2009年度システム技術分科会第２回会合

ネットワークセキュリティへの取り組み
2010年1月20日

富士通株式会社
ネットワークサービス事業本部
プロダクト企画事業部
天満 尚二
FUJITSU CONFIDENTIAL

Copyright 2010 FUJITSU LIMITEDネットワークセキュリティの現状
 企業ITシステムでは、ネットワークの各エッジにおいてセキュリティ対策が取られている。
インターネット① インターネットに対する対策② イントラネットに対する対策
データセンター③ オフィス内ＬＡＮに対する対策
DMZ③オフィス内ＬＡＮに対する対策 ①インターネットに対する対策
 不正接続に対する防御 不正アクセスに対する防御

 インターネットに対するアクセス防御¾ インターネットからのアクセスに対する防御¾インターネットに対するアクセス防御

Webシステムメールシステムオフィスイントラネット②イントラネットに対する対策
不正アクセス に対する防御
FUJITSU CONFIDENTIAL

1

システムＡ

システムＢ

Copyright 2010 FUJITSU LIMITED① インターネットに対する対策② イントラネットに対する対策※イントラネットの対策の基本は、インターネットに対する対策と同じ。

FUJITSU CONFIDENTIAL

Copyright 2010 FUJITSU LIMITED① インターネットに対する対策インターネットからの脅威
インターネットを有効活用する場合に、さまざまな脅威が存在する
インターネットを有効活用する場合に、さまざまな脅威が存在する
各種情報サイト・サービス

業務システム社内システム
対する脅威

不正侵入
不正侵入
情報漏洩(P2P）
情報漏洩(P2P）

社内ネットワーク

ウィルス侵入ウィルス侵入利用者

有害なWebサイト
有害なWebサイト

顧客向けサービス

公開システムに対する脅威
Webサイト改ざん
Webサイト改ざん

インターネット
FUJITSU CONFIDENTIAL

情報搾取
情報搾取
3

重要データ

公開サーバ
Copyright 2010 FUJITSU LIMITED① インターネットに対する対策

今までの対策と当社の取り組み
項機能概要

富士通の取り組み

インターネットからの不正なアクセスを防御
１ ファイアーウォール
アノマリ型
２ ＩＰＳ

外部との境界を流れるデータを監視し、不正なアクセスを検出・遮断
DoS/DDoS攻撃を防御する
ワームやサービス拒否攻撃(DoS)など アノマリ型IPS機能を提供（振る舞い検知型）のパケットの特徴的なパターンを記憶し、該当する接続を検知、遮断し、管シグネチャー型（パターンチェック型） 理者へ通知・ログ

３ アンチウィルス

予め用意されたウイルス検知パターンとファイルを比較し、検出アンチウィルスの一部機能までカバー
パターンマッチング方式とヒューリスティック方式の両方をカバー

インターネットへの不正なアクセスを防止
４ Ｗｅｂコンテンツフィルタ

Webページの内容をチェックし、有害と思われるページへのアクセスを防止

プロキシモード、透過プロキ
シモード、完全透過モードの３方式を提供

IPパケットや情報を暗号化して送受信

パスMTUディスカバリ機能
でパスMTU問題を回避して確実な通信を実現

通信データの改竄・盗み見防止
５ ＶＰＮ

FUJITSU CONFIDENTIAL

IPsec
SSL

4

Copyright 2010 FUJITSU LIMITED① インターネットに対する対策

ファイアーウォールのみでは安全ではない！
システム停止や情報漏洩の原因となる脅威に対する対策状況は？
出展：警察庁生活安全局情報技術犯罪対策課
ＦＷの導入率

9割以上の企業はファイアーウォールを導入

8 8 .7

[％]
020

4060

80

100

企業における情報セキュリティ実態調査2008（NRIｾｷｭｱﾃｸﾉﾛｼﾞｰｽﾞ株) でも96%の企業がファイアーウォールを導入済と回答

Webサイトを改ざん・侵入して情報搾取する事件が急増

インターネットに対するセキュリティ対策は、インターネットに対するセキュリティ対策は、ファイアウォールのみでは安全ではない！
ファイアウォールのみでは安全ではない！

ＦＷを設置しているのに、なぜ問題が発生したんだ？

UTMの浸透率は30%程度と言われています

更に上位レベルの対策が必要
更に上位レベルの対策が必要
FUJITSU CONFIDENTIAL

5

Copyright 2010 FUJITSU LIMITED① インターネットに対する対策

Ｗｅｂアプリケーションへの脅威が増加
 攻撃の増加
クロスサイトスクリプティングやSQLインジェクションなど、Webアプリケーションをねらった攻撃が増加
修正に時間がかかる
SQLインジェクションなどWebアプリケーションの脆弱性は修正に時間がかかる※出展：IPA 独立行政法人 情報処理推進機構
FUJITSU CONFIDENTIAL

6

Copyright 2010 FUJITSU LIMITED① インターネットに対する対策

ＷＡＦで費用を抑えて大きな効果
Webアプリケーションの脆弱性対策
本来は、アプリケーション修正が望ましいが…
・ アプリケーションの複雑化／増大化により修正コストが莫大
アプリケーションの複雑化／増大化により修正コストが莫大
防御手段
ＦＷ／ＩＰＳ導入
FW/アノマリ型ＩＰＳ

シグネチャー型
ＩＰＳ

ＷＡＦ導入
ネガティブモデル
ＷＡＦ

Webの脆弱性対策にはまだ不充分

ポジティブモデル
ＷＡＦ

コストバランス
が最適

人手対応
アプリ修正

修正費用が膨大

ＷＡＦによる仮想的なパッチで費用を抑えて，大きな効果
低低
FUJITSU CONFIDENTIAL

安全度・コスト
安全度・コスト7

高高Copyright 2010 FUJITSU LIMITED① インターネットに対する対策

ＩＰＣＯＭによるＷＡＦに対する取り組み 多彩な利用形態

他のセキュリティ機能と合わせて利用ロードバランス機能と合わせて利用 スケーラブルに利用

セキュリティ機能、ロードバランス機能とトータルに利用

ロードバランス

通信量など、成長に合わせ追加導入
ＷＡＦ 容易な運用性装置追加で処理量向上

学習機能を利用し、状況の解析、設定の改善などの容易な運用サイクルをサポート

学習解析

Webサイト毎の攻撃種別の統計情報を表示可能
FUJITSU CONFIDENTIAL

8運用設定
Copyright 2010 FUJITSU LIMITED① インターネットに対する対策

ＩＰＣＯＭで最新脅威をトータルに対策
Step1：P2Pソフト対策も可能なファイアーウォール
Step2：UTM機能（シグネチャー型ＩＰＳアンチウイルス、Ｗｅｂコンテンツフィルタリング）を追加
Step3：ＷＡＦ機能（Webアプリケーション・ファイアーウォール）を追加
Step2：ＵＴＭ
Step2：ＵＴＭ （シグネチャー型IPS、アンチウイルス、Webコンテンツフィルタリング）（シグネチャー型IPS、アンチウイルス、Webコンテンツフィルタリング）
侵入・攻撃から防御

ウイルスの侵入を防止

安全なｲﾝﾀｰﾈｯﾄ利用

シグネチャー型IPS

アンチウィルス

Webｺﾝﾃﾝﾂﾌｨﾙﾀﾘﾝｸﾞ

インターネット

公開サーバ

イントラネット

イントラネット

Step3：ＷＡＦ
Step3：ＷＡＦ
ｱﾌﾟﾘ脆弱性・漏洩対策
ＷＡＦ

安全なリモートアクセス
ＶＰＮ

悪意のある人ウイルス

ＵＴＭ

不適切なアプリを遮断

Step1：ファイアーウォール
Step1：ファイアーウォール
有害なサイトFUJITSU CONFIDENTIAL

社員・職員
9

Copyright 2010 FUJITSU LIMITED① インターネットに対する対策

ＩＰＣＯＭの特長：様々なセキュリテイ機能
 既存セキュリティ機能と組合せてシステムを強固に防御 5階層の防御壁でシステムを保護 1台の装置で様々な攻撃に対するセキュリティを実現
IPCOMの不正アクセス防御の考え方
５階層の防御壁DMZ

DoS/DDoS等の攻撃
DoS/DDoS等の攻撃
非公開ｱﾄﾞﾚｽ/ﾎﾟｰﾄへの攻撃
非公開ｱﾄﾞﾚｽ/ﾎﾟｰﾄへの攻撃
OS/ﾐﾄﾞﾙｳｪｱを狙った攻撃
OS/ﾐﾄﾞﾙｳｪｱを狙った攻撃
aaa

ｳｲﾙｽ付きﾌｧｲﾙのｱｯﾌﾟﾛｰﾄﾞ
ｳｲﾙｽ付きﾌｧｲﾙのｱｯﾌﾟﾛｰﾄﾞ

xx xxx xx xxx
xxxxx xxx xx

不正なﾊﾟﾗﾒｰﾀのHTTPﾘｸｴｽﾄ
不正なﾊﾟﾗﾒｰﾀのHTTPﾘｸｴｽﾄ

HTTPﾘｸｴｽﾄ

許可したﾊﾟﾗﾒｰﾀのHTTPﾘｸｴｽﾄ
許可したﾊﾟﾗﾒｰﾀのHTTPﾘｸｴｽﾄ
インターネット

FUJITSU CONFIDENTIAL

ｱﾉﾏﾘ型 FW ｼｸﾞﾈﾁｬｰ ｱﾝﾁIPS
型IPS ｳｲﾙｽ
10

WAF

サーバ Webサーバ
負荷分散
Copyright 2010 FUJITSU LIMITED③ オフィス内ＬＡＮに対する対策

FUJITSU CONFIDENTIAL

Copyright 2010 FUJITSU LIMITED③ オフィス内ＬＡＮに対する対策

無統制な持ち込みＰＣの利用は情報漏洩を招く
セキュリティ対策の実施されていないパソコンが社内に持ち込まれると多くの問題が発生。
社内に持ち込まれると多くの問題が発生。
会社から支給されたPC

持ち込みＰＣ
社内資源(データ、アプリ、ハード、etc…)

情報漏洩
社内情報の持ち出し

個人情報・機密情報組織のセキュリティ規定に沿った対策

ウィルス感染ＰＣ ウィルス蔓延の持ち込み

・Windows UPDATEの適用
・ウィルス対策ソフトの適用
・ハードディスク暗号化
・シンクライアント…etc.

管理されているＰＣ
FUJITSU CONFIDENTIAL

持ち込みＰＣは管理できない
12

Copyright 2010 FUJITSU LIMITED③ オフィス内ＬＡＮに対する対策

情報漏洩が激増「内部不正行為」や「不正情報持ち出し」「内部不正行為」や「不正情報持ち出し」
発生件数の全体に占める割合は小さいが、1件当たりの漏洩した情報量は多い
発生件数の全体に占める割合は小さいが、1件当たりの漏洩した情報量は多い
情報漏洩件数
2008年度は約1400件。2008年度は2007年度の1.5倍
1400
1200
1000
800
600
400
200
0

2002年

2003年

2004年

2005年

2006年

2007年

2008年

出展：日本ネットワークセキュリティ協会(JNSA) ：2008年情報セキュリティインシデントに関する調査報告書 Ver.1.3)

FUJITSU CONFIDENTIAL

13

Copyright 2010 FUJITSU LIMITED③ オフィス内ＬＡＮに対する対策

持ち込みＰＣ対策「内部不正行為」や「不正情報持ち出し」に対する対策は、ＰＣの接続状況を監視し、持ち込みＰＣを排除すること。
ＰＣの接続状況を監視し、持ち込みＰＣを排除すること。
(1) 持ち込みＰＣの遮断 (不正接続防止)
検知センサー

社内ネット業務サーバ
既設スイッチ

認証サーバ■ 特長
・ 現状のお客様環境にアドオン導入
・ ＰＣに、ソフトウェアをインストールする不要(2) ＰＣの認証・検疫
認証スイッチ
検疫サーバ
社内(管理)ＰＣ 持ち込みＰＣ

FUJITSU CONFIDENTIAL

アップデート用サーバ■ 特長
・ Windowsセキュリティパッチやウイルス対策ソフトのパターンファイルの古いPCも排除
・ セキュリティ対策が不十分なPCにパターンファイルを適用させることも可能
14

Copyright 2010 FUJITSU LIMITED③ オフィス内ＬＡＮに対する対策(1)持ち込みＰＣの遮断(不正接続防止) –ＡＲＰ認証ＳＲ－Ｓを1台導入することで、不正な機器を検出しIP通信を遮断（妨害）
不正な機器を検出しIP通信を遮断（妨害）
業務サーバ

MACアドレス情報の問い合わせ（RADIUS）

認証サーバ（Safeauthor）
管理サーバ Systemwalker Desktop ※1
Inspection Base Edition

社内ネットワーク
ユーザ
認証情報

RADIUSの二重化が可能※ RADIUSサーバ（認証サーバ）がダウンした場合、SR-Sに予め設定した特定VLANへの通信を許可する運用も可能(導入コスト低減)

SR-Sシリーズ

ARPフレームを監視し、MACアドレスをもとにRADIUS認証を実施
不正と判断された機器の通信を遮断（妨害）。

ローカル認証（※2）
MACアドレス
VLAN ※ １つのネットワーク（サブネット）内であれば、00:00:0e:00:00:01 10
どこに接続しても不正な機器を検知・遮断（妨害）。
00:00:0e:00:00:02 20
また、複数ＶＬＡＮも１台のSR-Sでカバー。
正規利用端末(MACアドレス登録済)

持ち込み端末(MACアドレス未登録)

SR-S200シリーズ：端末250台
SR-S300/700シリーズ:1000台※1 Systemwalker Desktop Inspection Base Edition はARP認証/MACアドレス認証のRADIUSサーバとしてご利用頂けます。
その際、クライアントライセンスは「クライアントライセンス（遮断）」を選択下さい。
※2 SR-S内に登録したMACアドレス情報を利用したローカル認証も可能です。
FUJITSU CONFIDENTIAL
15
Copyright 2010 FUJITSU LIMITED③ オフィス内ＬＡＮに対する対策(2)ＰＣの認証・検疫 -ＭＡＣアドレス認証ネットワーク機器のＭＡＣアドレスをもとに認証
IP電話等の自発的にパケットを送信してくるネットワーク機器も認証
認証サーバ（Safeauthor）
管理サーバ Systemwalker Desktop
Inspection Base Edition

ユーザ名/パスワード入力は不要。
RADIUSサーバ（もしくはSR-S）のMACアドレス情報をもとに認証。
登録していない持ち込み端末をつないだ場合は接続不可
正規利用者(MACアドレス登録済)

ユーザ
認証情報

RADIUSの二重化が可能※ RADIUSサーバ（認証サーバ）がダウンした場合、SR-Sに予め設定した特定VLANへの通信を許可する運用も可能(導入コスト低減)

SR-Sシリーズ
業務サーバ

ＩＰ電話も認証可能
持ち込みPC(MACアドレス未登録)

FUJITSU CONFIDENTIAL

IP電話（MACアドレス登録済）

16

Copyright 2010 FUJITSU LIMITED③ オフィス内ＬＡＮに対する対策(2)ＰＣの認証・検疫 -IEEE802.1X認証ユーザID／パスワード （PEAP）、または、証明書(EAP-TLS)により認証された利用者、または、コンピュータのみに通信を許可
認証サーバ（Safeauthor）
ユーザ
認証情報

RADIUSの二重化が可能※ RADIUSサーバ（認証サーバ）がダウンした場合、SR-Sに予め設定した特定VLANへの通信を許可する運用も可能(導入コスト低減)① IEEE802.1X認証(ユーザID,パスワード)② RADIUS認証（※1）

業務サーバ

SR-Sシリーズ③ 認証OKの場合、社内ﾈｯﾄﾜｰｸに接続可能
SR-SはMicrosoft社 NAP（※2）パートナーに認定されており、ActiveDirectory環境にも対応。

※1 SR-S内に登録したユーザ情報を利用したローカル認証も可能です。 （但し、利用可能な認証方式は「EAP-MD5」のみで、「PEAP」や「EAP-TLS」などは利用できません）※2 NAP(Network Access Protection) ：Microsoft社が提供する認証・検疫ソリューションに必要なフレームワークです。
FUJITSU CONFIDENTIAL
17
Copyright 2010 FUJITSU LIMITED③ オフィス内ＬＡＮに対する対策「不正接続防止」から「検疫」にステップアップ（富士通のみ）検知センサーとして導入したSR-Sをそのまま利用。
検知センサーとして導入したSR-Sをそのまま利用。 （富士通のみ）ハブを置換え、利用者認証/パソコン認証/検疫までステップ展開。
ハブを置換え、利用者認証/パソコン認証/検疫までステップ展開。
Step 1：不正接続防止

Step 2：ＰＣの検疫業務システム業務システム

認証サーバ

Safeauthor

Safeauthor

既存スイッチ検知センサー（SR-S）

登録済ＰＣ 登録済ＰＣ

未登録パソコン

FUJITSU CONFIDENTIAL

検疫サーバ

ハブの置換え検疫へ発展

Systemwalker
Desktop Inspection
認証スイッチ(SR-S)

安全なＰＣ 未登録パソコン セキュリティ対策
不十分なＰＣ
18Copyright 2010 FUJITSU LIMITEDオフィス環境の変化への対応

FUJITSU CONFIDENTIAL

Copyright 2010 FUJITSU LIMITEDオフィスのネットワーク セキュリティは無線へ無線環境へと変わるオフィス。
無線環境へと変わるオフィス。
ネットワークネットワーク セキュリティはどのように変わるのか。
セキュリティはどのように変わるのか。
無線化するとセキュリティが心配と言うけれど….
無線化するとセキュリティが心配と言うけれど….
基本は、「接続認証」
基本は、「接続認証」 とと 「データの秘匿」「データの秘匿」
オフィス
有線LAN

Internet/Intranet

無線LAN

3G
WiMAX

自宅
社外

④オフィスの無線化への対策
FUJITSU CONFIDENTIAL

有線LAN
20

⑤モバイルへの対策
Copyright 2010 FUJITSU LIMITED④ オフィスの無線化への対策

FUJITSU CONFIDENTIAL

Copyright 2010 FUJITSU LIMITED④ オフィス無線化への内ＬＡＮに対する対策

ハイブリッド型無線LANシステム ＳＲ－Ｍシリーズ
独立型とコントローラ型のそれぞれの利点を製品に反映
独立型
独立型

コントローラ型
コントローラ型

各APが無線LANパケット処理
z 無線LAN管理はなし
z

インターネット

アクセスポイント(AP)

管理

コントローラが無線LANパケット処理（全ての通信はコントローラを経由）
zコントローラで各ＡＰを一元管理
インターネットz

コントローラ
専用機

ルータ/
スイッチ

転送
転送
認証
認証
暗号
暗号

×個別に管理のみ

信頼性 ○障害の局所化

ハイブリッド型(ＳＲ－Ｍ)
ハイブリッド型(ＳＲ－Ｍ)z

各APで無線LANパケット処理。
APまたはSi-R/SR-Sで無線LAN管理
インターネット
Si-R/
SR-S

転送
転送
認証
認証
管理
管理

アクセスポイント(AP)z

管理機能は規模に応じて選択可能

管理
管理

アクセスポイント
(AP)

暗号
暗号

管理
管理
転送
転送
認証
認証
暗号
暗号

○一元管理、電波調整○一元管理、電波調整×コントローラ障害で停止○障害の局所化

利点を反映

性能○アクセスポイント毎にトラフィック分散×コントローラに全トラフィック集中○アクセスポイント毎にトラフィック分散

コスト

○低コスト

×高コスト

○低コスト

FUJITSU CONFIDENTIAL

22Copyright 2010 FUJITSU LIMITED④ オフィス無線化への内ＬＡＮに対する対策

無線ＬＡＮにおける不正接続防止
・・ 接続認証：SR-Sと同様、ＭＡＣアドレス認証、IEEE802.1X認証に対応
接続認証：SR-Sと同様、ＭＡＣアドレス認証、IEEE802.1X認証に対応
・・ データ秘匿：業界標準WPA／WPA2
データ秘匿：業界標準WPA／WPA2 に準拠に準拠
更に、アクセス制御(ACL/SPI/IDS)により不正アクセスに対応
更に、アクセス制御(ACL/SPI/IDS)により不正アクセスに対応
オフィス

バックボーンスイッチ
認証サーバ

スイッチ
MACアドレス認証／
IEEE802.1X認証

強固な暗号通信

検疫サーバ
ACL/SPI/IDSによる不正アクセス防止

ＳＲ－Ｍ

ＳＲ－Ｍ

許可したパソコン／人だけ接続
FUJITSU CONFIDENTIAL

23

Copyright 20092010 FUJITSU LIMITED④ オフィス無線化への内ＬＡＮに対する対策

仮想アクセスポイント(ＶＡＰ機能)
1つのアクセスポイントで、SSID毎に、マルチセキュリティ設定が可能 (VAP機能)
・セキュリティレベルの異なる端末を1台のＳＲ－Ｍに収容・端末毎にアクセス可能な領域を分離
共通サーバ

基幹業務サーバ

VLAN:1
SSID ：office1
認証 ：WPA2-EAP
暗号：AES

ＳＲ－Ｍ

セキュリティレベルの低い
端末は共通サーバのみにアクセス可能

高セキュリティの端末
は基幹業務サーバ・共通サーバともアクセス可能

FUJITSU CONFIDENTIAL

VLAN:2
SSID ：office2
認証 ：オープン
暗号：WEP

24

Copyright 2010 FUJITSU LIMITED⑤ モバイルへの対策

FUJITSU CONFIDENTIAL

Copyright 2010 FUJITSU LIMITED⑤モバイルへの対策

ＩＰＣＯＭ ＥＸシリーズのモバイルアクセス機能強化
SSL-VPN/L2TP/IPsecプロトコルによるVPNゲートウェイ機能の提供¾ Windows標準のVPNクライアントによる接続に対応。
・ F1100などのWindowsMobile、WindowsVista/XPからの接続に対応。

¾ IPsec NATトラバーサル機能
・ NAT環境からのL2TP/IPsec、IPsecの接続に対応。
スマートフォンやWindows PCのVPN接続と、SSL-VPNによるPC接続により、業務スタイル(利用シーン）応じた端末接続を実現。
お客様

F1100
WindowsMobile
標準VPN
クライアントWindows
Vista/XP
標準VPN
クライアント

携帯網・無線LAN・インターネット

L2TP/IPsecトンネル
ネルン
トce
IPs
L2TP/ネル
ン
NトP
V
SSL

Webブラウザ
SSL-VPN
クライアントFUJITSU CONFIDENTIAL

業務サーバ
グループウェア
サーバ

26

L2TP/IPsec、SSL-VPNが一台で構築可能！
幅広い広いVPNの選択
Copyright 2010 FUJITSU LIMITED⑤モバイルへの対策

リモートアクセス検疫
オフィスからのイントラネット経由のアクセスと同様に、外部からアクセスするパソコン認証・検疫
業務サーバ

社内システムIPCOM Lシリーズ
検疫サーバ

セキュリティ対策
未実施

インターネット(VPN暗号化）

自宅等

セキュリティ対策が甘いPC
FUJITSU CONFIDENTIAL

出張先・・・・
自宅等
27

事前登録PC
セキュリティ対策も万全
Copyright 2010 FUJITSU LIMITED

まとめ
全てのエッジに、最適なセキュリティ対策
社外自宅3GWiMAX

インターネット

データセンター
DMZ⑤モバイルへの対策
 ＩＰＣＯＭシリーズ③オフィス内ＬＡＮに対する対策
 ＳＲ－Ｓシリーズ①インターネットに対する対策
 ＩＰＣＯＭシリーズ
Webシステムメールシステムオフィスイントラネット②イントラネットに対する対策
 ＩＰＣＯＭシリーズ④オフィス無線化への内ＬＡＮに対する対策
 ＳＲ－Ｍシリーズ
FUJITSU CONFIDENTIAL

28

システムＡ

システムＢ

Copyright 2010 FUJITSU LIMITEDFUJITSU CONFIDENTIAL

29

Copyright 2010 FUJITSU LIMITED