物理環境にはない注意点

サーバ仮想化のセキュリティで注意すべき4つのポイント

仮想化プロジェクトを進めるに当たって、セキュリティをスムーズに統合するために注意すべき4つの重要なポイントを紹介する。

　わたしはここ数年、仮想化および仮想サーバ環境について詳しく研究してきたこともあり、データセンターに仮想サーバファームを配備しようとする顧客企業がサーバ仮想化のセキュリティをめぐって混乱するのを見ると、つい驚いてしまう。仮想化によって根本的に何かが変わるわけではないからだ。

　アクセスコントロールをめぐる問題は従来と同じだし、システムも従来と同じものを使用するのだ。仮想環境を配備したところで、既存の物理環境と何かが根本的に変わるわけではない。これまで重要だったものは依然として重要なのだ。

　もちろん、基本的に同じだというのは、細かいところまで同じだという意味ではない。例えば、従来のセキュリティ機能（特に侵入検知・防止機能）は、仮想環境では扱いが難しくなる。LANスイッチから40～50本のパッチコードを取り外し、それを仮想スイッチに変換して複数の仮想ホストに分割した場合、IDS（侵入検知システム）やインラインIPS（侵入防御システム）を接続する個所を見つけるのは容易ではない。

　仮想化環境におけるもう1つのセキュリティ問題は、物理的場所の予測が付かなくなることだ。データセンター内で、あるいは複数のデータセンターにまたがって仮想化を導入した場合、その時々にどの物理ホストあるいは特定の仮想マシンが動作しようとしているのか分からない。物理世界では、個々のイーサネットポートをトランク接続されたVLANと交換することになる。言い換えれば、特定のラックにどのシステムが置かれているかではなく、特定のVLANあるいはサブネット上でどの機能が動作しているかに主眼を置いてセキュリティトポロジーを再設計する必要があるかもしれないということだ。

　それと同時に、パフォーマンスと管理をめぐる問題にも対処する必要がある。多数の物理システムが存在したときは、安価な小型のファイアウォールを多数購入するだけで負荷を分散できた。各ファイアウォールは少数のシステムをカバーするだけなので、ポリシーを定義するのも簡単だった。しかし大規模な仮想化クラスタでは、それぞれ大量の負荷を処理する能力を備えた少数の大規模デバイスに多数のファイアウォールを組み込む必要がある。さらに厄介な問題は、大抵のファイアウォールでは大規模なマルチゾーンポリシーを管理する機能が貧弱だということだ。筆者と10年来の付き合いがあるファイアウォールベンダーの場合も、その多くが仮想化トポロジーに対応することができず、ポリシーの定義では顧客を混乱させている。

この記事の著者

関連記事

• 

  「仮想環境のセキュリティ」にまつわる誤解を解く

• 

  もし仮想OSが狙われたら――セキュリティ脅威対策の具体像

• 

  仮想サーバ環境でいかにセキュリティを確保するか

• 

  仮想化で深刻化するセキュリティ問題

• 

  仮想環境向けセキュリティ技術「VMsafe」の威力

• 

  トレンドマイクロ、仮想化セキュリティに対応するサーバ向け製品を発表

新着ホワイトペーパー PR

• 製品資料
  [株式会社MatrixFlow] 「物流リソース最適化」ガイド：人員・配車・傭車を出庫依頼の確定前に決めきる
• 製品資料
  [株式会社キーエンス] なぜRPA導入は頓挫する？　シナリオ作成の壁を乗り越える解決策とは
• 製品資料
  [株式会社セールスフォース・ジャパン] 「CRMは設計と無関係」は本当か？　PLMとの融合で実現する高速開発
• 事例
  [日本ヒューレット・パッカード合同会社] AIエージェントの時代にどう備える？　「新たな働き手」を支える3要素とは
• 製品資料
  [日本ヒューレット・パッカード合同会社] “横並びの自動化”から脱却、AI活用で生産性と競争力を高める秘訣