Direct fromDevelopment

PowerEdge プロダクトグループ

セキュリティ最重視のサーバ設計
開発段階で設計に組み込まれた「Dell EMC PowerEdge」サーバのセキュリティ
テックノートRick Hall
Mukund Khatri
Tad Walsh
概要
ITインフラのセキュリティ確保において、サーバ機器のセキュリティ機能はきわめて重要な要素です。しかし多くのお客様は、サイバーセキュリティについてはOSとアプリケーションへ注力をする一方、基盤となるサーバインフラ（ハードウェアとファームウェア）への意識は高くないのが一般的です。
サイバー侵入・サイバー攻撃を受ければ、システムはもちろん事業そのものにダウンタイムが生じ、ビジネス損失・顧客損失・データ改ざん・データ保護関連の政府規制違反による企業としての信用にも傷がつくため、サーバセキュリティの重要性は、強調してもしきれません。
最新のPowerEdge サーバには、サイバー攻撃への防御・検知・リカバリーを担うセキュリティ機能が装備されています。これは製品に後付けで追加された機能ではなく、製品の開発段階で設計に組み込まれたものです。

IT管理者からCxOまですべてのお客様にとって、いまITセキュリティがいかに重要で、いかに懸念材料になっているか。これはお客様との会話、業界誌の動向、あるいは市場調査の結果いずれからも明らかです。背景にあるのは、システム・ダウンタイム、生産性の低下、ビジネスの損失、データ改ざんとそれによる信用低下などの潜在的なリスクです。しかしIT部門の多くは、サイバーセキュリティへの意識は持ちつつも、悪意ある攻撃からOSとアプリケーションレイヤーを守ることにフォーカスをあて、その基盤となるサーバインフラ（ハードウェアとファームウェア）のセキュリティには、十分な意識や具体的な計画があまり見られないことが一般的です。(図1)

図 1: データセンターのセキュリティ確保にクリティカルな要素となるサーバインフラ

サーバインフラがデータセンターのセキュリティにおける大切な要素であることは、見過ごされがちな現実です。サーバのファームウェアを標的としたサイバー攻撃は執拗なうえ、補足は困難で、かつ被る被害は深刻なためです。ですのでサーバのハードウェア設計とファームウェアは、ITセキュリティに関する戦略設定で考慮されるべき特にクリティカルな分野といえます。一概にサーバファームウェアといって、BIOSからBMC（PowerEdgeの場合はiDRAC）、ハードドライブやネットワークアダプタなど、様々なコンポーネントが該当します。
強化された「サイバー・レジリエント・アーキテクチャ」「Dell EMC PowerEdge」サーバは過去数世代に渡り、シリコンベースのセキュリティや、暗号化によるルート・オブ・トラスト認証を活用したサーバ起動およびファームウェア更新など、堅牢なセキュリティ機能を提供してきました。これらの機能はいずれも、「NIST SP800-147B」や「UEFIセキュアブート」などの業界規格に則っています。

© 2017 Dell Inc. or its subsidiaries. All Rights Reserved. Dell, EMC and other trademarks are trademarks of Dell Inc. or its subsidiaries. Other trademarks may be trademarks of
their respective owners.

第14世代「Dell EMC PowerEdge」サーバには強化された「サイバー・レジリエント・アーキテクチャ」が標準装備されており、サイバー攻撃に対する防御・検知・回復の能力を強化した設計がされています。このアーキテクチャは以下の側面があります。

効果的な防御信頼できる検知

迅速な回復oo

シリコンベースのハードウェア ルート・オブ・トラスト
署名入りの更新用ファームウェア

oo「System Lockdown」（システム ロックダウン）機能
セキュアなデフォルトパスワードooo

コンフィギュレーションとファームウェアのドリフト検出
ユーザーアクティビティも含む永続的なイベントログ収集
セキュアアラートoo「Automatic BIOS Recovery」「Rapid OS Recovery」

o「System Erase」（システム消去）機能

図2: 第14世代「Dell EMC PowerEdge」サーバの「サイバー・レジリアント・アーキテクチャ」主要要素

セキュリティ機能の開発ライフサイクル「サイバー・レジリアント・アーキテクチャ」の製品化には、製品開発の全段階におけるセキュリティへの強い意識と統制が求められます。「Security Development Lifecycle (SDL) モデル」と呼ばれるこの開発プロセスでは、セキュリティは後付けではなく、サーバの設計・開発全体の中核になる要素となります。下記に記す通りこの設計プロセスでは、サーバ製品の全てのライサイクルにおいて、セキュリティ・ニーズの視点が徹底されています。(図3)•

製品の考案・設計・プロトタイプ開発・各機能の実装・製造・お客様先での展開・メンテナンスといった全フェーズでセキュリティが優先的な評価基準に策定•

ファームウェアは、サーバ製品の開発ライフサイクルにおける全てのフェーズで悪意あるコードの混入を遮断・妨害・カウンターするよう設計o

設計プロセスは「脅威モデル（Threat modeling）」と「ペネトレーションテスト」の対象範囲に策定

o「セキュアコーディング」が開発の各ステージで実践されたファームウェア•

重要な技術については、社内でのSDLモデルの実践に加えて外部監査を取り入れ、ファームウェアがセキュリティ業界の既知の最善の事例に忠実であることを徹底•

常に最新のセキュリティアセスメントツールを活用し最新の潜在的な脆弱性に対するテストと検証を実施•

お客様からのクリティカルな「CVE（共通脆弱性識別子）」報告には迅速に反応し、保証規定に則り迅速に改善策を提示

図 3: Dell EMCのセキュリティ開発サイクル© 2017 Dell Inc. or its subsidiaries. All Rights Reserved. Dell, EMC and other trademarks are trademarks of Dell Inc. or its subsidiaries

革新的なセキュリティ機能
シリコンベースのハードウェア・ルート・オブ・トラストは、Dell EMCの革新的なサーバ・セキュリティ機能の最たる例です。
「サイバー・レジリアント・アーキテクチャ」がシステムの中心となり効力を発揮して、iDRACとBIOSファームウェアがいわゆる「信頼の連鎖（Chain of trust）」の中で起動されていることを認証します。同様にNIC、HBA、RAIDカード、CPLD、ストレージドライブ、パワーサプライといった重要なコンポーネントのファームウェアも、同じ手法により暗号化署名で認証されるファームウェ
アのみ、サーバ内で稼働するよう徹底します。
PowerEdge サーバは「UEFIセキュアブート」もサポートします。 セキュアブートは、UEFIドライバーと、OSより先にロードされる各種コードの、暗号化された署名を確認する機能です。確認対象には以下が含まれます。
•オペレーティングシステム (OS) のブートローダー•

PCIeカードからロードされるUEFIドライバー•

マス・ストレージ・デバイスのUEFIドライバーと実行ファイル

PowerEdgeサーバではさらに、カスタマイズされた、マイクロソフト署名の入らないブートローダーの証明書を使うという独自の柔軟性も提供されます。これは主に、お客様自身の署名入りブートローダーを運用したいLinuxユーザー向けの機能です。

第14世代「Dell EMC PowerEdge」サーバの新しいセキュリティ機能の別の例が、「システムロックダウン」です。
•「システムロックダウン」はファームウェアや重要な構成・設定データの変更や改ざんを防御•

ロックダウンモードでは不注意や悪意によるファームウェアや設定データの変更・改ざんに、より高い防護能力で対抗••

ロックダウンモードはiDRAC エンタープライズライセンスの一部として提供
ロックダウンモードは次の管理ツール・インターフェースでサポート：iDRAC GUI、RACADM (Remote AccessController Admin) 、WS-MAN (Web Services Management)、 Redfish、DUP (Dell Update Package)、OMSA(OpenManage Server Administrator) / OMSS (OpenManage Storage Services)、BIOS F2キー、DTK (DellDeployment Toolkit)、IPMI•

パワーキャッピングや電力管理ツールはロックダウンモードでの運用もサポート•

ロックダウンモードでのサードパーティー製品の構成は非推奨

最新のPowerEdgeサーバのセキュリティ機能のさらなる例が、特にホスティングサービスプロバイダーに意味をなす、「DomainIsolation（ドメイン・アイソレーション）」によるマルチテナント型ホスティング環境向けセキュリティです。ホスティングプロバイダーは、提供するサーバハードウェアの構成・設定を保護するため、テナントによる変更を防止したいと望むのが一般的です。
「Domain Isolation（ドメイン・アイソレーション）」は、ホストOS上の管理アプリケーションが、アウトオブバンド管理のiDRACサービスプロセッサや、「Management Engine（マネジメント・エンジン）」あるいは「Innovation Engine（イノベーション・エンジン）」といったチップセットの機能へアクセスすることを不能にする、コンフィギュレーション・オプションです。
自動化によるサーバのセキュリティ強化
さらなるサーバセキュリティのためにユーザーが実施できる主要なアクションをまとめたのが下表1です。下記のルーチン・タスクの多くはDell EMC 「OpenManage」システム管理ツールを使えば自動化できるため、マニュアルの管理プロセスで生じうる、構成・設定エラーやセキュリティの脆弱性を排除できます。例えば、iDRACではWS-ManやRESTful Redfish APIといった堅牢なAPIが提供されるため、ハードウェアウェアのセキュリティ機能の設定をスクリプトにより自動化できます。セキュリティポリシーが自動化されていない場合、ミスや場合によってはセキュリティ侵害につながりやすいと言えます。

© 2017 Dell Inc. or its subsidiaries. All Rights Reserved. Dell, EMC and other trademarks are trademarks of Dell Inc. or its subsidiaries

表1:最善のセキュリティのために推奨されるシステム管理面でのアクション

制御とアクセス
•
•
•

•
•

•

ユーザー/ロール認証に •LDAPかADを採用
2ファクタ認証を設定
iDRACログオンのセキュ •リティ通知を自社のセキュリティポリシーにあわせカスタマイズ•
より強化な暗号化を採用•
特定のIPアドレスのレジへのユーザーアクセ
スの制限
BIOSにパスワードを設定 •監視計画外の構成変更と•ファームウェア変更に警告を設定
セキュアなアラートのた •めSNMPv3かRedfishを利用
シャーシへの物理侵入に対する監視を設定•「Quick Sync 2」利用に関してはモバイルデバ
イスのIDログを監視
疑わしいアクセスやユーザー行動をiDRACログで監視

メンテナンス

アップデート•Dell EMCの暗号化署
名入りファームウェアのみを使う
アップデート用レポジト
リからのファイル転送に •はHTTPSを利用、CIFSやNFSは避ける
不注意もしくは悪意によ •るファームウェアの改ざんを防ぐためシステムロックダウン機能を利用•

サーバやOSの問題修
正はiDRAC専用USB
ポートをダイレクトで使い安全にローカルで行う
リモートコンソールはHTML5モードを使いJavaは避ける
ユーザーデータのドライブやオンボード不揮発性メモリからの消去は「System Erase」で安全・迅速に実行する
コンフィギュレーションを工場デフォルト設定に再設定する機能を持つ

結論
データセンターのセキュリティはビジネスの成功に最も重要な要素であり、基盤となるサーバインフラのセキュリティは、きわめてクリティカルです。サイバー攻撃・サイバー侵入は、システムとビジネスのダウンタイムをはじめ、ビジネス損失、顧客損失、データ損害、政府・国のデータ保護関連規制への不適合、企業としての信頼失墜につながるリスクがあります。サイバー攻撃に対する防御、検知、攻撃からのリカバリーのためには、サーバにセキュリティ機能を後付けするのではなく、セキュリティがハードウェア設計に組み込まれている必要があります。最新のPowerEdge サーバは製品開発の最も初期段階より、「SecurityDevelopment Lifecycle (SDL)」という開発プロセスに基づき、ハードウェア・ファームウェア設計全体の重要な部分をきわめて堅牢な手法で網羅する手法で設計されています。大幅なセキュリティの強化と堅牢化を実現するための、多くの新機能と新たな能力を持った第14世代「Dell EMC PowerEdge」サーバは、モダンデータセンターの基盤として信頼できるサーバ製品です。

© 2017 Dell Inc. or its subsidiaries. All Rights Reserved. Dell, EMC and other trademarks are trademarks of Dell Inc. or its subsidiaries