…..EpiForceのご紹介

株式会社アパニ・ネットワークス・ジャパン
1©2010 Apani, All rights reservedApaniについて
本社：南カリフォルニア
US、UK、日本にオフィス
2003年創業
オーナーは日本の高原財団
ヒューズの技術者が開発
シティグループがファーストユーザ

セキュリティソリューション
企業向けセキュリティ
プロフェッショナルサービス
24/7技術サポート

2©2010 Apani, All rights reserved代表的なお客様

3©2010 Apani, All rights reserved

PCI-DSS事例： カナディアン・タイヤ

カナディアン・タイヤ（ホームセンター）の金融部門
カナディアン・タイヤはカナダに475の店舗を保有
クレジットカード、保険、銀行を世界で展開

500万件のクレジットカードを発行
通信データの暗号化
サーバのセグメンテーション
異機種IT環境の集中管理4©2010 Apani, All rights reserved

EpiForceとは①②
機器やユーザーの認証

エンドtoエンド通信

端末やサーバのフィンガープリントにより電子認証書を発行し、「なりすまし」を防ぐ。

認証管理
サーバ

業務端末

業務サーバ

端末やサーバは、通信ポート単位で「暗号」、「平文」、「遮断」といったポリシーに従って通信を行う。

業務サーバ

業務端末やユーザー③

論理ゾーニング

④

業務サーバ
業務サーバ

オーバーレイ

既存の物理ネットワークの上層にセキュリティネットワークを付加。
論理ゾーニングによる多層のセキュリティを実現。

業務端末「クライアント/サーバ型」、「フルメッシュ型」、「隔離型」のゾーン設定を組み合わせ、ネットワークを仮想的に分割。

5©2010 Apani, All rights reserved

業務端末

業務サーバ

中継サーバ

EpiForceアーキテクチャ•分散、フェイルオーバー
データベース

シングルポイント・フェイリアなし
ボトルネックなし• 高いスケーラビリティ

管理コンソール

オンデマンド・ポリシー配布
100,000エージェントまで拡張可• 標準準拠のセキュリティ
IPSec、X.509v3
3DES、AES128/256
FIPS 140-2 level 1• エージェントプラットフォーム
Windows (2003, 2008, XP, 7)
Linux (RedHat,SuSE, CentOS)
UNIX (AIX, Solaris, HP-UX), Mac X
HWエージェント (汎用機, プリンタ等)

6©2010 Apani, All rights reserved管理サーバ

PCI DSSへの適用

論理ゾーニングによるセグメンテーション（評価対象の限定）
デフォルトで拒否のアクセス制御
管理アクセス、会員データ伝送の暗号化
ユーザ識別ネットワーク
監査証跡とレポートツール

7©2010 Apani, All rights reserved論理ゾーニングによる評価対象の限定
PCI-DSS対象外

暗号化

暗号化

PCI-DSS対応

PCI-DSS対応

8©2010 Apani, All rights reserved

ネットワークセグメンテーションは以下を引き下げる方法として強く推奨されます。
・PCI DSS評価の対象範囲
・PCI DSS評価のコスト
・PCI DSS コントロールの実装と維持に関するコストおよび難易度
・組織のリスクネットワークセグメンテーションが適切に設定されていない場合（「フラットネットワーク」とも呼ばれます）、ネットワーク全体が PCI DSS 評価の対象範囲になります。
（PCI DSS前文）

論理ゾーニング
IPネットワークの仮想的な分割（セグメンテーション）

EpiForceのメリット♯1 セグメントの重複が可能♯2 IPアドレスや物理的な接続に依存しない♯3 ネットワーク、アプリケーションは変更不要♯4 エンド-エンド接続で直観的な設定

9©2010 Apani, All rights reserved論理ゾーニング例（CSZ）「ゾーン」の重複設定が可能
ポート単位のアクセス、通信の方向を制御
VLAN+FWと等価

人事部ゾーン10©2010 Apani, All rights reserved

サーバ間通信

経理部ゾーン

適合要件

11要件

内容

EpiForce機能

2.3

強力な暗号化を使用して、すべてのコンソール以外の管理アクセスを暗号化する。

通信データ暗号化
通信データ暗号化

4.1

オープンな公共ネットワーク経由で機密性の高いカード会員データを伝送する場合、強力な暗号化とセキュリティプロトコル（SSL/TLS、IPSEC、SSH など）を使用して保護する。

7.1

システムコンポーネントとカード会員データへのアクセスを、業務上必要な人に限定する。

ユーザ識別ネットワーク

7.2

複数のユーザが使用するシステムコンポーネントで、ユーザの必要性に基づいてアクセスが制限され、特に許可のない場合は「すべてを拒否」に設定された、アクセス制御システムを確立する。

アクセスのデフォル
ト拒否

8.4

強力な暗号化を使用して、すべてのシステムコンポーネントにおいて伝送および保存中にすべてのパスワードを読み取り不能にする。

通信データ暗号化

10.1

システムコンポーネントへのすべてのアクセス（特に、ルートなどの管理権限を使用して行われたアクセス）を各ユーザにリンクするプロセスを確立する。

管理サーバ

10.2

以下のイベントを再現するためにすべてのシステムコンポーネントの自動監査証跡を実装する。

管理サーバ

10.3

イベントごとに、すべてのシステムコンポーネントについて少なくとも以下の監査証跡エントリを記録する。

管理サーバ

10.4

時刻同期技術を使用してすべての重要なシステムクロックおよび時間を同期し、時間を取得、配布、保存するために以下の要件が実施されていることを確認する。

NTPによる同期©2010 Apani, All rights reservedアスセスのデフォルト拒否『Isolation Mode』では、明示的にゾーンに含めない限りインバウンド、アウトバウンドのトラフィックを全て拒否します。

12©2010 Apani, All rights reserved

通信データの暗号化
IPsec（トランスポートモード）による暗号化通信

EpiForceのメリット♯1 グループ-グループ、グループ内の定義が可能♯2 強力な暗号化（3DES、AES128/256）サポート♯3 HWエージェント利用♯4 証明書管理、鍵管理の自動化

13©2010 Apani, All rights reservedユーザ識別ネットワーク

経理

ADによるユーザ識別

営業
開発

人事

企画

ポータル

ユーザ＋機器でゾーニング
ユーザ操作の証跡、レポート
大規模な導入・運用が可能

取引先

外注業者
社員

14

©2010 Apani, All rights reserved（参考）ADとEpiForceの比較
AD

AD + EpiForce

複数AD制御×○

論理ゾーニング×◎（多重可）

サーバとの接続

アプリケーション（L7）

ネットワーク（L3)

サーバにアクセスできる

サーバ自体にアクセスできない

サーバ機器認証

×○

通信ポート指定×○

通信方向制御×○

サーバ間接続制御

×○

通信データ暗号化

×○

ライブマイグレーション対応

×○

Windowsサーバ○○

Linuxサーバ×○

Unixサーバ

×

○

汎用機

×

○ （by HWエージェント）

アクセス制御対象サーバ

15©2010 Apani, All rights reservedアクセスの追跡/監視システム管理者を含む全てのアクセスは監査証跡として管理サーバに蓄積され、Splunk等のレポートツールにて出力可能です。

16©2010 Apani, All rights reserved

構成例 - 1
一般サーバ

会員データサーバ

管理サーバ
本社

Internet
拠点A
拠点B

拠点サーバ、POSからのみ会員データサーバにアクセス可能
その他からは一般サーバのみにアクセス可能
17©2010 Apani, All rights reserved

構成例 - 2
会員データサーバ
管理サーバ
本社

Internet
拠点A

拠点B

拠点からのアクセスは会員データサーバのみに可能（リアルタイムに設定変更が可能）

18©2010 Apani, All rights reserved