セキュリティを高めるための第一歩は、異常を検知することです。そのためには、通常とは何かを知らないといけません。トラフィックを可視化する「リポーティング機能」を多くの次世代ファイアウォール製品が備えるのは、こうした考え方が背景にあります。トラフィックを常時監視して可視化することで、トラフィックの変化を基に異常を検知することが可能になります。

　ネットワーク稼働状況のリポートは、投資対効果を測定する上で非常に有用であるだけでなく、セキュリティの観点では監査にも役立ちます。インシデントの発生を完全に止めることが困難である以上、インシデントに関する記録は特に重要になるからです。加えて、各種のセキュリティ基準に準拠するためにも、決められた要素を持つセキュリティリポートは必要です。

　こうした背景から、リポーティング機能にはもともと一定の需要がありました。さらに次世代ファイアウォール製品が浸透することで、「利用できて当たり前」の機能になったという見方が正しいでしょう。

人手でのトラフィック監視負荷から解放

　トラフィックログを全て人の目で見て、何らかの兆候を見つけ出すのは、複雑化・大規模化が進む現在のネットワークでは到底不可能だといえます。ただし、リポートを使った傾向分析は比較的簡単にできることであり、ネットワークセキュリティの視点からも必要です。

　次世代ファイアウォール製品のリポーティング機能の中には、トラフィックに急な変動があった場合や機器の認証状態などもまとめてリポートできるものもあります。コストとのバランスは考慮すべきですが、セキュリティ情報イベント管理（SIEM）製品のように、次世代ファイアウォール製品以外の機器もリポートの対象にできる方が、確実さを求めるならば理想的です。

　極端な例ですが、誰かが1台のサーバへのログインを100回失敗すれば、特定の機器単独のログを見ていても異常に気付くでしょう。一方、100台の異なるサーバへ一度ずつ別の場所から辞書攻撃（パスワードに利用されがちな文字列を試行する不正ログイン手法）が仕掛けられているかどうかは、単独のログを見ているだけでは分かりません。こうした部分を強化してくれるのがリポーティング機能だといえます。

　上述の通り、次世代ファイアウォール製品の多くがリポーティング機能を標準搭載しています。ただし、トラフィック監視ツールなどの専用製品の方が、より多彩なリポーティングが可能なことが多いことも認識しておくべきでしょう。

「UTM機能」とは

　「UTM」はUnified Threat Managementの略語で、国内では「統合脅威管理」とも呼びます。ベンダーによってUTMの定義はさまざまですが、本稿では実態に即して、ファイアウォールにマルウェア対策機能や侵入防止システム（IPS）の機能、Webフィルタリング機能などを含めた機能群を指してUTMと呼びます。次世代ファイアウォール製品の中には、こうしたUTMの機能群を備えるものも少なくありません。

　次世代ファイアウォール製品とUTM製品との違いはよく議論になります。アプリケーション識別機能を核とした次世代ファイアウォール製品が機能拡充の結果としてUTM機能群を備えたり、UTM製品がアプリケーション識別機能を搭載するといった動きの中で、双方の違いが無くなりつつあります。現状では、次世代ファイアウォール製品は比較的大規模な企業、UTM製品は中堅・中小企業を中心的なターゲットにしていることが多いようです。

　UTMを構成する機能群の中で、最近注目度が高まりつつあるのが「マルウェア対策機能」でしょう。その背景には、昨今ベンダー各社が力を入れる「サンドボックス」の存在があります。サンドボックス型セキュリティ対策製品が充実し始めたのは比較的最近にもかかわらず、一時期は「標的型攻撃対策といえばサンドボックス型セキュリティ対策製品だ」といわれるほどのインパクトがありました。次世代ファイアウォール製品の一部には、サンドボックス型セキュリティ製品を関連製品として用意したり、サンドボックス機能を取り込む動きがあります。

　ここではサンドボックスの詳細な動作は説明しませんが、クライアントPCの環境を再現した仮想環境で疑わしいファイルやコードを実際に実行し、その振る舞いを基にマルウェアかどうかを調べるのが基本的な仕組みです。理論上、未知の脆弱性を突くゼロデイ攻撃に利用されるマルウェアの動作でも、ウイルスの要件を満たしていないようなコードによる悪性の動作でも検知ができます。

　サンドボックスが注目を集める裏側には、UTM製品において顕著だったパフォーマンスと検知率のトレードオフ問題があります。UTM製品には、マルウェア対策など通信内容を全部まとめてチェックしなくてはいけないような機能があり、それが大きなパフォーマンス低下を招いてきました。「単機能製品からUTM製品へ乗り換えた際、UTM製品が備えるいろいろな機能を有効にしたら、パフォーマンスが一気に落ちてしまった」――。一時期はそんなトラブルをよく聞きました。

　現在の次世代ファイアウォール製品やUTM製品が搭載するマルウェア対策機能は、クラウド環境を利用したレピュテーション技術の採用やハードウェアの進化によって、パフォーマンスは向上しています。ただし、マルウェア対策機能を使用することによるパフォーマンスへの影響はまだ大きいのが現状です。さらに検知率も、ゲートウェイ型のマルウェア対策専用製品と比べると劣る傾向があります。

　長く続くセキュリティと悪意の戦いは、攻撃手段の多様化でより高度にはなっているものの、基本的な図式は変わっていないと見てよいでしょう。連載第3回「『標的型攻撃対策は不可能』と思考停止していないか？」で紹介したように、“セキュリティの鎖”が大切であることを再確認すべきです。

　次世代ファイアウォール製品は、決してパーフェクトなセキュリティ対策というわけではありません。そのため、エンドポイント向けのマルウェア対策製品も必要ですし、両者の間をつなぐキャンパスネットワークのセキュリティ対策も重要になります。ここでも意識するのはセキュリティの鎖というわけです。次回は、LANからエンドポイントへわたるセキュリティ対策を解説します。