スライド 1

Transcription

1 IXIA 社 Anue NTO (Net Tool Optimizer) のご紹介 SCSK 株式会社 IT エンジニアリング事業本部 エンジニアリングソリューション第一部 2014 年 1 月 23 日 Rev01-03

2 ネットワークモニタリングスイッチとは ネットワークツールの機能やパフォーマンスを最大限に引き出すことのできるインテリジェントなレイヤー 1 スイッチです ネットワークトラフィックをスイッチの SPAN ポート もしくはタップ装置経由で透過的 ( パッシブ ) に受信し 複数のモニタリング装置 ( アナライザ DPI 装置 ) やセキュリティ装置 ( フォレンジック ) に供給できます フィルタなどを行い ネットワークに流れる同じデータを各機器に振り分ける モニタリングツール スイッチ or TAP セキュリティツール A ネットワークに影響を与えずに データを引き込む セキュリティツール B Page, 2

3 ネットワークモニタリングの現状 課題 1 SPAN ポートや TAP が不足しているため 多様化するセキュリティ装置や監視装置の増設ができない インターネット 課題 2 モニターポイントが分散しているため 各種装置で部分的なデータしか取得できない ネットワークアナライザ CORE SW1 ROOTER1 TAP ROOTER2 CORE SW2 侵入検知 ネットワークパフォーマンスモニタ 課題 3 増大するトラフィックに対して モニタリング装置 セキュリティ装置の処理能力が追い付かない アプリケーションパフォーマンスモニタ ネットワークデータレコーダ L2 SW L2 SW L2 SW Page, 3

4 ネットワークモニタリングスイッチ導入による効果 インターネット 解決 1 SPAN ポートの不足解消 SPAN ポートと TAP からの分岐された信号を複数のモニタリング装置に分配 有効なツールを駆使し ネットワークやセキュリティインシデントを多重監視できる ROUTER1 TAP ROUTER2 解決 2 モニターポイントの集約多数のモニターポイントを集約することで ツールの増設や監視ポイントの切り替えが容易に可能 侵入検知 防御 情報漏洩防止 CORE SW1 CORE SW2 アプリケーション性能管理 Anue NTO ネットワークアナライザ ネットワーク監査 証跡 L2 SW L2 SW L2 SW 解決 3 必要なデータのみを選択 フィルタリング 重複パケットの排除によりツール側のトラフィックを削減 Web セキュリティ Page, 4

5 ネットワークモニタリングスイッチの主要機能 スイッチング 物理的にポートや結線の変更を行うことなく モニターポイントとモニタリングツールの組み合わせを変更することが可能です フィルタリング スイッチの SPAN ポートやタップから取り込んだトラフィックを あらかじめ指定した条件に従ってフィルタリングし 合致するパケットのみを出力側のポートへ振り分けます ロードバランス 一箇所のモニターポイントから取り込んだトラフィックをコピーして 複数のモニタリングツールへ同時にトラフィックを分配することが可能です 複数製品による多重防御やモニタリングツールのリダンダント構成などで利用可能です アグリゲーション 複数の SPAN ポートやタップからトラフィックを集約し 1 台のデバイスでモニタリングすることが可能です 複数の Gigabit 回線を集約し 10Gigabit 対応のモニタリングツールで監視するといったことも可能です メディア変換 入力ポートと出力ポートが異なるメディアでも利用することが可能です たとえば Gigabit ファイバーで取り込んだ通信を Gigabit カッパー対応のモニタリングツールで監視するということも可能です Page, 5

6 モニタリングツール接続の問題点と解決手法 セグメント単位にセンサー配置は運用 コストが高い SPAN ポート Switch SPAN ポート Switch SPAN ポート Switch Switch SPAN ポート SPAN ポート 一台のスイッチで複数の SPAN ポートを設定するのは限界がある Switch SPANポート Switch AnueでSPANポートを集約し センサー数を減らすことが可能です 製品 A Switch いくつも SPAN ポート設定はできない 製品 B 製品 C 処理能力が低い製品を利用したい 新しい製品を比較 検討したい 製品 A Switch いくつも SPAN ポート設定はできない 製品 B 製品 C Anueで複数 SPANポートのトラフィックを複数生成することが可能です また 処理能力が無い製品はフィルタにて必要トラフィックのみに限定することが可能です Page, 6

7 IXIA 会社概要 本社 : 米国カリフォルニア州カラバサス NASDAQ 上場 : XXIA 従業員数 : 2,000 人以上 1997 年 5 月設立 2012 年 6 月 Anue Systems を買収 30カ国以上でグローバル展開 14 年連続成長 イクシア日本法人 本社 東京都新宿区西新宿 西新宿三井ビル 11 階 YRP オフィス 神奈川県横須賀市光の丘 8-3 YRP ベンチャー棟 319 号室 Page, 7

8 三階層フィルタ 三段階動的フィルタのパイオニア市場における最も簡単で 最も正確なフィルタ Ingress Filter Dynamic Filter Egress Filter Page, 8

9 パケット重複排除 VLAN 間の通信や不正なスイッチ設定などに起因する重複パケットを排除することが可能 重複パケットを除外することにより モニタリング対象でないトラフィックを削減し モニターツールの利用帯域を有効に活用することが可能 Page, 9

10 ロードバランス機能 トラフィックを複数のツールポートに等しく転送同一セッションは同一ポートへ転送 Layer 2/3/4 hash でのトラフィック分散複数の1Gツールで10Gネットワークにも対応可能 32ポートロードバランスへ対応 Page, 10

11 Anue NTO の特徴 GUI ベースで容易に設定 設定変更が可能 > ipsrc A ip_srcmask /24 ip_dst A ip_dstmask /24 tcp port_dst 80 > ipsrc A ip_srcmask /24 ip_dst A ip_dstmask /24 tcp port_dst 443 > ipsrc A ip_srcmask /24 ip_dst B ip_dstmask /24 tcp port_dst 80 > ipsrc A ip_srcmask /24 ip_dst B ip_dstmask /24 tcp port_dst 443 > ipsrc A ip_srcmask /24 ip_dst C ip_dstmask /24 tcp port_dst 80 > ipsrc A ip_srcmask /24 ip_dst C ip_dstmask /24 tcp port_dst 443 > ipsrc A ip_srcmask /24 ip_dst D ip_dstmask /24 tcp port_dst 80 > ipsrc A ip_srcmask /24 ip_dst D ip_dstmask /24 tcp port_dst 443 > ipsrc B ip_srcmask /24 ip_dst A ip_dstmask /24 tcp port_dst 80 > ipsrc B ip_srcmask /24 ip_dst A ip_dstmask /24 tcp port_dst 443 > ipsrc B ip_srcmask /24 ip_dst B ip_dstmask /24 tcp port_dst 80 > ipsrc B ip_srcmask /24 ip_dst B ip_dstmask /24 tcp port_dst 443 > ipsrc B ip_srcmask /24 ip_dst C ip_dstmask /24 tcp port_dst 80 > ipsrc B ip_srcmask /24 ip_dst C ip_dstmask /24 tcp port_dst 443 > ipsrc B ip_srcmask /24 ip_dst D ip_dstmask /24 tcp port_dst 80 > ipsrc B ip_srcmask /24 ip_dst D ip_dstmask /24 tcp port_dst 443 > ipsrc C ip_srcmask /24 ip_dst A ip_dstmask /24 tcp port_dst 80 > ipsrc C ip_srcmask /24 ip_dst A ip_dstmask /24 tcp port_dst 443 > ipsrc C ip_srcmask /24 ip_dst B ip_dstmask /24 tcp port_dst 80 > ipsrc C ip_srcmask /24 ip_dst B ip_dstmask /24 tcp port_dst 443 > ipsrc C ip_srcmask /24 ip_dst C ip_dstmask /24 tcp port_dst 80 > ipsrc C ip_srcmask /24 ip_dst C ip_dstmask /24 tcp port_dst 443 > ipsrc C ip_srcmask /24 ip_dst D ip_dstmask /24 tcp port_dst 80 > ipsrc C ip_srcmask /24 ip_dst D ip_dstmask /24 tcp port_dst 443 > ipsrc D ip_srcmask /24 ip_dst A ip_dstmask /24 tcp port_dst 80 > ipsrc D ip_srcmask /24 ip_dst A ip_dstmask /24 tcp port_dst 443 > ipsrc D ip_srcmask /24 ip_dst B ip_dstmask /24 tcp port_dst 80 > ipsrc D ip_srcmask /24 ip_dst B ip_dstmask /24 tcp port_dst 443 > ipsrc D ip_srcmask /24 ip_dst C ip_dstmask /24 tcp port_dst 80 > ipsrc D ip_srcmask /24 ip_dst C ip_dstmask /24 tcp port_dst 443 > ipsrc D ip_srcmask /24 ip_dst D ip_dstmask /24 tcp port_dst 80 > ipsrc D ip_srcmask /24 ip_dst D ip_dstmask /24 tcp port_dst 443 CLI vs. GUI Page, 11

12 Anue NTO 機能 / 導入効果まとめ 機能 ネットワークポート統合 パケット重複排除 入口 出口 中間のフィルタリング Packet Trimming / Protocol Stripping 動的変更管理 視覚的操作ときめ細かなアクセス制御 効果 複数のアクセスポイントからのデータ取得 10G/40G Network を 1/10G Tools で監視可能 必要なパケットのみツールに送信 ツールレポートの正確性と応答時間の向上 モニタリングツールの活用度合いを上げる : ツールにとって必要なデータのみ抽出 個人 秘密情報を含むデータおよびヘッダーを削除してからツールにデータ送信 物理結線の変更なしに 経路やフィルタリング条件を動的に変更可能 要員の生産性の向上 Page, 12

13 Anue NTO ラインアップ Anue NTO 5204 Anue NTO 5236 Anue NTO 5288 シリーズ 最大ポート数 対応 I/F 10/100/1000BASE-T BASE-X (SFP) BASE-X/10GBASE-R (SFP/SFP+) - 20 最大 GBASE-R (XFP/SFP+) G (QSFP) - - 最大 G - - 最大 4 AFM (Advanced Feature Module) 追加 電源二重化対応 4 4 外形寸法 [ 幅 高さ 奥行 ] (cm) (1U) (1U) (2U) 重量 5.7kg 7kg 16kg 動作温度 0 ~30 0 ~30 5 ~40 動作湿度 10%~85% ( 結露なきこと ) 10%~85% ( 結露なきこと ) 10%~85% ( 結露なきこと ) 1 10/100/1000BASE-T の 4 ポートと 1000BASE-X(SFP) の 4 ポートは排他使用 ( 同時使用不可 ) 2 別途 インタフェースモジュールが必要 ( 最大 4 スロット使用 ) 3 装置背面のモジュラーポートを使用 4 冗長用電源ユニット増設により対応 Page, 13

14 各種モニタリング セキュリティツールとの接続例 セキュリティセンサー / IPS Trustwave StillSecure Counter Snipe ネットワーク機器からトラフィックを収集 Cisco Juniper Dell HP Brocade 情報漏洩対策 アプリケーションパフォーマンスモニタ ネットワーク分析 McAfee EMC-RSA WebSense BlueCoat Intrusion Inc. Trustwave Compuware Endace NetScout FLUKE 入力トラフィックを コピー 合成 フィルターを実施し 各種ツールへ送信 ネットワークフォレンジック Web セキュリティ FireEye Imperva McAfee Narus SOLERA NetWitness 各種 SIEM ツールと連携 Page, 14

15 顧客事例 : テキサス大学 顧客プロファイル米国で二番目の規模の大学ローカルに 10 万のデバイス リモートで 75 万のデバイスがネットワークにアクセス チャレンジ 2-20G の WAN リンクの 1G/10G 用ツールでの監視二つのアクセスポイント侵入検知リアルタイム分析 ソリューション構成 NTO 5288 パケットベースのネットワーク分析ツール侵入検知システムネットワーク :Cisco 製スイッチ ルーター 導入効果 ROI $320K: ツール側コストの低減 50% $216K: センサー類の数の削減 $300K: アクセスポイントにおけるラック数の削減 その他のメリット監視システムにおけるパケットドロップの防止新しいツールに対する試用環境の容易な準備 通信量が増えるに従い重複したパケットフローが Cisco スイッチの帯域を食い尽くし パケットドロップを生じつつあった この状況を何とかして解決する必要があった - テキサス大学 Chief Information Security Officer Page, 15

16 < 製品 サービス ソリューション 価格相談窓口 > お問合せ ご質問 ご依頼は 以下までお気軽にご連絡ください どの様なご質問やご相談も お待ちしております IT エンジニアリング事業本部エンジニアリングソリューション第一部 豊洲本社 : 東京都江東区豊洲 豊洲フロント TEL / FAX qualinet@ml.scsk.jp ( 総合問合せ ) anue-info@ml.scsk.jp (Anue 関連 ) / netscout-info@ml.scsk.jp (NetScout 関連 ) alaxala@ml.scsk.jp (AlaxalA 関連 ) / RG-info@ml.scsk.jp (RADIUS GUARD 関連 ) gs1-info@ml.scsk.jp (PureFlow 関連 ) / rapicom-sales@ml.scsk.jp (RAPICOM 関連 ) 本書を無断で他に転載しないようお願いします 本書は予告なしに変更されることがあります Page, 16