Astaro

　独Astaroはパートナー企業であるカナダのVineyard Networksのアプリケーション署名データベースを用いて、統合型セキュリティゲートウェイ「Astaro Security Gateway」でアプリケーションアウェアネスを実現している。Astaroのファイアウォールはこの提携を通じて、同一サイトから実行されている異種アプリケーションを区別したり、そうしたアプリケーションにQoS（Quality of Service）を適用して優先順位を付けたり帯域を割り当てたりといったことを実行できる。さらにAstaro Security Gatewayの最新版では、ファイアウォール管理者がこうした情報を把握しやすくなっている。最新版では、ネットワーク全体のビューが提供されるため、管理者はリアルタイムの状況に基づき、セキュリティポリシーを迅速に定義できるという。Astaroによれば、鍵となるのは、「IT部門が迅速かつ容易に状況を把握し、ファイアウォールを微調整できるようにすることによって、新たな脅威に対応できるようにすること」だという。

　さらにAstaroは、顧客のネットワークに新しいアプリケーションがアクセスし始めるや否や、直ちに未知の新規アプリケーションのタイプを特定できるようにすることにも注力している。現在開発中の新版では、Astaroのエンジニアがレビューできるよう、管理者は未知のパケットを匿名で提出する選択肢をオプトインできるようになる見通しという。Astaroはそうして集めたデータをアプリケーションの識別に役立てるとともに、署名データベースに追加していく方針だ。

Check Point Software

　イスラエルのCheck Point Software Technologiesは、アプリケーションライブラリ「AppWiki」を開発した。同社によると、このライブラリは5000種類以上のアプリケーションと10万種類以上のソーシャルネットワーキングウィジェットを識別できるという。これらのアプリケーション署名は、同社の「Application Control」や「Identity Awareness」といったSoftware Blade製品で活用される。またAppWikiをActive Directoryと連係させてユーザーやエンドポイントを特定すれば、粒度の細かいセキュリティポリシーをカスタマイズできる。さらにCheck Pointは、ユーザーをリアルタイムで教育する機能も提供している。ユーザーがセキュリティポリシーに違反すると、エージェントソフトウェア「UserCheck」がそのユーザーのPCにウィンドウをポップアップ表示させるという仕組みだ。ウィンドウには違反の内容が説明され、改善策が示される。さらにUserCheckでは、ユーザーが管理者にフィードバックを提供できるため、ユーザーのニーズに合わせてセキュリティポリシーをカスタマイズする作業を効率化できる。

Cisco Systems

　米Cisco Systemsは新しいセキュリティアーキテクチャ「Cisco SecureX」の一環として、「Adaptive Security Appliance（ASA）」でのアプリケーション可視性を向上させる計画を発表済みだ。同社は2011年中に各種の新機能を追加し、この新しいアーキテクチャでアプリケーションアウェアネスだけでなく、ユーザーや端末の識別に関する課題にも対処していく方針という。Ciscoがどのようにしてそうしたアプリケーション可視性を実現するのかについては、今のところ詳細は不明だ。

Fortinet

　米FortinetのUTM（統合脅威管理）製品「FortiGate」のアプリケーション制御機能は、プロトコルデコーダとネットワークトラフィックの復号技術を用いてアプリケーションを識別する。同社では、セキュリティ研究センター「FortiGuard Labs」のチームがアプリケーション署名データベースを保守しており、新規アプリケーションの署名の追加や既存アプリケーションの署名の更新を行っている。Fortinetの製品はこのアプリケーションデータベースによって、FacebookやGoogleといったシングルサイトからの異種アプリケーションを分離させ、それぞれに別個のポリシーを割り当てられる。Fortinetによると、同社の製品は全て社内で開発された技術を使用しているため、性能と連係の点で競合製品よりも優れているという。

Juniper Networks

　米Juniper Networksは「AppSecure」と呼ばれるソフトウェアスイートを用いて、「SRX」シリーズのサービスゲートウェイ製品で次世代ファイアウォール機能を提供している。「AppTrack」はアプリケーションアウェアネスを実現するためのコンポーネントで、Juniperの署名データベースの他、エンタープライズ管理者が作成したカスタムアプリケーションの署名に基づき、ネットワークに可視性をもたらす。AppTrackが可視性を提供する一方で、「AppFirewall」コンポーネントと「AppQoS」コンポーネントはそれぞれポリシーエンフォースメント機能とトラフィック制御機能を提供する。またJuniperによると、同社のプラットフォームは最大100Gbpsの速度でアプリケーションの保護を実行でき、高いスケーラビリティを備えるという。

McAfee

　最近米Intelに買収された米McAfeeは「McAfee AppPrism」技術を用いて、次世代ファイアウォール製品「McAfee Firewall Enterprise」でのアプリケーションの発見と識別を可能にしている。AppPrismはポートやプロトコルとは無関係に数千種類のアプリケーションを識別できるが、McAfeeによると、この技術には同社のグローバル脅威インテリジェンスチームが開発したアプリケーション署名が活用されているという。さらにAppPrismでは高度なアプリケーション制御機能も提供され、「アプリケーションのうち、よりリスクの高い部分だけを無効にする」といったことが可能だ。例えば、この技術を使えば、インスタントメッセージングアプリケーションのチャット機能は残しつつ、ファイル共有機能のみを遮断できる。McAfeeによると、アプリケーションアウェアネス技術は同社のファイアウォールアーキテクチャの核となる要素であり、アプリケーション署名も含め、そのコンポーネントが全て社内で開発されているという点で、同社の次世代ファイアウォールは競合製品よりも優位に立っているという。

Palo Alto Networks

　米Palo Alto Networksによると、次世代ファイアウォールを最初に投入したのは同社であり、ポートベースのトラフィック分類機能をアプリケーションアウェアネス機能で置き換えたのも同社が初という。同社のファイアウォール製品は、「App-ID」と呼ばれるトラフィック分類エンジンをベースとしている。App-IDは、検出や複合化、解読、署名、経験則解析といった技術のうち、幾つかを組み合わせてアプリケーションの識別を実行する。個々のアプリケーションに対してこれらの技術をさまざまに組み合わせて利用することで、App-IDエンジンはアプリケーションのあらゆるバージョンだけでなく、アプリケーションを実行しているプラットフォームも識別できる。App-IDエンジンはPalo Altoのファイアウォール製品の核として常に動作しているため、例えばファイル転送など、アプリケーションが何かしらの機能を実行する際には、それを認識し、その特定の機能に対してポリシーを適用できる。また同社によると、App-IDには拡張性があるため、識別のための新しい技術を後から追加することも可能という。