サーバ仮想化のセキュリティ対策を考える際、考慮すべき要素として以下の3つがある。

• 仮想マシン間の通信
• 仮想マシン
• ハイパーバイザー

　以下、それぞれのセキュリティ対策を実現する製品の動向を見ていこう。

仮想マシン間の通信：物理サーバ内の通信も監視

　サーバ仮想化のセキュリティ対策で注意しなければならないことの1つは、仮想マシン間通信の保護だ。単一の物理サーバ内で発生する仮想マシン間の通信は、物理的なネットワーク機器を経由しない。そのため、侵入検知システム（IDS）や侵入防御システム（IPS）といったネットワークセキュリティ製品では、仮想マシン間の通信を保護できないのだ。

　こうした背景から、仮想マシン間の通信を保護する製品が幾つか登場している。例えば、トレンドマイクロのサーバセキュリティ製品「Trend Micro Deep Security」は、仮想マシン間の通信を監視して攻撃をブロックする機能を持つ仮想アプライアンス「Deep Security Virtual Appliance」を備える。ジュニパーネットワークスの「vGWバーチャル・ゲートウェイ」やヴイエムウェアの「vShield App」も同様の機能を持つ。

　既存のIPS製品の中にも、仮想マシン間の通信保護機能を実装する動きがある。日本ヒューレット・パッカードは、自社のIPS製品向けの拡張機能群である「HP TippingPoint Secure Virtualization Framework（SVF）」を提供。仮想マシン間のトラフィック情報をIPSに送信し、セキュリティポリシーに基づいて悪質なトラフィックを遮断する。また、シスコシステムズは同社の仮想スイッチ製品「Cisco Nexus 1000V シリーズ スイッチ」向けの仮想ファイアウォール製品「Cisco Virtual Security Gateway」で仮想マシン間の通信保護を実現する。

仮想マシン：仮想マシンイメージのセキュリティ対策に注目

　仮想マシンのマルウェア対策は、基本的には物理サーバと同様、仮想マシンにマルウェア対策製品を導入することなどで実現する。ただし、仮想環境に非対応のマルウェア対策製品の場合、仮想マシンで利用すると動作に不具合が発生する可能性がある。仮想マシンが利用する仮想デバイスドライバが、マルウェア検索エンジンが利用するOS機能やデバイスドライバと干渉する場合があるからだ。主要なセキュリティベンダーは、マルウェア対策製品の仮想環境対応を進めている。

　仮想環境特有のセキュリティ対策という視点では、注目すべきなのは仮想マシンイメージである。仮想マシンイメージから仮想マシンを再稼働させた場合、最新のパッチやマルウェアのパターンファイルが最新でないまま稼働させることになる。このため、仮想マシンイメージに対してもパッチ更新やマルウェア対策を施す必要がある。

　マカフィーの「McAfee VirusScan Enterprise for Offline Virtual Images」は、仮想マシンイメージのセキュリティ対策に特化した製品だ。仮想マシンイメージのままマルウェア対策のシグネチャを更新する機能などを持つ。また仮想マシンイメージへのパッチ適用機能は、ヴイエムウェアの「VMware vSphere Update Manager」などが備える。

ハイパーバイザー：管理コンソールへのアクセス制御

　サーバ仮想化の中心的な要素であるハイパーバイザーのセキュリティ対策も重要だ。ハイパーバイザーを狙ったサイバー攻撃はまだ少ないものの、攻撃されれば配下の仮想マシンが乗っ取られたり、リソース消費量の急増を招く危険性がある。

　ハイパーバイザーに対する攻撃の被害を防ぐ方法として有効なのが、ハイパーバイザーの管理コンソールへのアクセス管理だ。例えば、CA Technologiesのアクセス制御製品「CA Access Control」は、管理コンソールに対するログイン可能な端末を制限する機能を持つ。適切な権限を付与された管理者であっても、特定の管理端末でしかログインできなくする。

仮想化セキュリティ向けAPI提供の動きも

　サーバ仮想化向けのセキュリティ製品を開発しやすくするため、サーバ仮想化製品ベンダーがセキュリティ製品用のAPIを提供する動きもある。代表例がヴイエムウェアの「VMSafe API」である。VMSafe APIを利用すると、ハイパーバイザーの機能を利用したセキュリティ対策が可能になる。上述したTrend Micro Deep Securityなどは、VMSafe APIを利用して開発された製品だ。

　APIを提供することは、ハイパーバイザーの攻撃の手掛かりを増やすことにもなる。VMSafe APIも一般公開はされておらず、セキュリティベンダーに対して個別に提供される。ただし、仮想ネットワークの制御やライブマイグレーション時の仮想マシンの保護など、幅広いセキュリティ対策をするのにAPIは重要な要素となる。主要なサーバ仮想化ベンダーのうち、APIを提供しているのはヴイエムウェアのみだが、API提供の動きは広がる可能性がある。