Amazonクラウドを暗号化、鍵管理SaaSで導入容易な「Trend Micro SecureCloud」

暗号鍵管理機能をSaaSとして提供し、導入を容易にしたクラウド向け暗号化サービスが、トレンドマイクロの「Trend Micro SecureCloud」である。その特徴を紹介する。

公開 2013年03月07日 08時04分

著者

鳥越武史

[TechTargetジャパン]

印刷する連載新着通知を受け取る

　クラウドサービスでデータを安全に利用したいが、セキュリティ対策の負荷は減らしたい。こうしたニーズに応えるのが、トレンドマイクロのクラウド向け暗号化サービス「Trend Micro SecureCloud」だ。暗号鍵管理の仕組みをクラウドサービスとして提供するといった工夫により、セキュリティ対策の負荷を軽減する。

　Trend Micro SecureCloudの機能や特徴について、トレンドマイクロのエンタープライズマーケティング部部長代行の大田原忠雄氏、同部ストラテジックプロダクト課担当課長の水上志都氏に話を聞いた。

日本セーフネット編：暗号鍵は手元で管理、Amazon／VMwareクラウドを守る「SafeNet ProtectV」
連載インデックス

製品の概要：適切なVMにのみデータアクセスを許可

　Trend Micro SecureCloudは、クラウド環境に保存したデータを暗号化する機能を持つ。具体的には、仮想マシン（VM）にひも付けられたストレージをボリューム単位で暗号化する。管理者は、IPアドレスやOSといったVMのプロファイル情報、導入済みのセキュリティ製品をはじめとするセキュリティ状態情報をセキュリティポリシーとして設定（画面1）。セキュリティポリシーに合致したVMでなければ、データを復号できないようにする。

画面1：Trend Micro SecureCloudのセキュリティポリシー設定画面《クリックで拡大》

　利用可能なクラウドサービスは、米Amazon Web Servicesの「Amazon Elastic Compute Cloud（Amazon EC2）」。加えて、Amazon EC2の互換環境を構築するプライベートクラウド構築ソフトウェア「Eucalyptus」、米VMwareの仮想化ソフトウェア「VMware ESX／ESXi」ベースのクラウド環境でも利用できる。

　その他、クラウド基盤ソフトウェア「OpenStack」「CloudStack」用の管理プラグインを用意。OpenStackやCloudStackを利用する場合、シトリックス・システムズ・ジャパンの「Citrix XenServer」など、上記以外の仮想化ソフトウェアで構築したクラウド環境でも利用可能だ。VMの対応OSは、WindowsとLinux。

製品構成

　Trend Micro SecureCloudは、VMのOSに導入し、ストレージに書き込まれるデータの暗号化や復号をカーネルレベルで実行する「Trend Micro SecureCloudエージェント」、セキュリティポリシーに合致したVMがデータへアクセスするときにだけ、データ復号用の暗号鍵を発行する「鍵管理サーバ」で構成される（図1）。

図1：Trend Micro SecureCloudの構成例。VMに導入したTrend Micro SecureCloudエージェントと鍵管理サーバが連係して、データの暗号化や復号を実行する（出典：トレンドマイクロの資料を基に一部修正）

　サービスとして稼働するTrend Micro SecureCloudエージェントは、VMのデータアクセスを常時監視。ストレージへのデータアクセスがあると、鍵管理サーバに問い合わせる。鍵管理サーバは、VMのOSやセキュリティ対策の内容などを確認。セキュリティポリシーに合致している場合にのみ、暗号鍵を振り出す（図2）。

図2：Trend Micro SecureCloudにおける制御例。事前指定したセキュリティポリシーに合致するVMの場合にのみ、暗号鍵を振り出す（出典：トレンドマイクロの資料を基に一部修正）

製品の特徴：暗号鍵管理をクラウドで

　Trend Micro SecureCloudの特徴は、トレンドマイクロのデータセンターにある鍵管理サーバをクラウドサービスとして提供することだ。ユーザー企業にとって、鍵管理サーバの構築や運用管理の負荷から解放されるメリットがある。

　「クラウドサービスのセキュリティは、クラウドサービス自体と同じように、必要なときにすぐに利用できることが重要だ」（大田原氏）――。トレンドマイクロがTrend Micro SecureCloudの鍵管理サーバをクラウドサービスとして提供する背景には、こうした考え方がある。「セキュリティ対策の初期導入に時間がかかると、契約から数クリックでVMを起動できるといったクラウドサービスのメリットを阻害してしまう」（同氏）からだ。

　鍵管理サーバをクラウドサービスとして提供する分、オンプレミスで運用する場合と比べてカスタマイズの自由度は限られる。鍵管理サーバの運用管理をトレンドマイクロに任せることに関しては、「セキュリティベンダーとしての実績を信頼してほしい」（大田原氏）と強調する。

事例：他社製HSMとセットで利用するケースも

　2011年8月に販売開始したTrend Micro SecureCloud。国内での導入実績やユーザー企業名は明かしていないが、海外では政府系機関をはじめ、保険会社や航空会社などで利用が広がっているという。

　ユーザー企業の調達要件によっては、鍵管理サーバをクラウドサービスではなく、オンプレミスでも構築する。鍵管理を特に重視するユーザー企業に対しては、対タンパ性を備える暗号鍵生成／管理専用ハードウェア「HSM（Hardware Security Module）」と組み合わせて提案するという。「競合とされる米SafeNetのHSMと、Trend Micro SecureCloudをセットで導入するケースもある」（水上氏）

今後の方向性：XenやAzure対応を進める

　今後は、管理可能なプラットフォームを拡大する方針だ。OpenStackやCloudStackを介してXenServerの仮想環境を保護することは可能だが、XenServerベースのクラウド環境を直接保護可能にすることを検討しているという。また、Platform as a Service（PaaS）である「Windows Azure」など、他のクラウドサービスについても保護可能にしていく考えだ。