Comments
Description
Transcript
マイクロセグメンテーションの考え方とその実装
マイクロセグメンテーションの考え方とその実装 ～セキュリティリスクの現状把握、ポリシーの策定、実装を実現するには？～ パロアルトネットワークス株式会社 SE Manager 井上高範 マイクロセグメンテーション 2 | ©2016, Palo Alto Networks. Confidential and Proprietary. 年金機構のセキュリティ対策の課題 インターネットの入り口に セキュリティ対策を強化 東京 オフィス Internet Internet WAN 福岡 オフィス データセンター ADがターゲットサーバ として狙われている 社内でのセキュリティ 対策が不十分で感染 が拡大 年金 情報 基幹サーバ 専用アプリを使用した 閲覧・更新 窓口装置 3 | ©2016, Palo Alto Networks. Confidential and Proprietary. 物理的なセグメンテーション 物理的なセグメンテーションはされているが・・・ 出典：http://www.galinsky.com/buildings/digitalbeijing/ 出典：https://www.nplus-net.jp/service/datacenter/index.html 4 | ©2016, Palo Alto Networks. Confidential and Proprietary. 侵入されてとられるもの？ 現場にいく必要あり 調査に限界 持ち出しに限界 5 | ©2016, Palo Alto Networks. Confidential and Proprietary. ネットワークに存在する重要なもの 世界中から 見つからない限り 調査し放題 特許情報 顧客情報 決算書 見つからない限り 持ち出し放題 データのほうが重要で盗まれやすい 6 | ©2016, Palo Alto Networks. Confidential and Proprietary. ネットワークのマイクロセグメンテーション 重要なセグメントを分けることによるセキュリティの強化 Internet インターネットの 入口・出口 Cloud マイナンバーシス テムと社内ネット ワークの分離 7 | ©2016, Palo Alto Networks. Confidential and Proprietary. 社内ネットワーク 間の通信（営業所、 工場、協力会社 等） クラウド環境 （プライベート、 パブリック、ハイブ リットクラウド） モバイル環境 今までのセグメンテーション 今までのファイアウォール アクセス制御のみ実施 ファイアウォール （ポートベース） セキュリティ対策が欠けている パフォーマンスが出ない インターネットと同等のセキュリティでない 8 | ©2016, Palo Alto Networks. Confidential and Proprietary. 古い機械では検知出来ないものがある 9 | ©2016, Palo Alto Networks. Confidential and Proprietary. セグメンテーションに必要なセキュリティ対策 今までのファイアウォール ファイアウォール （ポートベース） セキュリティ対策と しては十分でない パロアルトネットワークス ファイアウォール （アプリ識別） 復号化 IPS/IDS ウイルス対策 スパイウェア対策 標的型対策 ボットネット検出 ログ記録・可視化 ファイル転送記録 10 | ©2016, Palo Alto Networks. Confidential and Proprietary. 可視化し通信を記録 することで外部で解 析し問題時に対処 新しい脅威の 検出と対処 マイクロセグメンテーションの強み 現状 マイクロ セグメンテーション インターネットの 入り口のみ対策 重要なセグメント毎に 対策を実施 独立した専用機を並べる 必要なセキュリティ対策を 全て実施 セキュリティ機器間での 連携なし セキュリティ機能間で 連携することで検知を強化 11 | ©2016, Palo Alto Networks. Confidential and Proprietary. セグメンテーションすべき箇所 重要な情報がある箇所をセグメンテーション 物理ネットワーク -インターネット、データセンター、海外拠点、工場、協力会社、IOT サーバの役割 -Webサーバ、Appサーバ、DBサーバ、重要度、運用、開発 業務 -マイナンバー、開発環境、設計（CAD）、特許、経理 ユーザ -部署、プロジェクト 12 | ©2016, Palo Alto Networks. Confidential and Proprietary. マイクロセグメンテーション例： データセンター Webサーバ 13 | ©2016, Palo Alto Networks. Confidential and Proprietary. アプリサーバ DBサーバ マイクロセグメンテーション例： データセンター 用途ごとにセグメントを分ける 目的毎にセグメントを分ける 本番環境 テスト環境 L7レベルで可視化 （アプリケーション） L7レベルで制御 （アプリケーション） 本番環境（最重要） Webサーバ アプリサーバ DBサーバ L7レベルで制御 （HTTP, DNS, SSL） L7レベルで制御 （HTTP） L7レベルで制御 （SQL, Oracle） ウイルス対策 ウイルス対策 ウイルス対策 ウイルス対策 ウイルス対策 スパイウェア対策 スパイウェア対策 スパイウェア対策 スパイウェア対策 スパイウェア対策 脆弱性攻撃対策 脆弱性攻撃対策 脆弱性攻撃対策 脆弱性攻撃対策 脆弱性攻撃対策 ボットネットの確認 ボットネットの確認 ボットネットの確認 ボットネットの確認 ボットネットの確認 14 | ©2016, Palo Alto Networks. Confidential and Proprietary. マイクロセグメンテーション例： 工場 工場ネットワークの制御 IOT/M2Mの接続を制御 工場端末 工場サーバ 無線環境 L7レベルで可視化 （アプリケーション） L7レベルで可視化 （アプリケーション） L7レベルで制御 （アプリケーション） 工場IOT環境 ウイルス対策 ウイルス対策 ウイルス対策 ウイルス対策 スパイウェア対策 スパイウェア対策 スパイウェア対策 スパイウェア対策 脆弱性攻撃対策 脆弱性攻撃対策 脆弱性攻撃対策 ボットネットの確認 ボットネットの確認 ボットネットの確認 L4レベルで制御と可視化 （アプリケーション） 脆弱性攻撃対策 ボットネットの確認 ファイル制御 15 | ©2016, Palo Alto Networks. Confidential and Proprietary. マイクロセグメンテーション例： ユーザ（現状の課題） データセンター プロジェクトA 1.1.1.1 2.2.2.1 1.1.1.2 3.3.3.3 2.2.2.2 出張先でIPが変わると サーバにアクセス出来ない プロジェクトB 2.2.2.2 1.1.1.1 1.1.1.2 工場 1.1.1.1 1.1.1.2 16 | ©2016, Palo Alto Networks. Confidential and Proprietary. 本社 2.2.2.1 2.2.2.2 2.2.2.1 人事異動の度にサーバ への登録を行っていて 運用負荷が高い マイクロセグメンテーション例： ユーザで制御 データセンター プロジェクトA Aさん Cさん Bさん Dさん 3.3.3.3 プロジェクトB Cさん Aさん AD情報連携 Bさん 工場 本社 Dさん Aさん = 1.1.1.1 ⇒ 3.3.3.3 Bさん = 1.1.1.2 Cさん = 2.2.2.1 Aさん Bさん 17 | ©2016, Palo Alto Networks. Confidential and Proprietary. Cさん Dさん ADサーバ Dさん = 2.2.2.2 クラウド基盤の中で セグメントを分ける マイクロセグメンテーション例： クラウド基盤 クラウド基盤（AWS、Azuru） アメリカ用サーバー アメリカ クライアントから VPNで接続 18 | ©2016, Palo Alto Networks. Confidential and Proprietary. 全社用サーバー 日本 日本用サーバー 中国用サーバー 中国 VPNで社内とクラ ウドサービスを接続 マイクロセグメンテーション事例 内部脅威対策 モバイル対策 セグメンテーション ユーザ識別 アプリケーション制御 SSL-VPN AV/IPS/IDS URL Filter 支店・グループ会社 支店・グループ会社 Internet Internet 海外拠点・グループ会社 セグメンテーション Enterprise Network 入口・出口対策 GW Firewall(L４～L7) AV/IPS/IDS URL Filter サンドボックス検査 感染端末検出 19 | ©2016, Palo Alto Networks. Confidential and Proprietary. 拠点接続点対策 海外拠点・グループ会社 公開サーバー対策 拠点セキュリティ対策 出口対策 SSL復号化 IPS 管理接続制御 GW Firewall(L４～L7) アプリケーション制御 AV/IPS/IDS URL Filter サンドボックス検査 感染端末検出 マイクロセグメンテーションで実現できること ① アプリケーション とユーザレベルで アクセスを制御 ② 既知未知の脅威 の侵入を防ぎ ウイルスの拡散 を防ぐ ③ 通信や脅威を 可視化しログや レポートに記録 SOCやCERTでセグメントの情報を取得し解析に利用 20 | ©2016, Palo Alto Networks. Confidential and Proprietary. マイクロセグメンテーションを 構築するステップ 21 | ©2016, Palo Alto Networks. Confidential and Proprietary.