近年、セキュリティインシデントによるデータ漏洩をよく耳にするようになりました。 企業が多く導入している仮想環境では、万が一のデータ漏洩に対応するために暗号化機能が提供されています。 特にVMware環境では、vSphere 6.5から導入されたのストレージポリシー(VAIO)による暗号化、VMware vSAN暗号化、vTPMを使用した暗号化など、多くの方式が提供されています。 これらの方式は稼働している仮想マシンのオーバーヘッドを最小限に抑え、 強力な暗号化を適用することが可能ですが、暗号化実施には暗号鍵を管理するキー管理サーバ(KMS)が必要です。 今回のWebセミナーでは、VMwareから認定を受けているKMSの一つである 『HyTrust KeyControl』の概要や特徴を、製品デモも交えてご紹介します。 下記URLをご覧ください。 https://www.youtube.com/watch?v=Y-1mnRNzX1c

1. どこでもセミナー
3/12 17:00~

2. 2019年12月 大きなデータ流出事故
• 某県庁で利用していたHDDが転売され、データ流出
→古いHDDの処分を請負会社へ委託したが、不正に転売された
某県庁 リース会社 処分業者
ECサイト
で転売

3. 2020年だけでも…
• 全国で約80件のデータ流出事故 (2020/3/10確認)
• 従業員が故意に横流しした事例も
不正な持ち出し、盗難が増えつつある！
中には廃棄したはずのディスクから漏洩した事例も！

4. 企業の対応
不正アクセス
• ファイアウォール設置、強化、アクセス権の見直し
外部への不正な持ち出し、盗難、廃棄時の対応
• データの暗号化、ディスク物理破壊

5. 企業の対応
不正アクセス
• ファイアウォール設置、強化、アクセス権の見直し
外部への不正な持ち出し、盗難、廃棄時の対応
• データの暗号化、ディスク物理破壊

6. ディスク物理破壊とデータ暗号化
• ディスク物理破壊
メリット：確実にデータを破壊できる
デメリット：廃棄時にのみ効力を発揮
• データ暗号化
メリット：盗難や持ち出されたとしても、データ漏洩を防止
デメリット：動作環境に対してオーバーヘッドが発生
• どちらが良いというものは無い => 併用がオススメ

7. ディスク物理破壊とデータ暗号化
• ディスク物理破壊
メリット：確実にデータを破壊できる
デメリット：廃棄時にのみ効力を発揮
• データ暗号化
メリット：盗難や持ち出されたとしても、データ漏洩を防止
デメリット：動作環境に対してオーバーヘッドが発生
• どちらが良いというものは無い => 併用がオススメ

9. HyTrustについて
・開発元
カリフォルニア州 マウンテンビュー
・Best of VMworldなど
数多くのアワードを受賞
・2つのソフトウェアによる
セキュリティソリューション

10. 対応するセキュリティ認証

11. 暗号化なら・・・

12. 使用されているコンポーネント
DataControl
Policy Agent
KeyControl

13. 使用されているコンポーネント
DataControl
Policy Agent
KeyControl

14. HyTrust DataControl Policy Agent とは
・エージェントによる様々な環境の暗号化
・物理、仮想、クラウド、エンタープライズな環境まで

15. 使用されているコンポーネント
DataControl
Policy Agent
KeyControl

16. HyTrust KeyControlとは
• Key Management Server(KMS)として動作
VMware認定KMSの1つ

17. HyTrust KeyControlとは
• Key Management Server(KMS)として動作
VMware認定KMSの1つ
• 暗号化キーの管理に特化した仮想アプライアンス
VMware標準暗号化やvSAN暗号化、vTPMのサポート

18. Confidential and ProprietaryVMware暗号化
vSAN暗号化
vTPM
VMware認定KMS

19. HyTrust KeyControlとは
• Key Management Server(KMS)として動作
VMware認定KMSの1つ
• 暗号化キーの管理に特化した仮想アプライアンス
VMware標準暗号化やvSAN暗号化、vTPMのサポート

20. HyTrust KeyControlとは
• Key Management Server(KMS)として動作
VMware認定KMSの1つ
• 暗号化キーの管理に特化した仮想アプライアンス
VMware標準暗号化やvSAN暗号化、vTPMのサポート
• 約10分でOVFテンプレートからデプロイ、すぐに使用可能
別途Windows OSは不要

21. 簡単にデプロイ可能
• OSの準備がなくとも、OVFテンプレートから即デプロイ
• 必要リソース：2CPU、8GB RAM、60GB Disk

22. 冗長構成のサポート
• KeyControl側の機能でクラスタリングが可能
• Active-Active構成で、ノードが落ちても処理を継続
• 2~8ノードクラスタ構成可能
暗号化/復号化リクエスト
KeyControlKeyControl
暗号化
ソリューション

23. 冗長構成のサポート
• KeyControl側の機能でクラスタリングが可能
• Active-Active構成で、ノードが落ちても処理を継続
• 2~8ノードクラスタ構成可能
暗号化/復号化リクエスト
KeyControlKeyControl
暗号化
ソリューション

24. 構成情報バックアップ機能
• 万が一のサーバ破損にも、リストアから対応可能

25. 暗号化の事前準備
HyTrust: HyTrust KeyControlを
仮想環境へデプロイ
01.
VMware: 暗号化を行いたい
vCenterにKeyControlを登録
02.
VMware: vSphere Web Client
からVMware暗号化、vSAN
暗号化をチェック
03.
STEP 1 STEP 2
STEP 3

26. vSphereネイティブの暗号化の仕組み
・VAIO (vSphere API for I/O Filtering)が
書き込みをキャプチャし、暗号化

27. vSphere ネイティブの暗号化適用方法

28. ESX Host
VM 暗号化モジュール
VM
Datastore
VMDK
- KEK id
DEK
コンテンツ
vSphereネイティブ暗号化のアーキテクチャ
Confidential and Proprietary
KeyControl
KMIP
Object Store
KEK Id
KEK
vCenter
暗号化ポリシー
KMS List
HyTrust
KEK = Key Encryption Key
DEK = Data Encryption Key
KMIP = Key Management Interface Protocol
BLUE = HyTrust コンポーネント ORANGE = VMware/Customer コンポーネント
1. 管理者が暗号化ポリシーを作成し、VMへ適用
2. vCenterがHyTrust KeyControlにKEKをリクエスト
3. vCneterのDEKは、HyTrust KeyControlのKEKによって暗号化

29. VMware vSAN暗号化のアーキテクチャ
Confidential and Proprietary
コンテンツ
KeyControl
KEK Id
KEK
vCenter
暗号化ポリシー
KMS List
HyTrust
KEK = Key Encryption Key
DEK = Data Encryption Key
KMIP = Key Management Interface Protocol
BLUE = HyTrust コンポーネント ORANGE = VMware/Customer コンポーネント
vSAN Datastore
DEK DEK DEK
KMIP
Object Store
1. 管理者が暗号化ポリシーを作成し、VMへ適用
2. vCenterがHyTrust KeyControlにKEKをリクエスト
3. vCenterのDEKは、HyTrust KeyControlのKEKによって暗号化
4. vSAN再起動時に、ESXiホストがHyTrust KeyControlへKEKリクエスト

30. VMware機能による暗号化メリット
•エージェントレス
→パフォーマンスの低下を最小限に
•ハイレベルな暗号化
→AES256
•既存のストレージを活用可能
→追加ハードウェアは不要
•複数環境の暗号鍵を管理
→1台のKMSで暗号化を統合管理

31. 今後のセミナー予定 3/18 (水) 17:00~

32. 今後のセミナー予定 3/26 (木) 17:00~