Ⅰ

ネットワーク基盤技術

３. ネットワークセキュリティ技術

過不足のないセキュリティを実現するセキュリティアーキテクチャ／松尾 真一郎

過不足のないセキュリティを実現する
セキュリティアーキテクチャ－ネットワーク利用者の状況に合わせたセキュリティの実現－

松尾 真一郎 （まつお しんいちろう）
ネットワークセキュリティ研究所
セキュリティアーキテクチャ研究室 室長

博士（工学）。大学院修了後、1996年にNTTデータ通信株式会社に入社、情報セキュリティと暗号の応用に関する研究に従事。2009年にNICTに入所、2011年から現職。情報セキュリティの研究は国際標準化が重要であり、ISO/IEC JTC1における暗号技術の標準化作業の日本における主査を務め、国際標準化のために世界を飛び回る日々を送っています。日本発のセキュリティ技術が世界で利用される例を1つでも多く作るのが夢です。

092「ネットワーク上のサービスを利用する際に、利用者にとって確認しにくいセキュリティを可視化し、複雑なシステムでも適切なセキュリティ技術を利用可能にします。
」

標準化されている技術を利用して実現されてきⅠ−１
光ネットワーク技術

ネ ットワークの多様化とセキュリティ対策の複雑化ていますが、これらの技術は画一的な環境やセキュリティ要求に対応するものでした。しかし、ビスの環境が大きく変化しています。従来は、いネットワーク環境が多様化・複雑化する場合にわゆるクライアント・サーバという形態でサービは、ネットワークにおけるセキュリティ上の脅威スが実現され、情報セキュリティの設計もこの形も複雑化し、脅威への対策を見つけ出すことは態に合わせた形で行われてきました。しかし、クラ非常に困難になります。このような状況では、既

ウドコンピューティングが普及し、セキュリティを存のセキュリティ技術では、必要なセキュリティ考える際の出発点となる情報資産の保管場所が対策が取られていなかったり、逆に過剰な対策多様化するとともに、スマートフォン、センサーやで通信速度を犠牲にするケースが多く出現する

RFID タグなど、従来のセキュリティ技術が保護ことになります。

Ⅰ−２
ワイヤレスネットワーク技術

近年、ネットワークにおける様々な処理やサーの対象としていなかったデバイスが大量にネット

そこで、このような複雑なネットワーク上の脅ワークに接続されるようになっています。NICT が威に対して、過不足のないセキュリティ対策をタ実現を目指している新世代ネットワークにおいても、イムリーに実現するための仕組みが必要となっておよそ 10 兆個のデバイスがネットワークに接続います。

され、ネットワーク仮想化や ID・ロケータ分離

ネットワークセキュリティ技術

Ⅰ−３

＊1

境を提供することが目標になっています。
従来の情報通信技術（ICT）でのシステムにおけるセキュリティは、ITU-T＊2や IETF＊3などでICT におけるセキュリティ確保の基本的な考え方は従来から存在しますが、いたってシンプルです。

Ⅰ−４

過不足のないタイムリーなセキュリティ対策

新世代ネットワーク基盤構成技術／
テストベッド技術などの技術をベースにして、状況に応じた通信環

Ⅱ
ユニバーサルコミュニケーション基盤技術

Ⅲ 未来
基盤技術

ICT

Ⅳ 電磁波センシング基盤技術

図1 ICTにおけるセキュリティの分析と対策の分類と課題௶ၡฆఒɈ჎ᅰɬȾȩɥॸ࢞ଞȹȻ

093

Ⅰ

ネットワーク基盤技術

３. ネットワークセキュリティ技術

過不足のないセキュリティを実現するセキュリティアーキテクチャ／松尾 真一郎

あるサービスを実現するシステムを設計するとき対応できること、脆弱性や脅威への対策は過不に、守るべき情報資産（クレジットカード番号、個足がない、すなわち十分かつ通信性能を極力犠

人情報、パスワード）などと、その保管場所を洗牲にしていないことが求められます。

い出し、個々の場所に保管された情報への攻撃の成功確率を見積もり、損害の期待値から優先新たなセキュリティアーキテクチャの実現に順位付けを行い、カバーすべき攻撃について、必向けて要な対策技術をシステムに組み込みます。この考え方自体は普遍的なものであり、将来においても現在、我々が研究しているセキュリティアーキ大きくは変わらないと考えられます。しかし、シテクチャでは、複雑化するネットワークにおいてステムが稼働した後にシステムの脆弱性が新た過不足のないタイムリーなセキュリティを提供すに発見された場合の対処は、該当するシステムのる「フレキシブルセキュリティ基盤」と、モノに付仕様に精通し、かつネットワークセキュリティのけられるような計算能力の低いデバイスを含むエキスパートが人海戦術で行っているというのが10 兆個のノードに対応できる認証・プライバシ実情です。何が適切なパッチなのか、新しいパッ保護技術「セキュリティコンポーネント」の実現のチがセキュリティや性能の問題を引き起こさないための技術の実現を目指しています。のかなど、セキュリティパッチの管理だけでも膨大で、難しい作業になります（図 1）。

フレキシブルセキュリティ基盤では、過不足のないタイムリーなセキュリティ対策を導出するた新しい時代のネットワークに必要なことは、シめの、セキュリティ知識ベース・分析エンジンの実ステム設計の時点だけではなく、いつまでもシス現を目指しています（図 2）。セキュリティ知識ベーテムがセキュアであることです。そのために、シスは、ネットワーク機器等に潜む脆弱性、対策技

ステム設計の時に必要な対策を見つけ出すこと、術、ネットワーク形態、ネットワーク機器の性能システム運用時に発生する脆弱性にタイムリーになどのデータベース（DB）を総称したものです。

RSA
AES

RSA
AES
RSA

StructurePreserving

SLA

図2094

セキュリティ知識ベース・分析エンジンの概念図

RSA 2048
AES 128

光ネットワーク技術

Ⅰ−１

サイバーセキュリティ研究室の nicter の観測結果とも連携します。そして、分析エンジンは、セキュリティ知識ベースと連携し、複数のセキュリティ対策案の中から、安全かつ処理性能が一番高い対策を選び出すことで、過不足のないセキュワイヤレスネットワーク技術

Ⅰ−２

リティを実現するものです。すでに、第一歩としてモバイル機器の利用者に向けて、その時に使っているサービスの脆弱性をセキュリティ知識ベースから引き出し iPad や Android タブレット上で可視化する Risk Visualizer（図 3）のプロトタイプを構築しました。フレキシブルセキュリティ

ネットワークセキュリティ技術

Ⅰ−３

基盤は、ネットワーク仮想化や ID・ロケータ分離といった新世代ネットワークの特長を活かすことで、新世代ネットワークにおける次世代のセキュリティの基盤となります。
セキュリティコンポーネントにおいては、計算
図3 R
 isk Visualizerシステムにおけるネットワーク利用のリスク表示例

下にあるネットワーク同士でも認証やプライバシ保護ができる技術を研究しており、匿名性と文書の秘匿性を同時に実現できるプライバシ保護

イバシ保護技術を確立するとともに、異なる管理

Ⅰ−４
新世代ネットワーク基盤構成技術／
テストベッド技術能力の低いデバイスでも利用可能な認証・プラⅡ
ユニバーサルコミュニケーション基盤技術

技術や、RFID タグ向けの認証技術を確立しています。これらの研究も、新世代ネットワークの実証に組み込む予定です。

Ⅲ 未来

用語解説

基盤技術

＊1

ICTID・ロケータ分離＊2

Ⅳ 電磁波センシング基盤技術

端末の名前と位置を示す識別子を別々に管理し、方式が異なるネットワークでも、同じ ID を使用することで、端末の移動や経路上の障害等によりネットワークが切り替わっても継続して通信を可能とする NICT が開発している技術。

ITU-T

国際連合の専門機関の 1 つである国際電気通信連合（ITU）の電気通信標準化部門。

＊3

IETF

インターネット技術の標準化について検討を行う組織。ここで策定された技術仕様は RFC として公表される。

௶ၡฆఒɈ჎ᅰɬȾȩɥॸ࢞ଞȹȻ

095