ネットワーク型DLP

　Blue Coat DLPは、ネットワーク型の保護を実現するアプライアンス製品だ。保護対象の規模に応じてDLP700／DLP1700／DLP2700の3モデルが用意される。規模は、ユーザー数（DLPの配下にあるPCなどのステーションの数）で判断し、最小規模向けのDLP700は250ユーザーまで、最大規模に対応するDLP2700では2万5000ユーザーまでカバーできる。一方、3モデルの違いは対応規模のみで、機能面ではまったく差が付けられておらず、どれでも共通の機能を備える。

　Blue Coat DLPは、大きく分けると、電子メールを対象とした「メールDLP」、同社のプロキシサーバである「ProxySG」との連携による「Web DLP」、社内LANのトラフィック全体に対するチェックを行う「ネットワークDLP」の3種類の保護を実現する。

Blue Coat DLPの概要

　メールDLPは、Blue Coat DLPが社内メールサーバの上位に位置するMTA（Mail Transfer Agent）となることで実現されている。社内メールサーバは、ユーザーが送信したメールをすべてBlue Coat DLPに転送する。メールを受け取ったBlue Coat DLPはメールのサブジェクトや本文、添付ファイルなどを対象にチェックを行い、問題なければそのまま送信し、保護対象のデータを含むメールに対しては、あらかじめ設定されたポリシーに従って遮断するなどの動作を行う。社内メールサーバの上位に位置するため、ユーザーが利用するメールアプリケーションの設定などを変更する必要はなく、確実に全メールのチェックを行える。

　Web DLPは、Web経由での情報漏えいに対応する機能だ。Web上の掲示板に何かを書き込んだり、GmailのようなWebインタフェースを利用した各種のサービスに対する情報送信もチェックする。Web DLPは、Proxy SGとICAP（Internet Content Adaptation Protocol）で連携することで実現している。

　クライアントPCからの通信はまずプロキシサーバであるProxySGに送られる。Proxy SGにはあらかじめBlue Coat DLPをICAPサーバとして登録しておく。Proxy SGはICAPを介してメッセージをまずBlue Coat DLPに送ってチェックを受け、問題ないものだけを外部のWebサーバに転送する。ProxySGを経由することで、SSLを利用した暗号化通信にも対応でき、HTTPSによる通信やFTPでのファイル転送もチェックできる。

　最後に、ネットワークDLPはパッシブモニターとして動作するモードで、ネットワークを通過するトラフィックをスイッチのモニタリングポートなどに接続することで監視し、問題があった場合にはログに記録するという動作を行うが、トラフィックを遮断することはない。社外に出て行くトラフィックの大半を占めるメールとHTTP／HTTPS／FTPはメールDLPとWeb DLPでチェックできるが、それ以外のトラフィックについても監視対象としておきたい場合に利用する機能だ。

　Blue Coat DLPアプライアンスは標準で6つのイーサネットポートが用意されており、ポートごとにそれぞれ機能が分けられている。ネットワークDLP用に2ポート、メールDLP用に1ポート、Web DLP用に1ポートといった具合だ。これら3種の機能は、すべてを同時に利用することも、任意の機能だけを選んで利用することも可能だ。それぞれ専用のポートを使うことから、機能に応じてネットワーク上の最適な位置に接続することも可能であり、柔軟なネットワーク構成が実現できるところは、ネットワークベンダーならではの配慮といえるだろう。

　これらの用途の異なるDLP機能がすべて1台のアプライアンスにまとめられていることに加え、運用管理インタフェースも統合されているので、アプライアンス1台だけで機能が完結する点も、Blue Coat DLPのメリットとなる。別途管理用アプライアンスを追加したり、機能ごとに別途オプションを導入するといった追加の負担は生じない。一方、複数台を並列配置して用途ごとに使い分けることも可能だ。

　また、複数台を運用する場合は、1台を“Manager（管理用）”、ほかを“Inspector（検査用）”と設定することで、Managerからの一元管理が可能になり、Managerで設定したポリシーをInspectorに配布したり、全InspectorのログをManagerでまとめて参照したりといった運用が可能だ。Managerとして設定されたアプライアンスも運用管理専門になるわけではなく、DLPのチェック動作を行うことができるので、導入したアプライアンスを無駄なく活用できる。直接通信が可能な状態であれば、WAN経由での管理も可能なので、遠隔拠点にInspectorを配置し、本社側のManagerから管理するといった使い方も可能だ。

ログ管理画面

データ保護の設定と動作

　正確な検出を行うため、Blue Coat DLPでは「フィンガープリンティング」を実装している。DLPではよく使われる手法だが、「フィンガープリンティングは、複雑なソリューションでは一般的に使われているが、導入が容易なシンプルなソリューションで利用できる例はほとんどなく、Blue Coat DLPは導入が容易でありながらフィンガープリンティングを利用できるユニークな存在」（野呂氏）だという。

　フィンガープリンティングは、保護すべき情報を含むファイルを指定し、そのファイルの「特徴」を抽出することで“フィンガープリント（指紋）”を作成する。Blue Coat DLPでは、作成されたフィンガープリントはアプライアンスの内部に保存され、最大で4000万ファイル分を保存できるという。

　Blue Coat DLPでは、Microsoft Office Word、Excel、PowerPointといった主要なドキュメントファイルはもちろん、PDFや画像など600種類以上のファイルフォーマットに対応しており、フィンガープリントを作成できる。フィンガープリントとの照合の際にはファイルフォーマットには依存しないため、例えばZIPで圧縮したファイルをメールに添付したような場合でも正しく認識できる。

　言語にも依存せず、2バイトコードでも問題なく対応できる。海外ベンダー製品では2バイトコードにきちんと対応できていない製品が意外に多いそうだが、Blue Coat DLPは完全に対応している。日本語の主要な文字コードに対応しており、さらに、フィンガープリントは全文一致の場合だけでなく、部分一致を検出することもでき、ポリシー設定によって全文一致の場合のみを検出するか、部分一致の場合でも検出するかを制御できる。

　対象となるデータは、ドキュメントファイルのような非定型データに加え、データベースなどの定型データにも対応している。複数の検知方法を組み合わせることも可能で、定型データではデータベースのセルの組み合わせを指定できる。また、フィンガープリントによる指定に加え、よりシンプルなキーワード指定や正規表現による指定なども可能で、これらの組み合わせを指定することも可能だ。

　保護対象のデータに対してフィンガープリントを作る際には、データを直接アプライアンスにアップロードしてもよいし、アプライアンスに保護対象データの所在を指定し、定期的にチェックすることもできる。例えば、ファイルサーバの特定のフォルダを指定しておけば、毎日そのフォルダをチェックし、増えたファイルについては新たにフィンガープリントを作成する、といった自動処理が実現できる。

　登録された重要情報に合致した場合の動作もポリシーとして指定できる。ネットワークを介した移動を遮断するのが一般的だが、単にログに記録するだけでもよいし、管理者あてにメールで通知することも可能だ。管理者向けのインタフェースでは、検知がメールDLP、Web DLP、ネットワークDLPのどれが発見したものか、情報の中のどの部分がどのポリシーに抵触したのかといった詳細な情報がGUIベースで分かりやすく表示される。

　Blue Coat DLPは、「シンプルにワンボックスにまとめているが、企業向けDLPとして十分な機能を実装している」点がポイントで、1日で導入完了する例もあるという。ネットワークベンダーがDLPを提供している例自体がまだほとんどない状況だが、さらにフィンガープリントまでサポートした“Content Aware”なDLPをネットワークベンダーがリリースするのはBlue Coat DLPが初めてだという。ネットワーク環境で使いやすいよう配慮されており、既存のProxySGのユーザーにとっては、組み合わせて利用しやすい点も大きなメリットになるだろう。