも入れないように設定します。もしベンダー側の都合で社外からアクセスせざるを得ない場合でも、安易にIP制限を外すべきではありません。実際にあった事例では、ベンダー社内からのみ許可していたサーバー管理用RDPアクセスを一時的に社外PCからも可能にしてしまった結果、固定IPを持たない環境からのアクセスにIP制限が掛からずインターネット上に開放されてしまい、第三者による総当たり攻撃で侵入を許してしまったケースがあります。このようなリスクを防ぐには、外部委託先にも固定IP経由でアクセスしてもらう仕組みを用意することが効果的です。先述のVPNサービスなどを活用すれば、委託先スタッフにも専用の固定IPを割り当て、そこからのみ自社システムに入れるよう制限できます。契約期間終了時にはそのIPをリストから外すだけで確実に遮断できます。ゼロトラストの観点でも、社外協力者であってもネットワーク的な接続元制限＋ID管理を徹底することで、不必要な権限や経路を残さないようにできるわけです。

⇒【ロリポップ！固定IPアクセス】月額490円、すぐに使えて最大2ヶ月間無料！