ゼロトラストセキュリティ導入記～今なすべきセキュリティ対策のコツ～

第5回
アクセス管理3 インターネットブレイクアウトのサービス展開、導入のポイント

アライドテレシスが導入したゼロトラストセキュリティの具体例をもとに詳細を紹介する連載の第5回。今回は、インターネットブレイクアウトによるアクセス管理についての3本目。インターネットブレイクアウト導入により得られた知見とノウハウをもとに展開したサービスの紹介と、導入の上で気を付けるべきポイントのまとめを紹介する。

クラウドUTM、SD-WANパックをサービス展開スタート

アライドテレシスでは、今回のゼロトラストセキュリティ1導入をDevOps2体制で推進していることは第2回で説明した。実際に導入・運用して、効果を検証した上で、サービスとして提供することを目的としており、このインターネットブレイクアウト3についても、すでにサービス展開をスタートしている。
今回のインターネットブレイクアウト導入により得られた知見とノウハウをもとに、2020年7月からクラウドUTM4のサービスを提供開始している。セキュリティ対策をワンストップで提供するサービス「Net.CyberSecurity5」の「クラウドUTMサービス」だ。
Net.CyberSecurityクラウドUTMサービスは、クラウド型のメリットを生かし、従来は拠点単位でインターネットの出口に設置していたUTM機器をクラウド上に統合することで、効果的かつ効率的な運用を実現するだけでなく、SD-WAN6やインターネットブレイクアウト環境などへの接続にも対応する。ブレイクアウトした回線をクラウドUTMで収容することでセキュリティを統合管理できる。テレワーク用リモート接続や、拠点間のインターネットVPNのセンター収容サービスとしても利用が可能だ。

用語解説

• 1

  ゼロトラストセキュリティ：「信頼しない（ゼロトラスト）」ことを前提とするセキュリティ対策の考え方。モバイル端末の活用拡大、テレワークなどの働き方の変化により、これまでの「社内ネットワークの端末は安全」という境界型ではなく、全ての通信を信頼しない前提でさまざまなセキュリティ対策を行うことが必要となっている。

• 2

  DevOps（デブオプス）：開発(Development)と運用(Operation)を組み合わせた言葉。開発チームと運用チームが協同し、製品などのビジネスの価値を生み出す仕組みやそれを行う組織をいう。開発スピード、信頼性、生産性、品質の向上が本仕組みのメリットとしてあげられる。

• 3

  インターネットブレイクアウト：特定のアプリケーションを抽出して、データセンターを経由せずに拠点から直接インターネットへ接続し、センター側回線のトラフィックを削減する機能もしくはその方法のこと。

• 4

  クラウドUTM：ファイアウォールや不正侵入検知（IDS/IPS）、アンチウイルスやアンチスパム、Webフィルタリングなどのセキュリティ機能を集約したUTM（Unified Threat Management）機能を、アプライアンスではなくクラウドサービスとして提供するもの。

• 5

  Net.CyberSecurity：アライドテレシスが開発した脆弱性診断サービス。自社のWebサイトや社内のLANシステムが抱えるセキュリティリスクを洗い出し、守るべきシステムや資産、データを低コストかつシンプルに可視化し、特定します。

• 6

  SD-WAN（エスディー・ワン）：Software-Defined Wide Area Networkの略。ソフトウェア制御により広域ネットワークを運用管理する技術。従来のように現場に赴いて機器の設定や調整を行うのではなく、中央のソフトウェアで広域なWANネットワークの構築や設定、制御を行うこと。

インターネットブレイクアウトを実現するUTMは下記のセキュリティ機能を統合的に管理できる。

• アプリケーションコントロール（DPI）7
• 侵入防御（IPS）8
• IPレピュテーション9
• マルウェアプロテクション10
• URLフィルター11
• ファイアウォール12
• NAT13
• Webコントロール14
• アンチウイルス15

将来的にはID管理やデバイス管理、CASB（Cloud access security broker）16なども統合していく。

用語解説

• 7

  アプリケーションコントロール（DPI）：DPI（Deep Packet Inspection）の技術を利用して通過するパケットのデータ部分を検査し、通信内容にもとづいてどのアプリケーションのトラフィックであるかを判別する機能。

• 8

  侵入防御（IPS）：システムやネットワークへの侵入を防御すること。侵入防御の機能を持ったシステムをIPS(Intrusion Prevention System)と呼ぶ。既知の攻撃をデータベース化したシグネチャーとのパターンマッチにより侵入を検知。ポリシーにしたがって通信の遮断や切断を行うハードウェア/ソフトウェアをいう。LANに接続して利用するネットワーク型IPSと、ホストOSにインストールして用いるホスト型IPSがある。IDPとも呼ばれる。

• 9

  IPレピュテーション：IP（Webアドレスやメール発信元）のレピュテーション（評判、信頼度）をもとにIPアドレス（Webサイトやメール）のリスクを評価する仕組み。セキュリティソフトでは、IPレピュテーションスコアの低いメールをフィルタリングする。Webサイトの閲覧を禁止するといった機能を持つものもある。

• 10

  マルウェアプロテクション：ストリーム型アンチウイルスともいわれる機器もしくはソリューション。通過するアプリケーションパケットのデータ部分を検査し、既知のマルウェアを検出した場合は該当パケットを通知/遮断する機能。

• 11

  URLフィルター：Webフィルタリングとも呼ぶ。指定したURL（Webサイト）へのアクセスを許可しない方式（ブラックリスト方式）と、指定したURLしかアクセスを許可しない方式（ホワイトリスト方式）が代表的。

• 12

  ファイアウォール：FW、F/Wと略して記載されることも多い。ファイアウォール（防火壁）はインターネット・イントラネットで接続された社内（グループ内）のホスト（端末やサーバーなど）および、ホスト内部の機密情報を外部からのウイルスや不正侵入者から守る装置の総称を指す。

• 13

  NAT(ナット)：Network Address Translationの略。TCP/IPを前提にしたLANの場合、LAN内部で割り当てられるIPアドレス（プライベートアドレス）をインターネット接続のため、グローバルアドレスへ変換する機能。ルーターの機能として搭載される。

• 14

  Webコントロール：主にセキュリティソフトウェアが持つ機能で、Webサイトへのアクセスをコントロールする機能。ルールを設定して、ジャンルやURLによりアクセスを禁止したり、ファイルのダウンロードなどを禁止したりできる。

• 15

  アンチウイルス：Anti-Virusとも表記。パソコンなどのデバイスが感染するウイルスやマルウェアへの対策を行う仕組みやそのソフトウェアを呼ぶ。

• 16

  CASB(キャスビー)：Cloud Access Security Brokerの略。企業がクラウドアプリケーションを利用するにあたり、シャドーITなどの脆弱性対策として導入されるソリューション。実現には「可視化」「コンプライアンス」「データセキュリティ」「脅威の防御」が必要とされる。2012年に調査会社ガートナー社が提唱。

さらに、インターネットブレイクアウトとクラウドUTMのパッケージサービスをSD-WANサービスとしてスタートしている。文教向けの「GIGAスクール SD-WANパック」である。
GIGAスクール SD-WANパックは、文科省の「GIGAスクール構想」における対応向けで、回線やクラウドUTMサービス、ルーター、導入から保守までのオールインワンパッケージとなっている。

2021年3月、文科省より各教育委員会向けに「GIGAスクール構想の実現に向けた通信ネットワークの円滑な運用確保に係る対応について」が通知されており、各教育委員会では改めて学習系ネットワーク環境の安定性を確認し、課題がある場合には適切な改善策を講じる必要がある。
GIGAスクール SD-WANパックは、通信の安定性が不安、整備までに時間がない、セキュリティ対策が十分であるか心配といった悩みの解決には最適なパッケージとなっている。

用語解説

• 18

  WAN（ワン）：Wide Area Networkの略。広域情報通信網。いくつかの遠隔地のLAN（ラン、Local Area Network）を接続するネットワーク。一般の公衆回線やISDN、専用回線などを介して構築される。

インターネットブレイクアウト導入のポイント

インターネットブレイクアウトを導入するにあたり、そのコツや重要なポイントについて聞いた。

用語解説

• 19

  AMF-SEC：AMF-SECurityの略。アライドテレシスが開発したセキュリティ対策ソリューション。ネットワークを構成する通信機器をソフトウェアによって集中的に制御する技術SDN(Software-Defined Networking)により、各種アプリケーションと連携して各通信機器が直接接続するネットワークのエッジ側（エンドポイント）を管理。デバイスをネットワークから自動的に遮断・隔離して被害の拡大を防ぐことができる。

リモートワークを導入したものの効率が上がらず、従来のオフィス出社型に戻ってしまう例も多く見受けられる。もしその効率が上がらない原因が、リモートワークインフラのストレスによるのであれば、まずは見直しを行ってみるのも良いかもしれない。

次回はアライドテレシスが実際に検証を行っている「エンドポイントセキュリティ」について3回に分けて紹介する。

（第6話につづく）

• 本記事の内容は公開日時点の情報です。
• 記載されている商品またはサービスの名称等はアライドテレシスホールディングス株式会社、アライドテレシス株式会社およびグループ各社、ならびに第三者や各社の商標または登録商標です。