pr

効率と安全性のバランス サーバ仮想化でセキュリティをどう再構築するか

　サーバ仮想化とセキュリティの関係を考えるときには、2つのアプローチがある。セキュリティ機能を仮想マシンとして実装すること、そしてサーバ仮想化ならではの仕組みを利用してセキュリティを確保することだ。これはデータ保護という観点からセキュリティに寄与するバックアップにもいえることだ。

		セキュリティ機能を仮想マシンとして実装する

　セキュリティ機能を仮想マシンとして実装することは、自然な流れの1つだ。実際に米ヴイエムウェアが運営している仮想アプライアンスのマーケットプレイスにも、ファイアウォールをはじめとするさまざまなセキュリティ製品の仮想マシンとしての実装が掲載されている。

　これまでソフトウェアとして独立したサーバ機にインストールして利用してきたセキュリティ機能を、OSも含めた仮想マシンとしてしまえば、まずサーバの数を減らせるというメリットがある。また、サーバ仮想化プラットフォームの機能を利用することにより、フォールトトレランスなどの耐障害性の確保が可能になる。ファイアウォールの能力が足りなくなった場合には、即座に増やすことも可能になる。こうした効率性や柔軟性は、セキュリティ機能の仮想マシン化の大きなメリットだ。

　こうした仮想マシンで、セキュリティ対策ソフトウェアを導入する際に重要な、OSレベルでの不要なサービスの削除やロックダウンをいったん行っておけば、その後はこの仮想マシンイメージをどのような物理ハードウェアに対しても適用し、同じ環境を利用できる。OSレベルのパフォーマンスチューニングについても、事前に行われた設定を、どんな物理サーバ上でも簡単に再現できる。このように、ベストプラクティスを誰でも簡単に適用できるという効果もある。

　ただし、特にファイアウォールのようなIPルーティングにかかわるものを仮想マシンにし、保護対象の仮想マシンと同一の物理サーバに同居させるようなやり方は、構成と運用が難しい。これまでのファイアウォールのように、物理的に外部ネットワークとサーバとの間に「壁」として設置するならいいが、保護対象のサーバと同居させる場合は、物理的な接続を遮断できないことになってしまう。さらに保護対象の仮想マシンがライブマイグレーション機能でほかの物理サーバに移動するような構成に対応することが難しい。

　もう1つの問題は、ネットワークトラフィックの管理にある。ファイアウォールを仮想マシンとして運用する場合、この仮想マシンにいったんネットワークトラフィックを取り込み、また送り出すという動作をすることになる。保護対象のサーバと同居する構成では、物理サーバに対してネットワーク処理に関する負荷がかかることになる。

　こうした点から、ファイアウォールなどのセキュリティソリューションを仮想マシンとして導入する場合、導入形態としては保護対象の仮想マシンと同居させるのではなく、保護対象の前段に置く物理サーバ上で実行することが多い。それでも導入の迅速さやベストプラクティスの容易な適用、運用の柔軟性といったメリットを得ることができる。

		サーバ仮想化ならではの仕組みとは

　ヴイエムウェアが、セキュリティベンダに対して提供し始めたVMsafe APIは、サーバ仮想化ならではの仕組みの1つだ。仮想化環境におけるセキュリティを前進させるきっかけの1つになる。

　VMsafe APIは、ハイパーバイザレベルで、すべてのI/Oデータ、仮想メモリ、実行プロセスのデータを収集し、これをセキュリティベンダに提供することができる。これにより、ホスト型IDSとネットワーク型IDSのメリット双方を提供できる。すなわち、ホスト型IDSのように各仮想マシン上でのプログラムの振る舞いが詳細に分かる。一方で、ネットワーク型IDSのように、攻撃を仮想マシンに到達する前に防止しやすくなる。

　VMsafeに基づくセキュリティでは、各仮想マシンにエージェントをインストールしなくて済むようになるため、仮想マシンの負荷を減らす効果もある。

　ただし、VMsafe APIを利用する製品はまだ出揃っておらず、今後の進展に期待するしかない。

　社内の事業部門間でトラフィックを分離したいという要請に応えたり、事業部門別のセキュリティポリシーの違いに対応したりするには、VLANを活用する必要がある。各仮想マシンにはVLAN IDを付与することができる。これを用い、仮想マシンを適切なセキュリティグループに分けて管理しなければならない。

		バックアップにおけるサーバ仮想化への対応

　バックアップでも、サーバ仮想化への対応は重要だ。物理サーバのバックアップと同様に、仮想マシンのそれぞれにバックアップエージェントをインストールして運用することは可能だが、必ずしも効率的な方法とはいえない。

　バックアップという作業はサーバに大きな負荷を掛ける。しかも、日次や週次のバックアップは、通常業務の行われていない時間帯を選んで実行される。必然的に同一の物理サーバ上にある仮想マシンのすべて、あるいはその多くが、同じ時間帯にバックアップされることになる。するとサーバリソースの競合が起こり、バックアップが次の業務開始までに終わらないという事態が発生する可能性もある。

　ここでも、サーバ仮想化環境ならではの手法が存在する。その1つはVMware環境でいえば「VMware Consolidated Backup」（VCB）だ。これを使えば、ハイパーバイザで稼動中の仮想マシンのスナップショットを取得し、VCB対応のバックアップソフトを用いてバックアップを取得することができる。

　VCBはサーバに対する負荷が低いことが特徴だ。しかし、別途バックアッププロキシが必要になる、さらにアプリケーションレベルの静止点を取ることが必ずしもできないなどのデメリットもあり、万能な解決策ともいえない。ニーズに応じて、複数のバックアップ手法から取捨選択することが求められる。

ソリューションFLASH Pick UP!

Symantec Backup Exec 12.5 　サーバ仮想化によるメリットの数々は、これまで多く語られてきたが、盲点がないわけではない。例えばサーバ稼働率の向上や平準化は、遊休リソースの有効活用という点では大きなメリットだが、オフピーク時に行っていたようなバッチ処理の運用方法を変更する必要がある。中でも、サーバの特定とサーバごとの運用を細かく規定しておかなければならないバックアップに関しては、仮想化によってさまざまな課題が出てくる。ここではシマンテックのデータ保護ソリューションを例に、仮想化とバックアップ方法の関係について考えてみたい。

提供：株式会社シマンテック
アイティメディア 営業企画
制作：＠IT 編集部
掲載内容有効期限：2009年7月26日