ベンチマークテストでうまくいくネットワーク機器選び【第7回】

セキュリティゲートウェイ、「本番」での実力値はここを見る（2/2 ページ）

公開 2015年06月30日 08時04分

[東陽テクニカ]

印刷する連載新着通知を受け取る

既知の攻撃シナリオのブロック率

　既知の攻撃に対してセキュリティゲートウェイがどれだけのブロック（防御）率を備えているかを測り、指標とすることも必要である。公的機関や大企業などで一度報告された攻撃はセキュリティベンダー各社のブラックリストに登録され、既知の攻撃としてブロックできるようになるはずだ。しかし、セキュリティゲートウェイが常に全ての攻撃パターンを維持することは難しい。ネットワークのパフォーマンスを考慮すると、セキュリティゲートウェイはあくまで最新の攻撃に対する防御にフォーカスさせ、あまりにも古いパターンにはクライアント端末のアンチウイルスソフトで対処するという運用も考えられる。そのため、セキュリティゲートウェイが既知の攻撃に対してどれだけの検知率を持っているかは、導入前に知っておきたい指標である。

　テスターがコネクション型トラフィックを送信する必要があるため、ベンチマークテストは下記の構成で行われるのが一般的だ。

図3　セキュリティゲートウェイの試験構成

図4　攻撃パターンリストのサンプル。既知の攻撃パターンから任意の攻撃パターンを選択してテストする

図5　流した既知の攻撃に対してセキュリティゲートウェイが防御したシナリオ

感染PCのふるまい検知とマルウェア検体のブロック率

　感染したクライアントPCのふるまいは明らかに通常のそれとは異なる。通常、われわれは目的を持ってWebアクセスやメールの送受信を行うためにPCを操作するが、攻撃者はその目的のデータをわれわれに気付かれないように、こっそりと盗み取ろうとする。セキュリティゲートウェイの中には、そういうときの独特なパケットの流れや、サーバ、データベースへのアクセスなどから感染PCを検知する機能を有しているものがある。

図6 マルウェア検出テストの構成

　ただし、既存のシグネチャ（識別子）ベースの検知と異なり、このような方法による検知はさらにハードルが高くなる。幾つかのセキュリティゲートウェイによるマルウェア検出率を図7に示す。これを見れば検知に関して機種による差が大きいことがお分かりいただけるだろう。

図7　セキュリティゲートウェイの機種ごとによるマルウェア検知率の違い。ベンダーBとベンダーEの検知結果がほとんど同じになっているのは偶然の一致であろうか、それとも内部の検知エンジンが同じなのであろうか

　セキュリティゲートウェイはその動作の複雑さから、カタログやWebで提供される製品情報だけで選択するのはとても難しいと思う。どのようなデータを守りたいのか、どのようなネットワークに対してどこで防御したいのかをしっかりと定めることが大切である。

　近年は1つの機器だけで全ての攻撃に対処するのは難しくなっているといわれており、多層防御のソリューションが各ベンダーから提案されている。その際にもテストリポートから読み取れる真の実力値を基に、まずは機器単体のパフォーマンスを正しく理解することが重要だ。そして個々の機器の強みを生かせる設定をし、システム全体として最も効果のある防御ネットワークを構築してほしい。