【INTERVIEW】ポケットに入る不正侵入防止システム『Ally ip100』とは？

[編集部] Arxceoを買収し、Ally ip100を国内で販売することになったきっかけは？

[田島] 弊社の代表取締役社長の三田聖二(さんだ せいじ)の能力に負うところが大きいと思います。三田は、米国での経験が長く、豊富な人脈があります。海外の魅力ある技術や製品を持つ企業を見つけるための優れたアンテナを持っているのです。Arxceoの本社は、アラバマ州のハンツビル(※1)にあります。優秀な人材が揃っていますが、一方でパスポートを持っている技術者がほとんどいない、ローカルな企業でもありました。

[編集部] アノーマリー方式(※2)の侵入防止エンジンを採用しているとカタログに記載されています。しかし、Ally ip100は統計処理の機能などは持っていないようですが。

[田島] Arexceoは、Ally ipシリーズをアノーマリー方式のIPSと分類していますが、私はステートフルトラック検査の考え方も盛り込んだ、複合的な方法を採用したIPSであると認識しています。アノーマリー方式では、統計処理で標準的なネットワークの状態を把握しておき、それとは異なる状態(統計異常)が発生した際に警告やパケットの遮断を行ないます。しかし、Ally ip100は統計処理は行ないません。これは、本体の小型化とパフォーマンス向上のためです。

Ally ip100は、ゴルフボール3個分ほどのサイズだ

[編集部] それではどうやってセキュリティーを保っているのでしょうか？

[田島] 不正アクセスによる攻撃は、3段階のプロセスで実行されます。まず標的とするホストを無作為に選択し、ポートスキャンなどを利用して脆弱性などの情報を収集。その上で、脆弱性をついた攻撃を行なうというものです。被害を最小に食い止めるには、不正アクセスを試みているコンピューターの行動を情報収集の段階でストップさせること、つまり偵察させないことが重要です。

Ally ip100は、このポートスキャンを防止するために、3Wayハンドシェイク(※3)の際に、パケットを折り返し、クライアントがサーバーに接続するために必要な情報以外は秘匿します。同時に“誰からのパケットなのか”を明確にするため、パケットに指紋情報(フィンガープリントタグ)を埋め込みます。不正なパケット(断片化されたパケットや宛先不明なジャンクパケット)を遮断できるので、ネットワーク負荷の軽減にも役立ちます。

Ally ip100の仕組み。3Wayハンドシェイクを折り返すとともに、フィンガープリントタグを埋め込む

ノートパソコンでも利用できる

[編集部] 大きく2つの対策を採っているとのことですが、これだけで十分な効果が得られるのでしょうか。

[田島] Ally ip100は米国など海外ではすでに販売されていますが、日本通信とArxceoが把握している範囲では、プロトコルの弱点を悪用したような攻撃を受け、被害があったという報告はありません。DoS攻撃に関するシミュレーションもしており、検証の範囲では問題がないという認識です。

[編集部] 競合製品はどういったものになるのでしょうか？

[田島] 米国の雑誌『SC Magazine』が、5月にIPSベンダー11社の製品の比較を行なったのですが、その中でも高評価を受けました。比較対象になったのは、IPS製品としては一般的な3万ドル(300万円強)クラスの製品です。Ally ip100は、ネットワークの速度が最大100Mbps(100BASE-TX)になってしまうのですが、それ以外では、間違いなくこれがいいという評価でした。

[編集部] 国内でターゲットにしていきたい層は？

[田島] 2004年に総務省が行なった調査では、IDSを導入している企業は2割程度でした。普及が進んでいない理由は、いい製品が市場に存在しないことではないでしょうか。IDSやIPSの実現には、数百～数千万円のコストが必要になるケースが多く、それでも不正侵入を誤動作なく完全に防げるわけではありません。

当初は企業の小規模なネットワークセグメントや、SOHOなどが中心になっていくと考えています。ただ、これだけコンパクトなボディーなので、持ち歩いてノートパソコンの情報を守りたいという意見も多くいただいています。特に機密性の高い情報を持ち歩く人々の関心は高いですね。

Ally ip100は、ACアダプターに加え、USBポートからの給電にも対応しているため、モバイル環境で利用することもできる

より小型の製品やネットワーク機器への組み込みも検討

[編集部] 今後の展開はどう考えていますか？

[田島] Ally ip100は設定の簡便さとサイズの小ささが評価されていますが、将来的には、もっと小さく持ち運びしやすいデザインにしたいと考えています。例えば、IPSの機能を埋め込んだセキュリティーパソコンや、ネットワークストレージといったものも考えられるでしょう。具体的な内容をお話しできる段階ではないのですが、より低コストな製品やさらに高度な機能を持つ製品の開発も検討しています。

[編集部] なるほど。USBポートに差せる、IPS機能付きのEthernetアダプターなども面白いかも知れませんね。魅力的な新製品の登場を期待します。

※1 ハンツビルは、NASAのマーシャル宇宙飛行センターなどで有名。

※2 アノーマリー分析のIPSでは、RFC違反やパケット偽装などのプロトコル異常の検出に加え、ネットワークトラフィックの統計を取っておき、通常とは大きく異なるトラフィックが発生した際に、自動的に通信を遮断する機能を提供するものが多い。不正侵入の検知技術には、これ以外にも各種あり、代表的なものとしては、(1)既知の攻撃に対してパターンマッチングを行なう“シグネチャー方式”、(2)ふるまいから攻撃かどうかを検知する“ビヘイビア分析”、(3)TCPのセッション管理とプロトコル解析を組み合わせた“ステートフルトラック検査”などがある。

※3 TCP/IPでは、接続を開始する際に、“3Wayハンドシェイク”と呼ばれる手順を踏む。(1)クライアントからの接続要求(SYN)、(2)サーバーからの受取確認と接続要求(ACK＋SYN)、(3)クライアントからの受取確認(ACK)。

• 日本通信