激化する一方のサイバー攻撃に対抗するセキュリティ対策として、「Web分離」という考え方が注目されている。この手法について、インターネットイニシアティブ(以下、IIJ)やMenlo Securityが解説するセミナーが、2017年6月22日(木)に東京 飯田橋のIIJ本社で開催された。本稿では、同セミナーで行われた各セッションをレポートするなかで、Web分離のメリットを紹介したい。

セミナー当日は多くの参加者が来場し、真剣な表情で受講していた

巧妙化するサイバー攻撃に政府でも対応

内閣官房 情報通信(IT)技術総合戦略室 政府CIO補佐官 満塩 尚史氏

セミナーではまず、内閣官房 情報通信技術(IT)総合戦略室の政府CIO補佐官である満塩 尚史氏が登壇。政府機関などに対する攻撃が増加していることを説明した。特に標的型攻撃は最初の感染から情報が抜き取られるまでに数カ月かかることもあり、｢問題は表面化していない場合でも、今この瞬間も感染しているシステムがある可能性は否定できない」という。

昨年秋からDoS攻撃も増えているが、政府では対策を実施し、不特定多数を狙った「DoS攻撃に対応している状況である」という。ただ、標的型攻撃はそれぞれのケースで明確な目的があり、攻撃の手法が全く異なる。たとえば、最初は通常のメールのやりとりを行ったうえで、最後にマルウェアに誘導するリンクを貼ったメールを送信する、といった心理的に巧妙な攻撃が行われていると満塩氏は指摘した。

誤検知も見逃しもなく、エンドポイントの安全を確保

では巧妙な攻撃から身を守るためにはどうすればいいのだろうか。一般的には「多層防御」といわれる、複数のセキュリティ対策の組み合わせによる方法が基本となる。Menlo Securityのシニアソリューションアーキテクトである小澤 嘉尚氏は、セキュリティ対策の第1世代としてファイアウォール、ウイルス対策やIDS/IPSといったシグネチャベースの方法を、第2世代としてサンドボックス、ビッグデータ解析、AIなどを紹介した。

Menlo Security シニアソリューションアーキテクト 小澤 嘉尚氏

ただ、これらの既存の技術は「検知」を目的としたものだ。そのためマルウェアを検知して許可するかブロックするかを判定するため、どうしても誤検知とすり抜けの発生が避けられない。こうした課題を解決するのがWeb分離だ。

Web分離には、前提として「すべてのアクティブコンテンツは脅威のリスクを持つ」という考えがある。そのためWeb分離を行い、HTMLやJavaScript、Flashなどのコンテンツを実行する場合、まずは「分離プラットフォーム」で実行し、最終的なエンドポイントには安全なレンダリング情報しか渡さない、という流れとなる。具体的には、クライアントからのリクエストに対して分離ブラウザが情報を取得して実行し、マルウェアやアクティブコンテンツを含まないようにしてレンダリングし直し、クライアントのブラウザで表示するのだ。「分離プラットフォームに犠牲になってもらう」と小澤氏は表現する。

またこうした仕組みにおいて、活用される技術が「ACR(Adaptive Clientless Rendering)」だ。これは安全な表示情報のみを選別してクライアントのブラウザに表示する。静的コンテンツはそのまま使用され、アクティブコンテンツは排除されるか、安全なトランスコードに書き換えられて、無害化される。大手ポータルサイトのホームページは数千行のコードだが、ACRを通すとわずか20数行に変換される。それでも、見た目や機能としてはほぼ同等のものが実現されるという。

最終的なレイアウトと描画はエンドポイント上で実施するのが特徴で、クライアント環境を問わないのもメリットだ。そのため、エンドポイントでは特殊な専用ブラウザなどを必要とせず、いつも使っているブラウザを利用できる。これによって、新たに使い方を教育する必要もなく、安全性を向上させられる。使い勝手も変わらず、外観だけでなくテキストなどのコピー&ペーストや検索、印刷といった機能も利用できる。

「"検知"ではないので誤検知も見逃しもありえない」と小澤氏は強調。分離プラットフォーム上ですべてのコンテンツが実行され、安全なものだけ配信されることで、ブラウザやFlashの脆弱性をついた攻撃にも威力を発揮するのだ。

IIJがWeb分離機能の提供を開始

IIJ サービスプロダクト事業部 第三営業部 セキュリティ営業課 平野 栄士氏

小澤氏の後を受けて登壇したのが、IIJのサービスプロダクト事業部　第三営業部　セキュリティ営業課の平野 栄士氏だ。平野氏は「分離」について、インターネットに接続できる端末を限定する物理的な分離、仮想デスクトップや仮想ブラウザによる画面転送型の分離といった方式があると説明。しかしそれぞれ一長一短があり、端末やデータのセキュリティを実現する反面、ブラウザを切り替えるなどの手間がかかり利便性が劣ったり、新たに使い方を教育する必要が生じるなどの課題があると指摘。「一般的な分離方式においてセキュリティと利便性はトレードオフ」だと解説した。

こうした課題を解消するのがMenlo SecurityのWeb分離だ。IIJは、既存のセキュリティサービスである「IIJセキュアWebゲートウェイサービス」のWeb分離機能として、Menlo Securityを採用し、提供する。同サービスには、URLフィルタリングやウイルス対策、プロキシ機能という基本機能に加え、サンドボックスやHTTPSデコードなどのオプション機能があるが、ここに新たにWeb分離が加わることになる。

Web分離では、クライアントのリクエストに対して分離環境が代理でアクセス。分離環境内で展開して安全なコンテンツに再構成したうえで、IIJセキュアWebゲートウェイサービス経由で描画情報だけをクライアントに配信する。描画情報は、動的コンテンツを安全なコンテンツに変換したものであり、画面転送ではなくクライアントのブラウザは通常のHTMLとして認識するため、専用ブラウザを使う必要はなく、通常のWebブラウザで閲覧できる。

ブラウザを選ばずに使えるため、ユーザー側は普段の使い方を変える必要はなく、新しい操作を覚えなくてもよい。新たな教育も不要なため、管理者側に負担が少ないというのもメリットだという。

平野氏は、HTMLのソースコードが数千行にも及ぶポータルサイトをWeb分離によりアクセスし、わずか20数行にコードが削減された様子を、デモを通して紹介。サイトは直接アクセスした際とまったく同じように見え、機能的にもまったく同等であることを紹介した。サイトを画像化するなどの変換ではないため、テキストはそのままテキストとしてコピーや検索ができ、リンクも正常に動作する。

また、Web閲覧において必要なファイルダウンロードについてもデモを実施。ドキュメント系ファイルもHTML5に変換し、プレビュー画面で安全に内容を確認したうえで、さらにPDFファイルでのセーフダウンロードを行うことで、安全かつ利便性の高いWeb閲覧を実演した。

Web分離によってWebサイトへのアクセスが安全になることに加え、IIJセキュアWebゲートウェイサービスでは、ウイルス対策、サンドボックスなどといったセキュリティ機能を組み合わせることで、「うっかりリンクをクリックしても感染しない仕組みを提供する」と平野氏は語った。

IIJセキュアWebゲートウェイサービスはすでに116万アカウントで使用されており、すべてクラウド上で利用できる。そのため運用コストを削減し、人的リソースの有効活用が可能なのだ。オンプレミスに比べて初期コストが多額にならず、必要に応じてセキュリティ機能を追加、削減できるのもクラウド型サービスの強みだ。

セキュリティ対策は、ともすればいたちごっこになりがちだ。Webベースの攻撃に対して確実な対処を実現するWeb分離は、今後の大きなトレンドとなりうる技術だろう。

[PR]提供：