COMPANY PROFILE

導入事例

国立研究開発法人 理化学研究所 様

国立研究開発法人 理化学研究所
http://www.riken.jp/〒351-0198
埼玉県和光市広沢2-1

全国各地の全拠点をカバーする
ネットワーク可視化システムを構築し迅速なインシデント対応体制を確立
今年で創立100周年を迎える理化学研究所（以下 理研）は、各時代の要請に応えて、施設、拠点を拡充しながら発展してきました。
現在、和光地区を中核拠点として、仙台、筑波、横浜、大阪、兵庫などに

理化学研究所（理研）は、1917年（大正6年）に、産業の発展のために基礎研究と応用研究を行なう財団法人として創立。その後、株式会社、特殊法人などを経て2015年に国立研究開発法人となりまし た 。現 在 、日 本 唯 一 の 自 然 科 学 総 合 研 究 所と し て、物理学、工学、化学、数理・情報科学、計算科学、生物学、医 科学など幅広い分野で先導的な研究を進め、国内外の関係機関とも連携しつつ、豊かな国民生活の実現に寄与するとともに、世界のRIKENとして国際社会にも貢献しています。

多数の拠点を擁する理研のネットワーク運用において、Flowmonがどのように活用されているのか、全拠点のITシステムの運用管理を統括する情報システム部のお2人にお話しをうかがいました。

導入前の課題セキュリティインシデント発生時に備えて端末・サーバ通信のトレーサビリティを確保います。その内、理研の最大拠点であり、大容量のトラフィックが流れる和光地区では、処理性能の高いハードウェアアクセラレー
トモデル「Flowmon Probe Pro」が導入されて、仙台、東京の拠点もカバーしており、理研の全事業所が網羅されています。7台サイバー攻撃が横行する昨今、インシデント発生時の対応としの「Flowmon Probe」から生成されたフローログは、和光地区のて重要なことは、該当するサーバや端末を迅速に特定し、システ「Flowmon Collector」（フロー収集／解析専用アプライアンス

ム全体への影響を俯瞰的に把握することです。理研は、これまで、機）に収集され一元管理されます。
（裏面地図参照）

各地の拠点ごとにITシステムを構築して運用していたため、全ての拠点の通信状況を一元的に可視化して、端末やサーバ通信のトレーサビリティを確保することが課題でした。
「セッション単位で分析する内製ツールを一部では使っていまし
たが、データ量が膨大になる点やメンテナンスの問題で、全事業所導入効果問題のある事象を一発で特定ネットワーク全体の最適化にも期待を対象に集中管理することはしていませんでした。セキュリティ

F l o w m o n P ro b eは、スイッチのミラーポートやTAPに接続に関する危機感が高まる中、事業所毎での対応ではなく、集中管理するだけで、取り込んだネットワークパケットデータからフロー情報できる体制を確立し、全拠点のトラフィック情報のログをインシ（NetFlow）を生成できます。

デント対応に活用できるシステムを構築することになりました。
フローベースのシステムにしたのは、セッション単位でのログ収集に比べて、フローとして集約された情報を分析する方がデータ量や時間を節約できるからです。
」（黒川氏）
Flowmonにより構築された新しいネットワーク可視化システ
ムでは、複数ある10GbEの光ファイバ回線からトラフィックデータをミラー取得してフロー情報へ変換する「Flowmon Probe」が、物理アプライアンスで全国6カ所（和光地区、筑波地区、横浜地区、大阪地区、神戸第1、第2地区、播磨地区）に合計7台配備されてインシデント発生時に、一発で事象を特定可能な仕組みが必 要 でし た。担 当 者 の 負 荷は大幅に軽減されています
情報システム部 次長
博士（情報科学）黒川 原佳氏インシデント対応のためのフロー取得に加えてネットワークの障害対応など新たな使い方も検討しています

導入はいたって容易で、理研でも、導入なりませんでしたが、F l o w m onで収集した後1カ月で本格稼働を開始しました。和光地

ネットワーク全体のフロー情報を相関分析的区においてネットワークを担当する本多氏はに利用することで、一発で特定できるようにFlow m o nの活用方法を次のように語ってなります。」（黒川氏）

います。「セキュリティ監視は、既存のシスさらに黒川氏は、F l o w m on自体のトラテムで行っていますが、そこからアラートがフィック分析機能についても、今後のシステ上がった場合に、F l o w m o nで取得するフム全体の最適化に効果があると期待していロー情報を使用します。Flowmon Probeます。「管理者としては、各事業所でどれくから生成されたフロー情報は、F l o w m o n

らいのトラフィックが発生し、ニーズが賄えてCollectorにいったん集められた後、高速ないるのか、どの端末がどこと通信していたのログ解析専用システムに送られます。他シス

か、どのサーバにどのようなトラフィックが集テムからのインシデントログと相関分析をかまっているのか、などを把握できることがうれ

技師けることで、事象の特定や全体像を把握するしいですね。」（黒川氏）

本多 英晴氏という使い方ができます。」

情報システム部
情報化戦略・基盤課

また、本多氏は、F l o w m o nの当初シス

また、ネットワークトラフィックのトラブル

テム要 件でなかった 機 能にも注目していシューティングにおいて、フローデータによます。それは、F l o w m o n P ro b eで生成る解析だけではなく、トラフィックデータそのしたフローデータを基に、非S S L通信におものを取得して実際の通信パケットの状況いてURLを解析する機能です。Flowmonを調べる必要が出てくることもあります。理P r obeで生 成したフローデータは、拡 張研では、ネットワークの完全な通信パケットフィールドを用いて一部L 7レベルの情報をを記録できるプラグインである「F lo wmo n解析することができます。マルウェア感染なTraffic Recorder」により、ネットワークどのインシデント対応に有益な機能として、障害の対応能力をさらに強化することも検討今後活用していきたいと述べています。

しています。「現在はインシデント対応です「F l o w m o n導入により、実際にインシが、せっかく1 0 Gでトラフィック情報を取得

デント対応をしている担当者たちの負荷は相する環境があるので、ネットワークで何か障導入システム概要当軽減されていると思います。何かインシデ害が発生した場合にその原因を調べるなど、ントが起きた時に、事象を特定するのは非常F l o w m o nの積極的な活用方法を考えてい● Flowmon Collector R6-24000 Pro 1台に面倒な作業で、今までは、さまざまなデーます。」（本多氏）（物理アプライアンス）
フロー最大処理数 250,000フロー/秒
ストレージ容量 24TB
（HW RAID6、冗長電源付）● Flowmon Probe 20000 SFP+ 6台（物理アプライアンス）
1ポート当たりのパケット処理性能 1.5 Mp/s
モニタリングインタフェース 2x 10GbE
ストレージ容量 500GB

タと膨大な通信ログとを突き合わせなければ◆ 全国拠点をつなぐFlowmon機器導入状況
A 筑波地区（茨城県）

D 大阪地区（大阪府）

C 横浜地区（神奈川県）

F 播磨地区（兵庫県）

B 和光地区（埼玉県）

E 神戸地区（兵庫県）

F● Flowmon Probe 20000 Pro SFP+ 1台

E（ハードウェアアクセラレートモデル/物理アプライアンス）
1ポート当たりのパケット処理性能 14.8 Mp/s
モニタリングインタフェース 2x 10GbE
ストレージ容量 500GB

DBA

C「Flowmon」はFlowmon Networks社の商標または登録商標です。その他記載されている会社名、製品名は各社の登録商標です。製品仕様は予告なく変更される場合があります。掲載内容は2017年10月現在のものです。記載の事例は特定のお客様に関するものであり、全ての場合において同等の効果が得られることを意味するものではありません。効果はお客様の環境その他の要因によって異なります。

お問い合わせオリゾンシステムズ株式会社
https://www.orizon.co.jp/products/flowmon/〒160-0022
東京都新宿区新宿6-27-56 新宿スクエア7F
Tel.03-6205-6082 Fax.03-3205-6040