クレジットカード情報セキュリティ フォーラムPCI DSS取得のカギは“早く”、“安く”、“手戻りなく”最適なセキュリティソリューション“Trend Micro Deep Security”のご紹介
トレンドマイクロ株式会社
ソリューションマーケティング部
プロダクトマーケティングマネージャ
福井 順一 2012年7月25日
Classification 7/24/2012

Copyright © 2012 Trend Micro Incorporated. All rights reserved.

ＰＣＩ ＤＳＳ準拠
ＤＳＳ準拠の準拠の際に抱えるお客様えるお客様の客様の課題
現状のシステムの把握
クリアしなければならない要件の把握
ギャップ分析

準拠するために必要なセキュリティ製品の導入
ファイアウォール、Web Application Firewall、IPS/IDS、改ざん検知ソ
フト、etc…
セキュリティ製品の運用策定

社内への啓蒙活動・運用説明
新たなセキュリティ運用ルールの策定

PCI-DSS準拠がコスト増、システム運用負荷増になってしまいがち！
2
Copyright © 2012 Trend Micro Incorporated. All rights reserved.

1キーワード “早く”、“安く”、“手戻りなく手戻りなく”
りなく”
早くギャップ分析の結果、不足している対策への対応
準備から審査期間

安く
準拠コンサルティング
セキュリティ製品の導入
QSAによる審査

手戻りなく＝“前の状態に戻って、もう一度その作業をやり直すこと”
何度も審査を受けない（一発合格！）

3
Copyright © 2012 Trend Micro Incorporated. All rights reserved.

Trend Micro

Deep Security 7.5TM ５つのセキュリティ機能
つのセキュリティ機能を機能を１つの製品つの製品で製品で提供
 物理、物理、仮想サーバなどサーバ
仮想サーバなどサーバ環境
サーバなどサーバ環境に環境に応じた最適じた最適な最適な対策が対策が可能
 Windows、Windows、Linux、Linux、SolarisとSolarisと幅広いサーバに幅広いサーバに対応
いサーバに対応
IPS/IDS
Webアプリ
保護

Microsoft

ファイア
ウオール

Solarisセキュリティ
ログ監視

Linux
4

ファイル
レジストリ
変更監視

Citrixウイルス対策

VMwareCopyright © 2010 Trend Micro Incorporated. All rights reserved.

2

Deep Security で準拠支援できる PCI-DSS
準拠項目
 (1.ｘ(1.ｘ)データを保護
データを保護するために保護するためにファイアウォールするためにファイアウォールのファイアウォールの導入をし導入をし、をし、最適な最適な設定を設定を維持すること維持すること (2.x)システムまたはソフトウエアの出荷時
システムまたはソフトウエアの出荷時の出荷時の初期設定値（セキュリティに関セキュリティに関する設定値する設定値）設定値）をそのまま利用をそのまま利用しないこと利用しないこと

 (6.x)安全性の安全性の高いシステムとアプリケーションを開発
いシステムとアプリケーションを開発し開発し，保守すること保守すること （Deep Packet Inspection (IDS/IPS) ） (10.x)ネットワーク資源
ネットワーク資源およびカード資源およびカード会員およびカード会員データに会員データに対データに対するすべてのアクセスを追跡
すべてのアクセスを追跡し追跡し、監視 すること (11.x)セキュリティ・システムおよび管理手順
セキュリティ・システムおよび管理手順を管理手順を定期的に定期的にテストすること Deep Packet Inspection (IDS/IPS)及(IDS/IPS)及びファイル・レ
ジストリ変更変更 監視機能ジストリ

 (12.x)情報セキュリティに情報セキュリティに関セキュリティに関するポリシーを整備するポリシーを整備すること
整備すること5
Copyright © 2012 Trend Micro Incorporated. All rights reserved.

Classification

AllAll-inin-Oneタイプのサーバセキュリティソフトウェア
Oneタイプのサーバセキュリティソフトウェア
ファイアーウォール
Trend MicroIPS/IDS

Deep Security 8.0
TMWeb Application
Firewall
改ざん検知

6
Copyright © 2012 Trend Micro Incorporated. All rights reserved.

3

強力な強力な保護を保護を実現 –Deep Packet Inspection

Copyright © 2010 Trend Micro Incorporated. All rights reserved.

7“仮想パッチ仮想パッチ”
パッチ”による新による新しい脆弱性対策
しい脆弱性対策• 仮想パッチ
仮想パッチはOSやアプリケーションの脆弱性
いた攻撃コードをネットワーク
パッチは，OSやアプリケーションのやアプリケーションの脆弱性を脆弱性を衝いた攻撃
攻撃コードをネットワーク上コードをネットワーク上を流れるパケットレベルで照合れるパケットレベルで照合し照合し，ルールにマッチする攻撃
ルールにマッチする攻撃パケットをブロックし攻撃パケットをブロックし，パケットをブロックし，サーバを保護サーバを保護する
保護する技術する技術• ソフトウェアのコードレベルでの修正
ソフトウェアのコードレベルでの修正を修正を行なわず脆弱性
なわず脆弱性を脆弱性を保護できるので保護できるので、できるので、アプリケーションへの影響ケーションへの影響が影響が少ない

Copyright 2012 Trend Micro Inc.

8

Copyright © 2012 Trend Micro Incorporated. All rights reserved.

4

仮想パッチの仮想パッチの仕組パッチの仕組み
仕組み

Copyright 2012 Trend Micro Inc.

9
Copyright © 2012 Trend Micro Incorporated. All rights reserved.

Deep SecurityならではのSecurityならではの機能
ならではの機能“推奨検索”推奨検索”でさらに便利
でさらに便利！
便利！

Copyright 2012 Trend Micro Inc.

10
Copyright © 2012 Trend Micro Incorporated. All rights reserved.

5

トレンドマイクロがサイバー攻撃対策

ターゲットの偵察
ターゲットの偵察・偵察・侵入

侵入
侵入の侵入の糸口となる
糸口となる脆弱性となる脆弱性を脆弱性を把握サーバメンテナンスにサーバメンテナンスに左右
サーバメンテナンスに左右されない
左右されないセキュリティパッチ適用
セキュリティパッチ適用
OS
OSだけ
OSだけではなくアプリケーションのだけではなくアプリケーションの脆弱性にも脆弱性にも注意にも注意

不正ツールの不正ツールの設置
ツールの設置不正
不正なファイルの不正なファイルの設置なファイルの設置や設置や、設定ファ設定ファイルの不正
イルの不正な不正な変更を変更を監視
OS
OSのイベントログとアプリケーションOSのイベントログとアプリケーションのログを相関監視のログを相関監視

アクセス権限アクセス権限の権限の入手

顧客データの顧客データの外部流出
データの外部流出

Trend Micro
Deep Security
・サーバの脆弱性
・サーバの脆弱性を脆弱性を自動で自動で検出
・仮想パッチで仮想パッチで即座パッチで即座に即座に保護ファイルやレジストリの変更
ファイルやレジストリの変更を変更を検知し検知し、管理者へ管理者へ通知
サーバの停止不要
サーバの停止不要
アプリケーションへの副作用の副作用の心配なし
心配なし
Trend Micro
Threat Management Solution不正
不正ツールが不正ツールが行ツールが行う通信を通信を検知不正
不正な不正な通信をしているサーバを通信をしているサーバを特定をしているサーバを特定
外
外から中から中への通信への通信だけではなく通信だけではなく、だけではなく、中から外から外への通信への通信も通信も検閲

万が一バックドアやボットが仕掛けられてもけられても監視
監視センサーセンサー
仕掛
けられても監視記載
AppendixにてAppendixにて記載
にてが素早く素早く検知
パターンファイルが検知
パターンファイルが検知でき検知できない新種ない新種も新種も検知可能

11
Copyright © 2012 Trend Micro Incorporated. All rights reserved.

テレコムクレジット株式会社様
テレコムクレジット株式会社様PCI DSS準拠
準拠の準拠の為のセキュリティツール導入のセキュリティツール導入
お客さまの要望：
PCI DSS準拠の為のセキュリティツールを検討
評価のポイント：仮想パッチ、推奨スキャン、統合管理
５つの機能を1つの製品で実装しているため複数のセキュリティ製品を購入する必要が無く、コストが削減できた。
従来

複数のセキュイリティ
複数のセキュイリティ製品のセキュイリティ製品の製品の導入が導入が必要だった
必要だった

今後

Deep SecurityででPCI DSS
７項目に項目に準拠できた
準拠できた

ゲストOS
ゲストOS

FW
IPS
カード情報
カード情報が情報が入ったサーバー

改ざん検知
ざん検知

Deep Security
エージェント12
Copyright © 2012 Trend Micro Incorporated. All rights reserved.

6

PCI DSS準拠要件とDeep Securityの支援できる範囲【要件7】【要件3】

カード会員データへのアクセスを業務上必要な範囲に制限すること保存するカードデータを保護すること

【要件6】

【要件5】
アンチウィルスソフトウェアまたはプログラムを使用し、定期的に更新すること安全性の高いシステムアプリケーションを開発し、保守すること【要件1】【要件10】

安全なネットワークの構築と維持

データベース基盤

ネットワークリソースおよびカード会員データへのアクセス追跡および監視す
る

【要件4】

【要件8】
コンピュータにアクセスできる各ユーザに一意のIDを割り当てる

アプリケーション基盤

オープンな公共ネットワーク経由でカード会員データを伝送する場合、暗号化することネットワーク基盤【要件2】
システムパスワード及び、他のセキュリティパラメータにベンダ提供のデフォルト値を使用しないこと【要件11】
セキュリティシステムおよびプロセスを定期的にテストする

セキュリティ基盤【要件9】【要件12】
従業員および派遣社員向けの情報セキュリティポリシーを整備する

カード会員データへの物理アクセスを制限する

13
Copyright © 2012 Trend Micro Incorporated. All rights reserved.

本日のまとめPCI-DSS準拠のセキュリティツールとして活用！！
セキュリティ製品コストの最適化とセキュリティの強化を両立＋
発想を変えたサーバーセキュリティの実施
昨今のサイバー攻撃から重要なデータを守るためには、発想を変えたセキュリティ対策が必要

Trend Micro Deep SecurityでSecurityでPCIPCI-DSSのDSSの準拠とサーバセキュリティの準拠とサーバセキュリティの強化とサーバセキュリティの強化を強化を両立！！
両立！！

14
Copyright © 2012 Trend Micro Incorporated. All rights reserved.

7

ご静聴ありがとうございました
静聴ありがとうございました。
ありがとうございました。

8