インターネットセグメントのセキュリティ対策

　インターネットに直結しているインターネットセグメントは、当然ながらインターネットからの攻撃を直接受けることになる。業務セグメントへの攻撃とは異なり、LANへの攻撃に直結する訳ではないが、インターネットセグメントのサーバが攻撃されれば、仮想デスクトップや仮想アプリケーションの稼働が遅くなったり、止まったりして業務に支障が出る可能性がある。インターネットセグメントにおいても、マルウェアの感染や拡散をできるだけ防いだり、感染した仮想デスクトップを即座に隔離したりする方法が必要になる。

次世代ファイアウォール

　LANとインターネット間のトラフィックを通すには、両者をまたぐファイアウォールにおいて、適切なポートを開放することが必要になる。ポートは一般的に80番（HTTP）や443番（HTTPS）といった標準的なポート（ウェルノウンポート）が使われることが多い。だが最近のマルウェアはこうしたウェルノウンポートを利用して情報を持ち出したり、感染したりするように作られていることがほとんどだ（図2）。ウェルノウンポートをむやみに開放すれば、インターネットセグメントの仮想デスクトップのマルウェア感染リスクが高まる。

図2　不正なアプリケーションもウェルノウンポートをすり抜ける《クリックで拡大》

　ウェルノウンポートを安全に開放するのに役立つのが、アプリケーション識別機能を持つ「次世代ファイアウォール」だ。アプリケーション識別機能は、ポートやプロトコルにかかわらず、事前にシグネチャが登録されているアプリケーションを識別し、通信の可否を制御できる。例えばPalo Alto Networksの次世代ファイアウォールは、2000種類以上のアプリケーションを識別可能だ。

　シグネチャが用意されていないアプリケーションについては、少々時間とコストが掛かるものの、ベンダーやシステムインテグレーター（SIer）などに作成してもらうことができる。ただしシグネチャの基になる通信パケットの順番や内容などに特性がなく、アプリケーションを特定する方法が見つからない場合、シグネチャを作成できないこともある。ここが既存技術の限界といえる。

マイクロセグメンテーション（マルウェア感染の拡大を防止）

　従来のセキュリティ対策では、標的型攻撃によるマルウェアの感染を完全に防ぐことはできないことは、前回までにお伝えしてきた通りだ。次世代ファイアウォールを導入しても、仮想デスクトップへのマルウェア感染をゼロにすることはできない。もしマルウェアの感染を許したら、単一のセキュリティセグメント（セキュリティ対策を施す範囲。一般的にはネットワークセグメントと同義）にある仮想デスクトップに即座に感染が拡大してしまう可能性がある。

　こうした問題に対処する有力な手段となるのが、仮想マシン単位にファイアウォールを設ける「マイクロセグメンテーション」だ。マイクロセグメンテーションを仮想デスクトップに適用すれば、仮に特定の仮想デスクトップにマルウェアが感染しても、他の仮想デスクトップや他の物理PC／サーバへの感染拡大を抑制したり、大幅に遅らせたりすることができる。マイクロセグメンテーションの仕組みを実装した製品は現時点では極めて限られており、具体的な製品としてはVMwareのネットワーク仮想化製品「VMware NSX」がある。

　気を付けなければいけないのは、マイクロセグメンテーションは一部の感染した仮想デスクトップからの感染拡大を防ぐものであり、マルウェアの初期感染を防ぐものではないことだ。感染してしまったマルウェアについては、仮想デスクトップを一定間隔でリフレッシュする、つまり仮想デスクトップイメージを元に戻すことをお勧めする。こうすることで、少なくともイメージ作成後に感染したマルウェアについては、完全に取り除くことが可能になる。