vArmour DSS導入事例

自然 科 学研究機構（NINS）様
http://www.nins.jp
平成16年4月の法人化により新たに発 足した 大 学 共同利用機関法 人 。
国 立 天 文 台、核 融 合 科 学 研 究 所、基礎生物学研究所、生理学研究所、分子科学研究所の5つの研究所から成り、自然科学に関する研究を推進している。
住所 ： 〒105-0001
東京都港区虎ノ門4 - 3-13
ヒューリック神谷町ビル２階

設

立 ： 2004年

マイクロセグメンテーションの 効 率 的な 導入・運 用で
仮 想 化 環 境のセキュリティ強 化を実 現「基礎生物学研究所」「 生理学研究所」「 分子科学研究所」の3つの研究機関が立地する自然科学研究機構 岡崎3機関では、構内ネットワーク更新のタイミングで分散セキュリティシステム「vArmour DSS」を導入。先進的かつ利便性に優れるマイクロセグメンテーション技術を取り入れることで、仮想化環境のより一層強固なセキュリティ対策への第一歩を踏み出しました。

構内サーバ間トラフィックの可視化・制御で内部セキュリティ強化を制 御する製 品や方法が なかったため、新たに制 御する仕 組みを導入する

自然科学研究機構は、全国の大学の研究者が共同利用できる研究施設をが 始まっていたとしても、何が起こっているかすら調べるすべがないのが必要があるとも考えていました。
実際に誤って、あるいは意図的に、構内ネットワークに持ち込まれた個人のBYOD端末やUSBメモリ等から脅威の拡散運営する「大学共同利用機関法人」
として、「国立天文台」「核融合科学研究所」

現状です」「基礎生物学研究所」「 生理学研究所」「 分子科学研究所」の5つの研究機関を擁しています。愛知県岡崎市には、このうち3つの研究所が集まる「岡崎3機関」が立地しており、国内外の研究者が集まりさまざまな研究プロジェ「vArmour DSS」によるマイクロセグメンテーション実装を選択クトが行われています。近年では、かつて基礎生物学研究所に長年在籍した大隅良典名誉教授が2016年のノーベル生理学・医学賞を受賞するなど、その研究レベルの高さがあらためて国内外から脚光を浴びています。

大 野氏らは、仮 想サーバごとにネットワークトラフィックを可視化・制御し、セキュリティ対策を強化

岡崎3機関は広大な敷地内に3つの研究所と統合事務センターの施設がするため の さまざ ま な 方 策 を 比 較 検 討しました。

立 ち 並 び、そ の 間 は 構 内 ネットワー クで 結 ば れて います。各 研 究 所 内 のLinux OSのiptablesを手動で設 定したり、あるい

ネットワークの管理は各研究所の運用担当者が担っていますが、それぞれのは エー ジェント 型 の セ キュリティ製 品 を 導 入する

ネットワークを集約するコアスイッチをはじめ、上位ネットワークの管理はことで各 仮 想サーバを制 御するなど、技 術・製 品を「岡崎情報ネットワーク管理室」と呼ばれる専門チームが担当しています。

検討しましたが、どれも手間が掛かったり、あるいは岡崎3機関では2017年3月、構内ネットワーク施設の更新を行いました。

コストがかさんだりと、一長一短だったといいます。

同機関は5年ごとにネットワークの見直しを行っていますが、自然科学研究自 然 科 学 研 究 機 構 岡 崎 情 報 ネットワー ク 管 理 室

機構 岡崎 情報ネットワーク管理室 大 野人侍氏によれば、今回の更新では技術職員 内 藤 茂 樹 氏 は、当 時 の 様 子を次のようにデータセンター内部のネットワークセキュリティ対策振り返ります。

岡崎情報ネットワーク管理室
技術職員

内藤 茂樹氏に力を入れたといいます。

「既にVMware vSphereの仮想化環境を利用していたので、VMware「サーバはほぼすべてVMware vSphere環境上NSXのマイクロセグメンテーション技術にも着目しましたが、弊機構はL2で仮 想化して運 用しており、各 仮 想サーバのセキュベースでネットワークを構築・運用しており、VXLANのようなL3ベースでリティ状 況を簡単に可視化し、効率的に制御できるな いと真価 を 発 揮 で きな いV M wa r e N SXとは 相 性 が良くな いと判 断方法はないかと模索していました。構内ネットワークしました。
またハードウエア型ファイアウォール製品の仮想アプライアンス版とインターネットとの境界上にはファイアウォールを設 置して い ま す が 、構 内 ネットワ ー ク 内 の サ ーバ

岡崎情報
ネットワーク管理室

同士のEast - West通信に関してはほとんど監視・

大野 人侍氏を各サーバに導入する方式も考えましたが、マイクロセグメンテーション化する機能はなく、既に同様のファイアウォール機 器を導入していたこともあり、割高で二重投資は避けたいと考えました」

vArmour DSS導入事例

そん な とき 、市 場 調 査 から浮 上した の が「 vA r m o u r D S S 」でした 。
vA r mour DS SはV M ware NSXと同 様に、各 仮 想マシンを更に分 割・■ネットワーク導入イメージセグメント化し、セグメント化された仮 想マシンごとにファイアウォール
機 能を実 装、同 時に、仮 想マシン同士の 通 信セキュリティを 制 御するマイVM

クロセグメンテーション 機能を提 供します。しかもvArmour DSSには、VMVM

vARMOUR

VMware NSXをはじめとするほかの製品にはないさまざまなメリットがあったと大野氏は述べます。

vSPHERE「L2の仮想スイッチにVLANを設 定するだけで利用できるため、既存のL 2ベースのネットワーク構 成を 大 きく変 える必 要が ありませんでした。
また、トラフィックのル ートマップやアプリケーション マップ など 可 視 化する 機 能に 極 めて優 れる点 を高く評 価しました。アプリケーション層 の情 報までログに記 録されるとともに、迅 速で、かつ、豊富なログ・アラート

DMZの 管 理・検 索 機 能も 提 供されているため、既 存システムと連 携したログ・
アラ ート を 活 用し 、包 括 的 な セ キュリティ管 理 能 力 が 高 まる と 確 信しました」

きめ細かな制御とアプリケーションレイヤーまで可視化できる点を評価

SINETIMS-LANNIBB-LAN

NIPS-LANORION-LAN

岡崎 情報ネットワーク管理室では早速vArmour

今後はすべてのサーバのトラフィック可視化とポリシー制御をDSSの評価版を手に入れ、その機能や 使い勝 手の検 証作業を行いました。実際にこの作業にあたった
自然科学研究機構 岡崎情報ネットワーク管理室 技術職 員 澤昌孝氏によれば、評価の段階からvArmour

vArmour DSSの導入により、これまでは決して見ることができなかった

D S S 特 有 の マイクロ セ グメン テ ー ション 機 能 の「仮 想 サーバごとのアプリケーション・トラフィック 状 況」が 初 めて 把 握

機 能 と 使 い 勝 手 の 高 さ は 非 常 に 印 象 的 だった といいます。
「エージェントレスによりパフォーマンスが 高く

岡崎情報ネットワーク管理室
技術職員できるようになりました。内藤氏によれば、これによって仮想化基盤全体の澤 昌孝氏「まずは仮 想サーバ間の現 状を把 握できないことには、これからどんなセキュリティ強化に向けた第一歩が踏み出せるようになったといいます。

ス ル ープットが 高 速 で 、仮 想 スイッチ に 直 接 接 続対 策を施せばいいかも分かりません。これから徐 々にvArmour DSSのされて い るため 非 常にきめ 細 かくトラフィックを可 視 化・制 御 で きると適用範囲を広げていき、まずはすべての仮想サーバ間の通信を完全に可視化感じました。またTCP／UDPポートレベルだけでなく、アプリケーション層することを目指します。そしてそのトラフィック分析を基に、仮 想サーバ間の識 別まで可視化できるため、より実 践的なセキュリティ制御につながる通信の適切な制御やルール作りに取り掛かる予定です」
また大野氏は、こうした制御を管理コンソール上で集中処理できるようにのではとの期待がありました」
こうした評価結果を受け、岡崎3機関では次期ネットワーク更新においてなった点が、何よりも大きな導入効果だと評価します。

vArmour DSSを正式に導入することを決定しました。vArmour DSSの「vA r mour DS Sは、複 数の サーバに展 開されている各 仮 想マシンの評 価や、その 後 の 導入プロセスにおいては、vArmour 社の 技 術 者が 直 接セキュリティ制御を1箇所から集中管理できるため、個々のLinuxサーバの岡崎3機関に出向き、現場で澤氏らとともにvArmour DSSのインストールiptablesを手動で設定・更新するのに比べれば作業効率は雲泥の差です。

や 設 定 作 業 にあたりました。初 めての インスト ール にもかか わらず 導 入

また 単に作 業 が 楽 になるだけで なく、セキュリティの 管 轄 を 管 理 する上作 業は予定 通り無 事スムーズに終えることが できました。澤氏によれば、でもメリットがあります。私 たちの 役 割はインフラ管 理であり、その上で「導入時の最新バージョン（v3.1.0）で新たにオートマイクロセグメンテー

稼 働する仮 想サーバは各利 用部 門の管 轄 下にあります。そのため場合にションという機能が追 加され、マイクロセグメンテーションの導入・設 定をよっては、私 たちは仮 想 サーバ にログイン で きる 権 限 すら 与えら れていほぼ自動で行えるようになったことで、導入・展 開 作 業 が大 幅に楽になりません。しかしvArmour DSSなら、たとえ仮想サーバのOS管理者の権限ました」という。

がなくとも、すべてのサーバのセキュリティ状況を集中管理できます」

こうして 2 017 年 4 月 より 、岡 崎 3 機 関 の 新 ネット ワ ー ク イ ン フ ラ

今 回 の 導 入 効 果 を 受 け、大 野 氏らは 今 後 vA r m o u r D S Sによるトラ「ORIONネットワーク2017」を構成する1製品として、vArmour DSSのフィック可 視 化・制 御の 適 用 範 囲を順 次 広げ ていくとともに、「 将 来 的に本 格稼 働が開始しました。岡崎 情 報ネットワーク管 理 室で管 理する約50セキュリティ脅威 を 積 極 的に検 知・排 除 で きるハ ニーポット の 仕 組 み をの仮想サーバのうち、まずは特定の部分に対してマイクロセグメンテーション実装する際には、vArmourのマイクロセグメンテーション上で追 加可能なの設定を施し、トラフィックのモニタリングを継続的に行っています。

独自のハニーポット技 術である『Deceptionテクノロジー（偽装サーバ）』も候補として検討してみたい」としています。

〒100 - 0004 東京都千代田区大手町1- 5 -1
大手町ファーストスクエア イーストタワー4階
TEL:03 - 5219 -1480

https://www.varmour.com※記載されている会社名、製品名は、各社の商標または登録商標です。

2017-05-001