Ⅰ-② 延命セキュリティ 延命セキュリティ 二つの対策方法 ▐ 対策① ホワイトリスト型 l 概要： 動作させてもよいアプリケーションのみ許可し、それ以外の全ての動作 をブロックすることで、不正な動作を防止します。 l 特長： 特定用途やスタンドアロンのＰＣの延命に効果的です。 アプリケーション 起動制御 不許可アプリケーショ ンは防止 リストに登録されたアプリ ケーションのみ許可 ▐ 対策② 仮想パッチ型 l 概要： OS、アプリケーションの脆弱性を狙った通信をブロックし、正規パッチを 当てた場合と同等のセキュリティを提供します。 l 特長： PCへの影響が小さいため、最小限の評価で適用可能です。 クラッカー 攻撃 ボット Page 92 © NEC Corporation 2014 仮想パッチ Ⅰ-② 延命セキュリティ 延命セキュリティ製品 製品名 ホワイトリスト型 お客様の想定 対象OS McAfee Embedded Control 特定の業務で利用する 物理PC・仮想PCや、 Windows Server 2003 Windows XP、 Windows Server 2003 Trend Micro Safe Lock 特定の業務で利用する スタンドアロンPC Windows XP Trend Micro ウイルスバスター コーポレートエディション 脆弱性対策オプション ネットワーク接続がある 物理PC Windows XP Trend Micro Deep Security Virtual Appliance VMware上で動作するVPC、 同、Windows Server 2003 Windows XP、 Windows Server 2003 仮想パッチ型 Page 93 © NEC Corporation 2014 Ⅰ-② 延命セキュリティ ホワイトリスト型セキュリティ McAfee Embedded Control n概要／導入メリット •予め登録した実行ファイルやスクリプトのみを動作させるホワイトリスト型セキュリティ •登録したファイルの改ざんも防止することで、なりすましやシステムの破壊も防止 •メモリ保護機能を実装し、バッファオーバフロー攻撃やDLLを悪用する攻撃など脆弱性を利 用した攻撃からもシステムを保護 •定義ファイルの定期更新が不要なため、インターネットへの接続が不要 ◎動作イメージ クラッカー 攻撃 Windows Windows マシン内を検索し Server アプリケーションを XP 2003 登録 リストに登録外の アプリケーションは動作不可 ボット メモリ保護機能 ◎運用イメージ ホワイトリストの 作成 Windows Windows Server XP 2003 Page 94 © NEC Corporation 2014 システム保護 アプリケーションの 追加・更新 （ホワイトリストは自動更新） Ⅰ-② 延命セキュリティ McAfee Embedded Controlの特長 McAfee Embedded Control は「ホワイトリスト方式」を採用しているので、 システム変更が少ない旧OS延命提案に最適なセキュリティ対策ソフトです。 ▌導入効果 OEM品の取り扱いは サーバベンダでは “NECのみ” 1. セキュリティパッチを適用しない状態で高いセキュリティを確保 l あらかじめ動作させるプログラムを登録（＝ホワイトリスト） l 登録されていないプログラムの起動を検知し、強制的に停止 2. 未知のウイルスや脆弱性攻撃からもサーバを保護 l 未知のウイルスは未登録のプログラムとして扱い、動作を停止 l メモリ保護機能によりWindowsOSのバッファオーバーフロー脆弱性への攻撃 を無効化 3. サーバの処理性能への影響は軽微 l アンチウイルスのようなディスクスキャンはなく、メモリ消費は12MB程度 Page 95 © NEC Corporation 2014 Ⅰ-② 延命セキュリティ ホワイトリスト型セキュリティ Trend Micro Safe Lock n概要／導入メリット •予め許可リストに登録したアプリケーション以外をブロックするロックダウン型セキュリティ •定義ファイルの定期更新や構成変更が不要な制御系端末など特定用途やスタンドアロン のPC/サーバ延命に効果的 •不正侵入対策機能や外部デバイスの不正実行防止機能もあり、さらに安全に利用可能 ◎動作イメージ Windows Windows Server XP 2003 マシン内を検索し アプリケーションを登録 システムをロックダウン リストに登録外の アプリケーションは動作不可 ◎運用イメージ システムの ロックダウン 登録済み 許可リストの アプリケーションの 再作成 更新・変更 ＊ロックダウン型セキュリティ：ホワイトリスト型と同義 Page 96 © NEC Corporation 2014 Ⅰ-② 延命セキュリティ 仮想パッチ型セキュリティ Trend Micro ウイルスバスター コーポレートエディション脆弱性対策オプション n概要／導入メリット -クライアントOSに特化した仮想パッチで、正規パッチと同等のセキュリティを提供 -仮想パッチはOSの構成変更（インストール）は行わないため、システムへの影響が少なく、 最小限の評価で適用可能 -ウイルスバスター Corp.にオプションとして適用するので、既にウイルスバスター Corp.を ご利用のお客様であれば導入が容易 ◎動作イメージ クラッカー XP端末 攻撃 ボット 仮想パッチ ◎運用イメージ 脆弱性 仮想パッチ 情報公開 提供開始 ※一定期間テストモードで影響を確認。この期間も攻撃の監視は行われる ※ 推奨検索 検証※ ※緊急度に応じて0日～1か月で提供 Page 97 © NEC Corporation 2014 適用 セキュリティを確保 … Ⅰ-② 延命セキュリティ 仮想パッチ型セキュリティ Trend Micro Deep Security Virtual Appliance n概要／導入メリット -仮想アプライアンス型保護により、ハイパーバイザ上の仮想マシンをエージェントレスの 仮想パッチで一括保護。仮想化によるXP延命案件のセキュリティ保護に最適 -脆弱性保護の他にアンチウイルス、変更監視、ファイヤウォールなどでセキュリティリスクの 高いXPを多面的に防御 -仮想パッチはWindows Server 2003の延命にも拡張可 ◎動作イメージ DSＶＡ クラッカー 攻撃 ボット 仮想パッチ 仮想マシン 仮想マシン AP AP XP XP ハイパーバイザ ◎運用イメージ 脆弱性 情報公開 仮想パッチ 提供開始 ※一定期間テストモードで影響を確認。この期間も攻撃の監視は行われる ※ 推奨検索 検証※ ※緊急度に応じて0日～1か月で提供 Page 98 © NEC Corporation 2014 適用 セキュリティを確保 … （参考） 旧ＯＳ遮断 InfoCage 不正接続防止 ～ NECのネットワークを10年間以上守り続けている不正接続防止製品 ～ ＜製品概要＞ セキュリティアプライアンス「InterSec/NQ30」が、外部から 持ち込まれる脅威からネットワークを守ります。 ü ü ü InfoCage 不正接続防止 マネージャ ネットワークに接続されている機器のIPアドレス、MACアドレスや OS種別を一覧表示し、ネットワークを可視化します。 登録外の持込みPCをネットワークから遮断し、不正アクセスや ウイルスの二次感染からネットワークを守ります。 エージェントが不要・既設ネットワーク機器の設定変更が不要な ため、簡単に導入できます。 ＜XP端末接続防止ソリューション＞ ü ü Webコンソール V4.0 NEW サポートの切れるXP端末の、ネットワークへの接続を防止します。 持込みPCの完全な排除の困難な、大学などの準オープンな ネットワーク環境におすすめです。 InterSec/NQ30c ＜PC管理製品連携ソリューション＞ 新規に接続してきたPCのWebブラウザに、資産管理ソフトウェ アや検疫エージェントなどのPC管理製品のインストール画面を 表示し、クライアントソフトウェアの導入の徹底と展開コストの 削減を行います。 ü 連携製品： LanScope Cat、SKYSEA ClientView、InfoCage PC検疫 2014年4月中旬 V4.0 リリース © NEC Corporation 2014 持込みPC 私有スマートフォン V4.0 NEW ü Page 99 正規PC NEC優位性 •10年間以上の販売実績と信頼性 •10万台規模での運用実績 •IPv6に業界で先行して対応 動作環境：Windows Server 2012 R2/2012/2008 R2/2008/2003 価格：48.8万円～ URL： https://www.intra.nec.co.jp/InfoCage_prevention/ （参考） 旧ＯＳ遮断 【活用例】 XP端末接続防止ソリューション ～ サポート切れOSからネットワークを守ります～ Windows XPのサポートは2014年4月で終了です。 対策は完了しましたでしょうか？ A大学様の事例 サポート切れOSはネットワークに接続させたくない。 だけど、大学のネットワークは学生が利用するし、 端末の入れ替わりが多くてとても管理しきれない。 XP端末を自動的に検出し、ネットワークから遮断 InterSec/NQ30c Windows 7 Page 100 Windows XP © NEC Corporation 2014 状態 MACアドレス IPアドレス 機器種別 NG 00:00:00:00:00:01 192.168.0.1 Windows XP SP3 OK 00:00:00:00:00:02 192.168.0.2 Windows 7 SP1 OK 00:00:00:00:00:04 192.168.0.4 iOS OK 00:00:00:00:00:05 192.168.0.5 ネットワーク機器 OK 00:00:00:00:00:06 192.168.0.6 Linux サポート切れOSを ネットワークから遮断
© Copyright 2024 ExpyDoc
