SDN（Software-Defined Networking）といった技術を使ったセキュリティ強化策について説明します。この技術はデータセンター向けに作られた技術ですが、企業オフィスや制御システムに対しても活用することができます。特にサイバーセキュリティ対策に関しては有効です。
SDNの特徴はネットワークを利用するアプリケーションと連携してネットワーク制御を行うといった点です。大きく下記のネットワーク設定をアプリケーションから制御します。
●ネットワークのアクセス、経路、通信量の制御
ネットワーク構成の特徴としてはSDNのイメージ図のようにネットワークとアプリケーションの仲介役にコントローラーが存在することです。
写真を拡大 SDNのイメージ図
アプリケーションって何？ と思う方がいらっしゃると思います。下記にSDNのいくつかの例を使ってアプリケーションについて簡単に説明します。
例（1）サーバーアクセス
ECサイトを運用しているシステムにおいて、ある時期、あるサーバーのアクセスが非常に増えたとします。このとき、仮想化ソフトであるハイパーバイザーなどにより、サーバーのリソースなどを増加させ、アクセスしやすい環境に変更します。それに従って、ネットワークも各サーバーのアクセス量に応じて経路や通信量をダイナミックに変更させることができるのがSDNです。
アプリケーション：ハイパーバイザー
例（2）社内端末アクセス
一般企業にはさまざまな部門が存在し、かつさまざまな情報端末が存在します。開発部門のデスクトップPC、営業部門のスマートフォン、タブレット端末などです。社員が使う端末などを、資産管理アプリを利用して管理している企業が多く存在します。その資産管理などとSDNを連携させることにより、それぞれの部門の情報資産に適切な端末をアクセスさせるといった機能を提供することができます。
アプリケーション：資産管理ソフト
SDNを使ったセキュリティソリューション
では、このSDNがセキュリティにどのように関わってくるのでしょうか？ 前回のコラムで触れた、ホワイトリスト・ブラックリストと関係してきます。ホワイトリストはネットワークを使っていいもの、ブラックリストはネットワークを使ってはいけないもの、と説明しました。アライドテレシスでリリースしているSDN／アプリケーション連携ソリューション：AMF-SEC（旧：Secure Enterprise SDN）の例を紹介します。
図の真ん中のオレンジ色の部分にあるAMF-SECのロゴに当たる範囲がネットワークコントローラーになります。このコントローラーの役割はアプリケーション（向かって左）からホワイト（アクセス許可リスト）・ブラック（アクセス拒否リスト）各リストをもらい、LAN機器（向かって右）に対して、企業ネットワークにアクセスの制御を行います。
このSDNソリューションの最大の特徴は連携できるアプリケーションの数で、30社以上のアプリケーションと連動してネットワークの制御を行うことができる点です。詳しくは以下URLを参照してください。
https://www.allied-telesis.co.jp/solution/applications/
このようにSDNを利用すると、下記のような観点で具体的なサイバーセキュリティ対策を講じることができます。
（1）ホワイトリスト：資産管理ソフトからの情報をもとに社内管理されている端末のみ接続を許可させ、ゲスト端末などの管理されていない端末は社内ネットワークには接続させないといった自動制御ができます。
（2）ブラックリスト：運用に入り、社員端末などがWebアクセスや、社外でコンテンツアクセスなどをした際にウイルスに感染した時、各種セキュリティ製品がその状況を検知します（例：感染した端末が攻撃者へ通信するなど）。このとき各種セキュリティ製品をSDNコントローラーに連携させ、異常情報をコントローラーに通知することにより、対象感染端末をネットワークから隔離し脅威の拡散防止といった対策を行うことができます。
制御システムに対するSDNを使ったセキュリティ対策
先に触れたSDN対策の対象は、基本OSが搭載された端末やサーバーなどに対するものです。一般企業・オフィス向けのSDNを利用したセキュリティ対策であり、インフラや工場といった制御システムに対してこのまま適用することはできません。下記の点が異なるからです。
（1）ネットワークに接続する端末（デバイス）がOSなどを搭載していないケースが多く存在する。
（2）ネットワークがインターネットに接続されていないケースが多い。
上記の理由から、一般企業の対策とは異なる下記の点が存在します。
・資産管理アプリケーションなどの監視ができない
・エンドポイントセキュリティによるウイルス対策ができない
・ゲートウェイ装置などウィルスパターンなどの更新、クラウド解析などができない
この事象は総じてブラックリスト対策を行えないことを示します。マルウェア感染やリモート操作などの悪意ある制御が行われていることを検知することができません。
そこで制御システムにはSDNを使ったホワイトリスト対策が有効です、となります。次回は具体的な制御システムに対するホワイトリスト対策について触れていきたいと思います。
（了）
