TOP>製品/サービス>課題から探す>【標的型攻撃対策】業務端末をインターネットから分離

【標的型攻撃対策】業務端末をインターネットから分離

doublebrowser

近年急増する標的型攻撃への対処法として、総務省・IPA(独立行政法人情報処理推進機構)・NISC(内閣サイバーセキュリティセンター)は相次いで個人情報などの重要情報を扱うシステムをインターネットから分離するよう求めています。アシストの「ダブルブラウザ・ソリューション」は、仮想ブラウザ方式を用いてユーザの利便性を犠牲にしないネットワーク分離を低コストで実現します。2015年10月に発表して以降、国内でおよそ10万ユーザに利用されています(2016年9月現在)。
本ページでは、インターネット分離の考え方と、それを実現するダブルブラウザの仕組みや強みをご紹介します。

◎新着ニュース

◎このページの目次



標的型攻撃等のサイバー攻撃に有効な「インターネット分離」とは

ランサムウェア被害が約20倍へ!標的型攻撃も急増中

近年の標的型攻撃は、機密情報だけでなく個人情報も狙われていることから、あらゆる企業や組織にまで被害が拡大しています。防御側の手の内を知りつくした巧妙で高度な攻撃に対して、防ぎきることは不可能と言われています。さらに、無差別的なフィッシングメールや不正サイトの閲覧を通じたランサムウェア被害が、企業規模や地域を問わず急増しています。IPAに寄せられたランサムウェアに関する相談件数は、2016年第一四半期(1~3月)で124件。2015年同期の相談件数は6件であったため、約20倍に激増しています。

企業価値や信頼を一瞬のうちに破壊する情報漏洩やデータ破壊の脅威に備えるため、私たちは早急に対処しなければなりません。それでは、どのように対処していくべきでしょうか?その具体策となるのが、総務省・IPA・NISCが推奨する「インターネット分離」です。

※2016年4月13日発表、『 【注意喚起】ランサムウェア感染を狙った攻撃に注意

総務省、NISC、IPAは相次いでインターネット分離を推進

インターネット分離とは、インターネットアクセス用セグメントから社内システムを切り離して、マルウェア感染や情報漏洩リスクを根本から排除する仕組みです。2015年6月以降、政府機関、NISC、IPA等は相次いで、重要システムや個人情報を取り扱う業務端末をインターネット環境から分離するよう推進しています。

発行元 発表内容
2015年6月2日 IPA 多層防御の一環として、一般端末と重要業務システムとの分離を推奨した。
2015年7月23日 政府・NISC 政府機関のセキュリティガイドラインである「サイバーセキュリティ戦略」の抜本的強化策の一つとして、重要情報を扱う情報システムをインターネットから分離することを決定した。
2015年8月12日 総務省 日本年金機構の個人情報流出問題を踏まえた緊急対策として、各自治体の住民基本台帳システムと、インターネット用端末とを完全に分けるよう求めた。
⇒2015年10月5日、全自治体にて対応完了
2015年12月28日 経済産業省・IPA 企業経営者向けに策定した「サイバーセキュリティ経営ガイドライン」における技術対策例として、多層防御やネットワーク分離などを示した。
2016年7月28日 観光庁 大手旅行会社の個人情報流出を受けて実施した旅行業界情報流出事案検討会において、旅行業者が早急に取るべき対応の一つとして、個人情報にアクセスするシステムとインターネットを分離することを挙げた。

総務省、インターネット分離を求めるガイドラインを自治体へ提示

標的型攻撃の被害拡大やマイナンバー制度の施行を受けて、総務省の自治体情報セキュリティ対策検討チームは「 自治体情報システム強靭性向上モデル 」を発表しました。各自治体におけるマイナンバー等の個人情報を徹底して守るため、LGWANとインターネット接続ネットワークとを分離するよう求めています。

総務省が発表した「インターネット分離」に関するガイドラインはこちら

物理分離は、「高コスト・利便性低下」が不可避

「インターネット分離」は目新しい技術ではありません。特に金融機関や重要インフラ企業においては、インターネット専用端末を設置して、基幹業務用ネットワークと物理的に切り離すことでインターネットからの脅威を防いできました。

物理分離は確実な手段ですが、工数やコストがかかるうえに利用者の利便性低下が懸念されます。
「工数・コスト」の面では、インターネット専用端末の購入、ネットワークの二重化工事、設置スペースの確保が必要です。システム規模が大きくなるほど、導入コストや管理負荷が増大する恐れがあります。
「利便性」の面でも、インターネットを利用するために、離れた場所にある端末まで移動しなければならなかったり、2台の端末間でデータ共有が禁止されることで業務効率が低下します。さらに、重要データの別ネットワークへの持ち出しをルール上は禁止したとしても、業務効率を優先してUSBメモリを使ってデータをコピーするといった抜け道が横行し、そこからマルウェア侵入や情報漏洩が発生する恐れがあります。

このような背景から「論理的なインターネット分離」に注目が集まっています。


論理分離なら、「セキュリティ・利便性」を両立

仮想化技術を用いる場合、業務端末のネットワークをインターネットから分離するところまでは、物理分離と同じ考え方ですが、インターネット接続が必要なアプリケーション(ブラウザやメール)は、業務端末ではなく仮想サーバ側へインストールします。仮想サーバ上で実行されたブラウザやメールの画面だけが業務端末側へ転送されるため、万が一仮想サーバがマルウェアに感染しても、守るべき情報がある業務端末や内部ネットワークには影響ありません。物理分離とは異なり、利用者は1台の業務端末から「インターネット」と「業務システム」の双方を利用できます。

強靭なセキュリティを保ちつつ、ユーザ利便性を損なわない仮想分離。これを実現する具体策こそが「ダブルブラウザ・ソリューション」です。


安全・便利・低コスト・シンプルな運用を実現する「ダブルブラウザ」とは

ダブルブラウザ・ソリューションは、2015年10月に仮想ブラウザ方式を用いたインターネット分離ソリューションとして発表されました。クライアント仮想化製品「Ericom 」を基盤としており、低価格なライセンス体系シンプルな構成が特長です。さらに、一般的にトレードオフと言われる強靭なセキュリティユーザの使い勝手を両立する豊富な機能を有します。
2016年9月現在、自治体や金融機関を中心に、国内でおよそ10万ユーザに利用されています。ダブルブラウザは、自治体情報システム強靭性向上モデルにも完全対応します。

ダブルブラウザの「自治体情報システム強靭性向上モデル」対応イメージはこちら

ダブルブラウザの詳細が知りたい方向けに、紹介資料をWebで公開中です。ソリューション概要やシステム構成、導入コストを大幅に削減するLinux対応版の詳細、導入事例まで記載しています。

ダブルブラウザ紹介資料の目次を見る

ダブルブラウザで実現する「インターネット分離」の全体像

ダブルブラウザでインターネット分離を実現した場合の利用イメージは、下図の通りです。

ダブルブラウザ利用イメージ

業務端末のデスクトップ上にWebブラウザのアイコンが2つ表示されます。黄色で囲ったブラウザが、イントラネット接続専用のブラウザ(以下、ローカルブラウザ)、オレンジで囲ったブラウザが、インターネット接続専用のブラウザ(以下、仮想ブラウザ)です。

ダブルブラウザの体験デモサイトを公開中です。
下のリンクをクリックすると、現在ご利用中のブラウザ内に仮想デスクトップが表示されます(これが普段利用している業務PCと想定してください)。「デスクトップ」アイコンをクリックし、「インターネット用Linux仮想ブラウザ」アイコンをクリックすると、仮想サーバ(Linux)で稼働する仮想ブラウザ(Firefox)が起動します。

ダブルブラウザを体験する(デモサイトはこちら)


続いて、2つのブラウザを使ってどのようにマルウェア感染を防ぐのかについて、下図で説明します。

ダブルブラウザ全体像

① 内部ファイアウォール
  内部ファイアウォールで許可された通信ポートは、ダブルブラウザの独自通信(Ericom Blaze)のみ。
  業務端末からのインターネットアクセス(HTTP/HTTPS)を遮断するため、別経路からマルウェアが
  内部ネットワークへ侵入しても、C&Cサーバとの通信を許しません。ランサムウェアのダウンロードも防ぎます。

② ローカルブラウザ(イントラネット接続用のWebブラウザ)
  ローカルブラウザは、イントラネットのWebサーバへ接続する時に使用します。
  このブラウザはインターネットと通信できないため、サポートが終了したIEをベースに稼働するWeb
  アプリケーションであっても、FlashやSilverlight等の脆弱性を狙った外部からの脅威にさらされることなく、
  安全に利用(延命)できます。

③ 仮想ブラウザ(インターネット接続用のWebブラウザ)
  仮想ブラウザは、インターネットへ接続する時に使用します。クリックすると、仮想ブラウザサーバ(④)で
  IEやFirefoxといったブラウザが起動し、このブラウザ経由でインターネットへ接続します。
  業務端末と仮想サーバ間はダブルブラウザ独自のEricom Blazeで通信し、アプリケーションの実行画面だけが
  転送されます。ローカルブラウザと同様の起動イメージですが、ブラウザの実体は仮想サーバ側にあります。

④ 仮想ブラウザサーバ
  1台の仮想ブラウザサーバにつき、複数ユーザ分の仮想ブラウザセッションを提供します。

⑤ 仮想ブラウザクライアント
  業務端末に画面転送用のクライアントモジュールをインストールします。モジュールはクリック操作だけで
  簡単に導入できます。


このように、ダブルブラウザはブラウザ経由のマルウェア感染を防ぐ「入口対策」だけでなく、マルウェアによる被害拡大防止、さらにはインターネッ分離により情報の持ち出しを防ぐ「出口対策」が備わっているといえます。
ここから先は、ダブルブラウザならではの特長をご紹介します。


ダブルブラウザが誇る4つの特徴

ダブルブラウザには4つの特長があります。管理者や利用者にどのような便益があるのか、機能の一部をご紹介します。
(※Windows対応の機能には Windows、 Linux対応の機能には Linuxのマークを付けています)

セキュリティ機能

マルウェア潜伏を防ぐための「ユーザセッションの分離と初期化」Linux
仮想サーバ上で起動した仮想ブラウザ領域をユーザ毎に分離して、さらにブラウザ終了時に初期化する機能です。万が一特定のユーザセッションがマルウェアに感染しても、別のユーザには影響ありません。仮想ブラウザは一度再起動すると、初期化されてクリーンな状態に戻るため、マルウェア潜伏時間を最小限に留めます。

誰がどのURLにアクセスしたか追跡できる「ログオプション」WinLin
利用者のWeb閲覧履歴を記録する機能です。一般的な仮想ブラウザ方式の場合、Web閲覧履歴を記録するためにはプロキシサーバ認証が必要です。ダブルブラウザはログ取得機能を備えているため、面倒なプロキシサーバ認証が不要です。


シンプルな運用

10人~100人規模なら「必要なサーバは1台のみ」Linux
同時100ユーザまでなら、新規で必要なサーバはたったの1台です。

100人~10万人規模まで同一構成で処理する「優れた管理性能」WinLin
ダブルブラウザの管理サーバは、管理性能に優れた「Ericom Connect」を採用しています。10万人規模までなら、3台のサーバ(Ericom Connect、SQL Server、ActiveDirectory)で全ユーザセッションを管理します(冗長化しない場合)。一般的に、数万ユーザ規模のシステムを構築する場合、管理サーバの台数も比例して増加します。その点、ダブルブラウザなら、管理系サーバは3台のまま、あとは仮想ブラウザサーバ(1台あたり約100人分のブラウザ環境を収容)を追加するだけです。

業務端末への「クライアント配布機能」WinLin
業務端末へインストールする仮想ブラウザクライアントは、端末の管理者権不要で、簡単なクリック操作で完了します。

インターネット側のファイルを取り込む「ファイル共有オプション」Linux
業務端末と仮想ブラウザサーバ間で、ファイル共有が可能です。ファイル転送・連携のために別サーバを構築する必要も、複雑なファイル権限の仕組みを実装する必要もありません(アンチウィルス機能のみ実装)。Windowsの場合、標準機能でファイル共有できます。


優れたユーザビリティ

仮想環境へのログインを意識させない「仮想ブラウザの直接起動」Linux
ローカルブラウザと同じ操作感で、仮想ブラウザが使用できます。一般的に、VDI方式でインターネット分離を実現すると、仮想ブラウザを使用する度に仮想デスクトップへ接続します。つまり、業務端末にはデスクトップ画面が2つ表示されます。その点、ダブルブラウザなら仮想ブラウザの画面だけを表示するため、利用者に煩わしさを感じさせません。

仮想環境へのログイン認証が不要な「自動ログオン機能」Linux
一般的に、仮想ブラウザを利用する際はユーザ認証が必要です。その点、ダブルブラウザなら、仮想ブラウザクライアントが自動的に仮想ブラウザへ認証情報(ID/パスワード)を引き渡すため、認証の手間を省きます。

適切なブラウザを自動で選び起動する「URL自動判別機能オプション」Linux
URLを自動で判別して、適切なブラウザ(リンク先が社内ならローカルブラウザを、インターネットなら仮想ブラウザ)を起動して、ページを表示するオプションがあります。そのため、利用者にとってはURLの接続先を目視で判断し、URLをコピーし、ブラウザを起動してペーストするといった手間が省かれます。
(※2017年1月対応予定)

音声利用Linux
音声リダイレクト機能があり、ローカルブラウザと同様に動画コンテンツ等の再生が可能です。

印刷利用Linux
プリンタリダイレクト機能があり、仮想ブラウザの画面を内部ネットワークのプリンタから印刷できます。インターネット接続セグメント側にプリンタを設置する必要がありません。
(※Linuxには2016年10月対応予定)


コスト最適化

Ericomならではの「安価なライセンス体系」
ダブルブラウザは、クライアント仮想化製品「Ericom」を基盤としています。他ソリューションと比較して、安価なライセンスのため導入コストを削減します。

「同時」ライセンスの提供
Ericom製品のライセンスは「同時」と「指定」の2種類から選べます。ダブルブラウザ利用者が1,000人でも、仮想ブラウザを同時に利用するのが最大100人であれば、「100同時ライセンス」で利用できます。

Linux版なら「高額なRDSCALが不要」
ダブルブラウザは、WindowsとLinuxに対応します。「Windows版」は、Windowsのリモートデスクトップサービス機能をベースに稼働するため、Remote Desktop Services CAL(以下、RDS CAL)というライセンスがユーザ(デバイス)数分必要です。例えば利用者が1万名の場合、RDSCALだけで1億円以上の費用がかかります。その点、「Linux版」ならRDSCALが不要です。
下の表は、ユーザ数1,000人、同時アクセスが最大100人の場合の概算例です。WindowsではなくLinuxを採用するだけで、約1,300~1,700万円のコスト削減が可能です。
WindowsとLinuxのどちらか一方を選ぶ方法もありますが、一部の利用者だけがWindowsを必要(IEやMS Office等が必要)とする場合は、Windows版とLinux版の混在構成を推奨します。ダブルブラウザは、OSが混在する環境であってもポリシー定義やユーザセッションをコネクションブローカーで一元管理できます。

①Windows方式 ②Linux方式
コネクションブローカーなし※1
③Linux方式
コネクションブローカーあり※1
プラットフォームOS Windows Linux Linux
5年間概算費用
(ハード+ソフト)
¥25,000,000 ¥8,000,000 ¥12,000,000
▼Ericom関連費用
ライセンス ¥3,500,000 ¥2,004,000 ¥3,500,000
年間保守 ¥805,000 ¥360,700 ¥805,000
▼IVEXダブルブラウザLinux/ダブルブラウザ連携キット関連費用
ライセンス ¥500,000 ¥1,000,000 ¥1,250,000
年間保守 ¥100,000 ¥150,000 ¥150,000
▼Microsoft関連費用
RDS CAL ¥15,000,000 ¥0 ¥0
該当製品 Ericom Connect Ericom Blaze Ericom Connect
システムの拡張性 無制限 同時100※2 無制限

  • ※1 コネクションブローカーとは、ユーザセッションの割り振りを担う管理サーバです。仮想ブラウザサーバの負荷状況を確認しながら、ユーザセッションを動的に割り振ります。
  • ※2 Linuxサーバ1台につき、同時100ユーザを処理。Linuxサーバを追加する際は、どのユーザがどのサーバへ接続するか予め定義する必要があります。


さらに、ダブルブラウザは冒頭でご紹介した「自治体情報システム強靭性向上モデル」にも対応します。

自治体情報システム強靭性向上モデルへの対応方法

ダブルブラウザは、総務省が提示する「自治体情報システム強靭性向上モデル」に対応します。Webブラウジングの無害化処理であればダブルブラウザだけで実現しますが、メールやファイルを内部ネットワークに取り込む場合は、別途無害化処理が必要です。
下図は、ダブルブラウザと親和性の高い「CyberMail」と「VOTIRO Secure Data Sanitization」で構成した場合の強靭性向上モデル適用イメージです。尚、ダブルブラウザは官公庁や自治体、公立の団体様向けにガバメントライセンス(特別価格)をご用意しています。

自治体情報システム強靭性向上モデル対応イメージ

  • メール無害化処理について

ダブルブラウザと親和性の高い「CyberMail 」を利用する場合、従来のLGWANで利用しているメールシステム(①)とは別に、インターネットアクセスが必要なメール用のWebメールサーバを新規で用意します(②)。インターネットからメールを受信すると、原本を保存した状態でメールの無害化処理を実施。メールの添付ファイルもテキスト化(無害化)した上で、LGWAN側のメールサーバへと転送します。メール原本を閲覧したい場合は、仮想ブラウザを経由すれば安全です。

  • ファイル無害化処理について

自治体強靭性向上モデルでは、無害化通信についても言及されています。原則、インターネットからダウンロードしたファイルは個人情報取扱ネットワーク内に持ち込んではなりませんが、ファイル中継時に、マルウェアや悪意あるコードを除去できる場合はファイル共有が認められています。
ダブルブラウザと親和性の高い「VOTIRO Secure Data Sanitization 」を利用する場合、(③)のVOTIRO SDSサーバが対象ファイルを無害化。一般的に攻撃対象とされる、ファイル内のメタデータ部分やスクリプト、マクロを意味のない情報へ書き換えます。ファイル閲覧時の見た目は変わらないため、ユーザの利便性は損ないません。




ダブルブラウザなら、他ソリューションと比較して、強靭なセキュリティ機能を安価に導入できます。さらに、利用者や管理者にも徹底して配慮しているため、高い利便性とシンプルな運用をも実現します。
インターネット分離をご検討なら、実績豊富なアシストへお任せください。

ダブルブラウザの導入実績/事例

ダブルブラウザは2016年9月現在、国内でおよそ10万ユーザに利用されています。
みずほ信託銀行様のIT戦略関連会社である、株式会社みずほトラストシステムズ様の採用事例をご紹介します。


ダブルブラウザの体験デモサイト

下のバナーをクリックすると、現在ご利用中のブラウザ内に仮想デスクトップが表示されます(これが普段利用している業務PCと想定してください)。「デスクトップ」アイコンをクリックし、「インターネット用Linux仮想ブラウザ」アイコンをクリックすると、仮想サーバ(Linux)で稼働する仮想ブラウザ(Firefox)が起動します。


ダブルブラウザの資料/評価版ダウンロード、各種お問い合わせ

アシストでは、ダブルブラウザ・ソリューションの導入を検討されているお客様向けに、ソリューション詳細資料や評価版を無料でご提供しています。また、ソリューションに関するご質問、導入相談、見積依頼などは下記フォームよりお問い合わせいただけます。( その他、Ericom関連資料はこちらから無料でダウンロードいただけます


ダブルブラウザ・ソリューション紹介資料

アシストが提供するネットワーク分離施策「ダブルブラウザ・ソリューション」の紹介資料です。
ソリューションの概要や優位性をはじめ、導入を検討される際に参考にしていただけるサーバ構成、技術的な留意点、導入事例など、全26ページに渡って詳しくご紹介しています。



ダブルブラウザ・ソリューション評価版のお申し込み

ダブルブラウザ・ソリューションの製品評価をご希望の方は、こちらからお申し込みください。専任スタッフより折り返しご連絡させていただきます。

※評価版のご提供は、自社利用をご検討中のお客様、もしくはEricomパートナー企業様に限定させていただきます。



ダブルブラウザ・ソリューション問い合わせ

ダブルブラウザ・ソリューションに関するご質問はこちらからお問い合わせください。
ソリューションの詳細説明やデモンストレーションのご要望、導入相談、見積依頼などお気軽にご相談ください。お客様のご要望に応じて専任のスタッフが対応いたします。


ダブルブラウザ紹介セミナーを開催

本ページでご紹介した、インターネット分離施策「ダブルブラウザ・ソリューション」の紹介セミナーを開催します。
内部ネットワークとインターネット間のWeb通信を完全に遮断して情報漏洩を防止しつつ、仮想ブラウザを利用することでユーザ利便性を保つダブルブラウザ・ソリューション。セキュリティ強度の高さと、導入コストを安価に抑えるLinuxブラウザ対応等が評価され、国内でおよそ10万ユーザに利用されています。

9月開催:定例セミナー

⇒お申込みはこちら


11月開催:アシストテクニカルフォーラム2016

⇒お申込みはこちら



ダブルブラウザ関連コラムのご案内

1.ラック×アシスト対談

情報セキュリティ分野におけるあらゆるサービスに定評のある株式会社ラックより、取締役専務執行役員 CTO 標的型対策本部長の西本逸郎様をお招きして、今すぐに取り組むべき、標的型攻撃への正しい対処法について対談しました。
間違いだらけの日本の標的型攻撃対策を指南します。


2.ダブルブラウザ紹介セミナー開催報告

2015年11月17日、ダブルブラウザ・ソリューションの概要やメリットについて紹介するセミナーを開催しました。さらに、株式会社ラックより、ソリューション営業統括部長の萩原利彦氏をお迎えして、標的型攻撃の現状と今後必要とされる対策についても講演いただきました。


3.Web・メール・ファイル無害化で実現するインターネット分離

ランサムウェアや標的型攻撃の脅威はすべて、インターネットから流入します。インターネットを安全に利用する仕組みとして、既に金融や自治体で採用実績のある「Web・メール・ファイルの無害化」の仕組みについてご紹介します。



Ericom製品のダウンロードサービス、セミナー情報、問い合わせについて

Ericomダウンロード

Ericom製品の詳細が分かる資料や、製品を30日間試せる評価版を無料でご提供しています。
お申し込みはこちら

Ericomセミナー

Ericom製品の概要やメリット、活用法をご紹介する無料セミナーを定期開催しています。
セミナー開催日程はこちら

Ericomお問い合わせ

Ericom製品に関するご質問やご相談、お見積依頼などはこちらから。
お客様のご要望に応じて、専任のスタッフが対応させていただきます。

クライアント仮想化製品「Ericom」なら、こんな課題も解決できます!

Microsoftは、各OS毎に最新バージョンのIEのみをサポートすることを発表しました。サポートが終了した古いIEを業務で利用する企業にとっては、重大な影響を受けることとなりますが、対策はお済みでしょうか?
対策がお済みでない方、あるいは「システム改修を最後の手段」と考えておられる方に朗報です。システム改修をしなくても、旧バージョンのIEを安全に利用できる奥の手をご紹介します。





Ericom中途社員募集

募集要項のほか、仮想化ビジネス責任者挨拶や先輩中途社員インタビューをご覧いただけます。

お求めの情報は見つかりましたでしょうか

資料請求/お問い合わせはこちら(専門の担当者が確認し、ご対応します。)

本ページに関するご質問や、製品の詳細説明・デモンストレーションなどあらゆるご相談に対応いたします。

ページの先頭へ戻る