2週間かかっていたファイアウォール設定が数分に

航空会社がマルチクラウドのポリシー乱立解消に生かした「タグシステム」とは

Alaska Airlinesは複数のクラウドを用いたマルチクラウド環境を構築した。マイクロセグメンテーションを利用したセキュリティツールを組み込み、アプリケーション運用の自動化とコンテナの活用に取り組んでいる。

公開 2019年11月28日 05時04分

更新 2019年11月28日 10時29分

著者

Beth Pariseau

[TechTarget]

印刷する Googleで優先するソースとして追加

　複数のクラウドにまたがるDevOps（開発と運用の融合）やインフラ管理の自動化に取り組む動きが広がりつつある。こうした中、社内LANの中と外を隔てる境界に基づくセキュリティ対策は、過去の遺物になりつつある。代わりに重要性が高まっているのが、一時的なアプリケーションや柔軟性のあるインフラと連携し、組織に属する複数の関係者が利用できるセキュリティツールだ。

併せて読みたいお薦め記事

DevOpsとセキュリティ

DevOpsの実践方法

　航空会社のAlaska Airlinesは2016年、クラウドの導入に着手した。同社はセキュリティの新興企業ShieldX Networks（以下、ShieldX）の最初期の顧客だ。Alaska Airlinesのレガシーアプリケーションの移行において、ShieldXは中心的な役割を担った。Alaska Airlinesは、VMware製品ベースのオンプレミスのデータセンターだけでなく、「Amazon Web Service」（AWS）や「Microsoft Azure」といったパブリッククラウドでもShieldX製品を役立てた。

　現在、Alaska Airlinesはコンテナやコンテナオーケストレーションツール「Kubernetes」によるアプリケーション運用を計画している。それに伴い、DevOpsのセキュリティ分野でShieldX製品を利用することも検討中だ。

　複数ベンダーのクラウドを利用するマルチクラウドを採用したことにより、Alaska Airlinesは2社のクラウドベンダーと付き合うことになった。この両社がそれぞれ異なるセキュリティポリシーを持っていたことが、Alaska AirlinesのITチームにとって課題だった。加えて同チームはオンプレミスのインフラも運用しなければならなかった。

　Alaska Airlinesでネットワークおよびコネクティブソリューション部門のディレクターを務めるブライアン・タルバート氏は「われわれには、それらの状況全てを均等かつ詳細に把握する余裕がなかった」と振り返る。同社はこの状況をシンプルにし、社内のIT環境全体に適用できるポリシーの作成を1社に任せたいと考えていた。

「タグ付け」でファイアウォールのポリシー設定を簡略化

　2016年初頭、Alaska AirlinesのCEOは業界イベントでShieldXの創立者に出会い、タルバート氏とShieldXの担当者とのミーティングを設けた。タルバート氏にとって、ShieldX製品のアーキテクチャは印象深かったという。

　ShieldXをはじめ、vArmour Networks、Illumioなどのセキュリティベンダーは、ネットワークを細かく分割する「マイクロセグメンテーション」によって、アプリケーションのセキュリティを強化するアプローチを採用する。これはファイアウォールによる「防護壁」を強化し、データセンターやその内部にあるアプリケーションを保護する、境界に基づく従来型セキュリティモデルとは大きく異なる。

　クラウドネイティブのアプリケーションが、サーバやデータセンターという存在から切り離されることが増えれば、「これまでのセキュリティモデルは変更を余儀なくされるだろう」とタルバート氏は予測する。

　タルバート氏は「まずShieldXに当社のレガシー環境を理解してもらうことで、レガシーデータセンターから新しいデータセンターへの移行を安全に進めることができた」と話す。クラウド内のものも含め、アプリケーションを新しいデータセンターに移行すると、その移行に関連する工程を表すパイプライン（一連の処理）に「タグ」が付けられる。それによりアプリケーションをどこに配置しても、あらかじめ設定したポリシーを自動適用できる。

　このタグシステムの設計では、Alaska AirlinesのエンジニアがShieldXを支援した。このシステムにより、アプリケーション開発者はファイアウォールのポートやルールの複雑な情報を意識する必要がなくなったという。Alaska Airlinesの情報セキュリティ部門が入力したポリシーも自動的に反映されるため、各アプリケーションの導入前に実装を検討する必要もない。

　タグシステムの導入以前、Alaska AirlinesのITチームはアプリケーションのセキュリティポリシーをファイアウォールに適用するのに最大2週間かけていた。それが今では数秒から数分に短縮できている。

　タルバート氏が製品を選定した当時、ITに精通していないAlaska Airlinesの関係者にとって、このタグシステムのシンプルさがShieldXの大きなメリットだったという。「アプリケーションが複雑になるほど、何かを見逃す機会が増え、セキュリティは脆弱になる」というのが同氏の考えだ。

コンテナ活用の未来

　コンテナを使ったインフラに対するShieldXの支援は、まだ開発途上だ。同社のCEO、ラティンダ・アフジャ氏によると、同社はマイクロサービスアーキテクチャ向けのサービスメッシュ（サービス間のデータ連携を処理する仕組み）構築ツール「Istio」と、コンテナで動作するプロキシ「Envoy」を利用し、コンテナ向けのDevOpsセキュリティ製品の開発を計画している。

　Alaska Airlinesは、MicrosoftのマネージドKubernetes「Azure Kubernetes Service」（AKS）を利用して、クラウドとオンプレミス両方でKubernetesおよびコンテナを運用している。Alaska Airlinesのアプリケーションにおけるコンテナ関連の処理は、大半がテストと開発に起因する。実稼働しているアプリケーションのうちコンテナで運用されているのは、重要度の低い少数のアプリケーションだけだ。同社はコンテナでの運用について予備調査をしている段階であるものの、全面導入について検討中だ。「ShieldXが当社と同じ方向に進んでくれることを期待している」（タルバート氏）

　ShieldX製品でコンテナを扱えるようにした後、将来的にはセキュリティポリシーの自動適用を従業員のPCなどのエッジデバイスまで拡張することがタルバート氏の狙いだ。それまで同氏のチームは、エッジデバイスやデータセンターへの攻撃をShieldX製品が捉えられるようにするため、ShieldXが提供するAPIを使って、Carbon Black製品などのエッジデバイス向けセキュリティツールを導入する計画を進めている。

印刷する

この記事の著者

Beth Pariseau

航空会社がマルチクラウドのポリシー乱立解消に生かした「タグシステム」とは

併せて読みたいお薦め記事

DevOpsとセキュリティ

DevOpsの実践方法

「タグ付け」でファイアウォールのポリシー設定を簡略化

コンテナ活用の未来

この記事の著者

関連記事

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

航空会社がマルチクラウドのポリシー乱立解消に生かした「タグシステム」とは

併せて読みたいお薦め記事

DevOpsとセキュリティ

DevOpsの実践方法

「タグ付け」でファイアウォールのポリシー設定を簡略化

コンテナ活用の未来

この記事の著者

関連記事

コンテナとDevOpsに求められるセキュリティ

Windows環境のDevOps 実践を助ける3つのツールを紹介

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

Windows環境のDevOps　実践を助ける3つのツールを紹介