ACIがデータセンターセキュリティを飛躍させる理由データセンターは、社内向けでも社外向けでも、今やビジネスそのものだ。ACIがもたらす、効果的なソリューションを紹介する。});PR「WannaCry」でも示されたように、ファイアウォールなどで社外と社内のネットワーク境界を守るだけでは、セキュリティ対策として不十分だという認識が、この1、2年で急速に広がってきている。これに対応すべく、ネットワーク製品とセキュリティ製品との連携が、特に2017年に入って喧伝されるようになってきた。いえ、実際にはセキュリティ関連の問題が検出されると、ネットワーク製品が通信を遮断するといった、シンプルな連携が多い。Infrastructure)だ。ACIにはさまざまなメリットがあるが、セキュリティでも他と根本的に異なる対策を可能にしている。大きな違いは、アプリケーション指向であること。他社のネットワーク製品は、SDN対応しているなどといっても、実質的にはネットワークを少数の論理セグメントに分けるだけということが多い。した分割をネットワーク通信の情報、つまりIPアドレスやMACアドレス、ポート番号などに基づいて行う。そこには、保護対象に関する認識はない。ACIでは、アプリケーション、あるいは「ビジネスの文脈」に沿ってセキュリティを構築できる。単一の業務システムを構成する要素、つまりWebサーバ、アプリケーションサーバ、データベースなどを、それぞれ別個のグループに分け、相互の通信をきめ細かく制御できる。このことがなぜ重要なのかは、下記をお読みいただきたい。して、ファイアウォールなどの境界セキュリティ製品は必要だ。それだけでは十分なセキュリティ防御ができない。社内のユーザーがなりすましメールを通じてマルウェアに感染、これが社内アプリケーションやデータに対するセキュリティ侵害につながる可能性がある。多層防御が重要になってくる。問題は、どのような「多層化」を図るべきかということだ。これまで、社内のネットワークを事業部門別にVLANで分割するなどの取り組みはなされてきた。データセンターにおいても、単一事業部門向けの業務システムはその事業部門のVLAN内でのみアクセスでき、全社アプリケーションについては社内ネットワーク全体からアクセスできるような構成が見られる。従来のような、少数のVLANへの分割だけでは不十分。攻撃者がデータセンター内部に侵入した場合を想定すると、最終的にはホワイトリストに基づく保護が必要になるだが、「ユーザーのセキュリティは常時万全ではない」ということを前提とすると、追加的な対策が必要になる。ユーザーからは業務システムのWebサーバにはアクセスできるが、データベースにはアクセスできないようにする、あるいはユーザーからアプリケーションへのアクセスに対しても、マルウェア防御などのセキュリティ対策を講じるといったことが求められる。データセンター内部のセキュリティ対策では、横の通信に着目する必要もある。攻撃者、あるいは攻撃ソフトウェアがいったんデータセンター内に入ると、同一のネットワークセグメントに存在する全てのサーバと直接通信ができてしまう。そこで、きめ細かな通信制御が必要になる。関連して、「ゼロトラスト」という言葉も、ぜひ覚えておきたい。米国政府のセキュリティを強固にするため、数年前に提唱された考え方だが、最近ではこの考え方が、金融機関をはじめ、さまざまな分野に広がっている。これは、社内の他のホストを含めて「誰も全く信じない(ゼロトラスト)」ことを基本に、セキュリティポリシーを構築すべきという意味だ。考え方としては各サーバについて完全に通信できない状態から出発し、ホワイトリストとして必要最低限な相手との通信だけを許すようにする。データベースは通常、アプリケーションサーバあるいはWebサーバ(およびバックアップサーバ)とのみ通信すればいいはずだ。ゼロトラストには、「セキュリティは一度設定すればいいというものではなく、継続的なモニタリングを通じてPDCAサイクルを回していくべき」という考え方も含まれている。ACIは、機動的なデータセンター運営のために、ネットワークを物理的な側面から切り離し、論理的に運用できるようにしたソリューションだ。Controller)」というコントローラ(司令塔)が、論理ネットワーク構成とネットワークに関する「ポリシー」を一括管理して、配下のネットワーク機器に伝達、これに基づいて各機器がその後自律的に動作する。「自律的に動作する」というのは、コントローラから配られる「ポリシー」が、従来型のネットワーク機器設定ではないからだ。論理的な情報に基づいて各ネットワーク機器が振舞える。このことがアプリケーション指向、そしてビジネスの文脈につながる。別の言葉で言い換えると、こういうことになる。データセンターの物理ネットワーク構築は、スパイン—リーフ構成などの、フラットな設計で行えばいい。APICで論理ネットワーク構成(サブネット構成)、およびサーバの分類とアクセス制御のポリシーを作成し、これをデータセンタースイッチに適用する。した仕組みで、データセンターネットワークを論理的にコントロールすることにより、ビジネスニーズに応じてネットワークを臨機応変に再構成できる。フラットなデータセンターネットワークに、アプリケーションの運用の観点からのポリシーを適用、データセンターセキュリティを論理的に制御できるセキュリティの観点でいえば、従来型のデータセンターネットワークではできなかった、きめ細かなアクセス制御を実現し、新たな業務アプリケーションが投入されるなど、条件が変化した場合でも、即座に対応できる。ポリシーはビジネスに近い言葉で定義できるため、セキュリティ状況の把握やメンテナンスが容易になる。ACIは、決して難しいものではない。基本的な考え方は、サーバをグループ化して、サーバグループ間の通信制御ポリシーを定義するというアプローチにある。Group(EPG)」と呼ばれ、通信制御ポリシーは「Contract」と呼ばれるが、用語は大して重要ではない。ACIが「ネットワーク分割」ではなく、「サーバグループ間の通信制御」をする仕組みだということ、そして、サーバグループ間の通信制御ポリシーを設定しない限り、サーバグループ間の通信ができない「ホワイトリスト」型の仕組みだということだ。アドレス、そして仮想マシンの属性情報(仮想マシン名、OS名など)による動的グルーピングが可能だ。「仮想マシン名に『app01webserver』という文字列が含まれていれば、アプリケーション01のWebサーバグループに属する」といった設定をしておけば、新たなWebサーバを立ち上げた場合でも、自動的にこのWebサーバグループに追加されることになる。このWebサーバグループに適用されている他のサーバグループとの通信関係が、新たに立ち上がったWebサーバにも適用される。サーバグループ間の通信制御では、レイヤ2〜4の情報に基づくフィルタリングができる。ファイアウォールやロードバランサーなどのネットワーク機器(仮想アプライアンスでもいい)を経由するようなポリシーも適用できる。このようにして、前述の「ゼロトラスト」に基づくセキュリティ制御も、容易に実現できるようになる。ある業務アプリケーションについて、データベースサーバグループとWebサーバグループを作成し、相互の通信制御ポリシーを作成する。すると、データベースサーバグループはこのWebサーバとしか通信はできない。他のサーバグループと通信制御ポリシーが明示的に作成されない限り、このアプリケーション外との通信は不可能だ。このように、必要不可欠な通信関係だけを明示的に許していくことが、きめ細かなセキュリティにつながる。ACIは、セキュリティ製品と連動させると、さらに動的なセキュリティが実現できる。先ほど、「ファイアウォールやロードバランサーなどのネットワーク機器(仮想アプライアンスでもいい)を経由するようなポリシーも適用できる」と述べた。基本的にあらゆるファイアウォールやロードバランサーについて、ある特定EPGから別の特定EPGへの通信で、これらを必ず通るように設定できる。主要なファイアウォール、ロードバランサー、IPS/IDS製品については「デバイスパッケージ」と呼ばれる統合コンポーネントが用意されていて、これを利用すると、ネットワーク経路の設定に加え、2つのEPG間に適用すべきファイアウォールや負荷分散のルールをワンクリックで投入できる。ACIとファイアウォールやロードバランサーとの連携については、ぜひビデオをご覧くださいこれで、例えばユーザー端末からWebサーバへのアクセスについて、必ずファイアウォールとロードバランサーの機能を適用し、Webサーバの実アドレスを隠して直接接続できないようにするとともに、特定のURLへのアクセスのみを許可するといったことが、容易にできる。FirePOWER」との連携では、さらに高度なことが実現できる。APICに通知できる。APICではこれを受け、隔離ネットワークを自動的に作成し、このIPアドレスのWebサーバを隔離ネットワークに移行させるといったことができる。Engine(ISE)」と組み合わせることで、ユーザーの所属部署とサーバグループを連携させ、各ユーザーにアクセスを許可するサーバおよびアプリケーションを、柔軟に制御することができる。Analytics」との併用だ。Analyticsで、データセンター内の通信が手に取るように把握できるため、正確なホワイトリストポリシーを、短時間で作成できるからだ。Analyticsは、一言でいえばデータセンター可視化ツール。データセンタースイッチおよびサーバからのネットワークフローやアプリケーションプロセスの情報を受け、データセンター内での通信フロー情報や、サーバの状態を逐一記録する。情報はリアルタイムで可視化できる他、長期にわたって記録でき、何らかの問題が発生した場合に、発生時の状況や経緯を、さかのぼって検証できる。Analyticsはアプリケーションパフォーマンス管理とデータセンターセキュリティの双方に利用できる。サーバ間の通信をきめ細かく可視化し、想定していない通信が発生していないことを確かめるなどができる。通信を可視化した上で、必要な通信と不要な通信を識別できるため、上記のようなゼロトラストに基づくホワイトリストポリシーの作成にも役立つ。ACIは、機動性とセキュリティを両立させるツールセキュリティは重大かつ複雑な課題となってきた一方で、企業のITは、ますます機動性を求められている。「セキュリティと利便性は両立できない」などとも言われるが、両立させていかなければならないことが、多くの企業にとって頭の痛い問題となっている。ACIは、データセンターネットワークを使って、企業ITの機動力を高めるとともに、セキュリティを強化できるソリューションだ。メールマガジンをご購読ください。申し込みページへ利用規約ITmediaはアイティメディア株式会社の登録商標です。