ITトレンドがおすすめする製品・サービス
- ■守るサーバーへの経路別
- 公開サーバーへの通信を国・地域単位で制限：FLESPEEQ UTM Lite
- 拠点間VPNで共有する業務サーバー：ビジネスセキュリティ（VSR）nシリーズ、beat/active、CyberGate-CloudUTM
- 暗号化された通信（HTTPS）の検査：WatchGuard Firebox、Sophos XGS Firewall
- ■社内ネットワークの守り方別
- VLANで社内を区画に分けられる機種：WatchGuard Firebox
- サーバーを含む社内の機器を台数無制限で保護：SG-ONE
UTMはサーバーへの通信をどこで検査するか
UTMは、ネットワークの境界を通る通信を検査する機器です。サーバーを守る設計を考える前に、UTMが検査できる通信と検査できない通信の違いを押さえておきましょう。
外部と社内の境界で通信を止める仕組み
UTMは、インターネットと社内LANの間に置かれ、両者を行き来する通信を検査します。外部からサーバーへの不正なアクセスや、既知の攻撃パターンに一致する通信を見つけると、通信を遮断したり記録したりします。
まず、ファイアウォールで通信の宛先や種類を絞り、不正侵入防御の機能で攻撃の手口を見分ける、という二段構えで守る使い方がよく見られます。どちらの機能を有効にするかで処理の負荷が変わるため、守りたいサーバーにあわせて機能を選びます。
UTMだけでは見えない通信
UTMが検査できるのは、UTMを通過する通信だけです。社内LANの中で端末からサーバーへ直接届く通信は、UTMを経由しない構成では検査の対象になりません。ウイルスに感染した端末が社内のサーバーに接続する場面などは、境界の対策だけでは防ぎきれない可能性があります。
また、暗号化された通信は、復号して検査する設定にしない限り中身を確認できません。UTMを導入しても、サーバー自体の更新や端末側の対策は引き続き必要です。どの通信をUTMに通すかを構成図で確認しておくと、守れていない経路に気づけます。
公開サーバーを置くならUTMでDMZを分ける
Webサイトやメールのように、外部からのアクセスを受けるサーバーは、社内LANとは別の区画に置くことが基本です。UTMで区画を分けると、公開サーバーが攻撃を受けた場合でも被害が社内に広がりにくくなります。
DMZとは何か
DMZは、外部と社内の中間に設ける区画のことです。インターネットからのアクセスを受けるWebサーバーなどをDMZに置き、社内LANとはUTMで隔てます。外部からはDMZのサーバーにだけ接続でき、社内LANには直接入れないように設定します。
DMZを作るには、UTMにインターネット側と社内側に加えて、DMZ用のネットワークポートが必要です。製品によってポートの数や区画の作り方が異なります。公開サーバーを置く予定がある場合は、DMZを含む構成を組めるかを導入前に確認しましょう。
公開サーバー向けのポリシーの考え方
公開サーバーへの通信は、必要なものだけを許可します。例えばWebサーバーであれば、Webの閲覧に使う通信だけを外部から受け付け、管理用の接続は社内で決めた端末からだけに限定する、といった設定です。
DMZから社内LANへの通信も原則として止め、業務上どうしても必要な通信だけを個別に許可します。公開サーバーが乗っ取られた場合に、そこを足がかりに社内へ侵入されることを防ぐためです。許可した通信の一覧は、理由とともに記録しておきましょう。
暗号化された通信の扱い
現在の公開Webサーバーへの通信の多くは、HTTPSで暗号化されています。UTMで攻撃の中身まで検査するには、暗号化を解いて調べる設定が必要です。ただし、この処理はUTMの負荷を高めるため、検査する対象を絞って使う方法も検討しましょう。
復号して検査する場合は、サーバーの証明書をUTMで扱う設定や、証明書の更新時の手順も確認しておきます。復号しない場合は、サーバー側やWAFで攻撃を検知する仕組みと組み合わせて、検査の空白をつくらないように設計しましょう。
社内サーバーをUTMで守る設定
社内だけで使うファイルサーバーや業務システムのサーバーも、UTMの設定によって守れる範囲を広げられます。社内LANをいくつかの区画に分け、区画の間の通信をUTMで検査する方法を紹介します。
ファイルサーバーへのアクセス範囲を絞る
ファイルサーバーには、顧客情報や設計データなど重要な情報が集まりやすくなります。サーバーを専用の区画に置き、アクセスできる部署や端末の範囲をUTMのポリシーで絞ると、万一端末が感染した場合の影響を抑えやすくなります。
社内LANを区画に分けるには、VLANと呼ばれる仕組みで論理的にネットワークを分け、区画の間の通信をUTMに通す方法があります。ただし、区画を細かく分けるほど設定は複雑になるため、守りたい情報の重要度にあわせて分け方を決めましょう。
拠点間で共有するサーバーへの通信を検査する
本社に置いた業務システムのサーバーを各拠点から使う場合は、拠点間VPNでつなぎ、UTMで拠点からサーバーへの通信を検査します。拠点ごとに使ってよいサーバーや通信の種類を決め、それ以外は通さない設定にします。
拠点側にもUTMを置く場合は、本社と拠点で設定方針をそろえることが大切です。複数のUTMを1つの管理画面で設定できる製品もあるため、拠点が多い場合は集中管理の方法もあわせて確認しておきましょう。設定の変更履歴を残しておくと、拠点ごとの設定の食い違いにも気づけます。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でUTM（統合脅威管理）の一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
サーバーの数と通信量から見るUTMの性能
サーバーを守る構成では、UTMを通る通信の量が増えます。カタログの処理性能だけで選ぶと、実際の運用で通信が遅くなる可能性があるため、サーバーの使われ方から必要な性能を見積もりましょう。
公開サーバーの同時接続数
公開サーバーへのアクセスが多い場合は、UTMが同時に保持できる接続の数が不足しないかを確認します。キャンペーンの告知などでアクセスが一時的に増える場面も想定しておくと安心です。
UTMの処理性能は、有効にする機能によって変わります。カタログに記載された数値が、ファイアウォールだけの値なのか、不正侵入防御などを有効にした値なのかを確認し、実際の使い方に近い条件で比べましょう。判断が難しい場合は、現在の通信量の記録を販売代理店に共有して相談すると見積もりの精度が上がります。
社内の通信もUTMに通す構成
社内の区画どうしの通信もUTMで検査する構成では、インターネットとの通信に加えて、ファイルの保存や業務システムの利用といった社内の通信もUTMを通ります。社内の通信は量が大きくなりやすいため、インターネット向けだけを想定した機種では処理が追いつかない場合があります。
大容量のファイルを頻繁にやり取りする部署がある場合は、その区画を通る通信に限って検査機能を絞るといった調整も検討します。性能と守る範囲のバランスは、導入前に構成図を使って提供会社と確認しておきましょう。
UTMで足りない部分を補うサーバー側の対策
UTMは境界の対策として有効ですが、サーバーを守る対策はUTMだけでは完結しません。サーバーの種類や公開の有無にあわせて、ほかの対策を組み合わせることが大切です。
Webアプリケーションを守るWAF
WAFは、Webサイトの入力欄などを悪用した攻撃を見分けて防ぐ仕組みです。会員サイトや問い合わせフォームのように、利用者が情報を入力するWebサイトを公開している場合に検討されます。
UTMの不正侵入防御でもWeb向けの攻撃の一部を検知しますが、Webアプリケーションに特化した検査はWAFのほうが細かく設定できる傾向があります。UTMにWAFの機能を備えた製品もあるため、公開しているWebサイトの内容にあわせて、UTMの機能で足りるか、専用のWAFを加えるかを判断しましょう。
サーバー自体の更新とログの確認
サーバーのOSやソフトウェアに脆弱性が残っていると、UTMが検知できない方法で攻撃を受ける可能性があります。更新プログラムを計画的に適用し、使っていないサービスは停止しておくことが基本です。管理者のアカウントやパスワードの管理も、あわせて見直しておきましょう。
UTMのログとサーバーのログをあわせて確認すると、不審なアクセスの経路を追いやすくなります。ログの確認を担当者1人に任せず、確認の手順と頻度を決めて複数人で共有しておくと、異常に気づく機会を増やせます。
サーバーを守る構成で比べるUTMの一覧
公開サーバーや社内サーバーへの通信をUTMで検査する際に確認したい機能を中心に、この記事で紹介する製品を一覧にしました。守りたいサーバーの置き場所や通信の経路と照らしあわせてご覧ください。
| 製品名 | 特徴 |
|---|---|
| FLESPEEQ UTM Lite | 通信ごとに許可・禁止を設定でき、特定の国や地域からの通信も遮断可能 |
| SG-ONE | サーバーやネットワークカメラを含む社内の機器を、台数の制限なく接続して保護できる |
| ビジネスセキュリティ（VSR）nシリーズ | 拠点間VPNやVPN for Amazon VPCなどをオプションで追加できるマネージド型のUTM |
| WatchGuard Firebox | HTTPS通信に潜む攻撃を検査できる。M400はVLAN300、M500はVLAN500まで設定可能 |
| Sophos XGS Firewall | Xstreamで暗号化通信も検査でき、IPSやアプリ制御、TLS検査などを統合している |
| beat/active | 各拠点のbeat-boxを直接VPN接続し、拠点間で安全に通信できる環境を構築 |
| CyberGate-CloudUTM | ファイアウォールやIPS/IDSを統合したクラウド型UTM。拠点間のVPN接続にも対応 |
| NG Firewall | 可視化や脅威対策、VPNを統合し、クラウドや拠点間接続に対応する構成をとれる |
サーバーへの通信の検査に役立つUTM
公開サーバー向けの通信制御や拠点間のVPN、暗号化通信の検査など、サーバーを守る設計に関わる機能を備えた製品を紹介します。どのサーバーへの経路を検査したいかを決めたうえで比較してみてください。
FLESPEEQ UTM Lite
- セキュリティ機能に特化！低価格で安心のセキュリティ対策を実現
- 既存ルータの配下に接続するだけ！迅速かつスムーズに導入可能
- 安心のサポート付き！専任者がいなくても運用できる
日本通信ネットワーク株式会社が提供する「FLESPEEQ UTM Lite」は、セキュリティ機能に絞って提供される法人向けUTMです。通信ごとに双方向で許可や禁止を設定でき、特定の国や地域からの通信をまとめて遮断する機能も備えています。不正侵入の検知・防御やWeb脅威のブロック、メールの添付ファイルの検査にも対応しています。既存ルータの配下に接続して使うため、ネットワーク構成を大きく変えずに、公開しているサーバーへの不要な通信を絞り込みたい小規模な企業の候補です。
SG-ONE
- 複数の強力なセキュリティ機能！サイバー攻撃対策を1台でカバー
- 簡単設置！既存ルーターとスイッチの間へ差し込むだけ
- セキュリティ機能が有効状態でも高速なスキャンが可能
株式会社 USEN ICT Solutionsが提供する「SG-ONE」は、アンチウイルスやファイアウォール、IPSなどをコンパクトな筐体にまとめたUTMです。パソコンやタブレットに加えて、ネットワークカメラやサーバーなど社内の機器を台数の制限なく接続できます。脅威の照合では本体内の脅威データに加えてクラウド上の過去の脅威データも確認するハイブリッドスキャンを採用し、最大約900Mbpsで処理します。社内サーバーを含む機器全体を1台でまとめて守りたい企業に向いています。
ビジネスセキュリティ（VSR）nシリーズ
- 業界最多クラスのセキュリティ機能の中で独自のカスタムが可能
- 管理者負担軽減！導入から運用、保守まですべて一括対応。
- 24時間365日の障害検知・切り分けから復旧対応までサポート！
株式会社 USEN ICT Solutionsが提供する「ビジネスセキュリティ（VSR）nシリーズ」は、ルータを基本サービスとし、必要な機能をオプションで組み合わせるマネージド型のUTMサービスです。オプションには拠点間VPNやリモートVPN、VPN for Amazon VPC、ロードバランサなどが用意されています。運用監視とオンサイト保守、設定変更に24時間365日対応しているため、本社のサーバーを拠点から使う構成でも、障害時の切り分けを提供会社に任せやすいでしょう。
WatchGuard Firebox （ウォッチガード・テクノロジー・ジャパン株式会社）
- リアルタイムにネットワーク状況を監視するWatchGuard Dimension
- スパイウェアやウイルスなど多様な脅威への対策を網羅
- 多拠点での導入を効率化するRapidDeploy機能
Sophos XGS Firewall （ソフォス株式会社）
- Xstreamで暗号化トラフィックも検査可能。
- Synchronized Security対応でエンドポイントと連携。
- Sophos Centralで可視化・ポリシー管理を一元化。
beat/active （富士フイルムビジネスイノベーション株式会社）
- 多層防御による強固なセキュリティシステムを実現
- 簡単な設定によるネットワーク運用の負担軽減
- 働き方の多様化に対応する様々なサービス
CyberGate-CloudUTM （CyberGateSecurity株式会社）
- 最新の脅威に対応するリアルタイムなセキュリティアップデート
- 導入・運用負荷を軽減するマネージドサービス
- 拠点間のセキュアなVPN接続機能
NG Firewall （Arista Networks, Inc.）
- ネットワークの可視化と制御を一元管理
- マルウェア対策とフィルタリング機能を統合。
- クラウドや拠点間接続に対応する柔軟な構成
まとめ
UTM（統合脅威管理）でサーバーを守るには、公開サーバーをDMZに分け、社内サーバーへのアクセス範囲をポリシーで絞る配置が基本です。社内の通信もUTMに通す場合は、通信量から必要な性能を見積もることが大切です。WAFやサーバー自体の更新も組み合わせ、守れていない経路を残さないようにしましょう。守りたいサーバーの種類や区画の分け方にあう製品を、資料請求で比較してみてください。
