SUMMARY
近年、サイバー攻撃の技術は驚くべき進化をとげており、たとえファイアウォールやウイルス対策ソフトなどの対策を実施していても、ウイルスはそれらの防壁を巧妙にすり抜けてネットワークの内部へ侵入してきます。もはや既存のセキュリティ対策での対処には限界が来ていると言ってもよく、それゆえ対策にも新しいかたちのアプローチが求められているのです。
アラクサラの「ホワイトリスト機能」は、ネットワーク上でやりとりされる通信を学習し、許可リストを自動で作成します。モードを切り替えたあとは、ネットワークにおけるすべての通信を監視。許可リストにない不正な通信をすべてシャットアウトすることで、さまざまな攻撃からネットワークを効果的に守ります。
各種ネットワークのつながりが脅威の増加を招く
昨今では汎用装置／OSが普及したおかげで、情報システムだけでなく、制御システムなど、さまざななネットワークがインターネットなどの外部ネットワークとつながるようになりました。また、ここにきてモノのインターネットと言われるIoT（Internet of Things）や、機器同士が通信するM2M（Machine to Machine）など新技術が登場してきており、こうした動きはますます加速していきそうです。
さて、外部との接触が増えるということは、外部からの脅威にさらされることが増えるということ。それだけにセキュリティ対策が重要になってきますが、近年はサイバー攻撃の手口も日々進化しており、特定のターゲットを狙い撃ちにする標的型攻撃など、ファイアウォールやウイルス対策ソフトといった既存のセキュリティ対策では防ぎ切れないものが増えています。また、2015年6月に発生した日本年金機構の事件のように、担当者が利便性を考えて勝手に運用方法を変えたため、結果として被害が拡大してしまったケースもあります。さらには、悪意ある正規ユーザが行う内部からの攻撃についても考慮しなくてはなりません。
まったく新しいかたちのアプローチ、ホワイトリスト機能とは
こうした脅威へ効果的に対応できるのが、「ホワイトリスト機能」です。ホワイトリスト機能とは、ネットワークを構成する各スイッチに、正常な通信フローを登録。それ以外の通信はすべてシャットアウトするものです。これなら、たとえネットワーク内部の端末がウイルスに感染したとしても、そこを起点とした不正な通信を遮断することで、さらなる感染や情報漏洩などの2次被害を防ぐことができます。外部からの攻撃はもちろん、内部からの攻撃にも対処することが可能です。
そしてこのたび、アラクサラのスイッチにも同社独自のホワイトリスト機能が搭載されることになりました。この機能は、アラクサラとユーザ企業、制御ベンダ、セキュリティベンダなどが集まり組織化された技術研究組合「制御システムセキュリティセンター（CSSC）」との共同研究を経て開発、評価されたものです。
アラクサラ独自のホワイトリスト機能
＜特長1＞ ホワイトリストは自動で生成・登録
アラクサラのホワイトリスト機能は、リストを自動で生成・登録します。人手による登録作業は必要なく、サーバ・ネットワーク管理者に余計な負担をかけません。また、ネットワークスイッチのコンフィグ設定などの知識も不要で、担当者のスキルに依存することなく、誰でも簡単に運用することができます。
＜特長2＞ 最低限のメンテナンスでOK
アラクサラのホワイトリスト機能なら、リストを一度作成してしまえば、ネットワークの構成に変更がない限り、メンテナンスをする必要がありません。
＜特長3＞ さまざまな攻撃に対応
アラクサラのホワイトリスト機能は、送信元、宛先アドレス、L4ポート情報など複数のパラメータから不正な通信フローを特定します。そのため、持ち込みPCから内部のネットワークに侵入してきたウイルスや、送信先を詐称した不正な通信など、さまざまなタイプの攻撃を防ぐことができます。
＜特長4＞ 設置が簡単
既存のスイッチを、ホワイトリスト機能を搭載したスイッチに置き換えるだけで導入できるため、設置に面倒がありません。さほどコストをかけることなくネットワーク全体のセキュリティレベルを高めることが可能です。
これらの優れた特長により、先に行われた展示会「Interop Tokyo 2015」において、アラクサラの「ホワイトリスト機能を用いた制御システムネットワークの自動セキュリティソリューション」が、Best of Show Award 「IoT部門」のグランプリを受賞しています。
ホワイトリスト機能の動作イメージ
アラクサラのホワイトリスト機能は、まず「登録モード」でネットワーク内の正常な通信フローを学習し、許可する通信のリスト（ホワイトリスト）を作成。その後、「運用モード」に切り替えることでネットワーク内の不正な通信をシャットアウトします。
① 登録モード
普通のスイッチとして利用しながら、通過する正常な通信を学習、ホワイトリストを作成・登録します。具体的には、送信元、宛先アドレス、L4ポート情報など複数の情報を収集しながらテーブルを生成します。一度登録されたリストは、リセットされるまで元の状態に戻ることはありません。
② 運用モード
運用モードに切り替えたあとは、スイッチを通過する通信を網羅的にチェック。ホワイトリストに登録されていない未登録の通信フローは即座に遮断、あるいはアラームで通知します。このときは廃棄、ログ取得、ミラーリングなどの選択も可能です。運用モード中にネットワークの構成が変更された場合は、登録モードに戻って再度登録し直すこともできます。
対応製品
アラクサラのホワイトリスト機能は、2015年11月以降に出荷されるボックス型L2スイッチ「AX2500Sシリーズ」に搭載されます。なお、その前からAX2500Sシリーズをお使いのお客様は、ファームウェアをバージョンアップすることで追加費用なしで実装できます。
可視化ツールとも連携可能
アラクサラのホワイトリスト機能は、日本ラッドのトラフィック可視化ツール「NIRVANA-R」と連携可能。ホワイトリストがネットワーク上でどのように働き、どういった通信をブロックしているかを見える化することができます。
-
ホワイトリスト機能
- ボックス：
