インターネットセグメントと業務セグメント間のセキュリティ対策

　物理的なクライアントPCから仮想デスクトップへと形を変えても、業務を遂行するためには、当然ながら各種アプリケーションやサーバへとアクセスする必要がある。業務セグメントで生成したファイルの一部をインターネットセグメントに持ち出したり、インターネットからダウンロードしたファイルを、業務セグメントへ持ち込んだりしたいケースもあるだろう。つまりインターネットに直結させたインターネットセグメントと、分離した業務セグメントとの間で、何らかの形で通信を可能にすることが必要になる、ということだ。とはいえ、あらゆる通信を許可してしまえばセキュリティ強度が犠牲になるので、セキュリティと利便性の両立を図ることが求められる。

　自社内の異なるネットワークセグメント（LAN）間の通信を制御するために、ファイアウォールが活用されることは少なくない。だがファイアウォールでできることには限界がある。セキュリティの世界は絶えず進化を続けており、新しい技術が次々と発表されている。次世代ファイアウォールを含め、ファイアウォールはこれらの新技術に十分に対処できているわけではない。

　ファイアウォールは本来、インターネットと社内LANとの間に置き、マルウェアの脅威から自社ネットワークを守ることを目的としており、社内のネットワークセグメント間のセキュリティを確保するために作られたものではない。言い換えると、社内ネットワークセグメント間の通信制御にファイアウォールを利用することは、既存技術で使えそうな機能を転用しただけのことにすぎないのだ。ここでは社内ネットワークセグメント間通信の制御をファイアウォールで実現した場合の課題を紹介する。

ファイアウォールの課題

　物理的に分離したネットワークセグメント間に、ファイアウォール機能を持つ1台のアプライアンスを設置して双方を接続し、通信を制御するという仕組みがよく取られている（図3）。セキュリティを確保するために壁を作り、必要に応じてポートを開放することで、一部のアプリケーションに通信を許可する。

図3　ファイアウォールでネットワークセグメント間の通信を制御《クリックで拡大》

　ただしファイアウォールには、以下のような課題がある。

• マルウェアのすり抜け
  • 前述の通り、最近のマルウェアの中にはポートの穴をすり抜けて感染するものがあるので、対策が必要になる。次世代ファイアウォールのアプリケーション識別機能を活用すれば、アプリケーション単位で通信の可否を選定できるものの、やはり前述したシグネチャによる限界がある
• root権限による情報の改ざん
  • ファイアウォールはroot（管理者）権限を盗まれると非常に危険だ。せっかく物理的に分離したネットワークセグメント同士を簡単につなげてしまうことが可能だからである（図4）。実際にroot権限を盗まれる可能性は低いものの、インターネットセグメントからファイアウォールへアクセスできる以上、その可能性を完全に排除することはできない

図4　ファイアウォールのroot権限が盗まれると、攻撃者によって分離したはずのネットワークセグメント間をつなげられてしまう可能性がある《クリックで拡大》

　現実には、ファイアウォールの中でマルウェア対策の精度を上げたり、振る舞い検知をしたりすることで、結局は旧態依然とした方法との組み合わせで、取りあえず安心を買うといったことになっている。実はここがインターネット分離の肝となる部分で、技術的な急所だといえる。この課題に関する新たな打開策が生まれ始めている（詳細は次回以降で解説）。

ファイル転送

　業務セグメントからインターネットセグメントへと、安全にファイルを持ち出す際に利用するのが「ファイル転送」システムだ。企業向けの製品としては、承認申請のワークフロー機能を備えるものを推奨したい。これにより、外部に送信して問題ないファイルのみ持ち出しを許可し、間違って機密情報を持ち出してしまうことを防ぐことができる。

　主要なファイル転送システムは、ワークフロー機能を標準機能やオプションとして用意する。例えばソリトンシステムズの「FileZen」や日本ワムネットの「GigaCC OFFICE」、富士通エフ・アイ・ピーの「Confidential Posting」などは、ワークフロー機能を標準で備えている。

　FileZenを例に、業務セグメントからインターネットセグメントへのファイル転送の流れを見ていこう。まず従業員が業務セグメントから持ち出したいファイルをファイルサーバへアップロードする。FileZenはその従業員の上司へ自動的にメールを送信し、承認を求める。上司はファイルの持ち出しが業務上必要なものか判断し、必要であれば承認する。こうして従業員は、インターネットセグメントでFileZenからファイルを受け取る。

ファイル無害化

　ファイルをインターネットセグメントから業務セグメントに持ち込む場合に必要になるのが「ファイル無害化」だ。

　ファイル無害化は、ファイルを解析して不正だと考えられる部分を削除し、新たなファイルを作成する。一般的にはファイルの形式（フォーマット）を認識して、正常なファイルであれば存在しないはずのデータが含まれていればそれを排除し、正常な要素を保ったままファイルを再構成する。こうした仕組みのため、そもそも認識できないファイル形式の場合は再構成できない。その場合、インターネットセグメントでPDFファイルや画像ファイルに加工するといった別の手段で無害化対象ファイルに変換する必要がある。

　現状のファイル無害化製品が無害化できるファイル形式は、どのぐらいの種類があるのか。ファイル無害化は最近注目されるようになった分野で、まだ企業での導入実績も製品自体も少なく、対応ファイル形式数の相場を見積もるのは難しい。参考までに、この分野の草分け的存在であるアズジェントの「VOTIRO Secure Data Sanitization」（開発： Votiro）を例に取ると、原稿執筆時点では以下のファイル形式を無害化できる。

• Microsoft Office 97／2003／2007／2010／2013ファイル
• Adobe Acrobatファイル
• 画像ファイル（BMP、GIF、WMF、EMF、PNG、JPG、TIFF、RLE）
• アーカイブファイル（ZIP、CAB、TAR、RAR、7Z、GZIP）
• テキストファイル（TXT、INI、XML、TSV、CSV、CFG、CHM、LOG）
• 音声・映像ファイル（AVI、FLV、MPG／MPEG、MP2、MP3、MP4、WAV、WMA）
• スクリプト／ソースファイル（BAT、CDM、CSS、HTM／HTML、INF、JS、REG、PHP、VBS）
• 実行ファイル（DLL、COM、EXE）
• その他（ICS、ICO、MHT、RPT）

メール無害化

　ネットワーク分離を検討する組織の間で関心が高まっているのが、インターネットセグメントのメールを無害化し、業務セグメントのメールシステムへ転送する「メール無害化」製品だ。これによりエンドユーザーがイントラネットのメールを確認するだけで、インターネットメールの内容も併せて確認できるようになるため、業務の効率化を図ることができる。

　本文の無害化については、製品間の差異はそれほどない。例えばHTMLメールをテキストメール化したり、画像ファイルを再び安全な画像ファイルへ変換したりすることで、HTMLメールに混在している可能性がある不正なスクリプトの実行を防ぐ。また本文中のURLの一部文字を削除したり他の文字に置き換えたりして、不正なWebサイトへ容易にアクセスできないようにする。

　機能に違いが出やすいのが、添付ファイルの無害化だ。添付ファイルをごっそり削除するメール無害化製品がある一方で、添付ファイルに加工を施してマルウェア感染を防ぐ製品もある。いずれの方法を取るメール無害化製品であっても、元の添付ファイルを含むメール原本を保管したり、他のメールサーバへ転送したりする機能を備えていることがほとんどだ。

　元の添付ファイルであっても、前述のようなファイル無害化製品を使えば、インターネットセグメントから業務セグメントへ持ち込むことができる。そのため「受信者にとっては取りあえず、添付ファイルに何が書かれているかが分かればよい」と割り切り、添付ファイルまでもテキスト化してしまうメール無害化製品もある。例えばサイバーソリューションズの「CyberMail」は、メール本文と添付ファイルをテキスト化し、本文の後ろにテキスト化した添付ファイルの内容を付記している。

　以上が、既存の製品／技術でインターネット分離を実現した場合のシステム構成の一例だ。ただし筆者は、安全性と利便性を両立させたネットワーク分離を実現するには、こうした汎用（はんよう）的な製品／技術だけでは限界があると考えている。目的によっては、ネットワーク分離専用の製品／技術を新たに用意した方がよいケースがある、ということだ。

　次回は、ネットワーク分離の間違った利用方法を例に挙げ、これまで紹介したネットワーク分離の正しい利用方法と、既存システムの課題を新たな打開策とともに紹介する。