ネットワーク分離で困る人が続出する「ファイル受け渡し問題」を解決するには？（2/3 ページ）

公開 2016年08月08日 09時02分

更新 2017年04月12日 19時50分

著者

村上努

松隈基至

[ユニアデックス]

印刷する連載新着通知を受け取る

利便性を維持しながらネットワーク分離を実現する手段

　ネットワーク分離の手段としてクライアント仮想化を利用し、導入や運用を効率化できたとしても、従業員の利便性確保の面で課題が残る。その最たる例が、ファイルのやりとりとWebアクセスの課題だ。

ファイル無害化

　ネットワーク分離環境において、インターネットセグメントで受信したメールの添付ファイルやWebサイトからダウンロードしたファイルを、どうしても業務セグメントの端末へ持ち込まざるを得ない場合があるだろう。その際、マルウェアに感染してしまうリスクを完全に排除することはできない。この問題を解決してくれるのがファイル無害化だ。

　従来のマルウェア対策ソフトは、パターンファイルとのマッチングでファイルを事前検疫する仕組みを持つ。マルウェア対策ソフトベンダーがパターンファイルを提供していない、未知のマルウェアの検知や駆除は困難だ。一方でファイルの無害化はファイルのフォーマットを解析して、攻撃コードの可能性がある部分、通常の処理では不必要だと考えられる部分を削除し、新たなファイルを作成する。これにより、文字通りファイルに含まれるマルウェアを削除して無害化する。

ワークフロー機能付きファイル転送システム

　上述とは逆のケースで、業務セグメントにあるファイルをインターネットセグメントへ持ち出したい場合もあるだろう。ただし会社が持ち出しを禁止しているファイルが持ち出されてしまう可能性があるので、持ち出しが必要となった際には必ず上司の承認を得た上で、インターネットセグメントに持ち出すようにすることが望ましい。ファイル転送システムの選定時には、承認申請ワークフローの仕組みがあるかどうかを確認しておくとよい。

インターネット用Webブラウザへの自動切換え機能

　ビジネスでやりとりするメールの本文に、WebサイトのURLが貼り付けられていることは少なくない。ネットワーク分離環境の場合、業務セグメントの端末でこうしたURLをクリックしても、端末内のWebブラウザからはインターネットへ直接接続できない。そのためURLへアクセスするたびに、インターネットセグメントのWebブラウザへアクセスする必要がある。

　クライアント仮想化環境であれば、業務セグメントの端末から、インターネットセグメントで稼働するWebブラウザへとURLをコピー＆ペーストすることは技術的には可能だ。だがセキュリティポリシーで異なるネットワーク間のコピー＆ペーストを制限していたりすると、従業員に長いURLの手入力を強いることになり、従業員から不満が噴出する可能性が否定できない。

　最近のクライアント仮想化製品は、こうした課題を解決する仕組みを備える。具体的には、従業員が業務セグメントの端末からメール本文のURLをクリックすると、インターネットセグメントのデスクトップやWebブラウザを自動的に立ち上げる。これにより一般的なクライアントPCに近い操作性や利便性を確保できるようになる。

自治体や金融機関で利用広がる「メール無害化」

　ネットワーク分離と併せて、特に自治体や金融機関で導入検討が進むセキュリティ対策として、メールの添付ファイルを削除したり、HTMLメールをテキストメール化したりする「メール無害化」がある（詳細は次回以降で説明）。これはネットワーク分離の必須要件ではなく、必要に応じて導入することとなる。

　メール無害化の適用対象は、顧客や取引先との間でインターネットを介して送受信するメール（以下、インターネットメール）だ。ネットワーク分離の環境下では、インターネットメールをインターネットセグメント内で操作する限りでは、メールの無害化は必要ない。だが業務セグメント内部で独自のメール（以下、内部メール）を使う場合は検討が必要になる。

　例えば自治体では、「総合行政ネットワーク（LGWAN）」というネットワークで各県庁市町村の業務セグメントをつないでおり、さらにLGWANでやりとりする内部メールシステムを利用している。金融機関においても、各支店と本店だけで利用する内部メールシステムを使用していることが多い。

　従業員にとって、取引先や顧客とのやりとりに使うインターネットメールと、内部メールを同じ頻度で確認し続けるのは骨が折れる。その上、メールの確認漏れが起きやすくなり、緊急度の高いメールの確認が遅れてしまう可能性が高まるという課題もある。

　インターネットメールを内部メールシステムへそのまま転送すればよいのでは、と考える人もいるだろうが、そこに落とし穴がある。インターネット経由で送受信するインターネットメールには、マルウェアが添付されている可能性がゼロではない。そのまま内部メールシステムへ転送すれば、本来はインターネットから隔離されている内部メールシステムやそこにつながるシステムにまで、マルウェアの感染が広がりかねない。

　メール無害化を利用すれば、インターネットメールを安全に内部メールシステムへ転送することが可能になる。従業員は内部メールを閲覧するだけで済み、安全性も確保できるというわけだ。

次ページへネットワーク分離環境をさらに安全に