「より強固なネットワーク・セキュリティを実現するにはどうすればいいのか?」――セキュリティベンダーにとっての永遠の命題ともいえる課題に向け、各社が技術開発にしのぎを削っている。ネットワーク業界最大手のCisco Systemsは、自らが推し進める「自己防衛型ネットワーク(SDN: Self Defending Network)」の中で、その次なる道筋を示そうとしている。

4月25～26日の2日間にわたって開催されたRSA Conference Japanの中で米Cisco Systemsのセキュリティ技術部門担当バイスプレジデント兼CTOのBob Gleichauf氏は、ネットワークの複数レイヤをカバーしつつ、システム全体を多面的に管理する必要性を訴える。

米Cisco Systemsのセキュリティ技術部門担当バイスプレジデント兼CTOのBob Gleichauf氏

Gleichauf氏が「Cisco SDNの最新動向と製品ソリューション」と題して行った講演では、企業ネットワークを襲う脅威が多様化しつつあると同時に(画像1)、その管理すべき範囲も複雑化している点を強調する。例えば従来のクライアント/サーバ、そしてゲートウェイを介してのインターネット接続のような一方的なデータの流れだけでなく、外部からのVPNによるリモートアクセスやPtoPの利用、そしてアプリケーションの多様化など、特定のポイントでパケットの流れを押さえているだけではセキュリティ対策が難しくなりつつある(画像2)。

これがどういう事態を巻き起こすかといえば、従来であればファイアウォールの強化とサーバへのアクセス制限だけで済んでいたものが、より広い範囲から通信の流れを把握していないと、思わぬ個所からシステムへの侵入を許してしまったり、あるいは内部からデータが流出してしまうことにつながる。

画像1: 企業ネットワークを脅かす要素の数々

画像2: ネットワークの内部のみなど、従来の局地的なセキュリティ対策を越えて脅威はやってくる。システムを本来の意味で守るためには、通信の流れ全体をカバーする必要がある

「米国がそうであったように、J-SOX導入に向けて準備を進めている企業が多いが、こうした面を考慮しないセキュリティ対策は意味を成さなくなる。例えば、ある機密情報を保持したデータベースに特定の役員がアクセスできたとしよう、だが、その情報を別の役員に渡し、さらにその役員が別の社員に情報を渡したとする。もし最初のデータベースにアクセス制限があったとして、その後の別の写真へのデータの受け渡しの過程を経て、データ漏えいのリスクは高まることになる。CiscoがSDNの次のフェイズで実現を目指すのは、こうした"DLP(Data Lose Prevention)"を含む"Information Security(情報セキュリティ)"だ」とGleichauf氏は説明する。Information Securityでは従来のネットワーク層でのセキュリティに加え、さらに上位のアプリケーション層でのセキュリティを含め、これらネットワークでの挙動をポリシーに基づいて管理するものとなる(画像3)。

具体的にはどうか。同氏が挙げた例がメールゲートウェイだ。Ciscoは2007年1月にメールフィルタやWebフィルタなどのセキュリティアプライアンスを開発する米IronPortを買収しているが(関連ニュース記事、関連特集記事)、同社のメールゲートウェイのアプライアンスをファイアウォールの内側に配置し、アプリケーション通信にあたるメール送受信の内容を精査させる(画像4)。これにより、従来のパケットフィルタリングでは不十分だったアプリケーション層でのデータの挙動まで把握することが可能になる。

画像3: Ciscoが推し進める「自己防衛型ネットワーク(SDN: Self Defending Network)」戦略だが、次のフェイズは「Information Security」。ネットワークのレイヤだけでなく、アプリケーションデータも含めた上位レイヤをカバーする

画像4: 具体的には、ゲートウェイを通過するパケットのヘッダやペイロードのチェックに加え、実際にアプリケーションのレベルで組み立てられたデータの内容を精査し、その挙動の危険性を判断する。例えば電子メールなどの場合、従来のファイアウォール/ルータの内側にIronPortの買収で獲得したメールゲートウェイでその内容をチェックする

「ネットワークのセキュリティは表裏一体の関係だ。外部からの侵入をチェックすると同時に、内部から外部へのアクセスも制御しなければならない。コインの表と裏の両方のセキュリティを高めることで、初めてシステムとして機能する」とGleichauf氏は述べる。さらに同氏は「よく『ファイアウォールを強化するにはどうすればいいか?』『このサーバのデータを守りたいのですがどうすればいいか?』といった質問を受けるが、私はいつも『知らない』と答えている。なぜなら、そのポイントのセキュリティを強化したとして、必ずどこかに穴が出てくるからだ」と加える。

前述のように、仮にエンドポイントやゲートウェイでのセキュリティを強化したとして、一度そのポイントを通過されてしまえば、そこに仕掛けられた防御の仕組みは意味を持たなくなる。下に上げた画像5と6の例でいえば、どれほどサーバ上のデータへのアクセス制御が強固に行われようとも、一度取り出したデータはその時点で自由の身となる。以後はメールで送ることも可能だし、あるいはWinnyのようなPtoPソフトで思わぬタイミングでデータが流出してしまう危険もある。特にPtoPはエンドポイント同士が対向でセキュアなセッションを張って通信を行う可能性もあり、その場合はデータの中身を精査するのが難しくなる。メールゲートウェイやPtoPなどのセッションの挙動を把握しつつ、なるべく使いやすさを損なわずに管理する仕組みが必要となる。

だが、総合的なセキュリティ対策においてはデータのレイヤをチェックするだけでは不足だ。自身の求めるセキュリティレベルに応じてポリシーを設定し、それが遵守されているかどうかを通信の流れ全体をみて判断する。例えばコンプライアンスを考えたとき、アクセスコントロールで企業の機密データの取得を制限したとしても、一度取得したデータをメールやPtoPを介して外部へと漏えいされる危険性もある

行うべきは、通信が発生するエンドポイントを監視しつつ、ネットワーク全体の流れを把握し、適切なアクセス制限を施しつつ、各ポイントで異常の兆候や挙動を検知する地道な行為が重要となる。こうしたネットワーク管理を行うなかで適切なポリシーを設定し、セキュリティシステムは現在の運用がポリシーに準拠したものかどうか適時つき合わる。特に前出のJ-SOXの遵守においては、こうしたポリシーベースの監視が大きな意味を持つ。