ヴイエムウェアが販売するVMware vShieldは、ハイパーバイザーの機能を利用したセキュリティ製品群だ。VMware vShieldには、VMのマルウェア対策を効率化する「VMware vShield Endpoint」、特定のアプリケーションを稼働させるVM群ごとにセキュリティ対策を適用する「VMware vShield App」、ユーザー企業や部署といった単位で利用するVM群ごとにセキュリティ対策を適用する「VMware vShield Edge」の3つがある（VMware vShieldについては「仮想ネットワークの安全性確保に役立つセキュリティ製品5選」も参照）。それぞれの製品が開発された背景と、製品の具体的な機能を示す。

VMware vShield Endpoint

背景：マルウェアスキャンの集中で処理負荷が増大

　物理サーバのマルウェア対策の基本となるのは、マルウェア対策ソフトのエージェントを各サーバに導入することだ。VMにおいても、マルウェア対策のアプローチは物理サーバと基本的には変わらない。ただし、共通の物理サーバで稼働する複数のVMが同時にマルウェアスキャンを実行すると、物理サーバのCPUに過度な負担が掛かったり、ディスクI/Oが頻繁に発生するといった課題がある。齋藤氏は、「物理サーバの負荷を避けるため、VMごとにマルウェアスキャンの実行タイミングを意図的にずらす必要がある」と指摘する。

機能：ハイパーバイザーに処理負荷をオフロード

　VMware vShield Endpointは、マルウェア対策機能をエージェントベースからハイパーバイザーへオフロードする機能を持つ。これにより、マルウェアスキャンによる物理サーバのCPU負荷増大やディスクI/Oの集中を回避できる。

　「セキュリティVM」というマルウェア対策専用のVMにマルウェアスキャン機能を集約する。セキュリティVMは、他のVMの仮想ディスクへのアクセスを監視し、マルウェアスキャンを実行する。これにより、VMにマルウェア対策用のエージェントを導入する必要をなくした（図1）。

図1：VMware vShield Endpointの概要《クリックで拡大》

　VMware vShield Endpoint自体には、セキュリティVMは含まれていない。ヴイエムウェアは、ハイパーバイザー「VMware ESXi」の内部監視機能である「EPSEC」のSDKをセキュリティベンダーに個別契約で公開しており、セキュリティベンダーが独自のマルウェア対策機能を実装したセキュリティVMを開発できるようにしている。

　マルウェア対策ベンダーが販売するセキュリティVMは、現時点ではトレンドマイクロの「Trend Micro Deep Security」のみである（Trend Micro Deep Securityについては「ハイブリッドクラウドに必要なセキュリティ対策とは？」を参照）。ただし、「現在、複数のセキュリティベンダーがセキュリティVMを開発中であり、順次市場投入されるだろう」と齋藤氏は語る。

VMware vShield App

背景：VMの移動にセキュリティ対策が追従できない

　物理サーバのセキュリティ対策として一般的なのは、ファイアウォールや侵入検知システム（IDS）／侵入防御システム（IPS）といったネットワークセキュリティ製品の導入だ。物理サーバだけで構成されたシステムの場合、物理サーバやネットワークセグメントなど、保護対象が物理的に明確に定まるため、ネットワークセキュリティ製品が効果的だった。

　サーバ仮想化を導入すると、この状況が一変する。仮想環境では、稼働中のVMを別の物理サーバに無停止で移動させる「ライブマイグレーション」が可能だ。運用管理ツールの設定次第では、物理サーバリソースの使用率に応じて、VMが物理サーバ間を自動的に移動することもある。従来のネットワークセキュリティ製品は、保護したいVMが稼働している物理サーバやネットワークセグメントに対してセキュリティ対策を施すことはできる。ただし、VMの移動に応じてセキュリティ対策を追従させることは難しい。

機能：仮想NICと仮想スイッチ間の通信を制御

　VMware vShield Appは、アプリケーションを稼働させるVM群をグループ化し、グループ単位でセキュリティポリシーを適用するファイアウォールである。アプリケーション間の通信におけるポートフィルタリングやネットワークフロー監視などを実現する。たとえVMが物理サーバ間を移動しても、常に同一のセキュリティポリシーに基づいた制御が可能だ。

　VMware ESXiが持つ「dvfilter」という機能を利用し、VMの仮想NICと仮想スイッチ間の通信データを専用のVM（サービスVM）に転送。サービスVMは、事前設定されたセキュリティポリシーに基づいて通信の許可や遮断といった制御を実施する（図2）。

図2：VMware vShield Appの概要

VMware vShield Edge

背景：マルチテナントのセキュリティを確保

　クラウドサービス事業者が運用するデータセンターなどでは、単一の物理サーバを複数のユーザー企業や部署のシステムが共有する「マルチテナント」で運営されていることが多い。マルチテナント環境においてセキュリティを確保するには、ユーザー企業や部署ごとに通信を論理的に分割する必要がある。論理的なLANを構成する「VLAN」を利用する手段もあるが、作成できる論理LAN数に制限があるなどの課題がある（VLANの課題については「『VXLAN』入門──VLANを拡張する新標準とその必要性」を参照）。

機能：閉じた論理LANを構築

　VMware vShield Edgeは、他のネットワークと接続しない閉じた論理LANを構成したり、アドレス空間を複数のLAN間で共有する機能を持つ。仮想スイッチのポートグループなどの単位でVM群をグループ化。ファイアウォールやネットワークアドレス変換（NAT）、DHCP（Dynamic Host Configuration Protocol）、IPsec VPNといった機能を持つサービスVMを利用し、VMグループ間の通信を制御する（図3）。

図3：VMware vShield Edgeの概要

ハイパーバイザー機能をパートナーにも開放

　VMware vShield製品群は、ハイパーバイザーベンダーであるヴイエムウェアだからこそ実現できたといえる。ただし、VMware vShield製品群が提供するのは、仮想環境のセキュリティを確保する上では不可欠な機能である。ヴイエムウェアは、「仮想環境のセキュリティ対策を実現する基礎機能のみを提供し、具体的な機能はパートナーのセキュリティベンダーと協力して充実を図る」方針だ。

　ヴイエムウェアは、こうした取り組みの一環として、基本的なセキュリティ機能をAPIとして用意。セキュリティベンダーに対して、APIを利用するためのSDK（ソフトウェア開発キット）を提供している。VMware vShield Endpointで紹介したEPSECもその1つだ。VMware vShield Appで利用するdvfilterのSDKも提供しており、シスコシステムズがdvfilterを搭載した仮想スイッチ製品「Cisco Nexus 1000V」を販売している実績がある。

　こうしたSDKは一般公開するのではなく、「利用範囲や法的責任などを明示し、個別に契約を締結した上でSDKを提供している」という。むやみに一般公開することで、ハイパーバイザーに対する攻撃の可能性を高めるのを防ぐためだ。

　シトリックス・システムズ・ジャパンや日本マイクロソフトといった他の主要なハイパーバイザーベンダーからは、ハイパーバイザーの機能を利用したセキュリティ製品やセキュリティ関連のSDK／APIは現時点では提供されていない。ただし、ヴイエムウェアがVMware vShield製品群やSDKで解決しようとしている課題は、サーバ仮想化を本格活用する上で直面する企業は少なくないはずだ。ハイパーバイザー機能を利用したセキュリティ対策の重要性は今後も高まると考えられる。