データセンターの保護に必要な「セキュリティセグメント」

　物理環境か仮想環境かにかかわらず、データセンターのセキュリティ対策を考える上では、検討すべき課題が幾つかあります。主要な課題は、トラフィック増への対処とサイバー攻撃の高度化です。

　クラウドやスマートデバイスの普及で大規模化するトラフィックに対処するためには、より性能が高いセキュリティ製品への更新が必要になる可能性があります。一方、高度なサイバー攻撃に対処するために、より高度な機能を持つセキュリティ製品を求められることもあるでしょう。とはいえ、こうしたコストが掛かる大規模な設備投資は、簡単にはできません。運用管理コストの負担も重くのしかかってきます。

　こうした状況を踏まえ、データセンターのセキュリティ対策を検討する上でまず重要なのは、保護対象の場所、つまり「セキュリティセグメント」の考慮です。データセンターにおけるセキュリティセグメントは、大きく分けて2種あります。

コアセグメント： DDoS攻撃への対処やエンドユーザーへの影響排除が必須

　1つ目は、データセンターの入り口やコアルータ周りのセグメントを指す「コアセグメント」です。コアセグメントでは、主にネットワークを対象にした帯域占有型の分散型サービス拒否（DDoS）攻撃に対処できるセキュリティ製品が求められます。TCPのコネクション開始要求で利用するSYNパケットを大量に送付する「Syn Flood攻撃」に加え、時刻同期用のNTP（Network Time Protocol）や名前解決用のDNS（Domain Name System）といったプロトコルの脆弱性を利用した攻撃が対象となります。

　コアセグメントのセキュリティ製品は、DDoS攻撃による大量な不正トラフィックの侵入を阻止することが重要です。さらに、従業員や顧客といったエンドユーザーの通信に遅延や障害を引き起こすことなく、攻撃に対処できることも求められます。

エッジセグメント： Webサイトなどのサーバ攻撃への対処が不可欠

　2つ目は「エッジセグメント」で、サーバなどのリソースが設置されているセグメントを指します。コアセグメントとは異なり、エッジセグメントのセキュリティ対策は、正規の通信を装った悪意のある通信が対象となります。悪意のあるユーザーがWebサイトを改ざんしたり、重要なユーザー情報を搾取したり、サーバをダウンさせたりするような攻撃に対処できるセキュリティ製品が求められます。

仮想環境のセキュリティ対策

　これら2種のセキュリティセグメントについて、仮想環境でも物理環境と同様のセキュリティ対策を取ることは可能です。ただし、仮想環境の特性を生かせば、より効率的なセキュリティ対策が可能になる場合があります。仮想環境における主なセキュリティ対策の例を、コアセグメント、エッジセグメントに分けて紹介します。

コアセグメント：「SDN」でセキュリティ製品の機能を実現

　コアセグメントの仮想環境は、サーバ仮想化ではなく、ネットワーク仮想化によって実現されます。ネットワーク仮想化を実現する具体的な手段として注目すべきなのは、ソフトウェアでネットワークを制御する「Software Defined Network（SDN）」の概念に基づくネットワーク製品（SDN製品）です。

　SDN製品は、ネットワーク経路やトラフィックフローを制御する「SDNコントローラー」という機器を利用します。コアセグメントの仮想環境では、まさにこのSDNコントローラーを使うことで、セキュリティ対策の専用システムを別途導入しなくても、セキュリティ機能を利用できるようになるのです。

　SDN製品がセキュリティ機能を実現する具体例として、「OpenStack」「CloudStack」といったクラウド基盤製品とSDNコントローラーが連係するケースについて見てみましょう（図）。IT部門やセキュリティ部門の担当者は、クラウド基盤製品のWebユーザーインタフェースから「検疫ネットワーク」というセキュリティ機能を選択します。その情報を受けたSDNコントローラーは、「OpenFlow」などの経路制御プロトコルを利用し、ルータに対して特定ユーザーの通信を動的に制御するよう指示します。こうした仕組みで、検疫ネットワークの専用システムと同等の機能をSDN製品で実現します。

図　SDN製品とクラウド基盤製品との連係例。SDN製品でセキュリティ製品の機能を実現する

エッジセグメント：「仮想アプライアンス」で短期導入と運用コスト削減を両立

　エッジセグメントにおいては、サーバの高性能／高機能化と、サーバのハードウェアコスト削減といった観点から、1台の物理サーバで複数の仮想マシンを作成し、システムを稼働させる例が増えています。こうした仮想環境における単純なセキュリティ対策としては、一般的なファイアウォールで論理的にシステムを分割し、システムごとにセキュリティポリシーを適用する方法が考えられます。

　ファイアウォールには、1台で複数システムを保護でき、運用管理が容易であるというメリットがあります。ただし、一般的なファイアウォールでは、高速な処理が難しくなった場合に機能強化のために高価なハードウェアが必要となったり、刷新までの間は新規システムには迅速にファイアウォールを提供できないといったデメリットがあります。あらかじめ性能に余裕を持って構築したとしても過剰投資となり、ラックスペースや消費電力といった運用管理コストの増大を招く可能性があります。

　こうしたデメリットを解消する1つの策として挙げられるのが、仮想サーバとして提供される仮想アプライアンス型セキュリティ製品の導入です。市販の仮想アプライアンス型セキュリティ製品の中には、ファイアウォールやロードバランサといった一般的なものに加え、パケットの中身まで見てフィルタリングなどの処理をする「DPI（Deep Packet Inspection）」機能を持つものなどがあります。

　仮想アプライアンスであれば、物理ハードウェアを使うセキュリティ製品よりも短期間で導入でき、新規システムにも迅速にセキュリティ対策を適用できます。既存インフラの余剰リソースで運用できることが前提にはなりますが、基本的には新たな物理サーバの購入も不要なのでラックスペースや消費電力の抑制にもつながり、設定変更などの運用管理コストも軽減可能です。

　データセンターの仮想環境におけるセキュリティ対策でも、コア／エッジの両セグメントにおける“セキュリティの鎖”を意識することは重要です。それに加え、運用管理コストや投資コストの抑制、従業員や顧客への影響軽減といった課題を克服し、迅速なセキュリティ対策を実現することが求められるのです。