第２５１号コラム：舟橋 信 理事（株式会社ＵＢＩＣ 取締役）
題：「ＡＰＴ攻撃に対応する最近のセキュリティ製品について」
一昨年の９月に、標的型メール攻撃により某重工業からの情報漏えいが発覚し、その後も衆参両議院、中央官庁、防衛産業などからの情報漏えいが報道されている。
海外においては、２０１０年にイランの核燃料工場の遠心分離機の一部破壊に成功したと言われるStuxnetウィルスによる重要インフラ施設に対する初めてのサイバー攻撃などが報じられている。
ＡＰＴ（Advanced Persistent Threats：高度で継続的な(執拗な)脅威）と呼ばれているこれらのサイバー攻撃は、喫緊の脅威として認識が高まってきているところである。
これに関連して、先日公開された、米国企業ＭＡＮＤＩＡＮＴ社の報告書「APT1 Exposing One of China’s Cyber Espionage Units」においても、中国共産党の軍隊である人民解放軍の６１３９８部隊の一部と思われるハッカーグループＡＰＴ１により、英語圏に所在する少なくとも１４１の組織から、数百テラバイトの大量のデータが盗みだされたと言われている。
今回は、ＡＰＴに対するソリューションとして、注目を集めているセキュリティ製品ＳＩＮＡ（ジ―ナ：Secure Inter-Networking Architecture）を御紹介する。
ＳＩＮＡは、ドイツ連邦政府情報局(ＢＳＩ)が著作権を有しており、ドイツ企業のＳＥＣＵＮＥＴ社により開発されたもので、民間にも販売されている。
主なユーザーは、ドイツ連邦軍、ＮＡＴＯ軍、ドイツ外務省、欧州刑事警察機構、ドイツ連邦銀行などであり、ＢＳＩやＮＡＴＯのセキュリティ評価は、ＩＳＯ／ＩＥＣ１５４０８の軍事用のＥＡＬ５以上に相当する認定を取得している。中でもデータを一方向に流すゲート「OneWay」については、ＥＡＬ７の認定を取得している。
[参照URL：http://www.ugse.co.jp/business/security.html]※リンク切れ
ＳＩＮＡは、ＩＰｓｅｃによるＶＰＮ機能に加えて、ＳＩＮＡアーキテクチャーを実現するための各コンポーネント（ルーター等）を認証局・登録局機能を有するＳＩＮＡマネージメントが一元的に管理する仕組みになっており、コンポーネントを認証するためにスマートカードの発行機能を有している。各コンポーネントには専用のセキュアなＯＳであるＳＩＮＡ－ＯＳが搭載されており、端末装置ではＳＩＮＡ－ＯＳの仮想環境上で、ゲストＯＳとしてWindowsやLinuxが動作する。また、全てのデータとゲストＯＳは独自の暗号化ファイルシステムに保存される。端末装置として、シンクライアントやワークステーションが用意されており、ワークステーションでは、ＳＩＮＡ－ＯＳ上でハードディスクやメインメモリを物理的に分割して、最大５つのセッションを構成することができ、セキュリティレベルはセッションごとに異なるマルチレベルセキュリティを実現している。各セッションは相互に干渉することがなく、仮にウィルスに感染しても他のセッションに感染することはない。また、各セッションの接続先は、ＳＩＮＡマネージメントにより定義されていることから、意図しないで外部のＣ＆Ｃサーバーなどに接続され、データが漏えいするような事態は避けることができる。
ＳＩＮＡは、市販の機器の利用を前提に設計されており、既存のＰＣやサーバーにＳＩＮＡ－ＯＳを実装することができる。また、ＳＩＮＡアーキテクチャーは、各コンポーネントの段階的な使用、例えば内部システムとインターネットとの境界にレイヤー３のボックスを設置すれば、内部はセキュアな環境を構築することができる。また、ＬＡＮ上に設置することによりＶＬＡＮ的な環境も構築することができる。
出張の際には、宿泊先のホテルのＬＡＮにワークステーションを接続すれば、ＳＩＮＡによりセキュアなネットワークを構築することができる。
ＳＩＮＡに組み込まれた暗号アルゴリズムは、ＩＰｓｅｃ規格に従ってユーザーが選択することができる。
おわりに、ＡＰＴに対応する方策としては、先ず職員の情報セキュリティリテラシーの向上を図る必要がある。また、次の二つの対策を講じることが肝要である。一つは、クローズドのネットワークを構築すること。二つは、未知のウィルスへの対策を講じることである。クローズドのネットワークについては、ＳＩＮＡアーキテクチャーが有効である。後者については、従来のファイアウォールやＩＰＳのようなシグネチャー方式による検知システムに、ＦｉｒｅＥｙｅに代表されるサンドボックス型の実行環境でメールの添付ファイルなどを開いて感染させ、その挙動をチェックして検知するようなセキュリティシステムを加えることが有効である。
【著作権は舟橋氏に属します】
