販売パートナー

日本ダイレックス株式会社

1

1.
2.
3.
4.
5.
6.
7.
8.

Tempered Networks社紹介
ネットワークにおけるセキュリティ課題
製品コンセプト
HIPとは？
製品構成
製品ラインナップ
適用分野
導入事例

2



会社設立：2014年、本社ワシントン州シアトル



創業者CEO：Jeff Hussey（F5の創業者）◦ 社外取締役：Stuart Bailey（Infoblox創業者）◦ Yee May,VP APACJ&Europe：シンガポール

製品コンセプト：◦ 既存のIPネットワークから重要な特定ネットワーク通信を隔離/秘匿して外部からステルスモードにして“情報漏えい”や“外部不正アクセス”をシャットアウトさせる◦ IETF標準化団体で承認されたHIPというセキュリティプロトコルを使用して特定のエンド・ツー・エンド通信を暗号化してセキュアにする

市場での実績

◦ 米国内で社会インフラや流通系、金融機関など既に約50社納入・稼働中

3

1.
2.
3.
4.
5.
6.
7.
8.

Tempered Networks社紹介
ネットワークにおけるセキュリティ課題
製品コンセプト
HIPとは？
製品構成
製品ラインナップ
適用分野
導入事例

4







TCP/IP はプロトコルの設計にセキュリティが考慮されていないため、本質的に脆弱であるが広く普及しているため、抜本的な変更が困難
IP は接続先デバイスの宛先情報と通信経路情報を兼ねている
ため、モバイル環境などIPが頻繁に変更される構成での相互通信が困難
モバイルデバイスや RFID、ホームオートメーション機器、医療機器など、2020 年までに5,000 億の「モノ」が接続され（IoT）、デバイス数が急増
サイバー犯罪者はユーザー間の信頼関係を悪用することに成功。IoT とM2M はマシン間の信頼関係に基づいており、同じリスクを抱えている
5

1.
2.
3.
4.
5.
6.
7.
8.

Tempered Networks社紹介
ネットワークにおけるセキュリティ課題
製品コンセプト
HIPとは？
製品構成
製品ラインナップ
適用分野
導入事例

6





重要な資産に対して細分化（小さなセグメント）された
ネットワークアクセスを構築
共有インフラ上で通信されているデバイスとネットワー
クを安全に接続データセンター間の透過的かつ迅速なフェールオーバ



必要に応じてセキュアなネットワークを容易に変更

安全なSDNセグメントを構築

7

重要なデバイスを見えなくする～ステルスネットワーク
既存のTCP/IPネットワークから重要な通信を隔離し外部からステルス（＝見えなく）にして“情報漏えい”や“外部不正アクセス”をシャットアウト
The Conductor

HIP Services[ HIPswitch ]HIP Services
End-to-end encryption [AES-256]

ステルスネットワーク

DeviceA

特定デバイス

外部から見えない

社内LAN・WAN・インターネット・LTE網ネットワーク[ HIPswitch ]DeviceB
重要サーバ
外部から見えない

CONTROL PLANEDATA PLANE
TCP/IP

8

1999年：米国海軍が”HIP”を考案
 2002/3年：IETF標準化団体でHIPを検討 2004年：IETF内でHIPのWorking Group組織
◦ ボーイングR&DのDavid Mattesも参加

2005年：ボーイングプロジェクト開始。その後導入
 2012年4月：Asguard社設立。商用版リリース
 2014年10月：Tempered Networks設立
9Host Identity Protocol (HIP) は、盗聴やその他の脅威に対するセキュリティ面を強化したエンドポイント間で動作する
IPレベルでの次世代通信プロトコル
 HIP通信プロトコルは2005年に米海軍で開発。その後ボーイングで改良。IETF RFC5210/4423として業界標準化
10Internet 2.0 –“Network everything”

Internet 3.0 –“Network ONLY CRYPTO-IDENTIFIED things”

アプリケーション(L5-L7)IP Address: Port

アプリケーション

Host Identity Tag: Port

トランスポート(L4)

IP Address: Port

トランスポート

Host Identity Tag: Portネットワーク(L2-L3)IP Address

Host Identity

Host Identity
Protocol (HIP)

物理リンク (L1)

MAC address

ネットワークIP Address

物理リンク

MAC address

セキュアNWへ11ネットワーク接続されたすべてのモノにユニークな暗号化IDを付けてコントロール。
シームレスな導入、IDベースの簡単なポリシー設定によるオーケストレーションを実行。 IDNの暗号化ファブリック内でのセキュアな接続、クローク、スモールセグメント化、隔離・取り外し、移動、フェールオーバを迅速に。
IDN コンダクター
HIPサーバ

HIPクライアント

HIPチップ
PoS / ATMs

HIPスイッチ

アプリケーション
データベースコンテナー

IP カメラクラウドワークロード

IDN Fabric – Trusted. Cloaked. Segmented. Encrypted.
Public / Corporate Network (No Identity. Untrusted. Unmanageable.)12

“セグメント化(検疫)VENDOR NET”

“セキュアなM2M通信“容易にセグメント化、暗号化
そ し て I Pモ バ イ ル 利 用 ”“IoTデバイスを外部から見えなくする＜見えない＝非攻撃対象＞”“ネットワーク仮想化 &オーケストレーション 迅速な設定管理”“レガシーシステムの隠蔽と保護”“迅速なデザスターリカバリー、ネットワーク分離&検疫”

13

1.
2.
3.
4.
5.
6.
7.
8.

Tempered Networks社紹介
ネットワークにおけるセキュリティ課題
製品コンセプト
HIPとは？
製品構成
製品ラインナップ
適用分野
導入事例

14

オーバレイネットワークはHIPスイッチとHIPスイッチコンダク
ターで管理 オーバレイネットワークを通じてユーザが保護したいデバイスに関してより堅牢なセキュア通信を提供
(注）オーバレイネットワークとは IPアドレスが指定されていない目的地へルーティングメッセージを送出すること可能にするための仮想ネットワーク

15

IDNコンダクタ◦ HIPスイッチ間でオーバレイネットワークを構築して、HIPスイッチ、デバイス、セキュリティポリシー、ユーザアカウントを含むコンポーネントを管理するオーケストレーションエンジン。IF-MAPサービス機能を実装しており、これによって各HIPスイッチにリアルタイムでセキュリティメタデータをデリバーする

HIPスイッチHIPクライアント◦ HIPを実装したスイッチ。HIPスイッチにLAN上の保護したいホストデバイスを接続。オーバレイネットワークを介してHIPスイッチ間で暗号化通信を行う◦ Windows版(7/8/10)、MAC/OS版（予定）、Linux版（予定）

HIPサーバ(Windows)
 HIP chip Firmware（IoT組込み型）
16



既存VPNの機能

HIPオーバレイネットワーク◦ VPNトンネルを構築するためには複雑な鍵交換手順(実情）◦ LAN上の特定セグメント間の暗号化通信が出来ない◦ マルチサイト間でのVPNトンネル変更が難しい◦ マルチサイトとのトンネルは設定できるがマルチトンネルとの同時アクセスは出来ない。
◦ 対抗に安価なHIPスイッチとマルチサイトを一元管理するHIPス
イッチコンダクタアプライアンスを設置◦ 必要な時にプライベートオーバレイネットワークを容易に構築変更・追加が可能◦ それぞれのLAN上で隠匿したい特定セグメント間の暗号化通信が可能◦ HIPスイッチコンダクタのポリシング設定によりメッシュ網でのプライベートオーバレイネットワークで暗号化通信設定可能

17

1.
2.
3.
4.
5.
6.
7.
8.

Tempered Networks社紹介
ネットワークにおけるセキュリティ課題
製品コンセプト
HIPとは？
製品構成
製品ラインナップ
適用分野
導入事例

18

仮想アプライアンス版有り（ESXi Hyper-V）

19

HIPswitch

Conductor

HIPswitch

Conductor for AWS

Windows(7,8,10)版
MAC/OS版（予定）Linux版（予定）20 HIPchip firmware◦ カスタムハードウエアへの組込み開発。
◦ The minimum hardware requirement to run theHIPchip firmware is a 500 MHz MIPS processor and64 MB of RAM.
◦ 既にフィリピン銀行でのPoE装置（数千のIPカメラを接続する）：Certis Cisco社（セキュリティ警備サービス会社）◦ Siemens Ruggedcom社産業用イーサネットスイッチ

21

22

1.
2.
3.
4.
5.
6.
7.
8.

Tempered Networks社紹介
ネットワークにおけるセキュリティ課題
製品コンセプト
HIPとは？
製品構成
製品ラインナップ
適用分野
導入事例

23

 製造分野（重工メーカ、自動車メーカ等）◦ 自動化に伴う生産重要インフラネットワーク

 金融・流通分野◦ ATM/POS/Kiosk等店舗のネットワーク

 社会インフラ分野◦ 電力/ガス/水道/交通/監視カメラの重要インフラ

 研究機関分野◦ 学術ネットワークおよび研究プロジェクトの秘匿性

 インターネット利用のセキュアな通信分野◦ 既存VPNサービスの新たな選択肢

24

Control Systems

Financial Server

Headquarters

FIle Server

Camera Server

HVAC

VirtualHIPswitchHigh Availability
HIPswitches
Firewall

Remote
HVAC
VendorData Center
IP-Cameras

Current TCP/IP network

Medical Equipment

Micro-segmented privatenetworks
Point-to-point encryptedchannels

Remote Equipment

ATM / POS / Kiosks

HIPswitch appliances

25

1.
2.
3.
4.
5.
6.
7.
8.

Tempered Networks社紹介
ネットワークにおけるセキュリティ課題
製品コンセプト
HIPとは？
製品構成
製品ラインナップ
適用分野
導入事例

26

Boeing is using HIP as part of a Secure Mobile
Architecture (SMA)implementation
 Provides secure connectivity to SCADAnet equipment
over an untrusted factory wireless network


27



Provide layer-2 connectivity between SCADAnet(IPv4) devices

28

29

人事・給与

財務

モバイルネットワーク
企業ネットワーク

30

課題







ハッカーにとって容易でかつ価値ある攻撃ターゲットである
現状の脆弱の露出は銀行取引やコアシステムへの直接アクセスをハッカーに提供してしまう
不十分なネットワークレベルの暗号化とセキュアでないアクセス制御を使用して展開されることが多い
数千のエンドポイントを管理しているがセキュアでない
複雑なデータセンタのインフラで脆弱な穴がある
レガシーシステムの維持と管理にはコストがかかる
既存のセキュリティシステムでは、十分な防御が出来ない場合がある

Tempered Networks の 価値提案






ATM/銀行支店の重要なエンドポイントをセグメント化して隠す – トラステッドなシステムユーザ以外のユーザには見えない攻撃の矛先を断ち切りセキュリティ環境とコンプライアンスを向上する
１つのソリューションで複数の課題を解決 – AES-256暗号化とMACアドレスのロックダウン（封じる）によりセキュアな有線とセルラーの通信を実現
オーケストレーション機能により設定・管理が簡単である
データセンター運用の複雑さを軽減して既存環境のROIを守る
高価な専用線をインターネットに置換え支店/ATM本店間の通信をセキュアにしてコストを削減する
色々なユーザニーズに応える多様なHIPデバイス（アプライアンス、ソフトウエア、組込み型）を提供

対応可能な市場

世界銀行の調査では、2014年、アジアでは160万以上の銀行ATMが設置されていると推定
設置が簡単で色々と応用できるソリューションアーキテクチャ
アジアの銀行ではATMのネットワーク化が急速に拡大している
ますます多くの機能がATMにプッシュされるので、システム環境に依存せずかつ容易な対応が可能なセキュアなソリューションニーズが必要
高度な手口による攻撃によって従来型のソリューションでは効果的に対処出来ないセキュリティ問題が発生

対象ターゲット

大規模なATMネットワークと拠点数の多い支店のある大手銀行
地理的に遠隔地に分散している拠点の多い銀行/ATM拠点
多額の維持・管理コストがかかっているレバシーシステムを使用している銀行
銀行インフラのセキュリティ対策の積極的に推進している政府系および一般の金融機関
コンプライアンスの規制を必要としているところを探す
最近ATMハッキングされた金融機関/ATM

31

KioskBank BranchBank Data Center

ATMs

AppServers

Monitoring
Servers

Database
Servers

HIPswitch
300v

HIPswitch
300v

HIPswitch
300v

Backup Line
DirectInternet
100Mbps

Internet Line
SwitchInternet Line
RouterHIP
switchBackup Line
250g

Internet

Workstations

RouterATMs
BackupLine

HIPswit Routerch
250g

BackupLine
OffsiteATMs

HIPswitch
250g

HIPswitch
HIPswitch HIPswitch
HIPswitch
300v
300v
300v
300v
Tools
Servers

WebServers

BackupLine

Bank Branch

SwitchFirewallBusiness Center

ATM
Servers

Kiosk
Servers

Router
HIPswitch
250g
SwitchWorkstations
Workstations

32

Use Case：
セキュアなPoS通信課題•••••••••PoSシステムはハッカーにとって攻撃しやすく大きな損害を与えるターゲット
ハンドヘルドPoSデバイスは簡単に盗難されたり、置き忘れやすくかつ紛失しやすい可能性があり、セキュリティ上のリスク増大につながる貴重な資産情報の漏洩の可能性 (例：クレジットカード、顧客情報等)
PoSシステムの脆弱性により中央決裁システム、取引データとか運用データに直接不正アクセスされやすい
多くの場合、遠隔地などの広大な地域に分散されておりセキュリティ管理が大変である
不十分なネットワークレベルの暗号化、不十分なアクセス制御とか脆弱なOSレベルでセキュリティ防御対策を展開している場合が多い
数千以上のエンドポイントのセキュリティ管理は大変である
データセンターインフラのセキュリティ管理が複雑である
既存のセキュリティシステムは、しばしば、適切な防御および保護を提供しない場合がある

Tempered Networksの価値提案••••••PoSエンドポイントのセグメント化と隠蔽（クローク）– ハッカーを含む他のユーザには検知されないので安全攻撃アプローチの排除およびセキュリティ環境とコンプライアンス強化の向上
１つのソリューションで複数の課題を解決 – AES-256暗号化とMACアドレスのロックダウン（封じる）によりセキュアな有線とセルラーの通信を実現
オーケストレーション機能により設定・管理が簡単である
データセンター運用の複雑さを軽減して既存環境のROIを守る
色々なユーザニーズに応える多様なHIPデバイス（アプライアンス、ソフトウエア、組込み型）を提供

対応可能な市場• アジア市場では流通のPoSシステムが急速に拡大• 大手の流通チェーンは大都市では平均50～100の拠点あり• PoSシステムは伝統的にセキュリティ対策が遅れている• 最近、米国大手流通業者TargetのPoSシステムで大規模なセキュリティ被害が発生。この事件が引き金になりPoSセキュリティニーズが高まった• PoSのセキュリティ上の懸念を取り除くソリューションアーキテクチャを容易に構築したいニーズ
対象ターゲット

••
•
•
•
•

大規模流通チェーンとフランチャイズ店
地理的に遠隔地に分散している多数の拠点をもつ流通事業者
多額の維持・管理コストがかかっているレバシーシステムを使用している流通事業者
セキュリティ対策の積極的に推進している流通インフラ
コンプライアンス等の規制を必要としている流通事業者
最近PoSハッキングされた流通事業者

33

Use Case：
セキュアなPoS通信
Retail Branch

SwitchHQ Data Center
Backup CellularConnection

HQ
Networks

Cellular

HIPswitch 100g

Wired Internet
Connection

Internet
RouterRetail Branch

SwitchFirewall

Conductor

HIPswitch 400

Backup Cellular
Connection

Cellular

Wired Internet
Connection

Central POS
ServerRetail Branch

HIPswitch 100g

SwitchHIPswitch
100e34

35

36

オーバレイネットワークを通じてユーザが保護したいデバイスをホワ
イトリスト化してより堅牢なセキュア通信を提供（Secure SDN)
 既存のIPネットワークからは完全に隔離され、登録したホストを“見えない”状態にする
 IP 通信(TCP/IP)に伴うセキュリティ問題を解決したはじめてのソリューション
 HIP標準プロトコルを業界で初めて商用製品に実装したベンダー
 現行のVPNとは異なり設定手続きが簡単で、かつ1:1と1:anyでのメッシュ網による暗号化オーバレイネットワーク通信が可能
 ボーイング社内プロダクションで10年以上の稼働実績あり
 モバイルとかIoT分野にもビジネス展開可能（ソフトウエア版）
(C)2016 Terilogy Co.,Ltd.

37

販売パートナー

日本ダイレックス株式会社 認証取得ISO900
東京都江東区青海2-4-32 タイム24ビル4F■日本ダイレックスについて
日本ダイレックスは日本ではじめてのネットワーク・システム・インテグレータとして、創業以来40年以上にわたり、情報通信ネットワーク・システムの未来を研究し、独自のネットワーク商品を研究開発してまいりました。

お問合せ
TEL 03-3242-3157
Email sales@direx.com

38