Jump to content
日本-日本語

集結せよ!日本の凄腕テクノロジストたち

 製品 
 サポート 
 ソリューション 

ビッグデータ時代への対応

HP Tech Power Club 2014レポート 分科会

Content starts here

予期せぬセキュリティリスクにどう対応する?

2014年7月2日

HP-UXセキュア機能による適応分野拡大アプローチ

多様化するサイバー攻撃への対応が急務となる中、注目されている技術がある。「HP-UXセキュアWebソリューション」――OS内を堅牢な隔壁を備えた複数の区画に分離する仕組みによって、ゼロデイ攻撃や未知の脆弱性を利用した攻撃にも耐性を持つ“セキュアWebサーバー”が可能になる。
ヒューレット・パッカードカンパニー
アジア・パシフィック アンド ジャパン プリセールス
シニアコンサルタント
北本貴宏
ヒューレット・パッカードカンパニー
アジア・パシフィック アンド
ジャパン プリセールス
シニアコンサルタント
北本貴宏

ゼロデイ攻撃や未知の脆弱性を利用した攻撃に対しても有効

ここ数年、多くの企業が脆弱性対策に本格的に取り組むようになってきましたが、報告される被害件数は減少することなく、高い水準を維持したままです。“Webアプリケーションの脆弱性”が攻撃手段に利用されている状況がその背景にあります。

多様化する攻撃から企業のWebサーバーを守る方法として今回ご紹介するのが、「HP-UXセキュアWebソリューション」です。従来型の「侵入させないセキュリティ」とは異なり、「侵入を前提としたセキュリティ」を目指していることが大きな特長です。

IPSやIDSなど従来のセキュリティソリューションは、外部からの浸入を防ぐことに注力してきました。しかし、攻撃手法が多様化する中で浸入を完全に阻止することはますます難しくなっています。特に対応策が提供される前の“ゼロデイ攻撃”や未知の脆弱性を利用した攻撃にどのように対応するかが大きな課題になっています。

これに対して「HP-UXセキュアWebソリューション」は浸入そのものではなく、侵入後の不正なアクションを防ぐことを目的にしています。たとえ侵入されても「それ以上のことを許さない」仕組みをあらかじめ用意しておくことで、不正侵入に伴う被害を防ぐのです。脆弱性への対応に依存しないため、ゼロデイ攻撃や未知の脆弱性を利用した攻撃に対しても有効であることにご注目ください。

特筆すべきは、これが「HP-UX Containers」など「HP-UX」の標準機能だけで構成されるソリューションだということです。HP-UXを搭載したサーバーであればすべてのモデルで、特別な費用を負担することなくセキュアなWebサーバーを構築することができます。


HP-UX Containersを利用したセキュアWebサーバー

「HP-UXセキュアWebソリューション」の全体像をご紹介しましょう。核となるのは、「HP-UX Containers」によって、ひとつのOS内に作られた3つの区画(Compartment)です。ひとつはシステム区画で他の区画と遮断された状態でOSが稼働しています。残りの2つはWeb サーバーとProxyサーバーが設置されるサービス区画で、そのユーザー権限、プロセス権限と区画間の通信には厳しい制限が加えられています。さらにシステム区画には監視ソリューションが置かれ、サービス区画の状態を常に監視しています。

区画を分ける最大の理由は、浸入に時間と手間がかかる状態を作ることです。またシステム制御を分離し、それぞれの区画内での権限を制限することで、侵入者が「できること」を限定するという狙いもあります。一般的なOSで同じようなしくみを作ろうとするとサーバー上に3つのOSが必要になりますが、HP-UXの場合は1つのOSで完結できます。

このソリューションの原型は、1995年にHPが開発したセキュアOS「HP Virtual Vault」です。OSの内部を頑丈な区画で仕切ることで、非常に強力なセキュリティを実現するというHP Virtual Vaultのコンセプトを、HP-UX Containersを用いることでより使いやすい形で実装したのが今回のソリューションです。 次のセクションからは、Webサーバーの設計の流れに沿って、セキュアWebソリューションの具体的なメリットを紹介していきます。


HP-UXセキュア機能による適応分野拡大アプローチ

 

多様化するサイバー攻撃への対応が急務となる中、注目されている技術がある。HP-UX Container--OS内を堅牢な隔壁を備えた複数の区画に分離するこのしくみによって、ゼロデイ攻撃や未知の脆弱性を利用した攻撃にも耐性を持つセキュアWebサーバーが可能になる。


HP-UXセキュアWebサーバーのCompartment設定

実際の設定では、2つのサービス区画に加え、外部からの通信を受けるOut LAN区画と内部への通信を行うIn LAN区画を設定し、4つの区画に対して、LANインタフェース、ファイルシステム、Disallowed Privileges、RBAC(Role Based Access Control)を定義していきます。

<LANインタフェースの定義>
物理インタフェースと区画間の論理ネットワークを定義できます。例えばOut LAN区画のCompartment定義でポートを制限すれば、万一この区画が侵略されたとしても外部への発信をすべてブロックすることができ、他サーバー攻略の踏み台として利用されることを阻止できます。

<ファイルシステムの定義>
個別のディレクトリにあるファイルに対するアクセス権限をCompartmentごとに独自に定義することができます。例えば、Out Side(Web)区画ではrootにあるファイルはreadできるがwriteはできないといったきめ細かな設定が可能です。このCompartment定義に基づくパーミッションは、rootユーザーでも変更できません。

<OS特権(Disallowed Privileges)の定義>
カーネルが提供するサービスに対して、そのcompartmentで利用が許されないサービスを細かく定義できます。必要最小限以外のOS機能の実行を許さないことで、侵入者の行動を封じ込められます。

<RBAC(Role Based Access Control)の定義>
あらかじめ定義したロールに対してその区画で使えるコマンドおよび権限をCompartmentごとに定義できます。例えば、Apacheのユーザーロール(web-user)に対してOut Side(Web)区画における権限を限定することが可能


その他HP-UXのセキュリティ機能

HP-UX Containers 以外のHP-UXの標準機能を利用して、Webサーバーのセキュリティを向上させます。

<HP-UXバッファオーバーフロープロテククション>
意図的にオーバーフローさせたスタック領域のコード実行を、カーネルレベルで検出して禁止できます。Webサーバーへの典型的な攻撃方法であるバッファオーバーフローを防ぐことができます。


Host IDS、PRM、システム管理

Compartment設定によるセキュリティは非常に強力ですが、Out Side(Web)区画、In Side(Proxy)区画から完全に分断されたシステム管理区画をベースにした監視、管理機能によって、さらにそのセキュリティレベルを高めることができます。

<Host IDSなどの監視ツールの利用>
システム管理区画から、ファイル改ざんを監視します。

<HP-UX Process Resource Manager(PRM)の利用>
「HP-UX Containers」では、ポリシーベースのリソース管理ツールであるPRMがそれぞれのcompartmentへのリソース割当を管理しています。DOS攻撃の中には、CPU、メモリといったWebサーバーのリリソースを枯渇させて行動不能にする攻撃方法がありますが、HP-UX Containersの場合は、PRMが事前の設定に基づいて各区画のリソースを確保するので、システム全体のハングアップを避けることができます。

「HP-UXセキュアWebソリューション」は、HP-UX Containersをはじめとする複数のテクノロジーを駆使してWebサーバーのセキュリティを多面的に高めます。HPはリファレンスアーキテクチャ、リファレンスモデルの提供などを通じて、HP-UX上でのセキュアWebサーバーの構築を支援してまいります。HP-UXサーバーのすべてのモデルで利用できるこのソリューションを、ぜひご活用ください。


 このページのトップへ戻る