Direct from Development
Server and Infrastructure Engineering

Dell EMC PowerEdgeのUEFIブート：
絶え間ないファームウェアへの脅威に対抗するためのセキュリティ強化
進化を続けるサイバー攻撃の状況
テックノートセキュリティ侵害の頻度が高まる中で、システム管理者はこれまで以上に多様な防Craig Phelps
Wei Liu
Marshal Savage
Milton Taviera
Kim Kinahan

護策を採用する必要があります。サイバー攻撃は、ネットワーク、オペレーティング シ

概要

るコードをデバイスやシステムのファームウェアに潜り込ませます。

業界全体で従来の起動からUEFIブー

ファームウェアは、ハードウェアに組み込まれるソフトウェアです。サーバーのコンポーネトへと移行する大きな流れが生じています。

ステム(OS)、アプリケーションなど従来のセキュリティ重点領域だけに影響を与えるわけではなく、ファームウェアの対策は見過ごされがちです。攻撃者はこの起動前環境に狙いをつけ、ファームウェア ルートキットを使用して、マルウェアと呼ばれる悪意のあントはハードウェアそのものと捉えられる傾向があります。しかし、ネットワーク インターフェイス カード、ストレージ コントローラー、グラフィック カードなど、多くのコンポーネント

UEFIブート モードはセキュリティを強化し、絶え間ないファームウェアへの脅威に対抗できるようにします。
特定のセキュリティ機能と起動メカニズ
ムは、システムがUEFIブート モードに設定されている場合にのみ使用できます。にはファームウェアが含まれています。ファームウェアはデバイスのオペレーティング システムとして動作し、制御、モニタリング、データ操作の機能を持ちます。ファームウェアは、OS環境が起動する前に実行されます。
マルウェアはシステムのファームウェアを制御して、システムのフルアクセスを奪取することができます。起動前のマルウェアは、OSの特権レベルを回避し、OSのマルウェア対策ツールによる検出から逃れ、OSを再インストールしても削除されません。攻撃者が起動前環境にマルウェアを組み込んだ場合、管理者がそれを除去するのは困難で、検出さえできない場合もあります。

UEFIブートに移行する業界の流れ
起動前環境に対する脅威に対抗し、攻撃を減らすために、業界全体で従来の起動からUEFIブートへと移行する幅広い流れが生じています。

Copyright © 2021 Dell Inc. その関連会社。All rights reserved.（不許複製・禁無断転載） Dell Technologies、Dell、EMC、Dell EMCおよび他の登録商標はDell Inc.またはその関連子会社の商標又は登録商標です。その他の商標は、各社の商標又は登録商標です。

Copyright © 2021 Dell Inc. その関連会社。All rights reserved.（不許複製・禁無断転載） Dell Technologies、Dell、EMC、Dell EMCおよび他の登録商標はDell Inc.またはその関連子会社の商標又は登録商標です。その他の商標は、各社の商標又は登録商標です。

多くのベンダーやお客様がUEFIブートを採用し、従来の起動モードを使用するOSやアプリケーションの認定を停止しています。
•Microsoftでは、Windows Server 2022以降でUEFIブートを必須としています。

•VMwareの最新のESXi製品では、UEFIのみ認定されます。

•インテル®は、最新のインテル® Xeon® E-2300 シリーズ・プロセッサーなどの特定のプラットフォームで従来の起動のサポートを停止しました。

•PCI Express Gen 5やNVMeなど、多くの新しいテクノロジーでは従来のBIOSを廃止し、最新のデータセンターはUEFIブートへの移行を進めています。

起動モード
デル・テクノロジーズのお客様には、デル・テクノロジーズの工場でサーバーの起動モード（従来のBIOS起動モードまたはUEFIブート モード）を指定できるオプションがあります。また、システム管理者はサーバーを操作環境に導入する前に起動モードを選択できます。新しいPowerEdgeサーバー、インテル® Xeon® EシリーズとXeon® Dシリーズ ベースのサーバーの導入以降は、UEFIブートのみがサポートされます。インテル® Xeon-SPおよびAMD EPYC™ベースのシステムを含め、Dell 17Gサーバーでは全面的に従来のBIOS起動が廃止されます。
起動モードは、システムBIOSがアダプター カードのファームウェアやオペレーティング システムのファームウェアとどのようにやり取りするかを決定します。従来のシステムBIOSは初期化、起動、システム管理、構成のタスクを実行します。BIOSはシステムのプロセッサー、メモリー、バス コントローラー、I/Oデバイスを初期化します。 初期化の完了後、BIOSはオペレーティング システ
ム(OS)ソフトウェアに制御を渡します。OSローダーは、システムBIOSの基本的なサービスを使用して、OSモジュールを検出し、システム メモリーにロードします。システムの起動後、BIOSと組み込み管理コントローラーがシステム管理アルゴリズムを実行し、基盤となるハードウェアの状態をモニタリングして最適化します。BIOSの構成設定によって、システムのパフォーマンス、電源管理、信頼性機能の微調整が可能になります。
従来のほとんどのBIOS実装には、BIOS以外のコード モジュール（I/Oデバイスのファームウェアやオペレーティング システム ローダーなど）の整合性を検証するメカニズムがありません。従来のBIOSでも、BIOSコードが格納されている不揮発性メモリーの保護や、不正な構成変更に対する防御機能を備えている場合があります。ただし、これらの実装はベンダー間で異なり、各実装に関連するリスクは評価が困難な場合があります。

Copyright © 2021 Dell Inc. その関連会社。All rights reserved.（不許複製・禁無断転載） Dell Technologies、Dell、EMC、Dell EMCおよび他の登録商標はDell Inc.またはその関連子会社の商標又は登録商標です。その他の商標は、各社の商標又は登録商標です。

Copyright © 2021 Dell Inc. その関連会社。All rights reserved.（不許複製・禁無断転載） Dell Technologies、Dell、EMC、Dell EMCおよび他の登録商標はDell Inc.またはその関連子会社の商標又は登録商標です。その他の商標は、各社の商標又は登録商標です。

UEFIブート モード
UEFI（Unified Extensible Firmware Interface）でも、システムBIOSの従来の目的は変わりません。大部分においては、UEFI準拠のBIOSも従来のBIOSと同じ初期化、起動、構成、管理タスクを実行します。ただし、UEFIでは、BIOSがI/Oデバイスのファームウェアやオペレーティング システム ソフトウェアとのやり取りに使用するインターフェイスとデータ構造が異なります。インターフェイスには、プラットフォーム関連情報を含むデータ テーブル、オペレーティング システムとローダーが使用できる起動時および実行時のサービスコールが含まれます。全体として、オペレーティング システムを起動して起動前アプリケーションを実行するための標準的な最新の環境となります。UEFIの主な目的は、従来のBIOS環境の欠点を解消し、システム ファームウェアを業界のトレンドに合わせて継続的に拡張できるようにすることです。

セキュア ブートによる追加のセキュリティ チェック
UEFI対応システムでは、セキュア ブートをセットアップ オプションとして選択し、起動時のセキュリティを強化できます。セキュアブートは、サードパーティ製ドライバやOSブート ローダーなどをロードする際にBIOSで追加のセキュリティ チェックを実行します。

UEFIでは、起動前の各コード モジュールの整合性を検証し、承認されたコード モジュールの実行のみを許可するメカニズムを定義し、それをセキュア ブートと呼んでいます。ユーザーは、承認されたエンティティと非承認エンティティの両方に対して、X.509証明書とハッシュ値から構成されるセキュア ブート ポリシーを構成します。システムBIOSは、I/Oデバイス ファームウェアやオペレーティング システム ローダーなどの起動前ソフトウェアを実行するかどうかを決定する際に、このポリシーを適用します。

Copyright © 2021 Dell Inc. その関連会社。All rights reserved.（不許複製・禁無断転載） Dell Technologies、Dell、EMC、Dell EMCおよび他の登録商標はDell Inc.またはその関連子会社の商標又は登録商標です。その他の商標は、各社の商標又は登録商標です。

Copyright © 2021 Dell Inc. その関連会社。All rights reserved.（不許複製・禁無断転載） Dell Technologies、Dell、EMC、Dell EMCおよび他の登録商標はDell Inc.またはその関連子会社の商標又は登録商標です。その他の商標は、各社の商標又は登録商標です。

UEFIセキュア ブートは、UEFIファームウェアからUEFIオペレーティング システムへの処理の引き継ぎ中に発生する可能性のある主要なセキュリティ ホールをなくすためのテクノロジーです。UEFIセキュア ブートでは、チェーン内の各コンポーネントのロードまたは実行を許可する前に、特定の証明書に照合して検証し、承認します。セキュア ブートは、起動の各ステップ（プラットフォーム ファームウェア、オプションのROM、OSブートローダー）で、従来の脅威を除去し、ソフトウェアのIDチェックを実行します。
Unified Extensible Firmware Interface（UEFI）フォーラムが、UEFI仕様でセキュア ブートを定義しています。UEFIフォーラムは、起動前ソフトウェアに関する標準を策定する業界団体です。コンピューター システム ベンダー、拡張カード ベンダー、オペレーティング システム プロバイダーは、この仕様に基づいて協力し、相互運用性を促進しています。セキュア ブートはUEFI仕様に含まれ、起動前環境のセキュリティに関する業界全体の標準となるものです。UEFIセキュア ブートを有効にすると、署名されていないか、信頼できないUEFIデバイス ドライバーがロードされるのを防ぐことができます。エラー メッセージを表示したり、デバイスの起動を停止したりできます。未署名のデバイス ドライバーをロードするには、セキュア ブートを無効にする必要があります。
第14世代以降のDell EMC PowerEdgeサーバーでは、各種のインターフェイスを介してセキュア ブート機能を有効または無効にできます。ホワイトペーパー『Secure Boot Management on Dell EMC PowerEdge Servers』に、セキュア ブートの概念やDell EMC PowerEdgeサーバーでの構成方法の詳細が記載されています。

従来の起動を行うサーバーが導入されている環境への影響
お客様の既存の環境でサーバーが従来の起動に設定されている場合、UEFIブート モードへの切り替えによって主に影響を受けるのは、導入とメンテナンスのモデルです。
現在、PXEサーバーを使用して導入や定期メンテナンスを行っているインフラストラクチャ環境がある場合は、PXEサーバーの設定変更を計画する必要があります。 ホワイトペーパー『Boot Mode Considerations: BIOS vs UEFI 』に、このプロセスの詳細が記載されています。
もう1つの影響は、NVMeドライブがUEFIブート モードでしか起動できないことです。ただし、データ ドライブとしてはどちらの起動モードでも使用できます。

Copyright © 2021 Dell Inc. その関連会社。All rights reserved.（不許複製・禁無断転載） Dell Technologies、Dell、EMC、Dell EMCおよび他の登録商標はDell Inc.またはその関連子会社の商標又は登録商標です。その他の商標は、各社の商標又は登録商標です。

Copyright © 2021 Dell Inc. その関連会社。All rights reserved.（不許複製・禁無断転載） Dell Technologies、Dell、EMC、Dell EMCおよび他の登録商標はDell Inc.またはその関連子会社の商標又は登録商標です。その他の商標は、各社の商標又は登録商標です。

まとめ
サイバー攻撃は、より膨大で頻繁になり、検出も困難になっています。最新のセキュリティ手法を実装して強力なセキュリティ体制を整えることで、組織は現在のサイバー脅威状況に対処できるようになります。システムがUEFIブート モードに構成されている場合のみセキュリティ機能と起動メカニズムが利用可能になるため、業界全体でUEFIブートへの移行が幅広く進んでいます。

関連リソース•

ホワイトペーパー：『Secure Boot Management on Dell EMC PowerEdge Servers』 - セキュア ブートの概念やDell EMC PowerEdgeサーバーでの構成方法の詳細•

ホワイトペーパー：『Boot Mode Considerations: BIOS vs UEFI』 - 既存のデータセンター インフラストラクチャでUEFIブート モードをサポートするために必要な変更の詳細

PowerEdge Direct from Developmentレポジトリ

お問い合わせフォローしてください

技術的な詳細を確認

フィードバックやご要望

PowerEdgeの最新情報

Copyright © 2021 Dell Inc. その関連会社。All rights reserved.（不許複製・禁無断転載） Dell Technologies、Dell、EMC、Dell EMCおよび他の登録商標はDell Inc.またはその関連子会社の商標又は登録商標です。その他の商標は、各社の商標又は登録商標です。