クラウドのセキュア利用モデルを考える～VPNが最適か？～皆さまからの声に応えます①

1. クラウドの
セキュア利用モデルを考える
皆さまからの声に応えます①
株式会社ラック 事業統括部 ソリューション推進室 室長 信太 貞昭
株式会社ディー・ディー・エス 営業本部 営業技術部兼販売促進部 部長代理 石川 竜雄
ルックアウト・ジャパン株式会社 新規事業開発部 ディレクター 金子 高之

2. 目次
2
• なぜ今回このテーマを取り上げたのか？
• オンプレミスとクラウドを改めて検証
• VPN vs ダイレクトアクセス
• まとめ
• 各社ご紹介

3. なぜ今回このテーマを取り上げたのか？
3

4. 次回取り上げてほしい内容・ご意見・ご要望からピックアップ
4
なぜクラウド？
VPNの考え方
認証方式がどう変わっているか

5. オンプレミスとクラウドを改めて検証
5

6. オンプレミス と クラウド を改めて検証
6
オンプレミス クラウド
• 先進国ではクラウドへの移行が進んでいるなか、日本はかなり出遅れ気味！？
• クラウド移行に関心を持ちつつも、懸念あり、そして様子見（セキュリティ、プライバシーなど）

7. オンプレミス
7
• 閉じたネットワークでセキュリティが強固
• 社内システムとの連携・統合がしやすい
• カスタマイズ性が高い
• コストは高価

8. クラウド
8
• 導入コストがかからず、早く導入できる
• オンライン環境さえあればどこでも使えるが、セキュリティに不安が残る
• カスタマイズ性、他システムとの統合性は低い
• 運用コストも安価

9. オンプレミス VS クラウド
9
オンプレミス クラウド
カスタマイズ・他システムとの連携 可能 不可能
バージョンアップ 必要（利用する環境に合わせて自社で対応） 不要（サービス事業者が実施）
障害対応 必要（自社で復旧） 不要（サービス事業者が実施・管理）
コスト 高価（一括前払い＋保守費） 安価（使用分だけ支払う。導入コストも不要）
セキュリティ 閉じたネットワークで強固 どこからも使えるが、不安
オンプレミス クラウド
データの保存先 組織内のサーバーやPC データセンター（強固なセキュリティ・大容量）
データの安全性 ユーザー側で確保 自動で暗号化、バックアップ
セキュリティ・アップデート 必要（ユーザー側で実施・管理） 不要（サービス事業者が実施・管理）
データへの接続 イントラネット インターネット
➡ ユーザー側に責任 ➡ サービス事業者が管理
セキュリティの印象は本当？

10. クラウドサービス事業者が行うべき主要な情報セキュリティ対策
10
出典：http://www.soumu.go.jp/main_sosiki/joho_tsusin/security/business/admin/15.html
クラウドサービス事業者が行うべき主要な情報セキュリティ対策
データセンターの物理的な情報セキュリティ対策（災害対策や侵入対策など）
データのバックアップ
ハードウェア機器の障害対策
仮想サーバなどのホスト側のOS、ソフトウェア、アプリケーションにおける脆弱性（ぜいじゃくせい）の判定と対策
不正アクセスの防止
アクセスログの管理
通信の暗号化の有無

11. クラウドサービスへの接続方法
11

12. クラウドサービス利用時の接続経路（VPN or ダイレクトアクセス）
12
Active Directory Active Directory
Federation Service
VPN
Internet

13. クラウドサービス利用時のセキュリティ対策
13
Active Directory
VPN
Internet
イントラセキュリティ
エンドポイントセキュリティ
クラウドセキュリティ
Active Directory
Federation Service

14. クラウドサービスを利用する場合、どちらがセキュアでしょうか？
14
VPN＋プライべート
ネットワークアクセス
インターネット
ダイレクトアクセス
Active Directory
VPN
Internet
VS
Active Directory
Federation Service

15. VPN VS ダイレクトアクセス
15

16. アクセス経路を横に並べるとセキュリティ対策部分が明らかに
16
人 PC VPN
Gate
way
inter
net
O365
人 PC
inter
net
O365
VPNによりプライベートネットワーク経由でアクセス
インターネットへダイレクトアクセス
AADAD
※グローバルアドレスでのアクセス権限
ID
AADID
セキュアアクセス＆認証エンドポイント＆認証

17. アクセス経路を横に並べるとセキュリティ対策部分が明らかに
17
人 PC VPN
Gate
way
inter
net
O365
人 PC
inter
net
O365
VPNによりプライべートネットワーク経由でアクセス
インターネットへダイレクトアクセス
AADAD
※グローバルアドレスでのアクセス権限
ID
AADID
セキュアアクセス＆認証エンドポイント＆認証
①
①
②
②
③
③
④
④
⑤ ⑥
①クラウドへの不正アクセス
②通信の傍受(不正Wifi)
③フィッシング
④エンドポイントへの攻撃
(マルウェア等)
⑤VPN装置への不正アクセス
⑥通信機器障害

18. アクセス経路上の問題点

19. VPN vs ダイレクトアクセス（比較）
19
アクセス方法 社内アクセス 脅威 対策
VPN
◎
1. クラウドへの不正アクセス
2. 通信の傍受(不正Wi-Fi)
3. フィッシング
4. エンドポイントへの攻撃(マルウェア等)
5. VPN装置への不正アクセス
6. 通信機器障害(VPN装置)
1. 専門家による監視とリッチなソリューション
2. エンドポイントで対策
3. エンドポイントまたはGWで対策
4. エンドポイントで対策
5. 自前で設備とエンジニアを配備
6. 機器の二重化等で対策
ダイレクト
エンドポイントセキュリティなし
X
1. クラウドへの不正アクセス
2. 通信の傍受(不正Wi-Fi)
3. フィッシング
4. エンドポイントへの攻撃(マルウェア等)
1. 専門家による監視とリッチなソリューション
2. エンドポイントで対策
3. エンドポイントで対策
4. エンドポイントで対策

20. アクセス経路上の問題点（帯域を圧迫する可能性）
20
Active Directory
VPN
Internet
Active Directory
Federation Service

21. アクセス経路上の問題点（セッション数オーバー）
21
Active Directory
VPN
Internet
Active Directory
Federation Service

22. VPN vs ダイレクトアクセス（比較）
22
アクセス方法 ネットワーク構成 プラスアルファ ネットワークアクセス
VPN
1. インターネットとの接続回線の帯域を圧迫する
可能性がある
2. VPN装置及びサービスが必要になる
3. 社内ネットワークの見直しが必要になる場合も
…
GWでセキュリティ対策を実施出来る
VPNのアプリが必要
- 常時VPN
- On-demand
ダイレクト
エンドポイントセキュリティなし
社内ネットワークの見直しの必要無し エンドポイントでのセキュリティが必須となる
場所を選ばない
端末を選ばない

23. まとめ
23

24. VPN vs ダイレクトアクセス（まとめ）
24
なぜVPNアクセスが必要なのか
✓ 認証ポイントが増加することで、よりセキュリティ強度が増す
✓ システムへのアクセス元をコントロール（制限）することでリスクを軽減できる
✓ エンドポイントセキュリティが脆弱の為、直接インターネットアクセスさせたくない
◎ 多要素認証との組み合わせでも同等の効果が可能
⇒VPNを利用しなくても実現できること
✓ 社内自社システムへアクセスさせたい
◎ Office 365については、Microsoftが保護
※アクセスコントロールは自社公開システムの守り方
◎ 高度エンドポイントセキュリティの活用により同等の効果が可能
現在は社内システムでの保護とあわせてエンドポイント対策は必須
× VPNが必要

25. 最近発生したセキュリティ・インシデント
25

26. 複雑化するモバイルの脅威～佐川急便を偽装した攻撃の場合～
26

27. 佐川急便を偽装した攻撃の概要
27
⚫ 佐川急便をかたる SMS および不正アプリ攻撃の特徴
①海外の攻撃者による不特定多数ユーザに向けた大規模な攻撃
②フィッシングとマルウエアを組み合せた複合型攻撃
⚫ 不正アプリの振る舞い
①不正アプリ自身を（タスクメニューから見えないように）隠し、バックグラウンドで実行
する
②SMS/MMS の内容を検査し、特定の銀行のバンキングアプリが利用するSMS認証
コードを詐取
③SMS メッセージを送信
④他アプリの画面の上に、フィッシング画面を表示
⑤コマンド&コントロール（C&C）サーバ へ暗号化通信を送受信

28. 佐川急便を偽装した攻撃への対応
28
⚫ ルックアウトのカバレッジ（2018年8月時点）
①マルウェア検知：過去数ヶ月だけで計70個
②フィッシング対策：現在稼働中の計200個以上の佐川急便をかたる
フィッシングサイトを検知
⚫ 今後の取り組み – 多層でのセキュリティ対策
①攻撃者は現在も継続して亜種・変種のマルウェアを作成
②佐川急便のみならず、Softbank, KDDI, NTT docomo, Rakuten, Yahoo Japan
などをかたるフィッシングをも実施
③ルックアウトは、速やかにマルウェアの亜種・変種を入手し検知対応を継続
④並行して、フィッシングサイトの新規登録・開設情報をトラッキングし、迅速なカバレッ
ジ確保を継続

29. クラウド利用時のセキュリティ
29

30. 境界だけでは守れない
30
従来（オンプレミス）
境界の中にある機器、データだけ守ればOK
現状（オンプレミス＋クラウド）
人も機器もデータ、アプリケーションも社内外、クラウドに拡散

31. 現在の脅威（なりすまし）に対抗するためにはID管理中心のセキュリティが必要
31
ネットワーク境界防御（侵入対策）と
アンチウィルスソフト中心
ネットワーク保護
デバイス保護
なりすましによって、すべてのセキュリティ
対策をかいくぐることが可能
ID管理（なりすまし対策）中心
なりすましへの防御と、なりすまされた場合
にも被害を特定・最小化する対策が必要
ネットワーク保護
デバイス保護
ID保護
すべてをIDで識別、
怪しい振舞いを
ブロック
予め定義された
パターンで防御

32. セキュリティの考え方の主要な変化
32
クラウドにデータを置くのは危険
社内ネットワークは安全
シンクライアントは安全
アンチウィルスソフトで
ウィルス/マルウェアに対応
添付ファイルはパスワード付Zipファイルとし
パスワードを別送にすべき
パスワードは定期的に変更すべき
パッチ適用が自動化されており早い、
ID毎の行動追跡で更に安全
社内ネットワーク内も侵入される前提で、
ID毎の行動追跡が必要
セキュリティチップのないシンクライアントは
セキュリティレベルは低い
パターンマッチング型のアンチウィルスソフトで
防げるウィルス/マルウェアは少ない
サンドボックスを通り抜けるパスワード付Zipは危険
→アクセス権変更可能な共有リンクで誤送信に対応
長く・複雑なパスワードを利用すべき
多要素認証・生体認証で補完

33. 各社ご紹介
33

34. 34
ms-sales@lac.co.jpご相談は まで、お気軽に。
EDRの運用サービスを選ぶなら
ポイントは実績に基づく高い調査能力 !!

35. ルックアウト
35
モバイル・セキュリティのルックアウト が
モバイル・ワークのあんしんを実現
ビジネス・シーンにおけるスマホの安全性を確保し、
働き方改革をサポートします！
OSの脆弱性管理
不正WiFi対策 コンプライアンス対策
マルウエア対策
日本語対応フィッシング対策
悪意のあるアプリケーションが
インストールされた時にアラート
通知します。
悪意のあるWi-Fiネットワークに
接続されたことを検知し、アラー
ト通知します。
OS毎に発見された緊急度の高い脆
弱性情報をリストするので、脆弱
性問題の見える化が可能です。
アプリの動作を見える化するのでコ
ンプライアンスに応じたブラックリ
ストが可能です。
ルックアウトは日本語に対応。クラ
ウド型であり、別途管理サーバを用
意する必要はありません
iOSとAndroidの双方の標準ブラ
ウザに対応したフィッシング対策
実現
EVERYTHING IS OK

36. 36
多要素認証はPC向け指紋認証国内No.1※のDDSにお任せください。
※ 富士キメラ総研『2017ネットワークセキュリティビジネス調査総覧』（指紋認証数量ベース2017年見込）
社内外で利用する生体認証をサーバーで運用･管理
選べる認証要素 特定のメーカーに依存しない
多要素をAND/ORで実現
• Windowsログオン・ロック解除から、業務アプリケーション等、
様々なアプリケーションに生体認証を適用
• 開発不要のアプリケーション認証でパスワードレスを実現
• 認証方式は、指紋･指静脈 ･手のひら静脈･顔･ICカード･OTP･パスワード等
AND/ORで選択可能
仮想環境にも生体認証
• VDI接続アプリケーションへのログインに生体認証を
• VDI内でのアプリケーションログインに生体認証を
仮想環境にも生体認証
• 共通IDをによる利便性と安全性を実現
誰がいつログインしたか？を特定
オンプレミス（多要素認証基盤） クラウド（FIDO認証基盤・サービス）
コンシューマ向けサービスにも生体認証（FIDO認証）
エンタープライズ向けクラウドサービスにも生体認証
• エンタープライズ利用のOffice 365や、G SuiteなどにFIDO認証をプラスした
サービス提供型認証・フェデレーションソリューション
• 金融機関アプリやキャリアアプリ等、認証を指紋認証等の多要素認証に置き換えます。

37. 37
ご清聴ありがとうございました。