インターネット分離はなぜ必要か?

企業や自治体などにおけるセキュリティ対策では、長年ファイアウォールやアンチウイルスなどをインターネットとイントラネットの境界に設置し、ウイルス/マルウェアのイントラネットへの侵入を防ぐ手法が採用されてきた。しかし、サイバー攻撃の多様化/巧妙化に従って、こうした従来型のセキュリティ対策では、脅威の侵入を完全には防ぎきれなくなっているのが現状だ。

企業や自治体などへの脅威の侵入経路は幾つもあるが、Webの閲覧やメールといった、インターネットとの通信が原因となる場合が多い。そこで注目を集めているのが、インターネット接続系と業務系のネットワークを完全に分離させてしまい、重要な情報を取り扱う業務系のネットワークを脅威から保護するという、インターネット分離の基本的な考え方だ。

総務省が取りまとめた「新たな自治体情報セキュリティ対策の抜本的強化に向けて」の「インターネットのリスクへの対応」では、マイナンバー利用事務系(既存住基、税、社会保障など)を切り離したうえで、さらに、財務会計などLGWANを活用する業務系システムと、Web閲覧やインターネットメールなどのシステム(インターネット接続系)との通信経路を分割する、“三層の構え”が推奨されている。

こうしたインターネット分離の手法は一般企業においても有効なため、IPAも「情報の重要性や機密性に応じて、一般の端末(メールの確認やインターネットのウェブサイトを閲覧する端末)は、重要業務のシステムから分離してください」と呼びかけており、「『高度標的型攻撃』対策に向けたシステム設計ガイド」などにおいて、その必要性を訴えている。

また、経済産業省が2016年12月に発表した「サイバーセキュリティ経営ガイドライン」でも、多層防御措置の実施の中で、「重要業務を行う端末やネットワークの分離」「重要情報が保存されているサーバーの保護」といった技術的対策の例が挙げられている。

インターネット分離の方式

インターネット分離のやり方には、大きく分けて2種類の方式がある。ネットワークを物理的に分離させる方式と、仮想的に分離させる方式だ。

以前は、ネットワークを完全に分離させ、インターネット接続系と業務系それぞれにPCを用意する「物理分離方式」が主流だったが、1人のユーザーごとにPCを2台用意し、必要に応じて使い分けることになるので、当然ながら生産性は落ちるし、端末2台分の購入コストや運用コストが発生してしまう。

そのため、インターネット接続系は仮想環境に構築し、VDI(仮想デスクトップ)に代表される「画面転送」でアクセスして利用する、仮想化技術を利用した方式が注目されるようになった。

業務系ネットワークにあるPCから、リモートデスクトップやVDIでインターネット接続用の環境に接続して操作するが、双方の間では画面情報とマウス/キーボードの操作情報だけがやりとりされるので、インターネット接続環境がウイルスに感染してしまったとしても、業務系ネットワーク内のPCが影響を受けることはない。

またMenlo Securityのように、汎用(はんよう)のプロトコルを利用するやり方ではなく、“Web無害化”に特化したソリューションも存在する。Menlo Securityでは、エンドポイントから分離された専用コンテナ内でWebコンテンツを実行し、安全なレンダリング情報のみがデバイスに送られる仕組みを採用しており、テキストや画像、映像を含む全てのWebページを閲覧できるという。

なおWeb無害化の製品には、このほかシマンテックのSymantec Web Isolation(旧:Fireglass)やジェイズ・コミュニケーションのSCVXなどがある。

いずれのやり方を採用するにしても、インターネット分離の導入にあたってはインテグレーション作業が必要になる場合が多いため、導入支援サービスはさまざまな事業者が提供するようになった。最近ではNTTスマートコネクトが、SCVXを利用したインターネット分離ソリューションを発表している。

メール/ファイル内の悪性情報を削除する無害化

またネットワーク分離環境を導入する場合でも、インターネット接続系から業務系へファイルやメールテキストなどを持ち込む必要は必ず出てくる。そのため、両者を接続するソリューションが求められ、数々の無害化ソリューションが登場してきた。

メール無害化の場合は、「文中のURLリンクを削除して、ただのテキストに変換」「HTMLメールをテキスト化」「添付ファイルを削除」するものが多く、添付ファイルがPDFなどテキストを抽出できるものであれば、内容をテキスト化したり、画像に変換して送ってくれたりするものもある。アーカイブ機能を備えている場合は、後日その添付ファイルの安全性が確認できた際に復元することも可能だ。

提供する事業者はさまざまで、キヤノンITソリューションズの「GUARDIANWALL メール無害化サービス」のように、ITベンダーが提供しているケースもあれば、サイバーソリューションズの「CyberMail-ST」「CYBERMAIL Σ-ST」のように、メールサーバー/メールサービスを提供する事業者が提供しているケースもある。

ファイル無害化(データ・サニタイゼーション)は、メールの添付ファイル、Webからダウンロードしたファイルなどを無害化するソリューションだが、企業や自治体内で作成したファイルであっても、業務系に持ち込む場合にはファイル無害化処理を必須にしている場合も多い。

一般的に、エクスプロイト(脆弱性を利用した攻撃をするためのスクリプトやプログラム)、マルウェアなどは、ファイルのメタデータや空ビットスペース、マクロの中に潜んでいる。これらのデータをチェックし、ファイルに不要なデータ部分を削除したり、意味のない情報に書き換えたりすることで、攻撃用の実行コードを削除して無害化してしまう。

削除後のファイルは、そのまま元のアプリケーションで利用できるため、アプリケーション側に手を入れる必要はない。

なお、マクロやスクリプトの実行コードは必ずしも悪性とは限らない。しかし、万一悪性のものだった場合や検知し損ねた場合は、侵入を許してしまうことになるので、“性悪説”の下、実行コードは内容に問わず削除し、ゼロデイ攻撃や標的型攻撃によるリスクを軽減させるのが一般的だ。

製品としては、イスラエルVOTIROの「VOTIRO Disarmer」、米OPSWATの「MetaDefender」などが存在する。なお、メールの添付ファイルを無害化する場合には、このファイル無害化を組み合わせることもある。

また前述のMenlo Securityも、Office文書など対応している形式のファイルをアクティブなコンテンツを含まないHTML5に変換し、表示のみのPDFファイル、または元の形式のいずれかを選択してダウンロードすることができる。

インターネット分離やメール/ファイル無害化は効果的なソリューションだが、いずれの方法を利用するにしてもコストは発生するし、利用者の負担が増える場合も多い。導入前に目的を明確にしたうえで、導入の必要性を十分に考えてから、必要なものを導入するようにしたい。