特集

最新のIT技術情報や旬な話題をお届けいたします

普及期に入った仮想化技術に警鐘を鳴らす!
仮想環境に求められるセキュリティの最適解を探る

日本仮想化技術株式会社CEO宮原 徹氏

※日本仮想化技術株式会社CEOの宮原 徹氏

ネットワーク上に展開する各種サービスを柔軟に活用できる、新たなコンピューティング形態であるクラウド・コンピューティング。そのキーテクノロジーとして注目され、多くの企業で導入が進められているのが仮想化技術だ。多くの先進的な事例がメディアで取り沙汰されているが、黎明期から普及期に入りつつある仮想環境で新たな課題としてクローズアップされつつあるのが、物理的な環境と同様に求められる強固なセキュリティ対策だ。今回は、仮想化技術のコンサルティングや導入サポートを支援している日本仮想化技術株式会社CEOの宮原 徹氏を招いて、マクニカネットワークス株式会社取締役 技術統括部 統括部長 鈴木 秀一氏、新商品戦略推進室 室長 下和田 豊氏、ストラテジックマーケティング室 室長 一丸 智司氏とともに最新の仮想化トレンドについて伺った。

仮想化技術の広がりとトレンド

1960年代に開発された仮想化技術は、今やストレージやネットワーク、さらにはデスクトップに至るあらゆる領域で活用され始めている。さらには、クラウドコンピューティングにおける基盤技術として一大ムーブメントとなっていることは周知の事実だ。実際の現場ではどのように受け入れられているのだろうか。仮想化に関する技術動向やベンチマークなどの性能調査をはじめ、企業導入での構築サポートを行っている日本仮想化技術 CEOの宮原氏に聞いてみた。

「多くの企業が仮想化技術を評価している段階で、フロントエンドのWebサーバや情報系システム、小規模なDBなどの領域で仮想化が実装され始めているものの、ミッションクリティカルな基幹系システムへの導入はこれから」(宮原氏)という。また、現状の仮想化導入の目的についてはこう分析する。

日本仮想化技術株式会社CEOの宮原 徹氏

「コストダウンというキーワードはもちろん、サーバメンテナンスの手間を軽減したいという声が多く、これまでばらばらに導入してきたシステムの運用管理を効率よく行う目的で仮想化が検討されています。また、サービスを提供する事業者側では、将来事業化を計画しているクラウド環境のインフラ調達に向けたRFI(Request For Informattion)レベルでの調査依頼が続いており、エンタープライズ企業同様、評価フェーズの段階です。」

では、サーバ仮想化やストレージ仮想化、デスクトップ仮想化など、様々な仮想化に関するキーワードがあるが、現在のトレンドはどのあたりにあるのか。宮原氏は、仮想化の第一命題がコスト削減にある限り、CPUなどリソースの無駄が目立つサーバ仮想化から取り組む企業が多いのは当然だという。

「コスト削減を目指してサーバ仮想やサーバ統合が行われると、当然次に出てくるのがストレージの不足。そこでサーバ仮想化の次に広がっていくのが、複数のストレージを1つのストレージプールとして統合するストレージ仮想化です。さらに、サーバ及びストレージ環境がある程度うまく動き出せば、規模を広げていく意味でデスクトップ環境の仮想化や情報系システムから基幹系システムなどミッションクリティカルな環境への対応が進んでいくでしょう。」

マクニカネットワークス株式会社 新商品戦略推進室 室長 下和田 豊氏

多くの企業が関心を持っていながら本格導入に踏み切れていない状況は、仮想化技術を提供しているベンダの出荷状況を見ても一目瞭然だ。マクニカネットワークス 新商品戦略推進室 室長 下和田氏は、日本市場における仮想化動向をこう分析する。

「日本市場における仮想化は、黎明期をようやく脱しつつある状況で、これから多くの企業が本格的な導入に向かっていくでしょう。ただ、本格的な導入のためには、コンプライアンスやセキュリティのさらなるレベルアップが欠かせません。特に、プライベートクラウドを自社内に構築する米国企業と違い、日本ではサーバコンソリデーションの流れの中でデータセンタ内にその環境を構築する傾向にあります。」

複数企業が利用するデータセンタ内では仮想環境へのセキュリティが求められることは間違いなく、物理環境と同様のセキュリティ強化が普及への起爆剤になる可能性もありそうだ。

では、仮想化におけるセキュリティの課題とは、一体どんなものなのだろうか。

仮想化のセキュリティ対策に新機軸「仮想ファイアウォール」

宮原氏は、「仮想環境のセキュリティといえば、単なるパスワード管理しか実施していない企業が多く、運用に携わる複数の管理者すべてが同じルート権限を保有しているなど、未だにセキュリティに関する意識は低いのが実態」という。たとえ仮想環境においても、物理的な環境と同様のセキュリティレベルが要求されるのは当然のはずだが、普及期にあるサーバ仮想化においてすらその意識が薄いと警鐘を鳴らす。複数の企業の仮想環境を管理しているデータセンタ事業者であってもそれは同じ状況にあり、例えばVMwareの管理ツールとして使われているVMware vCenter Serverを使って管理している場合でも、データセンタ内の管理者同士でルート権限のパスワードを共有してしまっている場面も多くみられるという。しかし、仮想環境におけるセキュリティのベストプラクティスが確立されていない今の段階では、何を行ったらいいのか手探りの状態が続いているのが実態だ。

マクニカネットワークス株式会社取締役 技術統括部 統括部長 鈴木 秀一氏

もちろん、各ベンダでは仮想環境におけるセキュリティ対策について手をこまねいているわけではない。マクニカネットワークス 技術統括部 統括部長 鈴木氏は、「物理的な環境で有効に機能しているセキュリティをそのまま仮想環境に適用しているケースが多くみられます。例えば、仮想環境ごとにVLANを設定し、それを外部のファイアウォールで制御するような方法。さらに進んで、物理環境と同様の対策をそのまま持ち込んでシステムを複雑にするよりも、仮想環境に特化したセキュリティマネジメントのほうが効率化できるはず」と語る。もちろん、仮想化された環境すべてが同じサービスレベルで運用することはなく、一緒くたに扱うべきではないとも宮原氏。この辺りの議論も未だ不十分な状態のままだが、実際にセキュリティに対する新たな取り組みも始まりつつある。

2010年3月1日から5日間の日程で、米国サンフランシスコで開催された「RSA Conference」では、クラウド基盤のセキュリティ強化技術について発表があった。仮想環境におけるセキュリティを仮想インフラの中に組み込むことの重要性が指摘され、VMware社があらためて仮想環境のセキュリティについて警鐘を鳴らし始めている。同様に、先日開催されたInterop Tokyo 2010の会場でも、新たな仮想セキュリティの製品群が注目を集めていた。それが、Best of Show Awardのグランプリを受賞した、仮想ファイアウォールともいうべき「Altor VF」だ。

「仮想ファイアウォールと言えば、1つのアプライアンスの筐体内に複数のファイアウォールを仮想的に運用できるVirtual Systemをイメージされる方も多いが、Altor VFはハイパーバイザであるVMware ESX(以下ESX)内に組み込むファイアウォール製品であり、各仮想インスタンスとセキュリティポリシーを分離して設計することができます。」(下和田氏)つまり、どこにインスタンスが立ち上がったとしても、必要なセキュリティポリシーを正しく適用することができるようになるため、運用管理の手間を大幅に軽減することができるのだ。

Altor VF

図:Altor VF

Altor VFを利用すれば、例えば試験環境の仮想マシンを本番環境に持っていった場合でもセキュリティポリシーが継承される。また、稼動中の仮想マシン全体をサーバ間で瞬時に移行できるVMware VMotionによって、重要な環境が移動してしまった場合でも、移動先において即座に適切なポリシーを適用することができる。ESX上で行われる仮想マシン間の通信もコントロールできるため、これまで見えなかった部分の「見える化」が行えるというわけだ。

さらに特徴的なのが、そのスループット性能だ。どれだけ優れたセキュリティ機能を有していても、仮想環境におけるパフォーマンスを犠牲にしては意味がない。「通常、仮想マシン上で動作させる製品では、仮想OSモードとカーネルモードを絶えず切り替えを行うため、パフォーマンスを犠牲にせざるを得ない(下図:黄)」と下和田氏。その点、Altor VFはハイパーバイザに組み込まれてカーネルレベルで動作する製品であり、圧倒的なパフォーマンスを誇る。Altor VFなしの状態(下図:青)と比べても、ほとんどパフォーマンスを犠牲にすることがないのだ(下図:緑)。また、各ESXにダイナミックにポリシーを配布できるため、適用ポリシーサイズの最適化が行え、スループットに対する影響を最小限にとどめることも可能。性能について宮原氏は、「1つのホスト上に仮想マシンをたくさん動かしたいと考えている方は多いもの。私自身、ベンチマークなど性能評価を行う機会がありますが、パフォーマンスのよいAltor VFのような製品は必ず必要になってきます。」と評価している。なお、Altor VFは、VMware社のセキュリティテクノロジ「VMware VMsafe」によって提供されるAPIを使うことでハイパーバイザ内での動作が可能となっているが、本家であるVMware vShield Zones自体はVMsafeにまだ対応していない状況だ。

スループット性能比較

図:スループット性能比較

サイロ化現象に一石を投じる強力なロールマネジメント

他にも企業の実態に目を向けると、新たな技術で脚光を集めている仮想化市場にあって、すでに顕在化しつつある課題も見え隠れしている。マクニカネットワークス ストラテジックマーケティング室 室長 一丸氏によれば、それは「情報システム部門が50人規模を超える企業で起こり始めている“仮想化のサイロ化“」だという。

マクニカネットワークス株式会社 ストラテジックマーケティング室 室長 一丸 智司氏

販売や経理、購買など各システムが縦割りに構築され、それぞれバラバラに仮想環境を構築することで、統制環境の不備などコンプライアンスに対する課題が現実的に露呈しつつあるという。仮想化とは「社内の標準化であり、購買の一本化のよう」と宮原氏が表現する通り、本当の意味で仮想化を実現するためには、ビジネスプロセスを含めた見直しを実践する必要があるのだ。

また、現状では「ハイパーバイザに対する様々なアクセス方法が可能となっており、アクセス権限のコントールなどの把握が難しくなっているという実情もある」と下和田氏は指摘する。

WebブラウザやSSHはもとより、VMware vSphereクライアントのような仮想化ツール側で用意されているインターフェースなど、運用する管理者によってアクセス方法が異なっていることから、誰がどんな処理を行ったのか一元的に管理しづらい状況にある。信頼のおけるリポジトリによって統合的なログ管理が実現できない限り、PCI-DSSやJ-SOX、HIPPA などコンプライアンス対応に欠かせないシステム監査がうまく機能しない。これらコンプライアンスへの有効な対策についても、新たな方策が今求められているのだ。

では、仮想化に関するコンプライアンス対応には、具体的にはどんなことが必要になるのか。その答えの一つが、Interop Tokyo 2010内で参考出展されていた、ハイパーバイザのロールマネジメントを実現する「HyTrust Appliance」だ。「HyTrust Appliance」は、複数あるVMware vCenter Serverの統合ポリシー管理を実現し、仮想環境におけるロールマネジメント機能を提供する製品。本来ならばバックアップ担当やVMware VMotionを使った仮想マシンの移設担当など役割をきちんと持たせることが、J-SOXを含めたコンプライアンス対応として求められる。そこで、ログマネジメントを通じて仮想環境の見える化を実現し、ロールマネジメントを強化することが可能となる。VMware vCenter Serverにも簡単なロール管理機能は存在しているが、VMware vCenter Server同士を横断的に管理できないなど、本格的に使用するには機能的に足りない部分もあると宮原氏。HyTrust Applianceであれば、すべての仮想環境を統合的に管理し、ロールマネジメント強化に一役買ってくれるものになる。
ただ、宮原氏が危惧するのは「そこに素晴らしいソリューションがあるのに、『いいからやれ!』と精神論だけで語ってしまう上長がいること」だという。適切なコストを払うことなくコストを圧縮することだけに注力してしまうと本質を見失うことにもなりかねないという。サービス事業者であれば、HyTrust Applianceがコンプライアンスへの対応を付加価値として全面に打ち出すための武器として機能する可能性を秘めていると評価する。

仮想環境におけるセキュリティの将来像

最後に、仮想環境におけるセキュリティは今後も議論が進んでいくものと思われるが、新しい流れに期待していると鈴木氏は語る。例えば、Altor VFの次のバージョンでは、ゲストOSの中身をスキャニングしてレジストリ情報から動作するアプリケーションをリスト化し、それをベースにルールを作っていくイントロスペクション機能などが実装される予定だが、これまでは検疫ネットワークなど大がかりな仕掛けが必要だった。それが、特別な環境を作らずとも簡単に行うことができるようになるなど、新たなセキュリティ実装にも期待が持てるという。休眠状態で動作していないウイルスを発見したり、発見が困難なカーネルレベルのrootkitが動いていないかチェックしたりなど、物理環境ではできなかった新たなセキュリティ対策も行えるようになるはずだという。これらの機能は、サーバのみならずデスクトップ仮想化を実現するためのVDI(Virtual Desktop Infrastructure)分野にも適用できそうだと宮原氏は期待を寄せている。

すでに普及期を迎えた仮想化技術は、ミッションクリティカルな業務にも十分適用できる状況になりつつある。大きなコスト削減効果が期待できる仮想化技術だからこそ、自社のあらゆる業務に効果的に取り込んでいきたいところだ。そのためにも、各ベンダが積極的にセキュリティ及びコンプライアンスへの対応を加速させている今こそ、その動静に注目しながら自社への適用方法を検討していきたい。

Reported by Hirokazu Charlie Sakai, Writer

いつか見た景色 from Staff's Albums