オンプレミスIaaS展開:仮想マシンのセキュリティ管理

オンプレミスのインフラストラクチャ・アズ・ア・サービス(IaaS)クラウドコンピューティングを展開する際には、広範なセキュリティ上の考慮が必要であり、組織はセキュリティのベストプラクティスを満たすだけでなく、規制要件の遵守も考慮しなければなりません。

この記事では、仮想マシンインスタンス、管理プラットフォーム、IaaS実装をサポートするネットワークおよびストレージインフラの制御方法について解説します。

仮想マシンインスタンス

まず、オペレーティングシステムおよび仮想マシン(VM)のアプリケーションは、インターネットセキュリティセンター(CIS)の設定ガイドラインなどの既存のルールに基づいてロックダウンされ、適切に設定されなければなりません。 適切なVM管理は、より堅牢で一貫した構成管理手段にもつながります。

仮想マシンインスタンス上でセキュリティ設定を作成・管理する鍵はテンプレートの使用です。 管理者はクラウドコンピューティングですべての仮想マシンを初期化するための「ゴールデンイメージ」を作成するのが賢明です。 このテンプレートを基準にし、すべてのパッチやその他の更新がタイムリーに適用されるように厳格なリビジョン管理を実施すべきです。

多くの仮想化プラットフォームは、仮想マシンのセキュリティを確保するための特定のコントロールを提供しています。 エンタープライズユーザーはこれらの機能を十分に活用すべきです。 例えば、VMwareの仮想マシンの設定では、仮想マシンと基盤となるハイパーバイザー間のコピー&ペースト操作を特に制限しており、これにより機密データがハイパーバイザーのメモリやクリップボードにコピーされるのを防ぐことができます。 Microsoft CorporationやCitrix Systemプラットフォーム製品も同様の限定的なコピー&ペースト機能を提供しています。 他のプラットフォームも、企業が不要なデバイスを無効化したり、ログパラメータを設定したりする機能を提供しています。

また、仮想マシンインスタンスを保護する際は、標準のデータ分類原則に従って異なるクラウドコンピューティング領域で動作する仮想マシンを分離することを忘れないでください。 仮想マシンはハードウェアリソースを共有するため、同じクラウドコンピューティング領域内で実行するとメモリ内でのデータ衝突が発生することがありますが、現在ではそのような競合の確率は非常に低いです。

管理プラットフォーム

仮想環境を守るための第二の鍵は、仮想マシンと連携し、使用中のハイパーバイザーシステムを設定・監視する管理プラットフォームを保護することです。

VMwareのvCenter、MicrosoftのSystem Center Virtual Machine Manager(SCVMM)、CitrixのXenCenterなどのプラットフォームには、実装可能なオンプレミスのセキュリティ制御が備わっています。 例えば、VcenterはWindowsにインストールされ、インストール過程で関連する役割や権限が変更されない限り、システムの権限を持つローカル管理者の役割を継承することが多いです。

管理ツールに関しては、管理データベースのセキュリティ確保が最優先ですが、多くの製品はデフォルトでセキュリティを内蔵していません。 最も重要なのは、管理プラットフォーム内の異なる運用ロールに役割と権限を割り当てなければならないことです。 多くの組織にはIaaSクラウド内で仮想マシンの運用を管理する仮想化チームがありますが、管理コンソール内で権限をあまり多く与えないことが鍵となります。 ストレージ、ネットワーク、システム管理、その他のチームに権限を与えることを、従来のデータセンター環境と同様に推奨します。

vCloud DirectorやOpenStackのようなクラウド管理ツールでは、役割や権限を慎重に割り当て、クラウド仮想マシンの異なるエンドユーザーを含める必要があります。 例えば、開発チームは財務チームが使用する仮想マシンとは分離して作業タスク用の仮想マシンを持つべきです。

すべての管理ツールは別のネットワークセグメントで分離されるべきであり、「ジャンプボックス」やHyTrustのような専用の安全なプロキシプラットフォームを通じてこれらのシステムへのアクセスを求めるのが良い考えです。そこで強力な認証と集中型のユーザー監視を確立できます。

ネットワークおよびストレージインフラ

IaaSクラウドコンピューティングを発展させるネットワークとストレージのセキュリティ確保は広範な課題ですが、実施すべき一般的なベストプラクティスもいくつかあります。

ストレージ環境については、他の機密ファイルと同様に仮想マシンを保護することを忘れないでください。 一部のファイルは有効なメモリやメモリスナップショット(ユーザー認証情報やその他の機密データを含むなど、最も機密性の高いもの)を保存し、他のファイルはシステムのフルハードドライブを表します。 どちらの場合も、ファイルには機密データが含まれています。 記憶環境において、異なる感度を持つシステムを分離できる論理ユニット番号(LUN)とゾーン/ドメインが分離することが極めて重要です。 ストレージエリアネットワーク(SAN)レベルの暗号化が利用可能であれば、それが適用可能かどうかを検討してください。

ネットワーク側では、個々のCIDRセグメントが隔離され、仮想ローカルエリアネットワーク(VLAN)やアクセス制御のもとで管理されていることを確認することが重要です。 仮想環境で細かなセキュリティ制御が必須であれば、企業は仮想ファイアウォールや仮想侵入検知アプライアンスの利用を検討できます。 VMwareのvCloudプラットフォーム自体はvShield仮想セキュリティ施設と統合されており、従来のネットワークベンダーの他の製品も入手可能です。 さらに、vMotionネットワークのように、機密性の高い仮想マシンデータが平文で送信されるネットワークセグメントも考慮すべきです。 このVMware環境では、平文メモリデータはハイパーバイザー間で転送されるため、機密データがリークのリスクにさらされます。

結論

仮想環境やIaaSプライベートクラウドコンピューティングのセキュリティに関しては、これら3つの分野のコントロールは氷山の一角に過ぎません。 詳細については、VMwareは特定のコントロールを評価するための詳細なハードニング実践ガイドシリーズを公開しており、OpenStackのウェブサイトではセキュリティガイドも提供しています。 基本的な慣行に従うことで、企業は自社でIaaSクラウドコンピューティングを構築し、自社の基準やその他必要な業界要件を満たすことができます。