例えば物理環境では、管理者はファイアウォールでサーバのセグメントを簡単に分けることができる。あるWebサーバはファイアウォールの外部に公開し、もう一方のサーバはファイアウォール内に配置するといったことだ。

　だが仮想環境の場合、この双方のサーバの機能を持つ仮想マシンが別々のハードウェアで実行されるとは限らない。仮想マシンのセグメントを分割する仕組みが不可欠となる。「VMware製品は例外として、現在の仮想化ソフトウェアの多くは十分な管理機能を備えない。セグメントの分割には、サードパーティーの管理製品の併用か手作業が必要になる」とワン氏は指摘する。

　ネットワークセキュリティベンダーのアプローチが少しずつ異なっていることも、事態をさらに複雑にしている。仮想環境向けネットワークセキュリティ製品は物理サーバに導入するソフトウェアとして提供される製品もあれば、アプライアンスとして提供される製品もある。「製品形態の違いによって、運用負荷も違ってくる」（ワン氏）

　仮想環境向けネットワークセキュリティ製品を販売するベンダーはまだ多くない。大手ベンダーを挙げると、米Cisco Systems、米Hewlett-Packard（HP）、米Juniper Networks、米VMwareなどだ。小規模なベンダーには米HyTrust、米Vyatta、米Catbird Networksなどがある。

　以下、各ベンダーの製品の特徴を詳しく見ていこう。

Cisco Virtual Security Gateway、同ASA 1000Vクラウドファイアウォール

　Ciscoの主な仮想環境向けセキュリティ製品は、「Cisco Virtual Security Gateway（VSG）」と「同ASA 1000Vクラウドファイアウォール」という2つのファイアウォール製品だ。

　VSGは、ネットワークのセキュリティ境界（ゾーン）ごとにトラフィックを制御するゾーンベース制御機能を備え、仮想マシン間のアクセスを制限する。ASA 1000Vクラウドファイアウォールは、Ciscoの物理環境向けファイアウォール「Cisco Adaptive Security Appliance（ASA）」の仮想環境版製品だ。VSGはASA 1000Vクラウドファイアウォールと連係して動作する。

　どちらの製品も、VMware環境向けの仮想スイッチ「Cisco Nexus 1000V」か「Cisco Nexus 1010 Virtual Services Appliance」の導入が前提だ。CiscoはNexus 1000Vを利用可能なハイパーバイザーの種類を増やす予定であり、VMwareに加えて間もなく米Microsoftの「Hyper-V」でも利用可能になる。複数のハイパーバイザーを使ってデータセンターを運用しているIT部門にとって大きなメリットになるだろう。

HP TippingPoint Secure Virtualization Framework

　HPは仮想環境向けネットワークセキュリティ製品として、「HP TippingPoint Secure Virtualization Framework（SVF）」と呼ぶ製品群を提供している。SVFは、侵入防止システム（IPS）の「TippingPoint N Series IPS」と仮想コントローラーの「Virtual Controller（vController）」、仮想ファイアウォールの「Virtual Firewall（vFW）」、管理ツールの「Virtual Management Center（vMC）」で構成する。

　vControllerはトラフィック情報をTippingPoint N Series IPSに送信する。TippingPoint N Series IPSは、vMCで管理するセキュリティポリシーに基づいてトラフィックを検査し、必要に応じて遮断する。vFWは仮想マシン間やクラスタ間、アプリケーショングループ間でセグメントを分割する機能を持つ。

　後編はJuniper NetworksやVMware、専業ベンダーの製品について解説する。