クラウドクラウドコンピュティングにおけるセキュ …2009/08/27 · 2009/8/27 1 Cloud Computing Team, IBM Japan クラウドクラウドコンピュティングにおけるセキュリティ・コンピューティングにおけるセキュリティ

2009/8/27

1

Cloud Computing Team, IBM Japan

クラウド・コンピューティングにおけるセキュリティクラウドコンピュティングにおけるセキュリティ〜アイデンティティとデータの管理を中⼼に

2009年9⽉2⽇⽇本アイビーエム株式会社東京基礎研究所浦本直彦

発表の概要

はじめに：我々を取り巻く環境の変化クラウドコンピティングとはクラウド・コンピューティングとはクラウド・コンピューティング・セキュリティとそのフレームワークトピック– アイデンティティ管理

© 2009 IBM Corporation

– データ管理– マネージド・クラウド・コンピューティングサービス– 研究開発事例

2009/8/27

2

業界・系列クラウド

我々を取り巻くIT環境が変わりつつあります

Cloudパブリック

プライベートクラウド

仮想化

W mWeb Platform

Cloud

Mashup

クラウド

コミュニティ

SaaS

仮想化

仮想化

© 2009 IBM Corporation 3

Ajax

集合知

業界・系列クラウド

我々を取り巻くIT環境が変わりつつあります

Cloudパブリック


仮想化従来企業境界を越たシムW mWeb Platform

Cloud

Mashup

クラウド

コミュニティ

SaaS

仮想化

仮想化従来の企業境界を越えたシステム・サービスの連携

コミュニティ・個⼈の台頭による情報の濃度と信頼性の変化

シムサビを「所有すから


Ajax

集合知

システム・サービスを「所有する」から「使用する」へ

2009/8/27

3

複雑さが劇的に増加しています

情報爆発によるストレージ1.5x情報爆発によるストレージの毎年の増加54%

70¢ per $1ITインフラ維持に、費用の70%を使用


85% idle分散計算環境では未使用が85%

Webアプリにおける脆弱性の最新動向IBM ISS X-Force Threat and Risk Report 2008より

Webアプリケーションの脆弱性が年々増加して

Webアプリとその脆弱性の問題は企業IT基盤にとって無視できません

Cross-Site Scriptingや


脆弱性が年々増加しています

Cross Site ScriptingやSQLインジェクション等が依然として大きな割合

を占めています

http://www-935.ibm.com/services/us/iss/xforce/trendreports/xforce-2008-annual-report.pdf

2009/8/27

4



– データ管理・脆弱性対策・情報漏洩防⽌– マネージド・クラウド・コンピューティングサービス– 研究開発事例

サービス提供基盤としてのクラウド・コンピューティングa style of computing where massively scalable IT-related capabilities are provided 'as a service' across the Internet to multiple external customers Source: Gartner, 2008

XaaS: ‘Everything’ as a service

PaaS: Platforms-as-a-Service

SaaS: Software-as-a-Service(アプリケーション)

パブリック・クラウド（プロバイダー - インターネット）

プライベート・クラウド（データセンター - イントラネット）ハイブリッド・クラウド

（パブリック / プライベート）


PaaS: Platforms-as-a-Service(開発環境を含むサービス提供プラットフォーム)

IaaS: Infrastructure-as-a-Service(仮想化されたサーバー、ストレージ、ネットワーク)

サーバーストレージネットワーク

Amazon EC2/S3,

2009/8/27

5

企業

３つのクラウド・モデル

サービス統合サービス統合

従来型のエンタープライズIT


サービスサービスサービス統合

パブリッククラウド

サービス

ハイブリッドクラウド


ミッション・クリティカルパッケージソフトコンプライアンス

開発者用プラットフォームテストシステムプロトタイプ環境

SaaSウェブ・ホスティング従量型ストレージ




2009/8/27

6

クラウドセキィリティの基礎

? ?

TODAY TOMORROW

?

自社で管理されているサーバーはXという場所にあるデータはサーバーY, Zに保管されている

? ??

誰が管理するのか？サーバーはどこにあるのか？データはどこに保管されているか？


保管されている適切にバックアップされている管理者がアクセス権を管理している稼働時間は⼗分である監査がきちんとなされている.自社のセキュリティチームが関与している

いるか？誰がバックアップを取るのか?誰がアクセス権を持っているか?弾⼒性はあるか?どのように監査するのか?どのように自社のセキィリティチームが関与するのか？

コントロール不⾜多くの企業や公共のお客様は、コントロールが及ばないシステム上にデ

タを置く事を⼼地よくは思

データの安全性シェアード・ネットワークやインフラストラクチャーへのワークロードの移⾏は不正な脅威の可能性を増

クラウド環境におけるセキュリティーの懸念事項

コンプライアンス

ータを置く事を、⼼地よくは思っていません。サービス提供者はお客様が使い易いように、⾼度のセキュリティー透明性を提供する必要があります。信頼性

⾼可用性は主要な懸念の⼀つです。IT部門はサービス停⽌について⼼配しています。ミッションクリティカルなアプリケーションは可用性に対する強い保証が無い限り、クラウド上で⾛らせることは無いと考えられますセキュリティー管理

移⾏は、不正な脅威の可能性を増大させます。認証とアクセス技術はますます重要になってきます。


コンプライアンスSOX対応、HIPPA対応や他の規制によって、いくつかのアプリケーションでクラウドの使用が禁じられる可能性があります。全社的な監査機能は必須のものです。

は無いと考えられます。セキュリティ管理サービス提供者はファイアーウォールやアプリケーションに対するセキュリティーの設定、クラウド上の実⾏環境を管理するため、容易で仮想的なコントロールを提供しなければいけません。

2009/8/27

7

IBM セキュリティ・フレームワークは総合的なリスクおよびコンプライアンス管理を提供します

15,000名の研究者、技術者、専門家個3000個のセキュリティ・リスクに関す

る特許200個の顧客事例と50個の公開されたケーススタディ$1.5Bのセキュリティ投資(2008)


$1.5Bのセキュリティ投資(2008)

⼀⽇に4億個のセキュリティイベントを処理このフレームワークはクラウドコンピューティングにおいても有効です

アクセス権の管理アクセス権の管理

Cloud Computingにおけるリスクはセキュリティフレームワークの各層で発⽣します

データの分離データの分離

データリカバリーデータリカバリー

調査への協⼒調査への協⼒

コンプライアンスコンプライアンス


データの保存場所データの保存場所

障害復旧障害復旧Gartner: Assessing the Security Risks of Cloud Computing, June 2008

14

2009/8/27

8

SaaS ⼈とアイデンティ管理ガバナンス・リスク・コンプライアンス

• 情報ライフサイクル管理

• ガバナンス・リスク管理• コンプライアンス・監査

• 電⼦情報開⽰• アイデンティティ・アクセス管理

Cloud Computingにおけるセキュリティトピックとセキュリティフレームワークの関連

PaaS

ネットワク

アプリケーション・プロセス

データ保護・情報管理

• 暗号化・鍵管理• ポータビリティ・相互運用性

• アプリケーションセキュリティ

• 仮想化チナ

• 情報漏洩防⽌

• 脆弱性管理

• データの分離・場所管理


IaaS物理インフラストラクチャ

ネットワーク・サーバー・エンドポイント

ポリシー・イベント管理・レポーティング• リーガル

• ストレージ

• 事業継続性・ディザスタリカバリ• 障害・事故への対応・通知・回復

• データセンター運用管理

• マルチテナンシー

• 物理的なセキュリティ

セキュリティーエリア対策 IBM ソリューション例アイデンティティー

管理ID・権限管理、セキュリティーポリシー管理、セキュリティー教育

Tivoli Identity ManagerTivoli Access Manager for e-businessTivoli Federated Identity Manager

IBM Tivoli Access Manager for Operating SystemsIBM ISS Education Service

IBMセキュリティー・フレームワークにおけるIBMソリューション

データ保護、情報管理

コンテンツ・セキュリティー、暗号化、ログ管理、アクセス制御

IBM Fidelis XPSIBM クライアント・セキュリティー・ソリューションIBM ISS Proventia Network Mail SecurityIBM Optim

IBM Eメール・セキュリティー管理サービスIBM Tivoli Security Information and Event Manager IBM WebSphere DataPowerIBM エンド・ポイント暗号化⽀援

アプリケーション・プロセスアクセス制御、脆弱

性監査、ポリシー管理

IBM ISS Webセキュリティー診断サービスIBM Rational AppScanIBM Tivoli Security Policy Manager

IBM Tivoli Access Manager for Enterprise Single Sign-OnTivoli Access Manager for e-business


ネットワーク・サーバー・エンドポイント

アクセス制御、不正侵⼊防御、ウィルス対策、脆弱性監査

IBM ISS Proventia Network Enterprise ScannerIBM ISS Proventia Network IPSIBM ISS Proventia Network Virtual IPS

IBM ISS Proventia ServerIBM ISS Proventia Network Multi-Function SecurityIBM ISS インフラ・セキュリティー診断サービス

物理インフラストラクチャー

⼊退室管理、遠隔セキュリティー監視、ビデオ監視

IBM IB-ACCESSIBM Managed Security Services IBM Smart Surveillance Solution

16

2009/8/27

9



– データ管理– マネージドクラウドコンピューティングサービス– 研究開発事例

クラウドサービス連携とアイデンティティ管理クラウドＡクラウドＢ

認証: OpenID

認証: UserID/Passwordクラウド間の連携

問題点デ表交換プが統

企業

認証: OpenID

認証: SAML

クラウド連携を可能にするアイデンティ管理

クラウドサービスと自社サービスの連携


– アイデンティの表現や交換プロトコルが統⼀されていない• UserID/Password, OpenID, SAML, etc.

– 認証・認可のためのポリシー管理の実装ががまちまちである

– クラウドと企業アプリを連結するための仕組みが不⼗分である

アイデンティ管理ポリシー管理

の仕組みが必要

2009/8/27

10

概要: Webや連携されたエンティティへ柔軟なシングルサインオン(SSO)が提供され、ビジネスドメインをまたがるサービスに接続することができます。

Tivoli Access Manager and Federation (Tivoli Access Manager and Federation (TFIM)TFIM)

ServiceManagement

Systems and ImageManagement

ComputingInfrastructure

3rd PartyCloud

Service Requestor

クラウドアイデンティティ

連携

クラウド環境でのアイデンティテイ管理を⾏うIBM製品・サービス

ユースケース: アイデンティ情報の検証と処理。様々なクラウド環境における認証。配置シナリオ:アプリケーションサーバー上に置かれ、サービスおよび管理機能へのアクセスを認証します。

Systems Storage

Network

TFIM

Service Provider

クラウドと既存アプリへの単⼀アクセス

⽅式を提供

概要:アプリとデータアクセスの集中管理、およびWebサービスや複合アプリやサービスにまたがったセキュリティポリシーの適用を⾏います

Tivoli Security Policy Manager (TSPM) and RunTivoli Security Policy Manager (TSPM) and Run--Time Security Services (RTSS)Time Security Services (RTSS)

ServiceManagement



クラウドアクセス管理

TSPM

© 2009 IBM Corporation19

がったセキュリティポリシの適用を⾏います。ユースケース: ランタイムセキュリティサービスを用いた分散セキュリティ適用。様々なクラウド環境に対し細流度の認証とデータアクセスを認証します。配置シナリオ:ポータルサーバーに置かれ、ロール、ルール、属性などに基づいてサービスへのアクセスを認可します。

Systems Storage

Network

Service Requestor

Service Provider

RTSS

アクセス管理

クラウド環境で、管理者とユーザの

ロールを分離




2009/8/27

11

クラウド環境におけるデータ管理・保護の問題クラウドは「何処にあってもよい」– ピークタイムの異なる地域を⼀つのデータセンターでカバーすることにより、計算機資源を有効に活用

– 寒冷な土地や地下にデータセンターを設置することで冷却コスト削減– データリカバリの⾯からは、離れたロケーションに複数のバックアップが必要

自分のデータが何処にあるのかわからない？– 情報のライフサイクルを管理できない (例: 確実な消し込み)– 従来のフォレンジック技術が必ずしも適用可能ではない

国境をまたがった場合の問題– 地震、⽕災、テロ、戦争 etc. による影響国により異なる法令遵守義務が⽣じる


– 国により、異なる法令遵守義務が⽣じる– 国家権⼒によりデータ開⽰が要求される場合がある

• 例）⽶国愛国者法 (US PATRIOT Act)– 電話やEメール、医療情報、⾦融情報や他の記録について政府が調査する権限を拡大

– Amazon S3はUSAとヨーロッパに物理的に設置され、どちらを使うか選ぶことができる

21

データ保護、プライバシーに関する各国の動き⽶国– ⽶国愛国者法 (PATRIOT Act)

• 電話やEメール、医療情報、⾦融情報や他の記録について政府が調査する権限を拡大 -> 保管された企業データが⽶政府に公開される危険性

⽶国企業改⾰法 (SOX法)– ⽶国企業改⾰法 (SOX法)– Payment Card Industry Data Security Standard (PCI-DSS)

• ペイメントカード情報セキュリティの国際統⼀基準– 医療保険の相互運用性と説明責任に関する法律（Health Insurance Portability and

Accountability Act：HIPAA)• 個⼈を特定することのできる医療データを、患者の同意なしに第三者機関に開⽰することを制限

EU– 個⼈データ保護指令


個保護指令• 個⼈データの処理に係る個⼈の保護及びその自由な流通に関する欧州議会及びＥＵ理事会指令（９５／４６／ＥＣ）

• 個⼈データの第三国への移転は、その国が⼗分なレベルの保護措置を確保している場合に限って⾏うことができる ->データベースの暗号化などが必要

– データ保護指令を受け、EU各国でデータ保護法の施⾏⽶国とEUはセーフハーバー協定を締結

228/27/2009

2009/8/27

12

クラウド環境でのデータ管理を⾏うIBM製品・サービス

概要: 多数ユーザ間で共有できるように設計され、すべてのレベル(プロセッサ、OS, アプリ)でセキュリティが確保されています。IBMは、マルチサイトの企業インフラにおいて、

IBM Systems, Storage, and Network SegmentationIBM Systems, Storage, and Network Segmentation

ServiceManagement



Service Requestorデータの分離

ISS

は、マルチサイトの企業インフラにおいて、データアイソレーションを維持するストレージソリューションを提供しています。ユースケース: アプリのアイソレーション、OSコンテナー、暗号化ストレージ、VLAN,、その他のアイソレーション技術がセキュアでマルチテナントのクラウドインフラの提供をサポートします。

Storage

Network

概要: IBM BCRSデータ保護サービスは、完全に管理された従量制のサービスでマルチ

IBM Information Protection ServicesIBM Information Protection Services

Systems

IBM Information Protection Cloud

マルチテナント環境においてデータ資源を管理します

デタリカバリ

Service Requestor


全に管理された従量制のサビスで、マルチテナントなパブリッククラウドとして設計されています。3,400を超える顧客を管理しています。ユースケース：顧客のデータセンターや第3者のクラウドのためのリモートデータ保護。データは、自動的にIBMの⾼セキュリティデータセンターにバックアップされます。従量制サブスクリプションサービスには、ハードウエア、ソフトウエア、運用サポートが含まれます。

PrivateCloud

Enterprise Data Center

データリカバリ

クラウド上に保存されたデータのバックアップとリカバリ




2009/8/27

13

Global Technology Services

IBM マネージド・クラウド・コンピューティング・サービス（IBM MCCS）IT資源を従量制で提供する新たなパブリック・クラウド・サービス

エンドユーザー• めまぐるしく変化するビジネス環境に迅速に対

応するITシステムの実現• 多様化するIT利用形態への柔軟な対応

ビジネス成⻑に合わせた拡張性の⾼いシステ

お客さまの課題、期待 IBM MCCSと通常アウトソーシングとの組み合わせにより、全てのスコープを⼀元的に運用管理することが可能です。

クラウドデータセンター

IBM MCCS（サーバー資源提供*1＋運用）

Hyper Visor

OS

MW

アプリ

CPU資源

OS

MW

アプリ

OS

MW

アプリ

・・・

ネットワークネットワーク

運用管理お客さま

お客さま、もしくはIBMによる運用

• ビジネス成⻑に合わせた拡張性の⾼いシステム資源の確保

• IT運営にかかるコストの最適化

柔軟性 : 必要な時に必要な量だけ利用可能迅速性 : ビジネス変化に迅速に対応可用性 : ビジネス継続性の維持・向上拡張性 : ビジネス拡大に応じてスムーズに対応

期待される効果

お勧めしたいお客さま


ストレージ資源ネットワーク資源

運用管理他システム

*1 OSおよびミドルウェアのライセンスは含まれません

お勧めしたいお客さま• 繁忙期等季節変動のあるお客さま• IT資源使用率の低いお客さま• IT資源の最適化、コスト削減を目指している

お客さま• 新規開発を予定しているお客さま• 開発、テスト利用の多いお客さま• 膨大なサーバー台数のあるお客さま• アプリケーションの再構築を予定しているお客

さま




2009/8/27

14

研究開発事例Web 2.0 ・ SaaS アプリケーションを保護するための

エンド・ツー・エンドのセキュリティ技術開発コンテンツ・フィルタ悪意のあるコンテンツの

サニタイゼーション課題

Web 2.0やマッシュアップアプリケシンに対する攻撃の対策

情報漏えい防⽌SaaS環境でのビジネスデータの保護

とコンプライアンス

アプリケーションに対する攻撃への対策SaaS環境でのビジネスデータの保護

東京基礎研究所の技術コンテンツフィルタリング技術 (ACF: Active Content Filter)

様々なコンテンツタイプへの攻撃を防御(JSON, RSS/Atom, Flash …)異常検知技術により、悪意のある⼊⼒データを判別

セキュアマッシュアップ (SM h)


異なる信頼度を持つプロバイダのサービスを安全に統合する

Browser

Event Hub

Component B

Component C

Widget C1

Controller & Model

Component A

Widget A2

Widget A1

Controller

& Model

安全なマッシュアップ技術セキュア・マッシュアップ (SMash)既存のブラウザ上でマッシュアップされたコンテンツを分離し、安全に実⾏するためのフレームワーク

ドキュメント情報漏えい防⽌技術ドキュメントの内容から機密度を判断

Active Content Filtering

<script> <! deleted >

(1) JavaScript のフィリタリングBlog アプリケーション

• 悪意を持ったJavaScriptコードの除去を⾏うJavaライブラリ• 複数のIBM製品に搭載済み

<script>Malicious code

</script>



(2) 難読化された⽂字列の復元

(3) 不適当な単語のフィルタリング

<img src=“ja&#00001

18&#97 …




BLOG

This is slander …

BLOG

This is *** …

(3) 不適当な単語のフィルタリングユーザの⼊⼒ <script>

Malicious()…

今⽇の⽇記は…

2009/8/27

15

セキュアマッシュアップ• Ajax Hub 2.0 仕様としてOpen Ajax Allianceで標準化

X


コンポーネント間のアクセスを細流度で制御可能

Documents

クラウドクラウドコンピュ ティングにおけるセキュ …2009/08/27 · 2009/8/27 1 Cloud Computing Team, IBM Japan クラウドクラウドコンピュ ティングにおけるセキュリティ・コンピューティングにおけるセキュリティ

クラウドクラウドコンピュティングにおけるセキュ …2009/08/27 · 2009/8/27 1 Cloud Computing Team, IBM Japan クラウドクラウドコンピュティングにおけるセキュリティ・コンピューティングにおけるセキュリティ