仮想環境 vs 物理環境

2008/01/15

仮想環境のセキュリティ対策というと、ハイパーバイザ、ハードウェアなど、ホストマシンそのものを狙った攻撃とその対策というイメージが強いのではないでしょうか。

仮想環境の導入により、リソースの効率利用が可能となります。一つの物理マシンから別の物理マシンへ、容易に移動が可能となります。またリソースの利用状況を監視し、自動的にリソースの余裕があるマシンへ移動する機能なども提供されています。私は物理マシンは決まったリソース(土地)の範囲で農作物を栽培する農耕民族、仮想マシンは環境の変化に応じて移動を行う遊牧民族に例えられると思います。

仮想環境と物理環境は、その構築方法についても大きな違いがあります。物理マシンを一台構築するのと比較すると、仮想マシンは非常に容易かつ短時間で構築が可能です。特にサーバの場合、1台構築し運用を開始するまでに、ハードウェアを調達し、OSやソフトウェアをインストールし、ラックに設置し、ネットワークに接続し、パッチを適用するといったステップが必要となり、実際に運用を開始できる迄に非常に多くの時間と手間が掛かります。その代わり、時間をかけてしかるべきプロセスを経て構築され、ネットワーク担当、セキュリティ担当など様々な分野の担当が関わって構築される為、基本的な設定ミスなどが発生する可能性は非常に低いと思います。一方、仮想マシンの場合、当然ながらハードウェアの調達や設置も不要で、あらかじめ作成したイメージをコピーする事で、わずか数分で新しいサーバが構築できてしまいます。またセキュリティ、ストレージ、ネットワーク担当を通さずに、サーバ管理者の一存でサーバが構築できてしまう場合も少なくありません。

運用面においても、スナップショットを保存しておく事で、容易に過去の状態に戻すことが可能な為、何らかのトラブルにより正しく動作しなくなってしまった場合、ダウンタイムを大幅に短縮することができます。しかしながら、そのスナップショットを保存した後に、重要なパッチがリリースされた場合、パッチ適用以前の状態に戻ってしまい、そのままになってしまう可能性があります。

仮想環境と物理環境とどちらがセキュアなのか、単純に比較するのは難しいですが、仮想化のテクノロジーに起因する脆弱性よりも、その手軽さゆえに発生しうる管理ミスの方がセキュリティリスクに繋がるのではないかと思います。例えば、ハイパーバイザの脆弱性を探して悪用するのと比較して、パッチが適用されていないゲストOSを探して攻撃する方がよほど簡単なのではないかと思われます。

このトピックとその対策について、1月24日(木)にオンラインセミナーで話をする予定です。ご興味のある方は、ご参加頂ければ幸いです。
http://www.scs.co.jp/event/2008/webinar_bluelane/index.html

akiko

2008/01/15 14:49:18

Comment(5)

trackback(0)

Special

- PR -

最新の投稿

コメント

firefox2

2008/01/16 01:02

Virtual Shield興味深いですね。
同じBlueLane社（？）のPatchPointは、言葉遣いの問題だけでIPSの亜種としか思えませんでしたが(Proventiaの脆弱性ベースシグネチャーとの違いがわからなかったので。)、Virtual Shieldは新味がありますね。
大規模な仮想化環境ユーザーならVirtual Shield買えばOKって感じでしょうか？ VMからVMへの攻撃も考えると、Virtual Shieldじゃないと対応難しいですよね。
そう考えると、仮想化環境ではアプライアンスでの対応は意味がないのですね。

akiko

2008/01/17 14:18

firefox2さん
コメントありがとうございます。
ServerShield(旧PatchPoint)は確かにIPSと重なる部分があり、混同される方が多いですね。IPSはインターネットからの攻撃を広範にカバーするのに対し、BlueLane製品はサーバを保護することに特化しています。サーバOSとアプリケーションにカバー範囲を限定し、その分プロトコルをより深いレベルまででデコードして、精度を上げています。またトラフィックをブロックせずに修正して通過させるという点でもIPSと異なります。
VirtualShieldもテクノロジとしてはServerと同じで、バーチャルアプライアンスなのか、アプライアンスなのかの違いだけです。
最後にVirtualApplianceの優位性については実は次の記事で触れようと思っていたのですが、Firefox2さんに先に言われてしまいましたね。。
VirtualApplianceの優位性の一つとしては、VMからVMへの攻撃を防ぐのに非常に効果的だと思います。
製品の細かい内容については、bluelane-info@ml.scs.co.jpまでご連絡頂ければ、製品担当よりご連絡させて頂きます。

TAMOTSU

2008/01/24 17:54

はじめまして。
仮想化セキュリティの問題確かに興味ありますね。
今日記事が出てましたよ。
http://japan.zdnet.com/sp/feature/07zeroday/story/0,3800083088,20365685,00.htm
海外記事の翻訳版ですので少し読みづらいですがご参考までに。
それにしてもBlueLaneの説明チンプンカンプンですね。
原文読んだほうがいいですね。

TAMOTSU	2008/01/24 17:57
リンクが切れてしまいますね。 http://japan.zdnet.com/sp/feature/ 07zeroday/story/ 0,3800083088,20365685,00.htm それぞれコピペでお願いします。

akiko	2008/01/29 13:22
TAMOTSUさんはじめまして。コメントありがとうございます。確かにこの記事の翻訳だと、パッチを適用する製品のように思われてしまいますね。ネットワーク上でサーバを保護するアプライアンスなのですが、、、。 http://www.scs.co.jp/bluelane

コメントを投稿する