N
積み上げ型はもう限界！

機能とメリットを検討する
製品選びと実際の設定

ソリューション提案

こんなに使える統合型
セキュリティゲートウェイ
246

企業の IT システムを襲うさまざまなセキュリティの脅威に対抗するソリューションとして最近注目を集めているのが統合型セキュリティゲートウェイである。
本誌ではフォーティネットの「 FortiGate」シリーズを例に統合型セキュリティゲートウェイの真の実力に迫る。

積み上げ型はもう限界！
インターネットからのさまざまな脅威を防ぐための手段として、ファイアウォールやVPN だけではなく、アンチウイルス、IDS ・IDP、Webフィルタリング、アンチスパムなどの機能を搭載した統合型のセキュリティゲートウェイが注目を集めている。
文●編集部

でも90パーセント以上の普及率を誇る

増えるセキュリティの脅威個別の対応が必要か？

して提供されている。

ファイアウォールであろう。また、現在このように脅威が増え、対策が多様はLANに入る前にウイルスの侵入を食化しているという現在のゲートウェイのブロードバンド・常時接続を前提としい止めるウイルススキャンゲートウェイ

状況は、ちょうど国際空港での入出国たセキュリティ侵害は増え続けている。の導入も多い。さらに、最近はそれだ

チェックと似ている。国際空港ではテもとよりインターネット経由でのクラッけではなく、スパム、フィッシング、ロやハイジャック、あるいは伝染病やキングやWebサイトの改ざん、メールやDDoS攻撃、ボットネット、データベー

麻薬の持ち込みなどさまざまな脅威がWWW、IM等でやってくるウイルスやトス攻撃など、さまざまな脅威に応じたある。そのため、本人やパスポート、手ロイの木馬などは、古くから企業のイセキュリティ装置がゲートウェイ製品と荷物などあらゆるものを調べなければンターネット利用を脅かし続けている。
さらに最近では金儲けを目的としたフ

図1 ●さまざまな脅威に対するセキュリティ対策ィッシング詐欺やP2Pアプリケーション

有効な対策

での情報漏えい、あるいはゾンビPCをファイアウォール使ったスパムやDDoS攻撃なども増えてトロイの木馬

め、当然それに対応したセキュリティ対フィッシング
情報漏えいやアプライアンスをLANとインターネッ

DoS攻撃

トの間の境界にゲートウェイとして設置

スパム

こ ん な に 使 え る 統 合 型 セ キュリ テ ィ ゲ ートウェイ

メール
アンチウイルス

メール型ウイルス
Web型ウイルス

もっとも一般的なのは、すでに国内

2

脅
威

キュリティ対策としては、専用のサーバするのが一般的だ。

Web
フィルタリング

ボットネットこのように脅威は多様化しているたーネットからの攻撃に対抗するためのセWeb
アンチウイルス

スパイウェアいる状態だ。

策が必要になる（図1）。従来からインタ

IPS

P2Pソフト

すでにファイアウォールだけでは不十分で、さまざまな対策を講じなければならない

アンチスパムソリューション提案 統合型セキュリティゲートウェイ

図2 ●積み上げ型ゲートウェイのデメリット
デメリット1 コストがかかる

デメリット2 管理が大変

デメリット3 信頼性が下がる

複数の製品を導入するため、導入・管理コストがかかる。
ソフトウェアを使う場合は、
サー
バ機とOSのコストも大きい複数製品を使うため管理の手間がかかる。異なるベンダーの製品の場合は、さらに管理ツールが統合されていないため手間がかかる

1台に障害が起こると、通信が遮断する。冗長化するとネットワーク構成が複雑になり、コストも増大してしまう

ウイルス
クラッキングスパイウェア

情報流出
不正利用

DDoS

ファイアウォール

アンチウイルス

VPN

URLIDS・IDPアンチスパム

フィルタリング

複数のゲートウェイ製品を導入するとコストもかかり、管理の手間も大きくなる。また、ネットワーク構成も複雑になってしまうならない。その手段も検査官によるパ数は多くなり、導入や管理に膨大なコスポートやビザのチェックのほか、麻薬ストがかかってしまうことがわかる。

犬などによる持ち物検査、スキャナに機能の重複もコスト効果を下げる要よる手荷物や預けものチェック、人体因だ。たとえば、アンチウイルスやこうした中、さまざまなセキュリティセンサーによる感染症の検査など多様

IDS・IDPのいずれもトロイの木馬を検機能をまとめて併せ持つ「統合型セキ化している。

出する機能があるし、スパム対策を行ュリティゲートウェイ」が注目を集めてなえばフィッシングを防ぐことにもないる。統合型とは、文字通り複数のセる。もちろん異なるベンダーで機能がキュリティ機能を1台のアプライアンス重複すれば精度も高くなるという指摘で提供することを意味する。これらのゲートウェイ積み上げ型のデメリット
しかし、こうした形でゲートウェイ型のセキュリティ製品を積み上げていくと、いくつものデメリットが生じてしまう（図2）。

統合型セキュリティ
ゲートウェイとは？

もあるが、投資額を考えれば必ずしも製品を市場調査会社のIDCでは、「UTM有効とはいえない。

（Unified Threat Management・統合脅威

また、このように多くの製品をまとめて使うとなると、管理も容易ではな管理）と呼ばれるジャンルに分類している。

まずコストがかかってしまうことが、い。セキュリティ機器やソフトはそれぞ

これまでもVPNが統合されたファイ最大のデメリットである。確かにインタれ機能が異なり、管理ツールもそれぞアウォールなどは製品として存在してーネットが普及し始めた当時は、パケッれ独自のものを用いている。もちろんいた。しかし、今回紹介する統合型セ

トフィルタリングベースのファイアウォ

昨今ではマルチベンダーの場合も多い。

キュリティゲートウェイは、アンチウイールだけで十分であった。しかし、そこうなると操作を覚えるまでに時間がルス、IDS・IDP、Webフィルタリング、の後アンチウイルスのソフトを導入し、かかり、ライセンス等の管理も面倒にアンチスパム、といった機能まで併せファイアウォールで防げない攻撃を検なってしまう。

持つものだ。あらゆるセキュリティの脅知・遮断するためにIDSを導入すること信頼性という点でも問題がある。図になる。さらに安全な拠点間接続のた2のように数珠つなぎの構成だと複数の威を水際で防ぐための「幕の内弁当的な」製品といえる。

めにVPNゲートウェイを入れ、スパムを機器のうち、1 台でも障害が起こった★

防ぐためにアンチスパム製品を導入。

ら、ネットワーク自体が断絶してしまう

以下、統合型セキュリティゲートウェ

その他にも従業員のWebサイトでの利からだ。もちろん、複数の台数で冗長イの機能と使い勝手について見ていき用制限を行なうためには、Webフィル化するという方法もあるが、この場合たい。各機能の概要や製品選定のポイタリングが必要になる。

はネットワークが複雑な構成になってしント、設定の手順などを理解し、導入にまうことが多い。

活かしてほしい。

こうして積み上げていくと、製品のこ ん な に 使 え る 統 合 型 セ キュリ テ ィ ゲ ートウェイ

3

機能とメリットを検討
統合型セキュリティゲートウェイには、さまざまな脅威に対抗する機能が搭載されている。
ここでは基本機能を紹介し、さらに導入によってどのようなメリットが得られるのかを検討してみよう。

統合型セキュリティ
ゲートウェイの機能トロイの木馬）を検出する機能。ウイルークで伝送する「トンネリング」というスやワームのコードが登録されているパ技術がベースとなっている。

ターンファイルとパケットの中身を照合

これらはIPsecやSSLといったプロト統合型セキュリティゲートウェイの定することで、検出と駆除を行なう。最コルが利用され、各拠点に設置された

義は「複数のセキュリティ機能を単一の近では、パターンファイルを使わず、プVPNゲートウェイ間で安全なトンネルをハードウェアプラットフォームに統一・ログラムの挙動を元にウイルスかどうか張ることで実現される。また、インター統合する製品」（IDC）とされている。内を判断する「ヒューリスティック分析」

ネット上での盗聴や改ざん、なりすまし

部的にはファイアウォールやVPNをはじという手法もとられる。

を前提としたパケットの暗号化、改ざん検知、あるいは接続先認証などのセキめ、複数の機能を実現するモジュールが連携して動作している（図3）。

ュリティ機能も持っている。

● VPN（ IPsec/SSL）

では、実際の製品にはいったいどん公衆ネットワーク上に仮想の専用線をな機能が搭載されているのだろうか？

構築する技術やそのネットワーク。LAN搭載されている、主要なセキュリティ機内のパケットを別のパケットで包んで、IDS（Intrusion Detection System）は能・技術をおさらいしておこう。

インターネットや通信事業者のネットワ

不正侵入検知システムと訳されており、●ファイアウォール● IDS/IDP

図3 ●統合型セキュリティゲートウェイの中身

ユーザーが定義したセキュリティポリシーに則って、必要な通信を通過させ、不要な通信を遮断するというアク入力

セス制御を行なう。主にインターネットからのクラッキングからサイトを防御する。一般的にはパケットのヘッダを精査することで、IPアドレスとTCP/UDPのポートで通過の可否を決める「パケットフィルタリング」を指す。最近ではヘッダではなく、アプリケーションデータを直接精査する方式も用いられる。
● アンチウイルスユーザーが望まない処理を勝手に行なう不正プログラム（ウイルスやワーム、4

こ ん な に 使 え る 統 合 型 セ キュリ テ ィ ゲ ートウェイ

未処理なトラフィック

ルー
ティン
グ
モジ
ュ
ールV
PNモジ
ュ
ール

フ
ァイア
ウ
ォ
ール
モジ
ュ
ール

ア
モン
ジチ
ュウ
ーイ
ルルス

IDS
モジ
ュ
ー
ル

I
P
S
モジ
ュ
ー
ル

出力

Web

フ
ィ
ル
ダイナミックタ
スレット（脅威） リ
プロテクション ング
モヒ ジュ
検ア ア 検ュ ー
知ク ノ 索ー
エテ マ エリ ル
ンィ
ビ
ジテ
ンィ

リ
検知ア
ン
チウ
イルス
モジ
ュ
ール

V
P
N
モジ
ュ
ール

帯
域
制
御モジ
ュ
ー
ル

制御された
クリーンなトラフィック

ンス
ジテンィ
ック

ロギング／レポート作成モジュール
入力されたトラフィックがファイアウォールやVPN、アンチウイルスなど複数のモジュールで処理され、クリーンなトラフィックとしてユーザーに届くソリューション提案 統合型セキュリティゲートウェイ

不正アクセスを管理者に通知するシス

図4 ● 統合のメリット

テム。不正アクセスの手口を登録した「シグネチャ」と呼ばれるデータベース

セキュリティ
ソフトウェアを元に、不正アクセスを検出する。ファイアウォールでは管理者が事前にポリ＋シーを設定する必要があるが、IDSではシグネチャがあるため不要。また通常

サーバOS

VPN

ファイアウォール

アンチウイルス

統合＋ファイアウォールで開放されている80番（HTTP）や25番（POP3）などのポートを経由する不正アクセスも検知できる

Web

IDS・IPS

フィルタリングのが特徴だ。その他、正常な通信状態を登録しておき、一定のしきい値を越統合型
セキュリティ
アプライアンス

汎用サーバ機アンチスパム

複数必要だったサーバが 1 台に統合されるため、コストや管理の手間は大幅に軽減される

えたときに警告を発する「アノマリ型」
さを学習し、振り分ける方法の大きく対してお金を払う必要はない（図4）。

なお、検知のみのIDSに遮断の機能を2つがある。スパム経由で配信されるウまた、管理の手間も低減される。複加えたのが、IDP（Intrusion Detection

イルスやフィッシング詐欺のメールなど数の機能が1つのコンソールで管理でき& Prevention）である。

も、結果的に防ぐことが可能だ。

るのは非常に大きなメリットだ。導入すという方法もある。

る機器が1台で済むため、ネットワークこのほか、フィッシングやスパイウェ構成もシンプルになり、省スペースもLAN内のユーザーを対象に、URLでア、DDoS攻撃、ボット、P2Pなどの脅実現できる。信頼性に関しても、障害Webページのダウンロードを制限する機威を防ぐ専用装置やソフトウェアもある

時に機器を1 台交換すれば済むし、必能。従業員の生産性向上や青少年にふが、上記の技術の拡張で防いでしまう

要であれば冗長構成を採ればよい。

さわしくない内容のWebサイトの閲覧ことも多い。

● Web フィルタリング

制限などを目的とする。

逆にデメリットとしては、専用機やソ統合型セキュリティゲートウェイは、フトウェアに比べて、機能面がやや落ちフィルタリングを実現するために、これらの機能を5つから6つ併せ持つ単るという点だ。フォーティネットのマーWebページがポルノ、暴力、薬物、自殺、一の機器と考えてもらいたい。具体的ケティングマネージャである菅原継顕氏

ギャンブル、就職活動、出会い系などな製品としては、フォーティネットのも「すべての機能で他の専用機やソフのジャンルで分類されてデータベースに「FortiGateシリーズ」が挙げられる。

トウェアに絶対勝てますとはいいません。ですが、すべて最高の機能を求め登録されている。そしてユーザーからブラウザなどからURLが指定された段統合型セキュリティゲートウェイのメリットとデメリット

これで十分というお客様のほうがとて階で、このオンラインデータベースに接続の可否を問い合わせる。ているお客様より、弊社の製品を見てさて、複数台あったサーバやアプラも多い」と語っている。

URLではなく、実際のページをリアイアンスが1台にまとまるということで、確かに同社のFortiGateシリーズでは、ルタイムに読み込んでページのダウンロ統合型セキュリティゲートウェイの導入

大手のウイルススキャンソフトに比べードの可否を決定する方法は「コンテンメリットはかなり明確である。て、検出できるウイルスの数が少ないツフィルタリング」と呼ばれる。

まずは導入・管理コストは大幅に低のも事実だ。しかし、歴史のあるウイ減される。確かに単機能のアプライア

ルススキャンソフトはパターンファイルンスに比べれば価格は高いだろう。しの検証にも時間がかかり、結果としてユーザーが配信を望まない迷惑メー

かし、ハードウェアプラットフォームがリリースが遅くなることも多い。これにル（スパム）を受信前に振り分けたり、共通なので、6つの機能があるから価格対して、FortiGateのシグネチャやパタ除去する機能。SMTPのレベルで不正なが6 倍ということにはならない。しかーンファイルなどの更新は、これらのウメールサーバの中継を拒否する方法と、も、通常は必要な機能だけライセンス

イルススキャンベンダーに比べて圧倒的メールの本文を読み込んでスパムらしを購入すればよいので、不要な機能にに速いという。

● アンチスパム

こ ん な に 使 え る 統 合 型 セ キュリ テ ィ ゲ ートウェイ5

製品選びと実際の設定
製品の概要とメリットがわかったところで、次は実際に製品に触れてみよう。
今回はSOHO 向けの製品であるフォーティネットの「 FortiGate-100A 」を試用してみた。
使いやすさと複数の機能の連携に特に注目してもらいたい。とソフトウェアで行なっていたウイルス

6 つの機能を統合した「 FortiGate シリーズ」

スキャンやWebフィルタリングなどの処

ゲートウェイの導入に際して注意すべきこと理を世界で初めてASICで実現したといまずはフォーティネットの「FortiGateう点だ。ASIC化したことで、処理能力FortiGateを初めとするこうした統合シリーズ」について紹介しよう。フォー

は既存の100倍近くに向上したと説明

型セキュリティゲートウェイを導入する

ティネットはネットスクリーンの創設者されており、高速なブロードバンド環境にあたって、まず決めなければならなでもあるケン・ジー（Ken Xie）氏が設でも十分実用に耐えうるようになったいのが、利用する機能だ。

立した企業で、同社のFortiGateシリーのである。

多くの製品は、あらかじめ複数の機現在、FortiGateシリーズはSOHO向け能が入っており、標準機能以外はライの50A/60/100A、中小企業向けの200A/センスを購入することで機能がアクテ

FortiGateは安定性やパフォーマンス300A、大企業向けの400A/800、通信事ィブになる。FortiGateの場合、ファイをチューニングした「FortiOS」と呼ば業者向けの3000/3600/5000シリーズまアウォールとVPNが標準搭載でアンチれるOS上に、自社開発したファイアウで幅広いラインナップで展開されていウイルスとIDS・IDP、Webフィルタリ

ォール、VPN、アンチウイルス、Webフる。ただ、FortiOS＋ASICというプラッング、アンチスパムはそれぞれオプショィルタリング、アンチスパムなどが搭載

トフォームは基本的に同一で、ログ管理ンを購入する必要がある（図5）。

されている。さらに、FortiGateシリーズ用のHDDを搭載するモデルも用意されもちろん、アンチウイルス、IDS・IDP、で画期的だったのは、今まで汎用CPUている。今回はこのうちSOHO向けのWebフィルタリング、アンチスパムなど「FortiGate-100A」を試用してみた（写の機能は単に動作しているだけでは、意真1・2）。

味がない。固定的に設定を施すファイズは統合型セキュリティゲートウェイのはしりとして知られている。

写真1・2 ● FortiGate-100A

図 5 ●ライセンス形態
オプション

ファイアウォール／VPNは標準装備

アンチウイルス
アンチスパムWebフィルタリング
不正侵入防御（IPS）

初年度

必要

オプション

購入の必要なし

次年度以降購入の必要なし

オプション

必要

保守

4 つのLAN ポートのほか、デュアル ISP 構成をとるためのWAN ポート、DMZ ポートがそれぞれ 2つずつ付いている6

こ ん な に 使 え る 統 合 型 セ キュリ テ ィ ゲ ートウェイ

標準搭載のファイアウォールとVPN 以外は、オプションとして「サブスクリプション」するソリューション提案 統合型セキュリティゲートウェイ

アウォールとVPNを除けば、新しい脅威に対抗するためのデータベースの更新が必要になるからだ。たとえばアンチ

図6 ● 統合セキュリティゲートウェイの導入
導入例1 ルータ・ファイアウォールとして設置

導入例2 ファイアウォールの配下に設置

支社／営業所

支社／営業所ウイルスであればパターンファイル、IDS・IDPであればシグネチャと呼ばれるもので、インターネット経由で更新で本社きなければならない。こうしたデータベースの更新サービスは「サブスクリプション（購読）」と呼ばれており、通常

統合型
セキュリティ
ゲートウェイ

本社

Webサーバファイアウォール

Webサーバ

DMZ

DMZ
サーバ群

統合型
セキュリティ
ゲートウェイサーバ群

はオプションのライセンスに含まれる。
また、このオプションは1 年ごとに更新されるため、1年間経ったら再度更新手続きを取る必要がある。
さらに保守サービスは製品に1 年分が付属し、次年度以降別途購入というパターンになることが多い。

既存のファイアウォール・ルータと同居指せる場合には、トランスペアレントモードで利用すればよい

膨大な設定項目を日本語GUI で扱える
また実際の導入にあたっては既存のファイアウォール／NATルータと併存させるのか、否かを注意しておきたい（図6）。統合型セキュリティゲートウェイの多くはPPPoEやNATなどブロードバンドルータとしての機能も持っている。しかし、最近ではADSLモデムもルータの機能を持っているため、どちらかをオフにする必要があるのだ。FortiGateは「NAT/ルート」モードのほか「トランスペアレント」というブリッジモードがあ

画面1 ●トップページでは、システ
ムや接続の状態、警告などを一元管理できる

るため、既存のファイアウォールに追加する形態でも利用できる。
さっそくFortiGate-100Aの設定を見てく。
「Web Administration」
で「Language」

ワードやPPPoE でのブロードバンド接みよう。初期状態ではDHCPサーバが動を「Japanese」にし、「Apply」ボタンを続、DHCPサーバ、アンチウイルスの強作していないので、設定するコンピュー押すと、表示がすべて日本語になる。

度などを選択するだけだ。

タでは、まず固定でIPアドレス（192.168.

トップページはステータスの表示ペ設定ツールの左側には、「システム」1.2など）を割り当て、次にLANポートージとなっており、各種警告や攻撃情「ルータ」「ファイアウォール」「VPN」、にケーブルを差し込む。その後、PCの報、接続やシステムのリソース使用状態「IPS」、「アンチウイルス」、「Webフィル

Webブラウザから設定ページのIPアドレがまとめて表示される（画面1）。右上にタ」、「スパムフィルタ」「ログ&レポースを入力するとツールが起動する。初は5つのボタンが並び、このうちの「イト」などのボタンが並んでおり、個別の期状態では、表示言語が英語になってージーセットアップウィザード」を起動

設定はここから行なう。左のメニュー

いるのでまずは左側のメニューで「sysすると文字通りウィザード形式で、初期を押すと、サブメニューが表示される。

tem」−「config」で「options」のタブを開設定がすべて行なえる。管理者はパス

それを開くとメニューによっては右側
こ ん な に 使 え る 統 合 型 セ キュリ テ ィ ゲ ートウェイ

7

に複数のタブが登場する。

画面2 ・3 ● FortiGate の設定

複数の機能が搭載されているだけあ

画面2●IDS ・IDP のシグネ
チャを一覧し、それぞれ有効・無効を決められるって、全設定を展開すると非常に膨大な項目になる。ポリシーを登録しなければならないファイアウォールや接続先やセキュリティ設定を行なう必要がある
VPN、閲覧制限するジャンルを選択するWebフィルタリングなどは特に設定項目が多い。逆にアンチウイルスやIDS・IDPなどはパターンファイルやシグネチ
ャの中身を確認する程度で、特別な設定はない（画面2）。

複数のセキュリティ機能にまたがる
プロテクションプロファイル
統合型セキュリティゲートウェイならではの機能として注目したいのは、「ファイアウォール」の「プロテクションプロファイル」という設定だ。これは複数のセキュリティ機能の設定を1 つのプロファイルにまとめる機能である。プロフ
ァイルを開くと、「アンチウイルス」、「Webフィルタリング」、「Webカテゴリフィルタリング」、「Webカタログフィルタリング」、「Spamフィルタリング」、「IPS」

画面 3 ● 複数のセキュリティ機能の設定をまとめたプロテクション
プロファイル「コンテンツアーカイブ」など各機能のあれば「違法性・犯罪性の高いサイト」設定で、LANからインターネットへのト

たとえば「アンチウイルス」では、どや「非生産的になりそうなサイト」など

ラフィックなどに対して、このプロファのプロトコルを対象とするか、ファイルいずれのカテゴリをブロックするか、なイルを適用する。使いこなすと、「12時サイズのしきい値を超えた場合どうすど詳細な設定が行なえる。このようにから13時まで特定のユーザーについてるかなどが指定できる。
「Webカテゴリ各セキュリティ機能の設定を横断的にのみ業界動向を流すニュースサイトだフィルタリング」ではカテゴリブロックまとめて1つのプロファイルにするのだ。

け閲覧可能にする」といった細かいアクを有効にするか、また有効にするのでそして、ファイアウォールのポリシー設定が並んでいる（画面3）。

お問い合わせ先

www.fortinet.co.jp
問い合わせ先フォーティネットジャパン株式会社〒107-0052 東京都港区赤坂2 -12 -10 国際溜池ビル 6F
TEL. 03- 5549 -1640
資料請求、ご相談はこちらから

http://www.fortinet.co.jp/contact/8

こ ん な に 使 え る 統 合 型 セ キュリ テ ィ ゲ ートウェイ

セス制御が行なえる。