米国政府機関のセキュリティプログラム「Continuous Diagnostics and Mitigation（CDM）」が注目を集めている。日本ストラタステクノロジーの本多章郎・ソフトウェア事業部システム担当部長は、「BCN Conference 2015」の講演で、CDMがどういうものなのか、またどう構築していけばいいのかについて説明した。

85％のサイバー攻撃を止めるセキュリティプログラム

　講演の冒頭、本多システム担当部長は、「米国のある調査によると、CDMを実施することで85％ものサイバー攻撃を止めることができたという結果が出ている。本日の講演では、複雑化、巧妙化しているサイバー攻撃を効果的に防ぐCDMについて紹介していきたい」と語った。

　CDMを日本語に訳した場合、「継続的な診断と緩和」という意味になる。本多システム担当部長は、さらにこれを「ネットワークとシステムのセキュリティに対して継続的な診断方法と脅威の緩和方法」と意訳。まさにCDMの仕組みを端的に表現した言葉である。

優先順位をつけて効果的に対策

　CDMは、システムを継続的に診断し、その結果をもとに対策することで、脅威の影響を緩和していく仕組みだ。ポイントは、リスクに応じて対策する優先順位をつけている点にある。

　企業システムには、さまざまなぜい弱性が存在している。これらのすべてに対策を施すのは、工数やコストに加え、技術的なハードルが高いことなどから、あまり現実的ではない。とはいえ、放置しておくわけにもいかない。そこで、最も問題となるぜい弱な部分を見つけ出し、その部分を優先的に対策していくことで、効果的にリスクを低減していこうというのがCDMだ。

　米国では政府機関および関連企業に情報セキュリティ対策の実施を法律で義務付け、CDMも活用されている。また科学分野や食品、医療、IT、警察/消防、エネルギー、金融など、さまざまな分野の基盤を重要インフラとしてCDMの適用を支援している。日本国内の企業でCDMの適用を実施するケースはまだ少ないが、今後はグローバル企業などを中心にCDMを適用するケースが増えてくるだろう。近い将来、対応しなければならないプログラムと捉え、今から準備しておくのが賢明だ。

　CDMを適用するには、（1）資産管理（2）ユーザーの挙動を管理（3）事象の管理──という三つのフェーズがある。これらの管理を行うには、CDM対応ツールが必要。本多システム担当部長が勧めるのは、自動化されたリアルタイムの可視化と継続的なセキュリティとコンプライアンスに対してのポリシーを施行/実施する日本サイトラインシステムズの「SightLine ACE」だ。これは、フェーズ（1）に対応するツールで、CDMに対応したセキュリティガイドラインのポリシーを施行・実施する。セキュリティコンプライアンスモニタリングとリアルタイムパフォーマンスモニタリングを統合し、すでに認知されている脅威を検知するだけでなく、未知の脅威に対しても事前に対策できる。問題を見つけたらアラートで通知したり、レポートの出力を行うため、セキュリティサイクルを回していくことも容易だ。

モニタリング基盤に「FT」が最適

　「SightLine ACEは非常にすぐれたツールだが、継続的なモニタリングを実施するためには、堅牢で信頼性の高いインフラが必要となる。そこでFT（フォールトトレラント）基盤を提供するソフトウェア『Stratus everRun Enterprise』を紹介したい」と本多システム担当部長は自社製品をアピールした。

　日本ストラタステクノロジーは、無停止型サーバーのftServerベンダーとして知られている。ftServerの信頼性は高く、停止することができないミッションクリティカルなシステムを中心に導入が進んでいる。その高い連続可用性技術をソフトウェア製品化したStratus everRun Enterpriseにより、導入コストを抑え、堅牢なモニタリング基盤を構築することが可能になる。

　Stratus everRun Enterpriseは、市販されている一般的なx86サーバー2台一組で構成し、サーバー上に冗長化された仮想マシンを生成しアプリケーションを稼働させる。アプリケーションは常にミラーリングされ、データとメモリについても常に同期している。万が一、片方のサーバーにハードウェア障害が起きたとしても、仮想マシンのフェールオーバーが発生しないため、アプリケーションに影響は及ばない。無停止で運用が続けられることから、モニタリング基盤に必要な要件を満たしている。

　現状でCDMを適用するには、SightLine ACEとStratus everRun Enterpriseの組み合わせが最適だ。導入効果の高いCDMを適用した高信頼性モニタリング基盤でセキュリティリスクを低減できれば、多くの企業にとってメリットがあるだろう。