国立大学法人 東京農工大学 様

導入事例
ネットワーク構成イメージ
10Gbps接続（太線）サテライトキャンパス

サイバー攻撃1Gbps接続（細線）

導入事例

国立大学法人 東京農工大学 様

VDIクラウド
SINET

マルウェアなど

小金井キャンパス

府中キャンパスサーバ

サーバ
コアスイッチ（L2動作）

コアスイッチ（L3動作）

シンプルで高信頼な
FT スイッチAX8632S

L2リング

AX8632S

サイバー攻撃自動防御ソリューション

ミラー

ダークファイバー（30Gbps）

脅威検知

…

DDI

…

TMPM

アクション通知遮断…

AX2500S

AX-SC

…
感染

有線

無線

ウイルスに感染した端末を自動的に隔離する「サイバー攻撃自動防御ソリューション」により全学規模でネットワークのセキュリティを強化、管理者の負担も軽減
東京農工大学は、標的型攻撃やマルウェアなど増大する脅威に対応するため、ネットワークの更新に合わせてセキュリティ強化を決断。アラクサラの「サイバー攻撃自動防御ソリューション」を導入した。これにより、学内のネットワークを利システム管理者の負担も軽減される見めに設 定し、多くの脅威を検出しています。し込みです。これまではひとたびインシデントがかし、影 響の少ない軽 微な脅威を理由に止め発生すると、感 染の拡大を防ぐための対 策やてしまうと、警 告が 頻 発しユーザの利 便 性 が復旧作業に多くの時間が割かれていました。し低下するばかりか、管 理者の運 用負荷も増えかし、今回の「サイバー攻撃自動防 御ソリューてしまいます。そこで、今後はどの程度の脅威ション」は検知後の初動対応を自動化してくれまでを自動的に止めればよいのか、最 適なしるため、落ち着いて事後の対処ができます。まきい値を探っていく予定です。そのためにも、

萩原

た、そのぶんのリソースをユーザへの啓発活動

アラクサ ラには他 の 大 学 に向 けて 積 極 的にや脆 弱性の分析など、今まで対応できなかっ「サイバー攻撃自動防御ソリューション」を広めたことに振り分けることも可能になりました。てもらい、そこで蓄積した運用に関するノウハ（※１）リングプロトコル：スイッチをリング状に接続することで、柔軟かつスケーラブルなシンプルネットワークを構築するアラクサラ独自のプロ
トコル。
（※ 2 ）フォールト・トレラント・アーキテクチャ：障害発生時に最小限の切替時間で運転を継続するための仕組み。

用するPC、タブレット、スマートフォンなどあらゆる端末のウイルス感染を素早く特定・隔離することが可能になり、セキュアなネットワーク環境が実現。また、インシデント発生時の対応も自動化されたため、システム管理者の負荷も軽減され、そのぶんのリソースをユーザへの啓発活動や脆弱性の分析などに振り分けることが可能になった。

情報漏えいや乗っ取りのリスクを考えればネットワークのセキュリティ対策は急務

ウを大学間で共有できるようになるとありがさらには、トラブル対応を依頼していた保守ベンダーの負 担も減りますので、原因の 分析に時間を割いてもらえるようになりそうです。そ

台数が減ったことで故障や障害発生による運サイバー攻撃自動防御ソリューションを支えるAX8632S――今後の展望とアラクサラに対する期待についてお聞かせください。
他のベンダーのセキュリティ製品も加いますので、これらとうまく連 携し、パケットの深いレベルまで可視化できるようなセキュ※社名/商品名は、各社の商標または登録商標です。

辻 澤 「サイバー攻 撃自動 防 御ソリューショ
あり、現在はセキュリティの検知レベルを厳し

全 学で推 進するなど、さまざまなチャレンジください。

――「サイバー攻撃自動防御ソリューション」を辻澤導入するに至った背景についてお聞かせくだ

産業の根幹である「農学」と「工学」の2分野に特 化した国立 大学法 人です。学部生とさい。

大 学 院 生併せて約6,000 名の 学 生 が 在 籍。

櫻田

両学部とも大学院生が多く、工学部は約8割、からセキュリティ対 策として自動防 御の 導入

農 学部は約6割が進学します。農 学部が府中を検討していました。しかしシステムを試作し市、工学部が小金井市にキャンパスを持ち、そ導入しては みたも の の、ハードウェアの 処 理

れぞれが 我が国でもトップレベルの 教 育・研性能が追いつかないなどの問題があり、残 念究を推進しています。

ながら途 中で断 念しています。その 代わりと〒212-0058
神奈川県川崎市幸区鹿島田1丁目1番2号 新川崎三井ビル西棟13階

URL：http://www.alaxala.com/

About 国立大学法人 東京農工大学

1874 年に内務省勧業寮内藤新宿出張所へ

実は10 年ちょっと前の20 05 年ごろ

私たちが所属する総合情報メディアセ

たネットワークの更 改の際に検 疫システムをンターは、1967年に電子計算 機 室として発新たに導入しました。この検 疫システムは、学足 。19 8 5 年 に 情 報 処 理 センター に 改 編 さ

生や職 員が学内ネットワークにアクセスするれ、2002年より現在のかたちになりました。

際、端末にWindows/MacOSのパッチが適主 な ミッションとしては、当 初 は 学 内 ネット

用されてい るか、アンチウイルスソフト のパワークの設 計・管 理・運 用、メインフレームのターンファイルが最新状 態に更新されている

調達・運 用・ユーザ 支 援でしたが、現在はこれか を高 速 で チェックし、N G の 場 合 は ネットらに加え、研究 組 織として情報基 盤と応用分ワークへの接 続を禁 止。その旨をユーザに通野 の 研究を行いつつ、学内の 総合 情 報 支 援、知するものです。これにより、ユーザのセキュ萩原からいろいろと面白い製品がリリースされてン」を導入してから時間がたっていないこともいても、学 生のP C 持ち込 み（BYOD）対応をいうわけではありませんが、2011年に行われえた「多層防 御」を検 討しています。今は各社リティ体制を整えられればと考えています。

フットワークの軽さがあり、情報システムにつ――東京農工大学の概要および特色を教えて――ありがとうございました。

り設置スペースが削減できたこと、スイッチの櫻田

企業概要には 新し い も の を 積 極 的 に 採り入れて いくに取り組んでいます。

たいですね。の他の効果としては、コアスイッチの集約によ用負荷が軽減できたことも挙げられます。

将 来構想の検 討などを行っています。当大学設 置された農事修学場と蚕業試 験 掛が 前身。1949 年の新学制施行とともに東京農工大学として改編される。産業の根幹をなす農学と工学を中心に、これらの融合分野まで含めた教育・研究を推進している。現在は第 3期中期目標期間（2016 〜 2021年）の学長

ビジョンとして「世界が認知する研究大学へ−世界に向けて日本を牽引する大学としての役割を果たす−」を掲げ、「世界と競える先端研究力の強化」「国際社会との対話力を持った教育研究の推進」「日本の産業界を国際社会に向けて牽引「高度なイノベーションリーダーの養成」の 4つの機能強化戦略に取り組んでいる。

https://www.tuat.ac.jp/

「従来の検疫システムでは対処できなかった自動防御が実現しセキュリティレベルは確実に向上しました」
萩原

リティ意識は向上しました。

端末がウイルスに感 染すると、最 先 端の研究情報や、研究者・学生・職員の個人情報トレンドマイクロのセキュリティ製品と連携した自動防御ソリューションを採用

ところが Windows 10が登 場した2015年が 外 部に流 出してしまう可能 性 があります。

あたりから、検 疫システムがOSのアップデー

それ 以 上に注 意しないといけないのは、本学トのタイミングと合 わないことがあり、運 用の 端 末 が 乗っ取ら れて 踏 み 台として 利 用 さが 難しくなってきました。さらに、2016年にれ、他 の 大 学 や産 学 連 携している企 業、外 部――「サイバー攻撃自動防御ソリューション」を仮想デスクトップを導入しBYODを全学で推の公的機関に攻撃を仕掛けてしまうリスクで導入した経緯をお聞かせください。

進した結果、持ち込みのノートPCやタブレッす。農 学、工学、理学などの融合 分野を研究し櫻田ト、スマートフォンが増えてOSが多様化し、検ている本学は、連 携している各種機関の数もげて本格的な検 討に着手し、自動防御を前提疫システムに対応しない機器の持ち込みが増多いため、本学が原因のセキュリティインシデとしたネットワークの仕様書を作成しました。

加してきたのです。また、無 線 L A Nからの 接ントはあってはなりません。

具体 的な要 件としては、IP v6とIP v4 のデュ続も検疫システムの仕様から対象外としてい2016年10月、学内に委員会を立ち上

国立大学法人 東京農工大学

国立大学法人 東京農工大学

国立大学法人 東京農工大学

教授 博士（工学）教授 博士（工学）講師 博士（工学）辻澤 隆彦 氏

総合情報メディアセンター

萩原 洋一 氏櫻田 武嗣 氏

アルスタックで動いている端末が多くあったたため、無 線L ANのセキュリティ強化も課 題

櫻田

近 年、標 的型攻撃やマルウェアなどのことから、IP v6対応というのがまずひとつ。となっていました。

脅威 が 一段と増 大していることを考えれば、さらに、複 数の OSや 外 部から 持ち込まれ たネットワークのセキュリティ対 策は急務とい

端 末にも対応できるようエージェントレスで論文の中で研究者や学生のメールアドえます。とはいえ、あまりガチガチに統制を固利 用 で きること 、ネットワ ー ク 認 証（ ダイナ合わせた「サイバー攻撃自動防御ソリューショ

レスがオープンにされていることもあり、大めてしまうとユーザの 利 便 性は落 ちますし、ミックVL ANとIEEE 802.1x）やMACアドン」に決定しました。

学は標的型攻撃のターゲットになりやすい傾システム管 理者の負担も大きくなってしまい

レス認 証に対応していること、既 存 の 検 疫シ向があります。また、世界各国の大学・研究機ます。そこで、ネットワークの更新を機に、オーステムと遜色ないセキュリティレベルが維 持関と姉妹校協定を締結し、グローバル教育をプン な 環 境をできる限り維 持しつつ、セキュできること、自動防 御のポリシー設 定 が 可能

推 進している本学の場合、海 外からの留学生リティを強 化できるようなしくみができないなことなどの点を盛り込みました。

も多いため、日本 語 への理 解が今ひとつの方か検討することになったのです。

辻澤

総合情報メディアセンター

総合情報メディアセンター

アラクサラ製品のリングプロトコルおよび高耐久性を評価「AX-Security-Controller」がウイルスに感染した端末の通信を自動的に隔離し画面上に警告を表示とトレンド マイクロの D D IとT M P M が 連 携し、ウイルスに感染した端末を自動的にネットワークから隔離します。具体的には、府中キャンパスと小金井キャンパスに設置されたコアスイッチ（A X8 6 3 2 S）はポリシー ベースミラーリング機能によって監 視 対 象となるトラ――新しいネットワークの構成についてお聞

フィックをDDIに転送していますが、DDIがマも多く、検 疫システムだけで統 制を 効かせる

これらの要件をもとに入札を実施したところ、かせください。

ルウェアやスパイウェア、トラフィックの異常ことは困 難 です。実 際、過 去には留 学 生 が 海

アラクサ ラのスイッチとトレンド マイクロの――アラクサラ製品についてはどの点を評価

櫻田

コアスイッチ のA X 8 6 3 2 S は、府 中な振る舞いなどを検 知すると、その情報を該外から届いた怪しいメールを開いてしまい、ネットワーク監視 製品「Deep Discovery™

されましたか。

キャンパスと小金井キャンパスに1台ずつ設置

当端 末のIPアドレスなどと共にTMPMへ送不正なWebサイトにアクセス。ウイルスに感Inspector（ 以下、DDI）」およびネットワーク

櫻田

第一にコアスイッチの 光ファイバの収しています。2つのキャンパス間は30Gbpsの信。TMPMは受信した脅威情報とポリシーと

連 携 セ キュリティ対 策 製 品「Tr e n d M i c r o

容率の高さです。本学の場合、広大なキャンパ

ダー クファイバーで 接 続。府 中 キャンパ スのを照らし合 わせ、該 当するポリシーに合 致しPolicy Manager™（以下、TMPM）」を組みスの中に講 義 棟や研究棟が散在しています。

A X8632SはL3で動 作させ、小金 井 キャンていると判断した場合、「 通信を遮断せよ」とそのため、建屋間の光ファイバの敷設がネック

パスのA X8632SはL 2スイッチとして利用

いう指 示と端 末のIPアドレスをA X- SCに通となるのですが、アラクサラのスイッチはリンしています。これらのスイッチは1台の装置に知します。A X-SCはIPアドレスをもとに感 染グプロトコル（※1）で冗長化できるため、少な2台分の機能を実装したフォールト・トレランした端末の接続位置を特定し、端末が収容さい本数で多くの収容数を確保できるのはコス

ト・アー キテクチャ（※2）により内 部 で2 重れているエッジスイッチで該当端末の通信のト削減という意味で大きいですね。

化。以前のネットワークでは、府中キャンパスみを遮断。また、コアスイッチ側では攻撃者かにマルチレイヤー対応のA X6708Sを2台、らのC&C通信の遮断も可能です。その際、感加えて、スイッチ の 高 耐久性も評 価していま

小金井キャンパスにAX6708Sを3台設置し染した端末の画 面には警告が表 示され、ユーす。アラクサラのスイッチは2011年のネットていましたので、各キャンパスのスイッチが1ザに対処 を 促します。こうした端 末は適 切なワーク更 改 から本 格 的に利用していますが、台に集約されたことになります。外部とは、学対処 を行うことで、再び 接 続 できるようになほとんど故障したことがありません。これまで

術情報ネットワーク「SINET5」で接続していります。

他社のスイッチがかなりの割合で故障・交換します。

染してしまったこともありました。

サイバー攻撃自動防御ソリューション概要

AX-Security-Controller

コントローラーで端末状態や遮断状態を管理することで遮断後の運用性を向上

サイバー攻撃① - 2 通知（REST API）

Trend Micro Deep SecurityTM
DSM

自動化！

②C&C
通信遮断
WEB
プロキシ

メール
サーバ

だと思います。

③ 感染端末遮断/隔離
パケットミラー

通信遮断
監視対象に応じた各種ミラー機能
・ポートミラー・ポリシーベースミラー（PBM）
・リモートミラー

感染
端末
ウイルスバスターTM コーポレートエディション① - 1 検知（syslog）ている環境での故障の少なさは驚くべきこと

Corp.
サーバ
① - 1 検知（Trap）

そ れ ぞ れ の 足 回 りと な る L 2 スイッ チ に は
A X2530Sを採用し、リングプロトコルでシ脅威検知①-1
検知（syslog）――導入から稼働までの流れをお聞かせくだンプルな冗長化を図りました。
「 サイバー攻撃判断

さい。

自動防 御ソリューション」で制御しているL2・ポリシー設定

萩原

スイッチの台数は全部で約200台。その配下――今回の導入で得られたメリットについて

・不正通信検出・ポリシーマッチ・C&C通信検出・アクション指示

クトがスタート。翌7月にスイッチが納品され、には有線で繋がった端末のほか、約300台のお聞かせください。

3カ月後の10月より新しいネットワークに切無線L ANアクセスポイントを配備し、併せて辻澤り替えました。構築の際にはアラクサラからも1日1万台 近 い 端 末 からのアクセスをコント

かった 端 末や 環 境にお ける自動 防 御 が 実 現

技 術 的 な サ ポートが 提 供 さ れ 、お お む ね ス

ロールしています。

し、セキュリティレベルは確実に向上しました。

・感染端末特定・サンドボックス

Deep DiscoveryTM
Inspector

Trend Micro
Policy ManagerTM

DSM：Deep Security マネージャー、Corp. サーバ：VB Corp. 管理サーバ

2017年6月に本 格的な導入プロジェ

システム管理者の負担が軽減されユーザへの啓発活動や脆弱性の分析が可能にムーズに進みました。
「 サイバー攻撃自動防 御従 来 の 検 疫 システムで は 対 処で きな

SINET5でつながっている大学や研究機関にソリュー ション 」にとって 本 学 はファースト――自動防御の流れについて教えてください。

対しても、少なくとも本学が原因となるセキュユーザになるそうですが、検証および改善とい櫻 田 「サイバー攻 撃 自 動 防 御ソリューショ

リティインシデントで影 響を与える可能 性はう意 味 で も お互 い 有 意 義 な プ ロジェクト にン 」で は 、ア ラ ク サ ラ の 制 御 ソ フ ト

低くなったため、本学への信頼度が高まることなったと思います。

「AX-Security-Controller（以下、AX-SC）」も期待されます。