デジタルビジネス時代の守りのIT投資「セキュリティ」

特集TOP

鉄壁の防御よりもリスク最小化と
ダメージコントロールを目指す最新の仮想化技術で実現する新たなセキュリティモデルへのアプローチ法

ヴイエムウェアのシニアセキュリティソリューションアーキテクトの楢原 盛史氏は、鉄壁の防御を行ってもマルウェアの侵入を100%防ぐことはできないと話す。もちろん、セキュリティレベルを向上するための施策を行うことは重要だが、100%防御できないのであれば、侵入された際のリスク最小化を前提とした、ダメージコントロールを行うことが重要なのだという。仮想化技術を利用することで、どのようなセキュリティが実現できるのかについて、楢原氏にうかがった。

サイバーセキュリティ経営ガイドラインの準拠が急務

WannaCryなどのランサムウェアが猛威を振るったのは記憶に新しいが、楢原氏は、WannaCryの事案でも、物理環境の端末(FAT)主体の環境と仮想環境(VDI)で大きな違いが出てきたと説明する。FATでは、多層防御などのセキュリティ対策を行っていても突破され、脆弱なガバナンスによってOSやアプリが感染し、事業継続できない状態となってしまったのに対し、VDIでは、徹底したガバナンスが実現し、更に最近注目されているインターネット分離や部門インターネット分離の実現も容易である。またVMware NSXによる仮想ホスト単位の分散ファイアウォールによるマイクロセグメンテーションにより、初期侵入が成立しても、いち早く初期侵入による不正アクセスを特定し、高速にリカバリすることができたのだという。既存のセキュリティツールを突破されてしまった場合、VDI環境では分散ファイアウォール(VMware NSX)で遮断してダメージコントロールすることができ、VDI化によってITガバナンスが徹底されていれば脆弱なOSにスムーズにパッチが当てられて感染被害をほとんどなくすことができ、感染しても数分から数十分で復旧できるというのだ。

また、楢原氏は、2014年にオーストラリア国防省が行った施策を例示し、ITガバナンスの重要性を説明する。オーストラリア国防省では、「利用アプリ/OSのホワイトリスト化の実施と特権IDの剥奪」「端末やアプリなどのIT資産管理と脆弱性管理、修復の徹底」「厳格なアクセス制限とID管理の徹底」を行い、サイバー攻撃からの防御力を85%強化したのだという。

さらに、楢原氏は、政府などが示唆するセキュリティガイドラインの重要性も示す。「サイバーセキュリティ基本法」や内閣官房の「企業経営の為のサイバーセキュリティの考え方」などが重要だが、特に、経済産業省(以下、経産省)の「サイバーセキュリティ経営ガイドライン」を活用する必要があり、中でも「付録B-2 技術対策の例」で示されている6つのポイントに準拠することが大きな鍵となるという。

サイバーセキュリティ経営ガイドラインの6つのポイントに対応する仮想化技術

ヴイエムウェアでは、S&J社との提携などによって、これらのポイントをカバーし、支援する仮想化技術を提供していると説明する楢原氏は、最近のセキュリティ事案を例に次のように話す。「経産省のサイバーセキュリティ経営ガイドラインは、法令ではありませんが、セキュリティ事案が発生してしまったときには、ガイドラインに準拠していたのかどうかが問われます。たとえば、資生堂の子会社のイプサが情報漏えい事案を発生させてしまったときも、親会社である資生堂の役員が謝罪しています。JTBでの個人情報流出の事件も、記憶に新しいでしょう。上場企業でも、経産省のサイバーセキュリティ経営ガイドラインを理解しているのは20%に満たないと思われるので、早急にガイドラインへの準拠を検討する必要があると思います」。

情報漏えい対策に威力を発揮するインターネット分離

標的型攻撃によって情報流出する際の入口経路と出口経路をヴイエムウェアが調べたところ、入口の93%がメール経由であるのに対し、出口の98%はWeb経由となってたという。このような状況の中、メール経由のマルウェアからの感染を防ぎ、Web経由での情報流出を防ぐためには、「インターネット分離」と「部門インターネット分離」が有効となると楢原氏は説明する。インターネット分離は、標的型攻撃が行われるメールとWebの利用環境を既存のFAT端末から分離し、分離環境を仮想デスクトップとして展開する手法だ。また、部門インターネット分離は、感染による被害を他部門に拡散させず、脅威を局所化するために、仮想デスクトップや仮想サーバ単位で分離環境を構築するものだ。基本的には、FAT環境では、メールやWeb経由で到達したウイルスに感染してしまうと情報漏えいを防ぐことはできないが、インターネット分離しておけばウイルスは情報資産を持つ環境とは分離された環境のみで感染するため、情報流出などの被害を防ぐことができる。

インターネット分離の基本的な考え方

このインターネット分離は、マイナンバー制度導入の際に、個人情報を保護するために各自治体が採用しているソリューションだ。総務省では、「自治体情報システム強靭性向上モデル」を示し、「インターネット分離に関するガイドライン」を出しているが、多くの自治体でVMwareの仮想化技術を活用したインターネット分離を採用しているという。

初期侵入成立を前提としたダメージコントロール

従来のセキュリティ対策は、入口での多層防御が中心で、ウイルス対策やファイアウォールはもちろん、ホストベースの侵入防止システムやパーソナルファイアウォール、AIによる振舞検知などのエンドポイントにおける多層防御などが行われている。楢原氏は、これらの防御を鉄壁にしても、ウイルスの侵入などを100%防御することはできないため、前述のインターネット分離や出口対策を連携させ、初期侵入が成立してしまうことを前提としてダメージをコントロールしていくことが重要だと説明する。たとえば、VMware NSXで各仮想マシン間の通信を遮断し、初期侵入成立後の不正アクセスを検知することで、感染の疑いのある端末を隔離することができ、その端末を調査して、感染しているのであれば初期化などで健全化していくことが可能となる。これらを速やかに行うことで、感染してしまっていてもインシデントを重大化させることがない。

VMware NSXによる仮想マシンごとにファイアウォールを設置して、仮想マシン間の通信を確実に遮断できることを楢原氏は「マイクロセグメンテーション化」と呼んでいるが、このような環境で不正プログラムに感染してしまった場合、分散ファイアウォールのブロックログによって当該端末が特定され、外部(Security Information and Event Management)によってスクリプトが実行され、あらかじめ設定された隔離ルールによって他の仮想マシンとの通信が遮断され、隔離してそれ以上の拡散が食い止められ、初期化することによって、健全化が実施される。

VMware NSXを使った分散ファイアウォールとリスク最小化

実際にインターネット分離を行った事例では、個人情報や開発情報などを扱う機密レベルの高い端末をインターネット分離し、分離環境で発生するリスクを最小化するためにホスト単位でダメージコントロールを実施。また、別の事例では、ターゲットになりやすい経営層やサポート部、開発部などを簿門インターネット分離し、こちらもホスト単位でダメージコントロールすることで感染時のリスクを最小化していったという。

さらに、楢原氏は、FAT環境に比べて、VDIとVMware NSXを組み合わせた環境では、感染時の売上高低下を1/6に抑えることができるという。FAT環境では、感染事案の特定に3時間程度かかり、感染端末の隔離のためには物理ケーブルの引き抜きなどの手段しかなく、無事に感染拡大なく隔離が成功しても、業務復旧用端末のセットアップにも3時間程度かかってしまい、最低でも計6時間のロスが生まれてしまう。一方、VDIとVMware NSXを組み合わせた環境では、感染や初期侵入をすぐに特定でき、SIEMとの連携によって感染端末が自動的に隔離され、業務復旧用の仮想マシンの払出は最大で1時間程度、最短では10分程度しかかからない。経産省の商工業実態基本調査の結果をもとに楢原氏は、従業員1人あたりの時間単位の売上高を3万円と試算しているが、FAT環境では6時間=18万円に対し、VDI+VMware NSXでは1時間=3万円(最短10分で5,000円)と説明している。

「サイバーセキュリティ対策を行い、法令やガイドラインに準拠していくことは経営問題でもあり、企業の責務と言っても過言ではありません。我々は、実績のある仮想化ソリューションでセキュリティを高める手法を持っており、企業のサイバーセキュリティ対策を支援していきます。また、S&J社との協業ソリューションも進め、CSRMS(サイバーセキュリティ リスクマネジメントサービス)というサービスも提供しているので、情報漏洩対策やマルウェア対策にぜひお役立てください」(楢原氏)。

楢原 盛史 氏

ヴイエムウェア株式会社
ソリューションビジネス本部
ソリューション技術統括 先進ソリューション
シニア セキュリティ ソリューション アーキテクト

写真

デジタルビジネス時代の

  • 攻めのIT投資「働き方改革」
  • 守りのIT投資「セキュリティ」