クラウド時代のセキュリティ運用課題従来主流であったオンサイト作業は少なくなりインターネット経由 VPN 経由によるリモート運用が中心となってきていますオンプレミスプライベートクラウドパブリッククラウド A 社システム部門運用代行業者システム開発ベンダ作業立会いができない無断作業 D

SaaS 型 IT 運用基盤サービス Vistara 2015 年 9 月株式会社富士通ソーシアルサイエンスラボラトリ

クラウド時代のセキュリティ運用課題従来主流であったオンサイト作業は少なくなりインターネット経由 VPN 経由によるリモート運用が中心となってきていますオンプレミスプライベートクラウドパブリッククラウド A 社システム部門運用代行業者システム開発ベンダ作業立会いができない無断作業 DB の情報にアクセス可能システムへのリモートアクセスに対してシステム管理者による統制が効かない 1

Vistara による課題解決 Vistara でハイブリッドクラウドのサーバを管理することによりセキュリティを担保しながらリモート運用の利便性を確保できますオンプレミスプライベートクラウドパブリッククラウド GW GW A A A リモート管理用のゲートウェイまたはエージェントを配置監査証跡 ID 貸出アクセス制御パッチ管理 A 社システム部門運用代行業者システム開発ベンダ作業の証跡が取れるので作業内容を把握できる不正の抑止効果もある作業申請で払い出される貸出 ID で作業画面操作のみ許可しデータの持ち出しを禁止 Vistara は VistaNet 株式会社が運営するクラウドサービスです 2

Vistara の特長ハイブリッドクラウドのサーバを一元管理できる運用基盤を SaaS で提供契約すればすぐにリモート運用開始管理サーバ数に応じた月額課金証跡や作業申請機能を標準装備セキュアリモートアクセス ( アクセス制御画面録画 ) OS パッチ管理 (Windows, Linux) 作業申請ベースによる時間制限での ID 貸し出しレポーティング ( 随時週次月次等 ) 今後システム運用全体をカバーできる基盤としてモニタやジョブなどの機能を提供予定です 3

機能説明 ( リモート接続 ) システムにゲートウェイまたはエージェントを導入するだけでブラウザからリモート接続可能 (RDP/VNC/SSH/TELNET) HTTPS サービスポータル HTTPS SSH 内部セグメントのエージェントはゲートウェイ経由で接続 ( パッチ管理機能を使用しない場合はエージェントレスも可能 ) AP SO GW A HTTPS AP AP A SO AP A SO A インターネット外部セグメント SO 内部セグメントインターネットにアクセスできればどこからでも接続可能ゲートウェイとエージェントは Vistara サービスポータルへコネクションを接続 ( 常時接続 ) それぞれのクラウドや拠点に VPN などの回線は不要 4

共用 ID の利用者特定 Before 特権 ID を複数人で共用している After 特権 ID を共用しているサーバでも個人を特定作業者 Administrator 作業者 yamada yamada Administrator Administrator suzuki suzuki Administrator Administrator サーバ tanaka tanaka Administrator サーバ Administrator sasaki sasaki Administrator 全員が Administrator でログインするので区別がつかない Vistara に個人 ID でログインするため特権 ID の利用者を特定可能 5

機能説明 ( 操作画面記録 ) すべてのセッション (RDP/VNC/SSH/TELNET) の録画が可能オペレーションの適正さやエラーメッセージの確認に利用可能障害発生時の追跡用の情報として活用可能担当変更による引き継ぎに活用可能作業エビデンスの自動取得によりコスト削減可能操作画面を再現何にいつ誰が何をした 6

アプリケーション操作の記録ブラウザや各種アプリケーションクライアントの操作など Vistara で対応していないプロトコルを使って操作する場合は Windows ターミナルサーバのアプリケーション操作を録画することで証跡を取得可能です Before アプリケーションクライアント Vistara 対応プロトコル (RDP/VNC/SSH/TELNET) 以外のアプリケーション通信 VPN 運用者 PC サーバ After ターミナルサーバの画面 RDP アプリケーションクライアントアプリケーション通信録画運用者 PC Windows ターミナルサーバ従来 PC で動かしていたアプリケーションをターミナルサーバ上で動かしてその操作画面を録画サーバ 7

クラウドでのログ保存 A 社ログ B 社ログ C 社ログ D 社ログ各社のログは 1 年間分保存されそれ以前のログは自動的に削除されますログへのアクセスは認証したユーザにより制御されているため他社のログにはアクセスできませんクラウド上でのログの保存期間を拡張するサービスの提供を予定しております A 社ユーザクラウド上のログの暗号化して保存する機能を実装する予定です 8

機能説明 ( アクセス制御 ) サーバへのリモート接続やログ参照ユーザ管理デバイス管理など各操作へ対して参照のみ編集可能などきめ細かく設定が可能です各操作に対して利用シーンに合わせたきめ細かい定義が可能です定義したパーミッションセットを利用してどのユーザがどのデバイスにアクセスできるのかという紐付けをロールによって管理できますシステム A 管理者ロールシステム A 運用者ロールシステム B 管理者ロールシステム B 運用者ロールシステム A 管理者システム A 運用者システム B 管理者システム B 運用者管理者用パーミッション運用者用パーミッション管理者用パーミッション運用者用パーミッションシステム A サーバシステム A サーバシステム B サーバシステム B サーバ 9

機能説明 ( 作業申請による ID 貸出 ) サーバへのリモート接続を作業申請をベースに管理することでリモートからのサーバアクセスを統制することが可能です作業リクエスト 4 申請した作業時間を過ぎると作業リクエストは無効化されサーバへ接続できなくなる 3 作業リクエストを使用して許可されたサーバへ接続作業申請書作業内容 : 作業時間 : 作業者 : 作業対象 : 2 ID PW 申請内容に基づいて Vistara へ期限付き作業リクエストを作成管理者が設定したサーバの ID とパスワードを使い自動ログインが可能 ( 作業者への PW 通知は不要 ) 運用代行業者作業者 A 社システム管理者作業対象サーバ 1 作業はシステム管理者へシステム部門の責任者などが承認するための作業申請を送付ワークフローの実装は2015 年 10 月以降の予定です 10

機能説明 ( パッチ管理 ) サーバ (Windows, Linux) への OS パッチの適用を Vistara から管理することが可能です外部公開システムはパッチ公開後にすぐに自動適用パッチ適用ポリシーの設定パッチ適用の承認外部公開システムシステム管理者基幹システムはパッチの影響を検証後に承認してから適用システムのリスクに合わせたパッチ管理ができる基幹システムパッチ管理機能を利用するためにはエージェントの導入が必須です 11

機能説明 ( ハイブリッドクラウド管理 ) ハイブリッドクラウド環境のシステムを共通の画面で管理し同じレベルのセキュリティ管理を適用できます本社内設備 4 階サーバルームクライアントPC 5 階 6 階オンプレミスプライベートクラウドパブリッククラウドプライベートクラウド Aシステム Bシステム ESXi 01 Win_VM01 Win_VM02 Cシステムパブリッククラウドキャンペーン Web B システム Web C システム開発環境監査証跡アクセス制御作業申請パッチ管理 A 社システム部門運用代行業者システム開発ベンダ 12

Vistara 利用時のアクセス制御ハイブリッドクラウド環境を Visata で管理してセキュリティの統制を取るためには Vistara を利用しないサーバへのアクセスを制限する必要がありますパブリッククラウド必ず Vistara を経由するように制御クラウドの管理ポータルクラウドの管理ポータルから仮想マシンの操作やコンソールへのアクセスを禁止するため管理ポータルへのログインを許可しない同じ拠点のサーバへ直接アクセスできないようにネットワーク機器で通信を遮断する 13

システム要件リモートアクセス用ゲートウェイシステム要件管理対象数 25 台以下 100 台以下 500 台以下 CPU 2.3GHz 2 コア 2.3GHz 4 コア 2.3GHz 8 コアメモリ 2GB 4GB 8GB HDD 40GB 40GB 100GB HyperVisor VMware ESXi, Citrix XenServer, Microsoft Hyper-V and KVM OS パッチ管理用エージェントシステム要件 OS Windows Linux バージョン Windows Server 2003/2003 R2 Windows Server 2008/2008 R2 Windows Server 2012/2012 R2 Red Hat Enterprise Linux 5.x/6.x/7.x Oracle Enterprise Linux 5.x/6.x/7.x CentOS 5.x/6.x/7.x Debian GNU/Linux Ubuntu 10.x 以上 Fedora 17.x 以上 SuSE Linux Enterprise Server 11.x Amazon Linux AMI 2012.03~2014.09 14