ネットワークセキュリティはこれまでと同様、今後も長期にわたって重要なテーマであり続けることは間違いない。ネットワークセキュリティの基本的な考え方は、社内のネットワークを外界から防御するということである。しかし、社内の不正からネットワークを防御することも忘れてはならない。中堅・中小企業向けにさまざまなサービスが提供されている今日、十分なレベルのネットワークセキュリティを実現するには何にフォーカスすべきかを見極めるのが非常に困難になっている。

　ネットワークセキュリティの基本に関する以下のTipsは、社内ネットワークの戦略的分野ならびにネットワークが提供するサービスにフォーカスすることにより、巨額の予算を投入することなしに（場合によってはそれを避けられないこともあるが）最大限の効果を得ることを目的としたものである。具体的には、ネットワークインフラ、Active Directory、ハニーポット、ネットワークセキュリティの向上に役立つ各種のリソースなどについて説明する。

ネットワークインフラ――ネットワークの中核

　ローカルネットワークユーザーが増加する一方の今日、ネットワークを適切にセグメント化することが不可欠である。50人以上のユーザーがLANに接続しているのであれば、仮想LAN（VLAN）の導入を検討すべきである。VLANを利用すれば、互いに独立したブロードキャストドメインを作成することによって、ネットワークをセグメント化することができる。これは直接、セキュリティレベルの向上につながる。また機密情報を扱う部門や重要なサービスをネットワークのほかの部分から容易に切り離すことができるほか、VLANによるネットワークリソースへのアクセス制御は、社内外からの攻撃を防止する上で重要な役割を果たす。

　VLANを導入すれば、ほとんどの企業において必要とされるゲストVLANを用意することが可能だ。ゲストVLANは、インターネットアクセスを必要とする訪問者に社内ネットワークのほかの部分を覆い隠した状態で、インターネットへの接続を可能にする仕組みである。その際に、インターネットアクセスを制限したり、社内のリソース／サービスへのアクセスを厳格に制限したりするなど、ゲストVLANを自由に構成することができる。

　複数のVLAN間でパケットをルーティングするには、レイヤ3スイッチが必須である。数千ドルという手ごろな価格の製品もある。特に予算が厳しい場合は、Cisco Catalyst 3550、3560あるいは3750シリーズを検討するといいだろう。これらの製品では、Internetwork Operating Systemを通じて上記のVLAN機能を提供する。予算的に少し余裕があるのであれば、Catalyst 4500シリーズがベストな選択だろう。4507Rなどのモデルは、本格的な「Supervisor Engine Redundancy」機能を備えているためにネットワークのコア部分に単一障害点が存在せず、技術者の間で人気が高い。

Active Directory――Windowsのパワーを引き出す

　今日、Windowsがサーバ市場を支配しているのは明らかであり、多くの会社で、少なくともWindows 2000がインストールされたサーバが何台かは配備されていることだろう。Active Directoryをインストールすれば、すべてのネットワークリソースが自動的に結び付けられるため、1カ所での集中管理が可能になる。プランニングとインプリメンテーションは、時間のかかる（そしてストレスの多い）作業になるかもしれないが、Active Directoryが提供する利点とセキュリティを考えれば、苦労するだけの価値は十分にある。

　Active Directoryでは、ユーザーレベルでのワークステーションの修正を制限する、プログラムをインストールする、ネットワークの設定を変更する、セキュリティポリシーを適用するといった作業は、マウスを数回クリックするだけで実行できる。OSのパッチやウイルス対策ソフトのアップデートといったタスクで悩むこともなくなる。これらはすべて、Active Directoryが自動的に処理するよう設定することができるからだ。

　もしActive Directoryをまだ使ったことがないのであれば、ぜひとも一度検討してみるべきだ――きっと驚かされることだろう。

ネットワークバックアップ――テストなしのバックアップはないも同然

　今日では、どの企業も何らかのバックアップ技術を利用している。まだ利用していないのであれば、そろそろ真剣に検討すべき時期である。

　どのような形でバックアップを行うにせよ、幾つかの単純な慣行が時間の節約とストレスの軽減、場合によっては担当者の地位の維持につながる可能性がある。バックアップに最新技術を利用している場合でも、フルリストアを実行することによって、直前のバックアップ作業が完璧であることを常に確認すること。

　作業量やデータの種類にもよるが、1～2週間に1回はフルリストアを実施することが必須だと言える。メディアの欠陥のせいで直前のバックアップデータをリストアできない、というようなことがあってはならないからだ。

　従来のテープバックアップ手法は、メディアが損傷しやすいので信頼できないという人もいるが、そういった人のバックアップニーズをサポートするRAIDソリューションもある――最も冗長性の高いRAID 10である。これは、ミラーリングされた2つのRAID 5アレイで構成され、複数のドライブの障害に対応する冗長性を提供する。もちろん欠点は、ドライブの価格が高いということだ。

　どれだけの機能が得られるかは、どれだけお金を払うかによって決まる。だから自分自身（あるいは上司）に質問すればいい――「自分の会社のデータの本当の価値はどのくらいなのか」と。

ハニーポット――悪者たちをおびき寄せる

　ファイアウォールは、攻撃や不正なアクセスからネットワークを守るためのものであることは誰もが知っている。これは防御／予防技術と呼ばれている。侵入検知システムが侵入の試みを監視・検出するための装置であるのに対し、防御技術をベースとする侵入防御システムは、不正侵入を防止するためのアクションを実行する。

　ハニーポットは比較的新しいコンセプトであり、残念ながら、あまり普及していない。ハニーポットを明確に定義するのは難しいが、コンセプトとしては検知技術と防御技術の中間あたりに位置すると言える。その名前が示すように、ハニーポットというのは、セキュリティパッチが適用されていないマシン上で特殊な検出／監査プログラムを動作させ、機密データが含まれている重要なサーバを装うことにより、ハッキングされるのを待ち受けるという仕掛けである。

　ハニーポットは不正侵入者を容易におびき寄せることができるというのは、読者にもご理解いただけることと思う。

　ハニーポットは通常、公共Webサーバや社内のファームサーバといった重要な個所に置かれ、これらのシステムへの侵入を狙う攻撃者が容易に発見できるようになっている。攻撃に関する情報を収集したら、攻撃者が本業務用マシンにアクセスするのを防ぐためにこれらの情報を利用する。ハニーポット自体は攻撃や侵入を防ぐためのセキュリティ手段を備えていないため、これらは通常、インターネット上に置かれると最初にスキャン／攻撃されるマシンとなる。

リソースの監視

　リソースを監視すること。悲惨な結果につながる状況や攻撃を避けるには、運用しているリソースを監視するだけでも驚くほどの効果がある。うれしいことに、「Nessus」「Snort」「MRTG」「Nagios」「Cacti」といった素晴らしいオープンソースツールが出回っており、これらはいずれも、サーバリソースやバックボーンネットワークへのリンク、公共Webサーバなど広範な監視ニーズをカバーしている。

　ネットワークセキュリティは、ファイアウォールだけで完結するものでないことは明白だ。根気強い取り組み、そして社内ネットワークの複雑さ／規模／ニーズに応じてさまざまなレベルの防御策が必要とされるのだ。すべてのネットワークに適合する戦略など存在しない。ネットワークにはそれぞれ独自性があり、それに応じて求められる成果が得られるように扱わなければならない。

　ネットワークセキュリティに取り組むのは初めて、あるいは手っ取り早い「オールインワン」的なガイドを探しているだけ、というのであれば、Firewall.cxに掲載されている「Introduction to Network Security」を読むといいだろう。このガイドは、企業に対する脅威、侵入検知システム、攻撃者が使用するツール、侵入テストなど幅広い話題をカバーしている。

　最新の技術や、ネットワークセキュリティの各分野の動向にも注意を払うこと。インターネット上には素晴らしいリソースが多数存在する――それらを検索するだけでいいのだ。

本稿著者のクリス・パーツェンダイティス氏はFirewall.cxの創業者で、同社のシニアエディターを務める。同氏が執筆した記事「Introduction to Network Security」は、こちらに掲載されている。

（この記事は2006年3月23日に掲載されたものを翻訳しました。）