CUSTOMER CASESTUDY ｜ 国立大学法人東京工業大学

Quantum Maestro 中核のクラスタ構成で柔軟な拡張性を備えた次世代ファイアウォールシステムを構築

提供：東京工業大学

日本最高の理工系総合大学である東京工業大学（以下、東工大）は、2020 年にファイアウォールシステムを更新し、チェック・ポイントのハイパースケール・ネットワークソリューション
「Quantum Maestro」を中核として、5 台のセキュリティゲートウェイを組み合わせたクラスタ型システムで、次世代ファイアウォール（NGFW）システムを構築した。新システム構築により、基幹ネットワークの安定稼働と、柔軟な拡張性を獲得。さらに、チェック・ポイントの使いやすいログ検索とレポートを活用して、NGFW の機能を最大限に引き出す体制を作り上げた。

常にその時点で最良・最適な技術を選択してセキュリティ脅威に備える
東工大は 2021 年から、田町キャンパスの再開発を契機とする「キャンパス・イノベーションエコシステム構想」に取り組んでいる。大岡山・すずかけ台・田町 3 キャ

お客様プロフィール

国立大学法人東京工業大学
https://www.titech.ac.jp/
本部所在地 ： 東京都目黒区大岡山 2 丁目 12-1

「世界最高の理工系総合大学の実現」を長期1881 年創立。
的な目標に掲げる。学生数は学士課程・大学院合わせて約10,500 人、教員および職員は約 3,600 人。日本の大学で初めて学部と大学院を統合して、6 つの「学院」制へ移行し、学士課程から博士後期課程まで一貫した教育カリキュラムを組む。創立 150 周年の節目となる 2031 年までを「キャンパス・イノベーションエコシステム構想 2031 」
としてキャンパス環境整備を推進中。

ンパスそれぞれの姿と役割を変え、有機的なキャンパス連携と次世代型産学連携を実現していく一大変革だ。
「常に動きがあることは東工大の特徴です。魅力といってもいいでしょう」と、東京工業大学 学術国際情報センター 准教授であり、東工大 CERT（情報システム緊急対応チーム）の統括責任者を務める松浦知史氏は語る。

動 き の ひとつに、デジ タ ルトランスフォーメーション（ DX ）も ある。東 工 大 は2021 年を「 DX 元年」と位置づけ、ファイル共有、チャット・コミュニケーション、ビデオ会議など、複数のクラウドサービスを全学一斉導入し、教育・研究環境の充実と業務改善を推進中だ。
当然ながらネットワーク・トラフィックは増加している。
「基幹ネットワークのスループットは、10 年前に比べると3 倍近くに増えており、求められるサービスレベルも高くなっています。いま最も重要なのは安定稼働です」と松浦氏は強調する。
一方で、セキュリティの脅威は増すばかりだ。ばらまき型攻撃は日々大量に送信課

題● 将来のスループット変化へ確実に対応できる「柔軟な拡張性」確保● 次世代ファイアウォール（最大限に有効活用

NGFW ）の膨大なログを●度化し、手の込んだものが開発されている。
すばやく変化するセキュリティ・トレンドを確実にキャッチアップするため、基幹ネットワークのファイアウォールシステムは 5 年ごとに刷新し、予算とのバランスの中でその時点での最良のソリューション、最適な技術を選択するのが東工大

ソリューション
●されてくる。特定大学・研究機関にターゲットを絞った標的型攻撃はますます高Quantum Maestro×2 台と、Quantum CP6200
Plus×5 台によるクラスタシステム構築
Quantum Smart-1×2 台の使いやすいログ検索とわかりやすいデイリーレポートで、NGFW の 機 能を日々の運用に活かすの情報セキュリティ施策における基本方針である。

将来の不測の変化にも柔軟でリニアな拡張性が性能要件を確保「柔軟な拡張性」と、「ログ検索2020 年のシステム更新にあたって重視したのは、のしやすさ」である。
「ネットワーク状況がどのように変化した場合でも、柔軟に対応できる体制を作っておくために選んだのが、チェック・ポイントの Quantum Maestro を中核にしたソリューションです」と松浦氏。
東京工業大学准教授 博士（工学）松浦 知史 氏Maestro は、1.5 Tbps の脅威保護スループットを実現する現時点で業界最高峰のハイパースケール・ネットワークソリューションである。最大の特長は、接続するゲートウェイの台数を増やせば、リニアにスループットを拡大できることだ。

コネクションの同期処理やクラスタリング処理は Maestro が一手に引き受け、

CUSTOMER CASESTUDY ｜ 国立大学法人東京工業大学

柔軟な拡張性と使いやすいログ管理機能を実現

Management Network

L2 Network 等

管理・ログ管理 イベント分析

各種スイッチ等

Point:6200 をマエストロでたすきがけ

Smart-1

Sync

MHO140

Sync
Smart-1

MHO140Sync
CP6200 Plus

CP6200 Plus

CP6200 Plus

CP6200 Plus

Security Group 1

Security Group 2

イントラネット用（非メイン用途）

インターネット用（メイン用途）

CP6200 Plus

Quantum 3800

Quantum 3800

事務ネット

ゲートウェイ側は Maestro からロードシェアリングされるトラが自ら Smart-1 を駆使して、ログ管理、インシデント追跡、ポリフィックのセキュリティ処理に専念するからである。

シーの追加設定などを行っている。

東工大は、複数台数のゲートウェイを導入して、メイン用途と非圧倒的な安定稼働とインシデントレスポンスの時間短縮に成功

しかも、Maestro は複数のセキュリティグループを構築できる。
メイン用途で 2 つのセキュリティグループに振り分け、状況変化に応じて割り振りを変える形で、柔軟な拡張性を確保することにした。この方法であれば、今後 5 年程度であれば、ゲートウェイを新システムは、2021 年 4 月、稼 働を開 始した。基 幹 ネットワー

追加購入することなく、セキュリティグループの振り分けを変えクのゲートウェイとしては、中規模企業向けセキュリティゲートるだけで、拡張性を確保できる。

「数年先を見越して大きめの機種を 1 台導入し、仮想的に区切って運用し続けるよりも、小規模で安価な機種を複数台数使うほう

ウェイ「 Quantum CP6200 Plus 」を 5 台 導 入。これを、2 台 のMaestro にすべて「たすぎがけ」で接続した。
Maestro は、5 台 の CP6200 Plus を 3 台と2 台 のセキュリティが、投資効率が高いと判断しました」と松浦氏は説明する。

グループに分け、インターネット用とイントラネット用のポリシー比較検討した他社提案の中には、チェック・ポイント同様にゲートを適用して運用している。将来インターネットトラフィックが増大ウェイをクラスタ構成にする提案もあったが、チェック・ポイントは他社の半分程度であるゲートウェイ 5 台だけで目標の拡張スループットを確保できるため、見積り価格も安かった。リニアなハイパースケールならではの強みである。

すれば、2 台あるイントラネット用ゲートウェイをインターネット用へと順次切り替えて対応していく。

システム更新の最大の効果は、「圧倒的な安定稼働」である。本稼働から 1 年以上経つが、チェック・ポイント製品が原因のクレーム、遅延などは 1 件も発生していない。

次世代ファイアウォールの有効活用にはログ検索、レポートの使いやすさが不可欠「Maestro のクラスタリング処理や、ネットワークレイヤでのセッネットワーク更 新 の もうひとつ の 要 件として、ログ 管 理、イベ設計思想が、運用しているとよくわかります」と松浦氏は指摘する。

ション振り分けのしくみはシンプルでわかりやすい。シンプルだからこそ、トラブルが起きにくく、信頼性が高いというMaestro のント解 析 のしやすさを重 視したのは、次 世 代ファイアウォー ル

新システムのさらなる成果は、NGFW の効果的な運用が実現で東工大は、2015 年度に NGFW を導入した。IPS（不正侵入防止「 IPS もアプリケーション管理もログの取りこぼしがないなど、（ NGFW ）の豊富な機能を最大限に活かすためである。

きたというセキュリティメリットである。

システム）、アプリケーション制御、アンチボットなどの最新機能チェック・ポイントの NGFW 機能には全体的に満足しています。

を複数組み合わせて、ゼロデイ攻撃をはじめとする未知の脅威

こうした複合セキュリティの機能を日々の運用に活かしていくににも対応するためだ。2015 年時点でも選んだのはチェック・ポイ
ント製品であったが、評価の決め手は、セキュリティ管理アプラ

イアンス「 Quantum Smart-1 」のログ検索のしやすさだった。

NGFW は、従来型ファイアウォールよりもはるかに大量のログが発生する。重要なログが埋もれてしまうことなく、確実にトレースして解析するには、ログの検索性能がきわめて重要だ。

は、理解しやすい形で見せてくれるユーザーインターフェースが不可欠です」と松浦氏。

ネットワーク管理者はもちろん、職員も、毎朝 Smart-1 が自動作成するデイリーレポートを読み、「このアラートが多くなっているから、ちょっと精査して対策を立てておこう」と即座に実行している。レポートやログ検索の使いやすさが、インシデントレスポ「Smart-1 は、ログ検索が使いやすい。検索項目を入力するフィーンスのインターバルを短く回すことに貢献しているのである。

た全文検索でドリルダウンしていけます。レポート機能も優れてい「どのように変化しても、インシデントが発生したときには必ず詳ます。きれいで、見やすく、カスタマイズしやすい」と松浦氏。

細まで『調査しきる』のがわれわれの使命です」と松浦氏。

らも評価が高い。今回、職員が使う「事務ネット」は、基幹ネットう重要な任務を担って、MaestroとSmart-1 で構築したネットワークとは別に構築した。この事務ネットは、利用者である職員ワークセキュリティシステムは今日もフル稼働している。

ルドを気にすることなく、『Google ライク』に、単一の検索窓を使っSmart-1 は、ネットワーク管理のエンジニアのみならず、職員か今後も、ネットワーク利用形態は、さまざまな変化が予想される。

そして、インシデンドの詳細を「漏れなくしっかり見せきる」
といチェック・ポイント・ソフトウェア・テクノロジーズ株式会社
info_ jp@checkpoint.com https://www.checkpoint.com/jp/