セキュリティー管理責任者はいま何を考えるべきか

企業のリスクをマネージする戦略考この10年間、基幹ネットワークのネットワークセキュリティー管理の考
え方は、ファイアーウォールのような組織の内と外の境界で防護する境界防衛が中心だった。この機構は多くの組織に導入されてその効第七回

境界防衛の限界果を発揮しているが、近年の状況の変化に追随できなくなってきており、本来の機能を果たせなくなってきている――。
text :

山口英 奈良先端科学技術大学院大学情報科学研究科教授

インターネットは、90年代初頭に商用に併設したアプリケーションゲートウェ個々のシステムに対してセキュリティー化されたことにより急速に規模を拡大しイによって中継する。この外部と内部を対策を十分に講じるには多大な手間がた。それまでは大学や一部研究機関、中継するアプリケーションゲートウェイかかる。各システムはハードウェア、OS、政府組織などの特定の組織だけが接続を設置するための、FWによって管理さアプリケーション、使用形態、システムされていたが、商用化により料金さえ支れたネットワークセグメントをDMZ（非武に対する業務の依存度、さらには、その払えれば誰もがインターネットに接続で装地帯：De-Militarized Zone）と呼ぶ。

業務の重要度などが千差万別である。

きるようになったことで、当時でもセキ

このような外部と内部の境界に特別

このため、各システムに適合したセキュュリティー管理をどのように行うかが大な機構を用意し、内部のネットワークとリティー対策を施すには、システムごときな関心事であった。

システムを守るという境界防衛（borderのカスタマイズが発生してしまい、多大セキュリティー管理の重要性は認識さprotection）の考え方は、90年代前半にな手間となる。この手間を何とか小さくれていたが、具体的にどのようにするか確立したものである。現在では、FW設したいが、セキュリティー対策を十分には90年代初頭には手探りの状態にあっ

置はインターネットに接続するときに必できないだろうかと考えたのだ。

た。しかし、システムへの攻撃リスクが要不可欠なものだと捉えられている。

そこで、2つの大きな前提を置くこと顕在化した商用化直後から1つの考え方

しかし、FWが使われ出したときに活で、この手間を省こうと考えた。1つは、が急速に広まった。それは組織内ネット発に議論されていたことで、最近では忘トラブルは内部ネットワークに接続されワークとインターネットとの接続点にフれてしまっていることがある。それは、たシステムからは引き起こされないといァイアーウォール（fire wall、以下 FW）

FWはあくまでも暫定的な解決方法だと、う前提である。簡単に言えば内部犯行と呼ばれる特別な仕掛けを設置する考当時のセキュリティー専門家達が考えては発生しないと考えようということだ。

え方であった。このFWは防火壁といういたことだ。

もう1つが、内部で使われるシステムの大多数がクライアントとして利用され、名前のとおり、外部で交換される種々の悪意ある通信を遮断し、組織として受けFWは経済的な解決方法

極めて少数のシステムが外部に対してサービスを提供するサーバーとして使われ入れることを許した通信のみを通過させるという前提である。

るものである。さらに、FW を設置したセキュリティー対策を考える場合、ネことによって不必要な通信サービスはットワークに接続されているすべてのシFW を通過できなくなるが、電子メール

ステムに対して十分なセキュリティー対すことが可能となったのだ。トラブルはやWWWといった必要なサービスはFW策を講じることが必要である。しかし、常に外部からやってくると仮定するから

184 +++ internet magazine 2003.11 +++実はこの2つの前提からFWを作り出

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

セキュリティー管理責任者はいま何を考えるべきか

こそ、境界防衛で十分であることが暗黙

内部のシステムがウイルスに感染する状にFWを接続した場合、10Gbpsの帯域の了解となった。さらに内部のシステム況が発生してしまい、場合によっては内性能を持ったFWを作ろうとすると大変の大部分がクライアントとしての機能し部で大流行するようなこともしばしば見高 価 なも の に なってしまう。 実 は 、か果たさないという前提から、FWではられる。

1Gbpsの帯域性能を持った FWも現時

フィルタリングやNATを使って外部から2つ目の、内部のシステムの大半はク流入する通信を遮断しても大きな影響ライアントとして使われるという前提は、結局のところブロードバンド化した回を与えることはないという考えに至っ

近年のP2P型サービスの普及に伴って線に対してFWの性能向上が十分に行わた。外部のシステムにサービスを提供崩されている。特にここ1、2年で大流れていない。このため、どれだけ対外接するサーバーがあったとしても、DMZに行すると言われているIP電話（VoIP）サ

続回線をアップグレードしても、FW の設置すればサービスをFWの管理下で提ービスでは、サービスを利用するシステ

性能が向上しない限り、対外接続回線供できる。

ムは、発呼時にはクライアントになるが、を十二分に使い切ることはほとんどできないことが起きてしまう。

この2つの前提があったからこそ、FW着呼時にはサーバーとしての振る舞いをの設置によって各システムに施すべきセする。つまり、内部ネットワークに接続点でもかなり高価なものである。

キュリティー対策を減らすことができ、まされたシステムにおいても、外部から直た、セキュリティー対策そのものも FW接通信を受けなければならないものがに関連したシステムに集中的に行うこと登場してしまう。この場合には、NATはここまで述べてきたように、10年前にで、全体のセキュリティーレベルの引き論外であるが、単純なパケットフィルタ概念が設計されたFWは、少しほころび上げにつなげられた。別の言い方をすリングFWにおいても、そのルール記述が見えてきている。少なくともネットワれば、FWによってセキュリティー管理には大変難しいものとなる。

ーク伝搬型ウイルスについては、FWはファイアーウォールの問題点とはこのようなことから、先に述べた前提まったく防御効果がない。また、多くのってもいいだろう。その意味でFWは経に基づいたFWは、最近ではますます機アプリケーションの基本的な考え方に済的に効果の高い解決方法であった。

能せず、逆にユーザーの使い勝手を邪なるであろうP2P型サービスは、現在の魔するものとなりはじめている。

FWとは相性が大変に悪い。これらのこ対する投資を一点に集中させられたと言戦略1

とりあえず、FW は投資効果の高いセキュリティー対策と言える。使わない手はない。

FWを乗り越えるトラブル

戦略２

ウイルス/ワーム対策にはFWは無力だと認識すべし。また、P2P 型サービスを使いたい場合にも、FW は機能の再定義が必要。とから10 年前に考え出された FW を中心とした境界防衛の考え方は、そろそろ改訂が必要になりつつあるのだ。
現時点でのFWの問題点は、①FWで防げないセキュリティー上のトラブルかさて、FWを成立させている2つの前ブロードバンド化に頭を悩ますらシステムをどのように防護するのか、さらに②FWの性能をどのように上げる提が崩れてしまったらどうなるだろうか。
FWの考え方が生み出されてから10年がさらにFWの存在意義に追い討ちをかか、そして③ P2P 型サービスのように経過した現在、まさにFWの2つの前提けているのが、近年のブロードバンド化FWと相性の悪いサービスをどのようにが崩れ始めている。

である。これまでの組織内ネットワーク収容するのか、という3点に集約できるだろう。

1つ目の、内部ネットワークに接続さ環境といえば、イーサネット技術を基盤れたシステムから引き起こされるトラブとして、GbE（ギガビットイーサ）を使っルはないという前提は、ネットワーク伝てバックボーンを構成し、100Base-Tに搬型のウイルスによって簡単に崩されてよって端末を収容するのが一般的であしまっている。今やウイルスは電子メーった。しかし、最近では10Gbpsイーサ

まず①については、システムそのものルやWWWアクセス、さらには、直接ネネットを使ってバックボーンを構成し、のセキュリティー防護レベルを上げるよットワーク越しにシステムに対して頻繁

1000Base-Tによる端末収容も始まってうに努力するしかない。つまり、FW のに入ってくる。特に電子メールやWWWいる。この場合、外部との接続もブロー概念が生み出された頃の議論に立ち返アクセスによってシステムに入り込んでドバンド化によって数百Mbpsの接続かって、すべてのエンドノードのセキュリテしまうケースは後を絶たない。このようら、最近では10Gbps回線による接続もィー管理レベルの向上が必須であるとな状況では、いくらFWがあったとしても始まっている。このような外部接続回線いう認識に基づいてセキュリティー管理

エンドノード管理が基本

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ internet magazine 2003.11 +++185

を組み立てなおす必要がある。このたなっている。特にクライアントシステムとめには、すべてのエンドノードにおけるして使われるウィンドウズシステムに適用セキュリティーポリシーの策定、そして、できるパッケージソフトウェアが多い。

P2P型アプリケーションのようにFW必要なセキュリティー対策を実施する。

また、セキュリティー面から考えて管理との相性の悪いサービスをどのように扱

このときに重要なのは、すべてのエンコストの高いOSやシステムを使うのを避ドノードに対して見直しをすることで、セけるという手段もあるだろう。たとえば、1つの考え方は、P2P型アプリケーシ

キュリティーポリシーに従うことのできメールサーバーを構築することを考えた

ョンを使うホストはFWに頼らないホスないシステム、あるいは、セキュリティときに、どのOSを基盤としたシステムをトとするという考え方もあるだろう。たーポリシーを実装できない運用体制であ使うのが簡単だろうかと考えてみるのがとえば、ポリコムなどのH.323テレビ会るシステムを発見し、これらのシステムいいだろう。最近では、電子メールはウ議システムは、相手のシステムから着呼をネットワーク環境から取り除くことだ。

イルス配布装置としても機能するので、する必要があるので、インターネット側

経験的に言えば、システムにかかわるセ

メール本文からのウイルス除去機能を持から自由にアクセスできなければ意味がキュリティートラブルは、十分な管理作つことが求められている。また、SPAMのない。そのために、テレビ会議システム

P2Pは許すべきか禁止すべきかうかは頭の痛い問題である。

業が行われていなかったシステムや、利除去もユーザーから強く求められるだろを稼働させるエンドノードではグローバ用者が勝手に持ち込んだシステムなどう。これらの条件を考えた、さらに管理者

ルIPアドレスを与え、FWでアクセス制から引き起こされることが多い。このたとして管理しやすいプラットフォームを考限を行わないことになる。

め、すべてのエンドノードを点検する段えれば、自ずと結論が出るのではないだ

階で、これらのトラブルを引き起こしそろうか。

うなシステムのあぶり出しをする。FWを使っている間は、FWを重点的に管理

この環境を考えると、どうしてもエンドノードでのセキュリティー管理を徹底することが必要となる。このためには、ファイアーウォールの性能改善し、エンドノードの管理は比較的緩い対同一のシステムはソフトウェアのバージョン管理などを一括して管理することで、応をしていることが多いだろう。その意

一方、②の性能については、これまでセキュリティーホールを抱え込むことを味で、エンドノードの現状を把握し、問サーバーの性能向上で使われてきた負極力排除する。さらに、VLAN機能など題のあるシステムを取り除くのだ。

荷分散装置（ロードバランサー）を使っを使って同じサービスを使うシステムをたクラスター型FWを構築することで解同じセグメントにまとめてしまうことも効決ができる。1台1台のFWについては果が高い。仮にシステムにセキュリティパフォーマンスを稼ぐことはほとんどでーホールが見つかった場合には、そのセきないかもしれないが、クラスター化にグメントを外部から切り離したり、あるいよってシステム全体としては十分なパケは、監視を強めたりすることが簡単にでット転送性能を提供するのだ。最近のきる。このような少しの工夫でP2P型サ1Gbps以上の帯域でインターネットと接ービスを使うシステムの管理を簡単できるだろう。

戦略
３

エンドノードの管理を徹底する。FWに依存した管理体制から、本来求められていたエンドノードの強化にシフトさせる。

コストを抑えるための手法
さらに管理者として考えなければなら続している組織では、今やクラスター型ないのは、エンドノードのセキュリティーFWを使うのが当たり前になり始めていもう1つの考え方は、当面P2P型サー管理を徹底したときに予想される管理コる。最近のシステム性能の急激な上昇

ビスの利用を禁止するというものであストの上昇である。これを抑え込むためにより、FW でもパケット転送能力がる。これは進歩に逆行するように思われには、管理作業を徹底して自動化できる1Gbps を達成しているものが出てきてる読者もいるかもしれない。たしかにような機構の導入が必要だ。たとえば、

いるが、FWにおける耐故障性能を考え

P2P はこれからのサービス構築の主要システム設定の一括管理や自動パッチ適るうえでFWのバックアップを準備するなパラダイムとして使われていくだろう。

用環境を構築したり、必要なソフトウェア場合に、クラスタ型ーFWは単に性能のしかし、現時点での P2P 型サービスののバージョンアップを一括管理するシス面だけでない利点が多い。

多くがセキュリティー面での問題を抱えテムを構築したりすることは大きな効果がある。これらのエンドノードの一括管理システムは、近年複数のベンダーからパッケージソフトウェアが提供されるように

186 +++ internet magazine 2003.11 +++戦略４FWのパケット転送能力向上に対する取り組みが必要になっている。現時点では、クラスター化したシステムを使うのが一般的。ているのも事実である。たとえば、ファイル交換型P2Pサービスの代表的なシステムであるWinnyでは、交換されるファイルの多くにウイルスが付着している

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

セキュリティー管理責任者はいま何を考えるべきかことが観測されている。また、ほかの結局はユーザーの啓蒙が一番P2P型システムでも同様の問題が指摘されている。現在の P2P 型システムは最近のセキュリティー関係のトラブル発展途上段階にあり、機能的には大変を見ていると、FWの存在を前提にした興味深くても、セキュリティー機能が十ウイルスや、FWの本来の意味を台無し分でないケースも多いのだ。その意味にするユーザーの行動が引き金になっで使わせないということもある。ているケースが多い。典型的なものが、もう1つの可能性は、P2P型システムウイルスに感染したラップトップPCを持を自前で用意することである。たとえば、

ち歩いて、いたるところに感染を飛び火

MSNメッセンジャーは、多くの人たちがさせているユーザーの存在だろう。

使用する大変興味深いP2P型サービス

このようなユーザーを発見し、そのユである。しかし、このサービスは、メッセーザーを厳重に注意してペナルティーをージ交換は現実には（他人が管理する）与えるのは簡単なことだ。しかし、問題サーバーで中継されるシステムであり、はネットワーク環境、ユーザーの利用形交換される情報が漏洩する可能性もゼ態、使用するアプリケーションなどが急ロではない。

激に変化しており、その変化にセキュリまた、直接相手システムとの間でファティー管理が追随できないことがより大イルを交換できるが、これもセキュリテきな問題だとして捉えるべきだろう。セィーポリシーの面から考えると見知らぬ

キュリティー管理者は、状況の変化への第三者との間でのファイル交換を制限機敏な対応が求められているのだ。
また単にセキュリティーポリシーを厳しないとすると問題が多い。
このようなことから、P2P型サービス

しくして、ユーザーの行動を制限するこでも自前でサービスを用意し、いわゆるとばかりに注力するのではなく、ユーザ不特定多数が利用できるサービスをユーが実行してしまいそうな行為を想定しーザーに使わせないということも、1つて、何らかのセキュリティートラブルを引の考え方だろう。実際、MSNメッセンジ

き起こすことがあっても、それが波及しャーサービスは、マイクロソフトによっないような環境を作っておくことが重要てエンタープライズサービスとして独自だろう。そして、ユーザーに対しても、セに運用できるシステムが商品として提供

キュリティーポリシーに反するような行されている。社内サービスとしてP2P型

為が与える影響について、正しい理解サービスを構築し、社内ユーザーには積を持ってもらうことが必要である。

極的にそのサービスを使わせるようにFWが十分に有効だった時代は、あるし、さらに外部からはVPNなどの認証機意味でセキュリティーの集中管理が可能構を用いたアクセス手段でサービスにな時代であった。しかし現在では、すべアクセスするというような対策も有効だてのユーザーの協力を得て、分散的にろう。ユーザーが勝手に P2P 型サービ

セキュリティー管理を実施し、環境全体スを使い始めるような状況を放置するのとしてセキュリティー保全レベルを高めは問題なのだ。

る時代になっている。この意味で、すべ戦
略
５

FWと相性の悪いP2P型サービスについては、知恵を使ってうまい管理を行うことが必要。禁止するだけでは意味がない。変化に追随すること。てのユーザーがセキュリティー管理の当事者であるという意識を持って行動してもらう必要がある。ユーザーを味方につけるセキュリティー管理こそ、変化に機敏に対応できる基盤である。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ internet magazine 2003.11 +++187

［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバーアーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.