ネットワーク分離で困る人が続出する「ファイル受け渡し問題」を解決するには？（3/3 ページ）

公開 2016年08月08日 09時02分

更新 2017年04月12日 19時50分

著者

村上努

松隈基至

[ユニアデックス]

印刷する連載新着通知を受け取る

ネットワーク分離環境でのさらなるセキュリティ強化策

　ネットワーク分離を採用すれば、インターネット経由の攻撃から業務セグメントを守ることは可能だ。だがインターネットセグメントに設置するサーバは攻撃にさらされることになることに変わりはない。インターネットセグメントのサーバが攻撃でダウンすればインターネットの利用にも支障が出てくるので、防御が必要になってくる。

　インターネットセグメントのセキュリティ強化を図るための手段は充実している。主に自治体を中心に検討が進む製品／技術を紹介していこう。なお以下には、マルウェア対策ソフトウェアや認証システムなどの基本的なセキュリティ対策は除き、ネットワーク分離実現の際に新たに検討すべき製品／技術を中心に解説する。

次世代ファイアウォール

　特定組織を狙う標的型攻撃を仕掛ける攻撃者は、ターゲットをマルウェアに感染させたのち、HTTPをはじめとする標準的な通信プロトコルを利用して秘密情報を持ち出すことが少なくない。こうした標準的な通信プロトコルを使った攻撃を従来型ファイアウォールで防ぐのは難しい。ポート単位で通信を制御する従来型のファイアウォールは、標準的な通信プロトコルの常時使用を許可することが一般的だからだ。

　そこで「次世代ファイアウォール」が役立つ。従来型ファイアウォールと異なり、ポート単位の通信制御に加え、Webアプリケーションを利用するユーザーとアプリケーションの種類を識別して、通信を通すか否かを設定できる。従来型ファイアウォールでは防ぐことができない、有害な通信を遮断できるのが利点だ。

マイクロセグメンテーション

　インターネットセグメントにデスクトップ仮想化システムを構築する場合、1台の仮想デスクトップがマルウェアに感染すると、遅かれ早かれ同一のネットワークセグメントにある他の仮想デスクトップへ感染が拡大する。仮に物理的なファイアウォールで仮想マシンとインターネットとの通信を制御できたとしても、仮想デスクトップ間の通信を制御することは難しいからだ。

　こうした仮想環境でのマルウェア感染拡大を防ぐ有効な手段として「マイクロセグメンテーション」がある。マイクロセグメンテーションは、単一のネットワークセグメントの範囲、つまりセキュリティ対策の対象範囲（セキュリティセグメント）を仮想マシンや仮想デスクトップ単位にまで小さくして、仮想デスクトップ間の通信制御を可能にする。不正アクセスが発生した仮想デスクトップだけをインターネットセグメントから切り離すことも容易だ。

　第3回で本連載もいよいよ佳境に入る。今回紹介したネットワーク分離関連の最新技術について、その具体的な使用例と注意点、課題を克服するための運用方法などを、実際の製品を交えて紹介する。