ベンチマークテストでうまくいくネットワーク機器選び【第7回】

セキュリティゲートウェイ、「本番」での実力値はここを見る（1/2 ページ）

前回に引き続きセキュリティゲートウェイのベンチマークテストについて解説。実際のリポートを見ながら、プロトコルによる動作の違いや実際に攻撃を仕掛けられた際の検出率などを見ていこう。

公開 2015年06月30日 08時04分

著者

中村彰宏

[東陽テクニカ]

印刷する連載新着通知を受け取る Googleで優先するソースとして追加

　セキュリティゲートウェイにはさまざまな機能が実装されており、外部からの攻撃やその結果によって引き起こされる内部ネットワークからのデータ流出を何とか防ごうとしている。前回の記事「高機能なほどパフォーマンスが下がる？　セキュリティゲートウェイのベンチマークはこう見る」では、各機器が実装するセキュリティ機能によってセキュリティゲートウェイのパフォーマンスが変化することを述べた。今回は、実際のベンチマークテストリポートを見ながら、流れるデータの種類（プロトコル）によってセキュリティ機能の動作が異なるのかどうか、はたまた実際に攻撃を仕掛けられた際の検出率などといった、カタログには記載されないセキュリティゲートウェイの真の実力値を読み解いていく。

連載：ベンチマークテストでうまくいくネットワーク機器選び

併せて読みたいお薦め記事

プロトコルによる動作の違い

　各プロトコルに対する動作は、セキュリティゲートウェイによって異なるといわれている。そのため、利用するプロトコルに対する検知・防御特性やパフォーマンスをあらかじめ理解しておくのは大切である。また、攻撃に対する検知率もセキュリティゲートウェイにとって大事な指標となる。そこで、セキュリティゲートウェイ単体のパフォーマンスは以下の視点で見ていく。

プロトコルによるパフォーマンス差
既知の攻撃シナリオのブロック率
感染PCのふるまい検知とマルウェア検体のブロック率

　以下、各項目について解説する。

プロトコルによるパフォーマンス差

　プロトコルによるパフォーマンス差を確認すべく、セキュリティゲートウェイをサンプルとして利用し、テスターからTCPを利用する幾つかのプロトコルのトラフィックを送信してプロトコルごとのパフォーマンスを調べた。できるだけテスターから同じようなデータ量を送受信するトラフィックパターンを設定するため、1台のクライアントPCが1Mバイトのファイル（コンテンツ）を1回ダウンロードするシナリオに統一し、プロトコルによる差が分かりやすくなるように設定した。

図1 プロトコルごとのパフォーマンステスト

図2　パケットのデータ部分を基に処理する「Deep Packet Inspection機能」有効時（level High）のプロトコルごとによる帯域の違い。グラフ左軸は1筐体当たりの帯域（Mbps）で、右軸はそのときの毎秒の新規コネクション数を表す

　テスト結果を見ると、同じ1Mバイトのファイル（コンテンツ）であっても、プロトコルによるパフォーマンスに大きな差があることが分かる。近年、メールを駆使した標的型攻撃が増えており、メールプロトコルに対するパフォーマンス値の差で機種を選択するユーザー企業も増えている。

　一方、このテスト結果ではHTTPに対するパフォーマンスが優れているように見える。しかし、近年はHTTPトラフィックでさまざまなアプリケーションが流れており、エンドユーザーに身近なコンテンツに攻撃プログラムを仕込ませて感染させる手口も増えている。従って、パフォーマンスだけでなく攻撃を検知する機能も極めて重要になる。

次ページへ既知の攻撃シナリオのブロック率