「アプライアンス」「大規模向け」「ウイルス/ワーム対策」がキーワード大木英史2001.11.12コピーしましたPRIDS(侵入検知システム)ユーザーは着実に増加している。それに伴って,新しく登場する製品には,現場からの声が確実に反映されている。その結果,現在のIDS製品は「アプライアンス」,「大規模向け」,「ウイルス/ワーム対策」のいずれか(あるいは複数)へ向かっている。そこで今回のコラムでは,以上3つの,IDS製品のトレンドについて解説したい。筆者の過去のコラムにおいても,IDS製品のトレンドについては触れているが,今回は最新の情報に基づいて,例として製品名を挙げて説明する。関するものが続いている。シリーズ化されている感すらある。興味のない読者は「またか」と思われるかもしれないが,セキュリティを語る上では,今やなくてはならない分野である。導入する予定がなくても,IDSの分野を押さえておくことは,決して無駄ではない。ユーザーの声から浮かび上がった3つのニーズ一部の“コア”なユーザーから始まったIDS製品の導入であるが,現在ではユーザーが増加して,そのすそ野は広がっている。それに伴い,ユーザーあるいは導入を考えているシステム管理者などからは,いろいろな“声”が聞こえるようになってきた。導入を考えている管理者などからよく聞かれるのが,(1)「煩わしい導入作業や設定などは極力避けたい」という言葉だ。加えて,(2)「大規模システムに対応できる製品がほしい」といったことも聞かれる。具体的には,多量のトラフィックに対応できることはもちろん,複数のセグメントをそれぞれ監視し,それらを一元管理できるような製品を求めている。Red」や「Nimda」などの出現を受けて,(3)「ウイルス/ワームもIDSで検知できないか」という声も聞く。分野では,(1)アプライアンス,(2)大規模向け,(3)ウイルス対策---といった,3つのトレンドが生まれている。これらをすべて満たすような製品は存在しないものの,部分的にはユーザー・ニーズにこたえようとしている製品ラインアップが徐々に出始めている。以下,可能性を感じさせる製品からいくつかの例をピックアップして紹介するとともに,3つのトレンドについて解説する。搭載し,あらかじめ必要なアプリケーション(ここではIDS)だけをインストールしたハードウエア製品のことである。アプライアンス製品の例をいくつか示す。PDSシリーズ他にも同様の製品はあるだろうが,筆者が検証などのために直接触ったことのある製品のみをリストアップした。必要な「センサー」(パケットをキャプチャするエンジン部分)がプリインストールされている。センサーが検知したアラートやインシデント(特別な事象)の表示や,ログの保存および監視ポリシーの編集などに必要な「監視コンソール」用に,別のマシンを1台用意する必要がある。センサーと監視コンソールを連携させるための設定作業も発生する。別マシンを用意したり,細かい設定作業を必要としたりするようでは,「煩わしい導入作業や設定などは極力避けたい」というニーズに十分こたえているとは言えないだろう。ところがベンダーは,検知精度の向上に重点を置いて開発しているように思われる。アプライアンス製品には2つの側面がある。Use”に加え,専用製品ならではの“高精度”である。汎用のハードウエアを使用する製品と異なり,パケットをキャプチャするエンジンを専用設計したり,最適化したりすることが可能なのである。Use”であっても,検知精度がおそまつでは何にもならない。こちらについても当然重視されるべきである。Use”が強く求められている事実を,我々サービスベンダーや製品ベンダーは認識しておくことが重要であろう。(2)大規模向け前述したように,大規模向けIDSに求められるのは,(a)サイトやセグメントがいくつもあるようなネットワークを効率的に管理できること,および(b)トラフィックが多い(広帯域の)ネットワークを問題なく管理できること---であろう。これに対して各製品ベンダーは,後者(b)に焦点を当てて「大規模向け」としているようだ。「ギガビット・ネットワーク」対応である。そのような製品の中で,よく名前が挙がる製品を以下にリストアップする。Gigabitいずれの製品も,ギガビット・ネットワークでも問題なくキャプチャできるといったことを“売り文句”にしている。,「近い将来には必ずギガビット・ネットワーク時代が訪れる」とよく言われているものの,現在は“ギガ”の帯域を必要とする環境は限られている。ギガの帯域でIDSを使う環境となると,さらに少なくなる。そのため,ギガビット・ネットワーク対応であっても現時点ではあまりメリットは感じられないだろう。製品構成を大きく変えて負荷分散を可能にし,「大規模向け」をうたう製品もある。RealSecure同様の構成が可能な製品は,同製品に限らず存在する。大規模向けの要件を満たすためには,「負荷分散」は当然必要な対策の一つだと思われる。Red」に「Nimda」ウイルス/ワーム。続くと,「次は一体どんなウイルス/ワームが出現するのだろう」と戦々恐々としているといる管理者もいるのではないだろうか。ウイルス/ワーム対策としては,もちろんウイルス対策ソフト(アンチウイルス・ソフト)を導入することが第一に挙げられる。その一端を担ってもらうことはできないだろうか?」と考えることは,いたって自然な発想だろう。ユーザー・マシンへのウイルス感染および発病をIDSで防ぐことはできない。少なくともIDSからのアラートを受け取ることで,システム内にウイルス/ワームが侵入したことを知ることはできるだろう。ログを参照することで,感染ルートの調査を行ない解明できる可能性もある。現状でそこまで可能ならば,さらに発展させて「ウイルス/ワームが実際に発病した場合にアラームを出してほしい」と考えるのも自然な発想だ。実際そのような要望を耳にする。「もっと言わしてもらうなら,対策までやってくれ」といった話まで聞くこともある。System:侵入対策システム。筆者による造語)と呼ぶことになろうか。ニーズは確かに存在する。現状では筆者が考えているようなICSは存在しない。ウィルスやワームに関する部分では,発想が恐らく同じではないかと思われる製品が,最近ニュースで報じられたので挙げておこう。実際に検証したわけではない。以下のURLから得られた情報に基づいた想像であることを断っておく。導入して運用していくことは楽なことではない。すべてをシステム化することはできず,使う側の“人間”の問題が絶えず付きまとうからだ。IDSがリアルタイムに検知したとしても,ユーザーがリアルタイムに対応できなければ意味はない。IDSは検知するだけで,対策を施すのはユーザーなのだ。検知されたインシデントを分析し,今後のセキュリティ対策に生かしていかなければ,わざわざIDSを導入した意義は薄れる。今回紹介したようなトレンドに見られるように,ユーザーのフィードバックに基づいた製品開発が進んでいけば,より使いやすくて高性能なIDSあるいはICSが登場することは,十分期待できるだろう。[一般編]」は,その週に起きたUNIX関連およびセキュリティ全般のニュースや動向をまとめた週刊コラムです。セキュリティ・ベンダーである「株式会社ラック」のスタッフの方を執筆陣に迎え,専門家の立場から解説していただきます。【第13期】8回のセミナーでリーダーに求められる“コアスキル”を身につけ、180日間に渡り、講師のサポートの...IT法務リーダー養成講座システム開発・運用に関するもめ事、紛争が後を絶ちません。人手不足に悩み、働き方改革の必要性が問われるIT企業。日本初のデジタルバンク「みんなの銀行」誕生の軌跡に学ぶ「みんなの銀行」という日本初のデジタルバンクをつくった人たちの話です。「次の一手」が分かるDXの祭典。2023年6月に大阪で開催します。情報変更・解約6/1開催ウェビナー『ChatGPTは我々の仕事をいかに変えるのか?。