仮想化セキュリティの基本

仮想化セキュリティは、包括的なセキュリティ戦略の重要な一部です。今日の環境は80％以上が仮想化されているため、仮想化セキュリティはすべての層（物理層、仮想層、クラウド）に適用する必要があります。この記事では、知っておくべき主要なプロセスと設定戦略の一部を解説します：

• 仮想化セキュリティの主な課題
  • 外部からの攻撃
  • VM 上のスナップショットを保持する
  • VM とホスト間でファイルを共有する、またはホストとリモートコンソール間でコピー＆ペーストする
  • VM スプロール
  • ウイルス、ランサムウェア、その他のマルウェア
• 仮想環境を安全に保つためのベストプラクティス
  • 名義のあるユーザーを使用し、最小権限（least privilege）を徹底する
  • 開放する ESXi ファイアウォール ポート数を最小限にする
  • インフラのあらゆる部分を確実に保護する
  • 強力なバックアップと災害復旧（DR）計画を用意する
• 環境を保護するための仮想化セキュリティツール
  • アンチウイルスおよびマルウェア対策ソフトウェア
  • バックアップおよびレプリケーションソフトウェア
  • 変更監査ソフトウェア

仮想化セキュリティの主な課題

外部攻撃

攻撃者がホストレベルまたは VMware vCenter サーバーにアクセスできるようになると、他の重要な VM に侵入するための道が開かれます。さらに、管理者権限を持つユーザーアカウントを作成し、長期間にわたって機密性の高い社内データを収集したり破壊したりするために悪用される可能性もあります。

VM にスナップショットを保持する

スナップショットは、短期間だけ保持することを目的としています。攻撃者や悪意のある内部関係者は、スナップショットから価値のあるデータを収集できる可能性があります。

VM とホスト間でのファイル共有、またはホストとリモートコンソール間でのコピー＆ペースト

デフォルトでは、VM とホスト間のファイル共有は無効化されており、VM とリモート管理コンソール間のコピー＆ペーストも無効化されています。高度な ESXi ホストのシステム設定を使ってこれらの既定値を上書きすることは可能ですが、推奨されません。管理コンソールにアクセスできた攻撃者は、仮想環境の外へ機密データをコピーしたり、VM にマルウェアを導入したりできます。

VM スプロール

もう一つの重要なセキュリティリスクは、VM の増殖（スプロール）です。これは多くの場合、開発者や IT 管理者がテスト目的で VM を作成したものの、テスト期間が終わった後に削除しないことが原因で発生します。実際、VM は非常に簡単に作成できるため、IT チームにとっては、全部でどれだけあるのか、いつどこにデプロイされたのかを把握するのが大きな課題になります。その結果、これらの VM はパッチも適用されず、保護もされないまま放置されがちです。セキュリティ上の脆弱性であるだけでなく、貴重なハードウェアやその他のリソースも消費します。VM インベントリのレポート作成ソフトウェアを使って定期的に適切なライフサイクル管理を行うことが、VM スプロールを抑える最善の方法です。

ウイルス、ランサムウェア、その他のマルウェア

VM（仮想マシン）は、さまざまな種類の攻撃に対して脆弱です。最もよくあるのは、Cryptolocker のようなランサムウェアです。データを暗号化されない場所であるオフサイトに、定期的にバックアップを保持することが不可欠です。バックアップがない場合は、復号鍵（decryption key）を提供してもらうためにハッカーに支払いをする必要が生じるかもしれません。とはいえ、適切なバックアップ管理を行っていたとしても、多数の VM を復元するのは難しく、時間もかかります。そのため、ランサムウェアの導入リスクを最小限に抑えるために、すべてのユーザーを定期的に教育する必要があります。

仮想環境を安全に保つためのベストプラクティス

一般的なセキュリティのベストプラクティスに従うことが不可欠です。加えて、仮想環境を適切に保護するための最も重要な戦略を2つ紹介します：

指名ユーザーを使用し、最小権限を適用する

日常の用途では、ESXi ホストに接続する際は必ず root ではないユーザーアカウントのみを使用してください。vCenter Server で指名の管理者ユーザー（named administrator user）を作成し、その管理者ロールを特定のユーザーに割り当てます。こうすることで、「どのユーザーが、どのホストに、いつログインしたか」などを正確に把握でき、環境に対して行った変更について責任を持たせることができます。

開いている ESXi ファイアウォールのポート数を最小限にする

デフォルトのポート設定のままにしてください。追加のポートを開けると攻撃対象領域（アタックサーフェス）が広がり、仮想ネットワークが侵害されるリスクが高まります。

インフラのあらゆる部分を確実に保護する

インフラのあらゆる部分は、物理インフラ（ホスト、スイッチ、ルーター、物理ストレージ）から仮想インフラやゲストOSまで、さらに使用しているクラウド環境に至るまで、適切に保護されている必要があります。特に：

• ホストには最新のファームウェアをインストールし、仮想化インフラ（VMware vSphere または Microsoft Hyper-V）には最新のセキュリティパッチを適用してください。さらに、仮想マシン上の VMware Tools も最新の状態に保つことが重要です。
• 有効化されているすべてのネットワーク機器（スイッチ、ルーター、負荷分散のためのロードバランサーなど）には、最新のファームウェアを適用する必要があります。
• すべてのオペレーティング システムは、自動更新によって完全にパッチ適用されている必要があります。パッチのインストールは、業務時間外に自動再起動を伴う形でスケジュールしてください。
• 仮想化環境向けに設計された適切なアンチウイルスおよびアンチマルウェア ソリューションを導入してください。

強力なバックアップと災害復旧（DR）計画を用意する

適切なバックアップおよび DR（災害復旧）計画は、マルウェア攻撃を受ける場合でも、ハリケーンによって本番データセンターが停止してしまう場合でも、業務の継続性を確保するために不可欠です。遠隔のデータセンター、またはクラウドに DR サイトを用意しておくと、長時間のダウンタイムに伴うリスクを軽減できます。DR 計画を作成する際に押さえておきたい重要なポイントを 2 つ紹介します：

• VM と物理サーバーをバックアップする — ESXi 自体をバックアップすることはできませんが、VMware のコマンドラインとスクリプト作成アプリケーション Power CLI を使って、その設定をバックアップすることは可能です。現在では、同じツールを使って、Windows または Linux 上で動作する物理システムと、あらゆる OS 上で動作する VM の両方をバックアップできます。
• 3-2-1 バックアップ ルールを使用する — データのコピーを少なくとも 3 つ作成して保持し、バックアップコピーを異なるストレージメディアに 2 つ保存します。そのうち 1 つはオフサイトに配置してください。
• レプリケーションを検討する — DR 保護をさらに強化するため、本番 VM を別のデータセンターにレプリケーションしておくことで、必要になったときに迅速にフェイルオーバーできます。

環境を保護するための仮想化セキュリティツール

ウイルス対策およびマルウェア対策ソフトウェア

VMware との連携がしっかりしており、オンプレミスとクラウド（Amazon AWS または Microsoft Azure）の両方の環境を持つ組織向けにハイブリッドクラウドのセキュリティを提供する TrendMicro をおすすめします。TrendMicro の Deep Security ソフトウェアはハイパーバイザー（hypervisor）レベルで動作し、ゲスト OS に小さなエージェントをインストールします。オプションとして統合ファイアウォール、侵入防止システム（IPS）、およびエージェントレベルで動作する整合性（インテグリティ）監視を提供します。単一のダッシュボードとリモート展開機能を備えたエンドツーエンドのオールインワンソリューションなので、1か所からすべての VM に軽量エージェントを展開できます。AV ストーム（AV ソフトが VM を同時に、または起動時にスキャンしてしまう状況）を防ぐために、Windows エージェントには、頻繁にアクセスされる過去にスキャン済みファイルのハッシュを含むアンチマルウェア スキャンキャッシュが用意されており、毎回再スキャンする必要がありません。

McAfee、Sophos、Symantec も、VM 環境と互換性のある AV ソフトウェア ソリューションを提供しています。

バックアップおよびレプリケーションソフトウェア

Veeam Backup and Replication は、物理環境と VM 環境（ハイブリッドおよびクラウドを含む）を保護できます。また、単一のコンソールからすべてを管理できるため、適切な保護を確実に実現できます。3-2-1 のバックアップ ルールを導入し、ベストプラクティスに沿ってオフサイトにバックアップファイルを作成・維持することも可能です。さらに、プライマリ データセンターがダウンした場合にサービスを迅速に復旧できるよう、レプリケーションも提供しています。

Nakivo、Vembu Technologies、Altaro も、VMware と互換性のあるデータバックアップソリューションを提供しています。

変更監査ソフトウェア

仮想環境全体での変更を監視することは、セキュリティにとって不可欠です。そのような仮想化セキュリティツールの1つが Netwrix Auditor for VMware です。データセンター全体および各種オブジェクト（リソースプール、クラスター、フォルダー、VM）の構成変更を追跡し、さらに仮想環境へのログオンも監視します。

まとめ

現代の組織は、さまざまな脅威から自社の仮想環境を防御する必要があります。主な戦略には、すべてのソフトウェアを最新の状態に保つこと、AV ソフトウェアを使用すること、構成のベストプラクティスに従うこと、定期的なユーザートレーニングを実施することが含まれます。しかし、最善の防御を行っていても一部の脅威は通過してしまうため、あらゆるレベルで常にセキュリティを維持できるように、変更とログオンを追跡できるセキュリティツールへの投資が不可欠です。