エンドポイントで PCIデータを自動識別
PCIデータを自動識別、データを自動識別、
PCI DSSに準拠した制御を提DSSに準拠した制御を提供に準拠した制御を提供
デジタルガーディアン株式会社
坂橋 晃司
2015年
2015年7月28日
28日

デジタルガーディアン
デジタルガーディアン
機密データ保護や情報漏洩対策のパイオニア

データ・セキュリティに特化したエンドポイント・ソフトウェア・ベンダー（知財）保護で高い評価•• Intellectual Property（）のリーダー
設立： 年 （ 年、日本進出）
本社：
他拠点：、東京、他グローバルサポート体制（ カ国以上）
導入実績： 250社+
テクノロジー・パートナー： VDI、シンクライアント、SIEM、次世代ファイアウォールなど
ETDR Endpoint Threat Detection & Response
2003
2006
Boston, MA•

London50

54カ国を超えて展開

特許保有TOP10の7社が利用

われわれのデータプロテクタは エナジー
エナジー 金融
様々な分野で活用

全世界で非常に大規模で、最も尊敬され世界で非常に大規模で、最も尊敬されている企業でも 30万万を超えてデプロイ
TOP10自動車メーカーの5社が利用

１つの管理サー１つの管理サーバで理サーバで25万端末を管理できるエージェント・ベースのオンリーワン・テクノロジー
オンリーワン・テクノロジー

官公庁 ハイテク ヘルスケア 製造業

Confidential

3

導入事例

当日後紹介します。
Confidential

4

PCI DSS 3.0 概要とDG
概要とDG対応表
DG対応表
PCI DSS 3.0

安全なネットワークとシステムの構築と維持

Digital Guardian

要件1
要件2

カード会員データを保護するために、ファイアウォールをインストールして維持する
システムパスワードおよびその他のセキュリティパラメータにベンダ提供のデフォ
ルト値を使用しない

要件3
要件4

保存されるカード会員データを保護する
オープンな公共ネットワーク経由でカード会員データを伝送する場合、暗号化する

◎
◎

要件5
要件6

すべてのシステムをマルウェアから保護し、ウィルス対策ソフトウェアまたはプログ
ラムを定期的に更新する
安全性の高いシステムとアプリケーションを開発し、保守する

◎

要件7
要件8
要件9

カード会員データへのアクセスを、業務上必要な範囲内に制限する
システムコンポーネントへのアクセスを識別・認証するカード会員データへの物理アクセスを制限する○

カード会員データの保護

脆弱性管理プログラムの維持

強力なアクセス制御手法の導入

ネットワークの定期的な監視およびテスト

-

-

-

○

要件10 ネットワークリソースおよびカード会員データへのすべてのアクセスを追跡および監視する
要件11 セキュリティシステムおよびプロセスを定期的にテストする◎要件12 すべての担当者の情報セキュリティに対応するポリシーを維持する◎

情報セキュリティポリシーの維持

対応状況

-

-

Confidential

5

要件３の提唱
要件3：
要件 ： 保存されるカード会員データを保護する
存されるカード会員データを保護する

カード会員情報データの検知および分類
カード会員データのみ自動的にタグ付けして、漏洩に繋がる行為を常時監視し、社外へ出るような際に制御（警告、ブロック、暗号化など）する。
（例１） カード情報が入ったファイルをコピー、移動、ファイル名/拡張子変更、印刷、
プリントスクリーンの行為を監視（ログ収集）し、その行為をブロックする。
1)2)（例 ２） １ファイルにカード情報が、5件以上入っていれば、警告のみ
゛、50件以上入ってれば、暗号化
゛、100件以上入っていれば、ブロック
Confidential6データ自動分類する方法
例: クレジットカード#を含む?

Upload/Download

Source/Destination

非構造化データでは無効

User

Application
~200

mac
Joe Smith462-81-5406
42 Wallaby
Cook

Computer

コンテキストのコンテキストのパラメータ

Network StateClassification（分類）

Operation

Email

Drive Type

SessionTime of Day

Context

Content
Confidential

7

データ自
データ自動
タ自動分類
散在するデータの中からクレジットカード番号が入ったファイルを見付けて、タグ付け分類（コンテキスト・クラシフィケーション）：ファイル属性やメタデータ

1) Context Classification

ファイル拡張子Ex) pdf, xls(x), doc(x)ファイル・パス（ロケーション） Ex) \\nas\開発\GL_A
ファイル名Ex)社外秘_経理_2014.xlsx, confidential_finance.xlsx
ファイル容量Ex)10MB以上（コンテント・クラシフィケーション）：ファイル内のテキストなどコンテンツ

2) Content Classification

キーワード
正規表現
辞書

7/24/2015

Ex)
Ex)
Ex)

ファイル内のテキストに 「社外秘」, “confidential”
桁数：\d{10}|\d{11}→10桁or11桁の数字を検索（電話番号）
登録されているナンバー：SSN, CC#（Visa, Mastercard）など
Verdasys Confidential8タグとは？
領域を特殊なツールで閲覧した画面

ADS「タグ」とは、ファイルに対してそのファイルが保有するADS（Alternate Data Streams：
代替データストリーム）領域
タグに任意で付けられる文字列
タグそのものに機能 はなく、コントロール・ルールでタグ付けされたファイルを制御管理• １つのタグに複数のコントロール・ルールを適用可能
一旦、付いたタグは移動先がNTFS（ファイルシステム）であれば、移動後も継承される*1*2

厳密には、ファイルの一部でもコピーなどした際にも継承される「Permanentタグ」と継承されない「Temporaryタグ」の２種類ある。
但し、エキストポート先が、FATなどNTFS以外のファイルシステムの場合、タグは外れます。また、メールで添付、WinZIP以外でアーカイブ
してZIP化した場合、その他フォークをサポートしないプログラムでUploadした場合、タグは外れる可能性があります。

*1*2

7/24/2015

Verdasys Confidential
9

タグを付ける
タグを付けるタイミング
付けるタイミング
タイミングは2種類

Tagging and classification

ファイル操作時
ファイル操作時）：タグを付けるべきファイル属性や、キーワードなどの条件をクラシフィ
ケーション・ルールで定義し、各端末にポリシーとして適用する。ユー
ザが、ファイル操作を行った時点（data-in-motion）で、クラシフィケー
ション ルールに該当するファイルであればのそのルールのタグが付けられる。
2) Data-At-Rest（静止ファイル）：ユーザが何も操作を行わなていないファイル（data-at-rest）が、
DG Scannerによってクラシフィケーション ルールが定義する条件にあてはまるかどうかの評価を受ける。クラシフィケーション ルー キーワード
ルに該当するファイルなら、そのルールのタグが付けられる。
リスト
基本、DG Scannerは、決められた時刻に自動実行される。
スケジュールされた時刻に対象となる端末の電源が入っていな
いなどして、一定期間DG Scannerが実行されなかった場合、電源 キーワードが入った時に自動的に実行する設定や、アイドル状態に実行さ 照合せる設定などがある。
1) Data-In-Motion（

ファイルのコンテキスト（属性）情報
ファイルのコンテキスト（属性）情報による分類
サーバからファイルコピー
した時にタグを付ける

ファイルサーバ

ファイルのテキスト内容による分類
・ “機密”
・ “社外秘”ドキュメント

7/24/2015

Verdasys Confidential

ユーザ端末

ドキュメントの内容に特定のキーワードが含まれている時にタグを付ける
ドキュメント10

要件４の提唱
要件4：オープンな公共ネットワーク経由でカード会員
要件 ：オープンな公共ネットワーク経由でカード会員
データを伝送する場合、暗号化する
データを伝送する場合、暗号化する

カード会員情報の入ったファイルをメールする際には、すべて暗号化AFE（Adaptive File Encryption）機能• カード会員情報の入ったファイルをアップロードさせない。
または、暗号化されていないファイルはアップロードできなくする。
•＊外部記憶装置や外部メディアへ書き出し、コピー、移動も当然暗号化すべき
Confidential

11

活用シーン
活用シーン
DGのポリシー設定
サーバから配信
配信）
DGのポリシー設定 （DGサーバから
DGサーバから
配信）① メール添付ファイルの透過的暗号化② リムーバブルメディアへの透過的暗号化

DG エージェント
自動暗号化【電子証明書による】

DG エージェント

自動で暗号解除（閲覧編集可能）【DGエージェントが自動復号】

・ メール添付・ リムーバブルメディアへの書込み

ユーザによる
パスワード入力の画面

社内 → 社内
社内 → 社外【ポイント】
ポイント】

自動暗号化【電子証明書による】
自動暗号化【電子証明書による】自動暗号化【ZIP圧縮＋パスワードによる保護】(1) 社内ユーザとのファイルの交換は、（DG エージェントなし）

閲覧不可（文字化け）

パスワードで暗号解除（閲覧編集可能）（解凍ツールを利用）

電子証明書による自動暗号化で保護（透過的な暗号化）(2) 社外へのファイルの発信は、（専用ユーティリティを利用）

パスワードベースの暗号化で保護（暗号化は自動。
(3) 保護対象：

解除は手動）

メール添付、リムーバブルメディア

自動暗号化【パスワード による保護】※ユーティリティを自動コピー

活用シーン
活用シーンの事例
シーンの事例
社内ユーザ間での情報流通：① XLSX形式のメール添付ファイルは自動暗号化する。
ファイルを開くには、DGエージェントが動作している端末でなくてはならない。DGエージェントで保護されていない端末ではファイルを開くことができない。【監査の徹底、情報の保護】
監査の徹底、情報の保護】② XLSX, PPTX, PDF 形式のメール添付ファイルは、ユーザに警告画面を表示（TO, CC, BCCを自動識別）する。
ユーザがパスワードを入力し「暗号化」ボタンを押すと、添付ファイルは自動で暗号化され、メールが送信される。
警告画面で送信を「キャンセル」することも可能。【セキュリティ意識の向上、教育・啓蒙効果】
セキュリティ意識の向上、教育・啓蒙効果】③ USBメモリなどのリムーバブルメディアにファイルを書き込むと、自動で暗号化する。
社外にUSBメモリを持ち出しても、DGエージェントがインストールされていないのでファイルを開くことができない。
【情報保護の徹底と、ビジネス継続性の維持】
情報保護の徹底と、ビジネス継続性の維持】
社外ユーザへのメール発信：① メール添付の場合、XLSX, PPTX形式の添付ファイルを添付して送信する時に警告を表示する。
パスワードを入力すると、自動的に添付ファイルをZIP圧縮＋パスワード保護で暗号化する。
【監査の徹底、情報の保護】
監査の徹底、情報の保護】② USBメモリを利用する場合、PDF形式のファイルをUSBメモリなどのリムーバブルメディアにコピーすると、パスワードベー
スで自動暗号化する。同時に、復号用のユーティリティもコピーされるので、これを利用して、社外ユーザはファイルを開くことができる。ユーティリティを利用すると、ファイルを閉じる際に、再度、暗号化されるので、USBメモリ上では
常に情報は暗号化される。 【情報の保護】
情報の保護】

要件５の提唱
すべてのシステムをマルウェアから保護し、ウィルス対策ソフトウェアまたはプログラムを定期的に更新する

既知のマルウェアは、NWセキュリティおよびA/Vソフト
ウェアで随時更新• 未知のマルウェアは、次世代FWおよびエンドポイントで振る舞い検知ATP（Advanced Threat Protection）機能•

Confidential

14

未知のマルウェアの検知
未知のマルウェアの検知
マルウェア特有の典型的な振る舞いを追跡して検知

サイバーパック・（外部攻撃対策用）ポリシーに基づいて、マルウェア特有の振る舞いを追跡しながら、それらサイバー攻撃の一連の活動として有機的に結びつけ、特定・検知する
振る舞い追跡検知型
振る舞い追跡検知型• 例えば・・・今までに一度も起動したことがない（未知の）ア
プリケーションが起動し、大量のデータを分割しながらアーカ
イブ化する。それらの分割ファイルを定期的に外部（中国や取引のない国などのIPアドレス）へ繰り返し送信する一連の振る舞い•

シグネチャーベースではないので未知シグネチャーベースではないので未知の攻撃も検知。
未知の攻撃も検知。
出張中などオフラインでももポリシーが有効
出張中などオフラインでポリシーが有効

7/24/2015

Verdasys Confidential

15

多層防御のサイバー・パック・ポリシー
多層防御のサイバー・パック・ポリシー

侵入フェーズでマルウェアを特定or検知 (右図： Pre-Infiltration)• OS (Windows XP/7/8)•

アプリケーション• Adobe Reader, Office 2007/2010, Browser• その他: Java, add-onツール

Pre-Infiltration（侵入前）

侵入後にマルウェアを特定
or検知 (Post-Infection)（侵入後）許可されていないまたは異常なプロセスや子プロセス
マルウェア侵入拡大の動きの特定
or検知 (Malware Movement)
マルウェア内部拡散

Post-Infection

•
•

•
•
•

•
•

バックドア開設、ポートスキャン、脆弱性の発見など
他エンドポイントへの感染行為
機密データの収集

ピボットポイント – 再度外部から攻撃できるようにしておく
統合されたと分業を組み合わせる••

機密データの検索と閲覧およびコピーなど
機密データのアーカイブ化（マルウェア活動）

Malware Movement（データ流出）Data Egress

機密データが流出する動きを検知または阻止（Data Egress）
7/24/2015

Verdasys Confidential

16簡略化したサイバーパックポリシーの例が許可されていないリソースやオブジェクトをダウンロードする際に警告または阻止 App
未知の実行ファイル形式を検知および実行制限 App Sys
外部へ許可されていないコミュニケーションを警告または遮断 NW
子プロセスとして実行ファイルやスクリプトを作成すると警告または阻止 Sys App
未知のアプリケーションによるファイル暗号化を検知または制限 App
データを.rar/.zipなどのファイル圧縮形式でアーカイブ化するのを警告または制限 App Sys
許可されていないチャネルからネットワーク経由のデータ送信をブロック NW

java

または、これらの組み合わせから構成されているが、お客様のネットワークやシステム構成およびセキュリティ・ポリシーに応じて、
カスタマイズとチューニングすることにより最適な検知と防御を実現します。
• App

Sys

NW

7/24/2015

Verdasys Confidential

17

サイバーパック・ポリシー 例1

Anti-malware part I
Critical, High, Medium, Low, Informational[APT001] - Outbound connection by systembinary and filtered bad list

ホワイトリストにない、および危険リストの外
部ネットワークへの接続を監視[APT002] - Adobe Acrobat or Reader spawning
processes
Adobe Acrobat Readerやが、許可された子プロ
セス以外のプロセスを起動したら違反[APT003] - Dynamic DNS Sites
リストアップされているダイナミック DNS
サービスを使うサイトに接続したら違反[APT004] - Hosts file modification
Hostsファイルへの書き込みがあったら違反[APT005] - Alert on autorun.ini write at root
directory”autorun.ini”

ファイル名、
がルートディレクト
リーに書き込まれたら警告[APT006] - Process bypassing DNS and filteredknown bad
URL IP
DNSの アドレスに を迂回してアウトバ
ウンドのセッションを開くと違反

7/24/2015[APT007] - LSASS not child process of WININITLSASS wininit.exe

が以外のプロセスからオープンされると違反[APT008] - Outbound connection by rundll32
Windowsシステムリソース、”rundll32.exe”がアウト
バウンドのネットワークを張ったら違反[APT009] - Outbound TCP connection by systembinaryWindows

システムリソースが、アウトバウンドのネットワークに接続を行ったら違反[APT010] - Adobe reader creating executables
Adobe 製品がスクリプトや実行ファイルを作成すると違反[APT011] Executables
MSOffice

ると違反

MS

OfficeProcesses

Creating

製品がスクリプトや実行ファイルを作成す[APT012] - Svchost.exe child process NOT fromservices.exe
Services.exe
svchost.exe

ると違反

Verdasys Confidential

以外のプロセスがを作成す18

サイバーパック・ポリシー
サイバーパック・ポリシー 例2Anti-malware part I
Critical, High, Medium, Low, Informational[APT013] -Alert on Archive creation from unknown
archiver[APT019] - Suspicious outbound UDP call
UDP

[APT014] -Alert on Archive from unknown archiver withsensitive data

[APT020] - Suspicious outbound UDP threshold
trigger
UDP[APT016] -Alert on multipart rar creation from unknown
archiverrar[APT022] - Outbound HTTP connection bysystem binary

ホワイトリスト化されたアーカイブツール以外でファイルアーカイブされたら警告

ホワイトリスト化されたアーカイブツール以外で、重要ファイルがアーカイブされたら警告[APT015] -Alert on multipart rar creation or access
分割されたrarファイルの作成の場合、警告

不明なアーカイブツールが分割された ファイルを作成した場合、警告[APT017] -Alert on multipart rar from unknown
archiver with sensitive data

不明なアーカイブツールが重要ファイルに対して分割
rarファイルを作成した場合、警告[APT018] -Alert on JAVA usage from unauthorized site
java が許可されていないリソースやオブジェクトをダ
ウンロードすると警告

7/24/2015

不明なアウトバウンドの反コールを行うと違閾値を超える不明なアウトバウンドの コールを行うと違反[APT021] - Inbound connection by system binary
ブラックリスト化されたリモートアドレスから
ローカルのプロセスへインバウンドにコール
バック接続すると違反
特定のディレクトリーやシステムバイナリーから、任意のプロセスがHTTP 接続を行うと違反[APT-TEST23]
directory-

Processlaunchfromroot

プロセスがルートディレクトリから実行されると違反

Verdasys Confidential

19

最新の多層防最新の多層防御
層防御

Anti-malware part II
管理サーバ（コンソール）

次世代FWとの連携で検知

各ネットワーク装置からIOC(Indicator Of Compromise：データ侵害の脅威/インジケータ)がDGMC（管理サーバ）へ送られる
2. DGMCは、それをルールに変換して追加登録し、各エンドポイ
ント（端末）へポリシーとして配信
3. 捕捉したIOCがどのエンドポイントに到達したかをほぼリアル
タイムに特定または検知
1.

IOCs:
- App name / MD5- Domain Name / IP
- URL
- Registry

DG
connector

Digital Guardian
Management Console (DGMC)

エンドポイント（端末）の特定

エンドポイント（端末）
エンドポイント（端末）
7/24/2015

Verdasys Confidential20要件７と９の提唱
件７と９の提唱
要件７：カード会員データへのアクセスを、業務上必要な範囲内に制限する
要件９：カード会員データへの物理アク
セスを制限すると連携して、アクセス権を有さないユーザには、データにアクセスさせない。

• Active Directory

Confidential

21

要件１０の提唱件１０の提唱ネットワークリソースおよびカード会
員データへのすべてのアクセスを追跡および監視する•ログ収集（フォレンジック）•••

ネットワーク
エンドポイント

リスク評価、傾向分析

Confidential

22

エンドポイント（端末）の可視化
エンドポイント（端末）の可視化
印刷

Network
Local
PDF

ネットワーク操作

All Ports & Protocols
Secured & Unsecured WirelessPhysical & Virtual Adapters
Bluetooth, MTP, and IrDA

データディスカバリー
検知、特定Content
Context

外部記憶媒体アクセス

Web
WebmailSocial Media
Cloud Storage

USB
CD/DVD
Smartphone/Tablet
Manufacturer
Serial Number

アプリケーション操作

操作

操作

Email
Send
Reply/to All
ForwardDeleteFile Name
Compiled Binary
File Image Name
MD5 hash

Open
Write
Save
DeleteData
Copy/Move
Save As
Copy & Paste Print
Screen…

エンドポイントにおける収集可能なログ一覧
データ操作（日本語）

1 ADE スクリーンキャプチャ

2 ADE プリントスクリーン
3 ADE プリントプロセス
4 ADE 新規オブジェクト挿入
5 ADE 新規ファイル挿入
6 ADE 切り取り
7 データ交換
8 CD/DVD焼き付け
9 デバイス 追加
10 デバイス検出
11 デバイス削除
12 デバイス所在不明
13 ネットワークからダウンロード
14 ネットワークへアップロード
15 ネットワーク操作
16 ファイルアーカイブ
17 ファイルオープン
18 ファイルクローズ
19 ファイルコピー
20 ファイルリサイクル
21 ファイルリストア
22 ファイルリネーム
23 ファイル移動
24 ファイル解読(復号)25 ファイル作成
26 ファイル削除
27 ファイル書き込み
28 ファイル読込
29 ファイル表示
30 ファイル編集
31 メール送信
32 メール添付
33 ログオフ
34 ログオン
35 印刷
36 文書リポジトリ
37 名前を付けて保存

補足説明/descriptionEng

ADE Screen Capture
ADE Print Screen
ADE Print Process
ADE Insert New Object
ADE Insert File
ADE Cut
Application Data Exchange
CD/DVD Burn
Device Added
Device Detected
Device Removed
Device Missing
Network Transfer Download
Network Transfer Upload
Network Operation
File Archive
File Open
File Close
File Copy
File Recycle
File Restore
File Rename
File Move
File DecryptFile Create
File Delete
File Write
File Read
File View
File Edit
Send Mail
Attach Mail
User Logoff
User Logon
Print
Document Repository
File Save As

Windowsのクリップボードを使った操作
Windowsのクリップボードを使った操作
Windowsのクリップボードを使った操作 アクティブになっているウィンドウのスクリーンショット。(Alt+Prt Scrn)
Windowsのクリップボードを使った操作 まだ保存されていないオブジェクトのOLE挿入
Windowsのクリップボードを使った操作 保存されているファイルのOLE挿入
Windowsのクリップボードを使った操作 ファイル本文の一部の切り取り（Ctrl+XやCtrl+C）
Windowsのクリップボードを介してコンテンツをドラッグ＆ドロップ。 Windowsのバッファを使った操作全般で上記1～7を含む端末が起動された時に端末に接続されていたデバイスが確認できなくなったときに記録
ダウンロード元と先の両方
アップロード元と先の両方
TCPおよびUDPによるネットワーク操作
通常のファイルオープンではなく、システムやアプリケーションがファイルを開く操作
ファイル丸ごとコピー
ごみ箱にファイルをいれたときに記録（Del）
ごみ箱からファイルを元に戻した時に記録
拡張子やファイル名の変更
Windows Exploreで、DGによって暗号化されたファイルを手動で復号化したときに記録
ファイルシステムからファイルが削除されたときに記録（Shift+Del）。ファイルリサイクルではない+D51。

ファイルが開かれる、読み込まれる、書き込まれる、最終変更時刻が変更される、上書き保存を含むイベント
Webメールはネットワーク操作（13）Webメールはネットワーク操作（13）ドキュメンタムの操作

Confidential

24総合的なログを相関分析してシステム全体を可視化
ネットワークおよびネットワークおよびセキュリテ
クおよびセキュリティ・アプライアンス
セキュリティ・アプライアンス

エンドポイント
エンドポイントおよび コンテキスト

LDAP, IPS/IDS, Vulnerability Mgmt.,
OS, DB, URL filtering, WAF and Application
logs.
Data

Data Usage, Application & System Events,
User & Malware Behavior

外部脅威のNetwork,
,

パケット
セッション

Application
System& DataEventsInformation& Events(SIEM) Security Information and Event Management

エンドポイントとネットワークのエンドポイントとネットワークの総合
トとネットワークの総合的なログを相関分析して全体像を把握
総合的なログを相関分析して全体像を把握
7/24/2015

Verdasys Confidential

25

次世代セキュリティ・エコシステム

ネットワークコントロールADVANCED ENDPOINT

エンドポイント
VISIBILITY & コントロール

VISIBILITY &SIEM

セキュリティ・インテリジェンス
Verdasys Confidential
7/24/201526

要件１２の要件１２の提唱
１２の提唱
すべての担当者の情報セキュリティに対応するポリシーを維持する拠点・事業所/部門/部署/課などに応じて、セキュリティ・ポリシーを適用し、運用管理する
ADとの連携、フェデレーション、ダイナミック・
グループで任意のグループを作成し、細かい
貴社固有の業務に沿った運用ポリシーにカスタ
マイズ•（マネージド・サービス）で煩雑な運用をお任せも可能• MSPConfidential

27

タグ付きのデータ
タグ付きのデータに対してポータに対してポリシーを適に対してポリシーを適用
リシーを適用何を？

What?
Which data?

特定ファイル（機密ファイル）・ファイルパス（保存場所）
・ファイル・タイプ/拡張子
・ファイル名･属性情報
ファイル内のテキスト
・特定文字列や英数字・正規表現
上記の組み合わせどういったユーザ操作やイベント？

Which operation, event and user activities? How?

【ファイル操作】・開く
・閉じる
・上書き保存・名前を付けて保存
・切り取り

・コピー
・貼り付け
・プリントスクリーン
・書き込み
・移動
・削除
・アップ/ダウンロード
・イン/エキスポート

いつ？
どういう時？
When？
終日
就業時間帯
就業時間外
特定時間帯
特定曜日
休祭日
オン/オフライン
上記の組み合わせどこへ？
Where?
From to?

ローカル
社外（WAN）
社内（LAN）
サーバ
モバイルデバイス
外部記憶メディア/装置・USBメモリ・SDカード・DVD/Blue lay
プリンタ
IPアドレス
上記の組み合わせ【Eメール】

・メール添付

・コピー＆ペースト
・新規作成

・送受信

誰（適用端末は）？
Whom? Whichmachines?

【ユーザタイプ】
ユーザ/管理者
部署・グループ
役職別役員
本社・支店・事業所
日本法人
リージョン
協力関連会社
派遣・契約社員
子会社

どう制御管理？
Plolicy
Control how?

監視
警告
ユーザ選択
理由入力
暗号化

ブロック

上記の組み合わせ【環境】
Win, Mac, Linux
ネットワーク仮想
IPアドレス
端末
Time zone
上記の組み合わせ【アプリケーション】
・閲覧、修正、削除・イン/

エキスポート

これらの条件を組み合わせて、どうコントロールするか
これらの条件を組み合わせて、どうコントロールするかConfidential

28

コントロール（制御）ポリシーの種類
ントロール（制御）ポリシーの種類
どう制御管理したいか？
•
•
•
•
•
•

監視（ログは取得）
警告
理由入力
暗号化
ブロック（阻止）または、上記の組み合わせ【警告プロンプト】【理由入力プロンプト】【ユーザ決定プロンプト】【ブロックプロンプト】

コントロール 規制 「強」
上記プロンプトは、HTML形式で作成されているため、ロゴやテキストは、カスタマイズが可能です。
7/24/2015

Verdasys Confidential

29

コンテキスト・アウェアについて
コンテキスト・アウェアについて
データに付随する属性およびメタデータ、ならびにデータの状態を示す関連情報、およびそれら付随する背景情報を感知・把握できるのがContext Aware（コンテキスト・アフェア）。 コンテント・アウェアはデータの内容（中身）で管理しますが、コンテキ
スト・アウェアは、それに加えて、下記のようなデータに付随する様々な情報や要素を考慮した管理が可能で、柔軟で厳格な運用やリスク管理ができます。
User Awareness

Point of Risk

Data Awareness

Executive

Desktops# Strings （文字列）Network Drive

Local Drive

MonitorEngineer- Win

Key Words

Online storage

Copy

Block

Admin

- Linux

CAD Files

Paste

Web

Warn

Finance- Mac

Source CodeArchive

EmailJustify (理由入力)

Contractor

Servers

Video/Images

Move

RenameEncrypt

Supplier

Network

CustomerUSB Device

Print

Allow

IT

OfflineClassification (分類)Executable

CreateClassify

Sales

VirtualApplication

Screen Cap

CD/DVD

ContainConfidential

Event Awareness

Policy30

Digital Guardian (DG)
ソフトウェア・
ソフトウェア・ソリューション

What is Digital Guardian?

エージェント型エンドポイント
エージェント型エンドポイント・ソフトウェア
エンドポイントにおけるプロセス（データ
ロセス（データ/ユーザ操作のイベント等）と出口経路（Egress points）を可視化し、単一エージェントで内外部の脅威から機密データを守る
情報漏洩対策のプラットフォーム
DGエージェントがインストールされた端末で、何が起こっているかを把握：
when, who, what, how, where (from, to)Forensic（フォレンジック）
データ・セントリック/アウェアネスで、機密データにタグ付け分類(Classification)し、ポリシーで一元管理
7/24/2015

Verdasys Confidential

31

主な機能
主な機能
具体例
特定のシリアルNo.のUSBデバイスだけ使用可能にする。
デバイス制御印刷制御
土日祝祭日や業務時間外は、社内にあるプリンタを使わせない。
FacebookなどソーシャルメディアやDropboxなどオンラインストレージへ社内のファイルをアップロードさせな
ネットワーク制御
ネットワーク制御 い。
FTP経由で機密ファイルをアップロードさせない。
Skypeなどブラックリストのアプリケーションを起動させない。
アプリ制御
データ操作制御
ソースコードの拡張子やファイル名を勝手に変更させない。
データ操作制御Eメール制御マイナンバーの入った機密ファイル添付をメールに添付させない。
CADファイルなど機密ファイルを外部記憶メディアにコピーや移動させる際には、暗号化させる。
暗号化
ログ収集
セーフモードで起動した際にもログを収集する。
Facebookにアクセスする際には、理由を入力させる。
通知- 制御クレジットカード番号が10個以上入ったファイルは、社内にあるファイルすべてに機密扱いのタグを自動的に
データ分類
付与する。
退職予定者が、退職するまでの期間に、機密ファイルの持ち出しやポリシー違反など異常がないかをダッ
レポート
シュボードで分析する。
ダイナミックグループ ADとは別に、新入社員のグループを作成して、そのグループに厳格なポリシーを適用する。
サイバー攻撃対策 社内の各エンドポイントに未知のマルウェアに感染していないかを調べて、検知する。
Confidential

32

デリバリー・モデル

フレキシブルな
レキシブルな下記３つのデプロイメント
下記３つのデプロイメント
ハイブリッド（ハイブリッド（Option 1 + 2）

マネージド・サービス
マネージド・サービス

オンプレミス
オンプレミス

Option 1

On Premise

Option 2

Option 3

Managed Service

Managed Service On Premise

貴社の環境での展開

弊社のプライベート・クラウドで展開

貴社の環境での展開
Infrastructure hosted in your environment

Infrastructure hosted in our private cloud

Infrastructure hosted in your environment.

Administered by our Pro Services

Administered remotely by our Pro Services

弊社のPSが運用管理

貴社で運用：Self-administration
ポリシー、ルール、レポートを貴社で運用

ログイン画面よりポリシー、ルール、レ
ポートの確認が可能

Policies, rules and reports managed by you

必要であれば、弊社PSを利用

弊社のPSがリモートにより運用管理

ログ等のデータは貴社の環境内で保持Data remains within your IT environment.

Access to policies, rules, and reports

Engage with our Pro Services as needed

週１回の状況をフィードバック
Weekly status meetings

Confidential

33

アーキテクチャ(アーキテクチャ(オンプレミス)
オンプレミス)*

イベント収集イベント収集マネージド・サービスあり

•
•
•
•
•
•

Application
SystemData
Network
Time
User

管理コンソール

セキュリティ・ポリシ
セキュリティ・ポリシー
リシー

ポリシー
設定・変更情報

データ操作履歴ログ
警告：ポリシーを逸脱した場合

フォーマットに応じたログ
IOC

デスクトップ/ノートパソコン用
エージェント(Win, Linux, MAC)

サーバー・エージェント(Win, Linux)

仮想化環境(Citrix, VMware)
エージェントDDNA/APT

モジュール(option:

メモリ・フォレンジック)
VDI

7/24/2015

ネットワーク・
アプライアンス- Web & email
gateway- SLL Proxy- Malware Detection

SIEM Integration- HP ArcSight- IBM QRadar- Splunk- RSA envision & NetWitness- LogRhythm

エージェントVerdasys Verdasys
Confidential
Confidential

34

34

マネージドサービス（MSP: Managed Service Program）
クラウドには一クラウドには一
切データは保存
切データは保存
しません！
しません！

Digital Guardian

セキュリティ・エ
セキュリティ・エ
キスパート

Cloud
DGMC*

（米国連邦標準規格）
暗号化して送受信
暗号化して送受信（サーバ）

エキスパートがログ解析と分析
キスパートがログ解析と分析をして、リスクを管理

DGMC*：Digital Guardian
Management Console(

FIPS140-2

管理コンソール)

ポリシーの設定
と変更

操作ログ
SSL

レポートや警告

導入企業

一般クライアント
DGエージェント
操作ログを暗号化し、DGMC(サーバ)へ送信。
セキュリティ・ポリシ
セキュリティ・ポリシーは
リシーはオフラインでもーはオフラインでも社
オフラインでも社外でも随時有
随時有効です。

管理画面から、
いつでも運用状
況、目的別レポートを閲覧可Verdasys Confidential

セキュリティ担当
社内リスクの セキュリティ担当
情報システム
可視化
情報システムCSIO
初期導入コストと保守運用業務を削減

7/24/201535

初期導入フェーズ
評価/実証テスト
Evaluation
/PoC

デプロイ
Deployモニターリング
MonitorActivities

リスク
特定Identify
Risk

弱い警告

Passive Prompts

結果分析
Analyze

Results

強化

Enforce

評価検証（1ヶ月）
PoC/PoV

可視化（～1ヶ月）

ログ収集、正常値/異常値の蓄積

分類、リスク評価（
RA）及び分析（～2週間）
データ分類、リスク分析と優先順位化
制御・管理（～2週間）

ルール作成・ポリシー配信などリスク管理
Confidential

36差別化のポイント
データ・セントリック/アウェアネスでデータにタグ付け分
類し、機密データの漏洩を阻止
状況に応じたきめ細かいリスク制御
カーネル・レベルーネル・レベルで動くエージェントは、バックグラウンド

で動くシステム系プロセスの検知やマルウェア等の怪しい挙動も制御可能 Context Aware (vs. Content Aware)
単一エージェントで、内部脅威および外部脅威からデー

Up/Download

Source/Destination

User

Application~200

コンテキストのパラメータ

Computer

Network StateClassification

Operation

（分類）
Email

Drive Type

Sessionタを保護

コンテキストmac
Joe Smith462-81-5406
42 Wallaby
CookTime of Day

コンテンツ（ファイル中身）

Confidential

差別化のポイント次世代FW、SIEM、メモリー・フォレンジックとの連携で未知の最新脅威にも対応 多層防御
１つの管理サーバで25万のエージェントを管理可能

スケールアウト容易

ネットワークコントロールVISIBILITY &エンドポイント
コントロールADVANCED ENDPOINT

VISIBILITY &セキュリティ・インテリジェンス
セキュリティ・インテリジェンス
SIEM

Confidential

38

DG Application
Whitelisting

DG Cloud
クラウドサービス用セキュリティゲートウェイ。
企業向けクラウドサービスを１つのゲートウェイに集約し、シームレスでセキュアなクラウド環境を提供します。

POS端末や業務用端末のアプリケーションをホワイトリスト化。既存のアンチ・マルウェア製品で検知できないゼロデ
イ攻撃や未知のアプリケーション起動を許さずに業務用端末をエンドポイントで守ります。

【特長】
特長】

• 暗号化されたホワイトリ

デバイスや端末環境に依存せず、クラウドサービスへのアクセスはすべてバーチャルブラウザ経由でセキュアなクラウド環境を実現。SSOにも対応

ストをエンドポイント（端末）側で暗号化して保持• デプロイおよび運用が容
易

【特長】
特長】

• エージェントレスで、マルチ・デバイス/プラットフォーム• BYODにも最適• デプロイ（ゼロタッチ）、運用が容易

エージェントは、起動する正規アプリ毎に見えないキーを適用して、ホワイトリストにマッチしたキーを保持していれば、そのアプリは起動可となり、アンマッチの場合は起動させない仕組み。

Confidential

39

われわれは、１つのものだけをプロテクトすることにフォーカスしている・・・

それは・・・
Confidential

40Appendix 補足資料

データ・セントリック/
データ・セントリック/アウェアネス
アウェアネスとは？
データ・セントリック・セキュリティへ

データそのものに着眼して、データの機密性や価値に応じてデータ中心に一元的に管理• データの状態（data at rest/in use/in motion)にかかわらず、あらゆる局面でデータを保護する•

データを中心に考える

大切なデータを保護•

内部および外部脅威の攻撃ターゲットは大切な「データそのもの」、その大切な機密データだけを守る
データセントリック
データセントリック/
データアウェアネス
データアウェアネス

デバイスセントリック：ヒューマンセントリックューマンセントリック：

ホスト機器、デバイスを守るVS人（部門、職位、地位権限）に紐付いてデータのアクセス管理で守る。人に依存。
ネットワークセキュリティ：境界線を設けてNWの内側だけ守る
Confidential

42

プロダクト基本構成
プロダクト基本構成（マネージド・サービス）

オンプレミス

メモリーフォレンジック,
調査モジュール

MSP

AME, AFE

年間
保守
サポ
ート
（
）

(Investigation Module)

DG for ATP （未知のマル
未知のマル
ウェア対策） (Advanced
Threat Protection)

DG for DLP（情報漏洩対策）

DGMC

M&S

DG for DV&C（可視化および制御）(Data Visibility and Control)（管理コンソール）

その他オプション
DG for ATP（未知のマル
ウェア対策）

DG for DLP(

情報漏洩対策)DG for DV&C（可視化および制御）(Data Visibility and Control)

Confidential

マネージド・サービス
セットアップ
43

Case Study: 金融セクター
導入理由（Business Drivers）• コンプライアンス、証跡監査

課題（Challenges）• CS向上（顧客へワンストップ・サービス提供）• 端末種類および数による業務遅延

要件・要望（Needs）• 全本支店端末のログ収集、監視および追跡• 端末およびサーバ集約• 新旧アプリ/システムの共存• 業務の迅速化

提案（Solution）• サーバ仮想化：Microsoft Hyper-V• 仮想デスクトップ化：Citrix XenDesktop, XenApp• 製品：DLP VDI（6240台）, DLP Win（520台）DVC Win Server（240台）, DGMC（3台）

結果（Result/benefit）

運用コスト 60%削減
OSライセンス 50%削減
メンテナンス（バージョンUP等）コストの削減（TCO削減）
Confidential

44