[情報] ハンドリームネット SubGate 防疫L2スイッチ

==============================
ハンドリームネット SubGate 防疫L2スイッチ
==============================
ハンドリームネット SubGate 製品ページ
http://www.handreamnet.jp/

製品のカタログに
　　　「ネットワークからの脅威を最小化！」
と書かれています。これがこの製品の特徴を端的に言い表した言葉でしょう。

この製品のコンセプトは
　　損害を受けないことを目指すものではなく、
　　損害を制御(ダメージコントロール)し
局部的損害の拡大により致命的損害へ拡大するのを防ぐというものです。

もうひとつの特色は、自動処理とピンポイントの損害制御です。
　　本来の業務は継続しつつ、攻撃行為だけを無効化する
　　その処理を自動的に行うため人手が要らない



現在のITシステムのセキュリティ(安全保障)を考えるときには兵器のデザインにおける基本的な考え方を取り入れる必要があるでしょう。
それは、
　　敵からの攻撃を全て防げる防御手段はない
　　被弾により損害が生じる前提で、被弾しても戦闘能力をできる限り維持する
　　ため、損害制御する仕組みを作りこむ
というものです。

実例をひとつ。日本海軍の航空母艦はミッドウェー海戦以前は損害を受けないようにする(護衛艦、制空戦闘機で攻撃を排除する)という考えで損害制御がさほど重視されておらず、結果的に被弾したら後の作りこみが不十分だったと言われます。
そのため、
　　・爆撃を受けたのは格納庫だったが、格納庫を通る通風筒を通じて火災が
　　　機関室に"延焼"し、航行能力、損害制御用の動力を喪失してしまった
　　・格納庫が全通で損害部を隔離するシャッター等がなく、庫内に駐機する
　　　飛行機に次々「類焼」した


さて、前置きはともかく、
　　・ハンドリームの SubGateはこの「延焼」や「類焼」とその前兆行為を防ぐ
　　　ために、火元を自動隔離するための L2スイッチと言えます。
　　・また、最近流行の盗聴(情報盗難)行為をブロックする機能も有しています。


カタログ＆上記サイトによれば
SubGate が提供する主要な機能は以下の３つです。
１）ポートスキャン行為の発見と自動ブロック
２）DoS等の妨害行為の発見と自動ブロック
３）APR/IP Spoofing による通信の横取り行為の発見と自動ブロック

その効果は
１）ポートスキャン行為の発見と自動ブロック
マルウェアやウィルスは感染後、真のターゲットを求めてまたは感染の拡大
を目指して周りを捜索します。
このときに、TCP/UDPの待ちうけポートをスキャンするポートスキャンが広
く使われます。
この行為を発見してスキャン元のスキャン通信をブロックすれば、"延焼"を
防ぐことができます。

２）DoS等の妨害行為の発見と自動ブロック
サービス妨害攻撃の場合、感染拡大を完了したマルウェアは攻撃者の指示を待って潜伏し、指示を受けると一斉にターゲットに向けて攻撃を開始します。
この破壊的なトラフィックを遮断することで、組織内から内外への攻撃を短時間に無力化することができます。

３）ARP/IP Spoofing(偽装)によるデータ横取り通信のブロック
最近のクラッキングの目的は「破壊」「妨害」に加え「機密情報盗難」が増えています。さらに、攻撃ターゲットとして防御の硬いサーバやPCではなく無防備なIoT機器を狙う場合が多いと言われます。
たとえば、ビデオ会議用LANカメラの通信を横取りして情報を盗むなど。
このような行為の目的にARP/IP Spoofing は使われていると言われます。


SubGate は自身を通過するトラフィックのうち、これら怪しげな通信行為(振る舞い)を見つけて、その通信を問答無用で遮断します。

怪しい通信だけを遮断するので感染端末の通常業務は遮断されず、怪しい通信だけが遮断されます(TCP/UDPのポートレベルで遮断され
る)。
パターンファイルを持たず、振る舞い検知だけで判断しています。このため、新種ウィルスのゼロデイアタックであっても、上記の怪しい通信をする限り検知、遮断されることになるとしています。

SubGateは振る舞い検知のために専用の回路 MDS エンジンを持っており、ワイヤースピード(1Gbps)での検知、遮断ができるとされています。



SubGateの特色(利点)は
　　攻撃が組織内部に侵入してしまう前提で、その後の延焼を自動防衛する
　　怪しい通信だけを遮断するため、本来の業務に悪影響を与えない
にあると思います。

これは以下のような場合に有効に働くでしょう
　　・インシデントが必然的に発生しやすい基盤
　　　例）BYODを使う組織（学校、ホテル、フリーWiFi提供業者など)
　　・ITネットワークの停止が大きな経営損失になる組織
　　　例)サービスとして提供(プロバイダ、ホテル、学校)
　　　製造ラインやプラントの制御用ネットワーク

反面、以下の点は欠点かもしれません。
　　・SugGateを通過する時点で検知、遮断をおこなうので効果的に遮断するには
　　　できるだけエンドポイントに近い場所に配備する必要がある
　　　→大規模組織では多数のSubGateが必要になるかもしれない

それでは、考えを逆転して、サーバファームスイッチに使えば、サーバだけでも守れるか？ というと、そうではないそうです。
なぜなら、サーバは１台の機器が不特定多数のクライアントとセッション確立するためSubgateの判断基準ではサーバトラフィックは"怪しい"トラフィックと判断されるためだそうです。