プロダクト・レビュー ウイルスを遮断できるブロードバンド・ルータ「GateLock X200」（3） デジタルアドバンテージ 2001/11/20

不正アクセス対策にはステートフルなフィルタリングなどで対応

　ウイルス対策と並んで本機のセキュリティ機能の特徴となるのは、「ANTI-HACKER（アンチ・ハッカー）」と呼ばれるファイアウォール機能である。これはインターネット側からの不正アクセスなどの攻撃からLANを防御する機能で、廉価な（2万円未満の）ブロードバンド・ルータに比べると、次の2つの点で充実している。

　1つは「ステートフル（stateful）」なパケット・フィルタリングである。これは、通信の開始／終了などといった「状態（state）」を意識して動的に遮断／通過させるパケットを決定するフィルタリング技法だ。廉価なブロードバンド・ルータでは、「状態」を意識しない静的なパケット・フィルタリングが一般的である（最近はステートフル・タイプの製品も増えつつあるが）。ブロードバンド・ルータにおけるステートフル・タイプのフィルタリングでは、例えばセッション開始のTCP要求をチェックしていて、そのコネクションが確立している最中だけ、利用される接続ポート（もしくはセカンダリの接続ポート）を開放する、といったことが可能だ。静的なフィルタリングに比べると、セキュリティの強化とネットワーク・アプリケーションの支障なき運用を両立させやすい、というメリットがある。

　また本機では、特定のアプリケーションについてはTCPより上位のプロトコルの状態まで保持することで、ファイアウォール越しでも利用できるよう設計されているという。

プロトコル	アプリケーション	備考
FTP	ftp
PPTP	Windows 98のPPTPクライアント	LAN側はPPTPクライアントのみ対応（編集部でのテストでは、Windows 2000のVPNクライアントのPPTPも動作した）
MMS	MSN Messenger
H.323／H.225／H.245／T.120	NetMeeting
RTSP	Media Player、RealAudio
NNTP／IDENT	Internet Explorer 5.x＋Outlook Express	ニュース・サーバからのIDENT要求をクライアントに転送
IRC	irc
ICQ v5	ICQ99a／b
AIM／SNAC	ICQ2000b
QUAKE	QUAKE
Direct Play	Age of Empires II、SEGA RALLY	プロトコルの仕様上、LAN側の複数クライアントから同一のゲーム・サーバ経由でゲームすることは不可
本機のファイアウォールが対応する各種プロトコル
これは技術白書より抜粋したもの。MSN MessengerやNetMeetingなど、ファイアウォールを通過させるのが難しいアプリケーションにも対応しており評価できる。

　もう1つは侵入検知システム（IDS）の標準装備だ。本機は、例えばCode Redなどが攻撃時に行うアクセス・パターンをデータベースとして内蔵しており、インターネット側からのアクセスと照らし合わせて、不正アクセスかどうかを判定する。もし不正アクセスと認識したら、フロント・パネルの「ANTI-HACKER」LEDが赤く点灯し、ログにも記録が残される。また、設定しておけば、管理者宛にメールで知らせることも可能だ。

不正アクセスの検知

これはGateLock X200のログ。時刻と不正アクセスの種類など、内容はごく簡単にまとめられており、それほど詳細ではない。なお、ログにsyslog機能はない（syslogとはUNIXなどで一般的なログ記録システム。ログ・テキストを、syslog対応のサーバへリモート送信すると、syslogサーバ側ではそれをログ・ファイルに順次蓄積する。syslogサーバ側でログを一括管理できるのが、メリットの1つ）。

From <support@trendmicro.com> Sun Nov 11 03:20:18 2001 Received: from xxxxx.iij4u.or.jp (xxxxx.iij4u.or.jp [xxx.xxx.xxx.xxx]) … From: support@trendmicro.com Received: from trend.com.tw (xxxxx.ocv.ne.jp [xxx.xxx.xxx.xxx]) … Date: Sun, 11 Nov 2001 03:20:18 +0900 (JST) Message-Id: <200111101820.fAAIKIR14666@xxxxx.iij4u.or.jp> Sender: xxxxx@trend.com.tw To: xxxxx@xxxxx.iij4u.or.jp Subject: Detected hacker attempt MIME-Version: 1.0 Content-Type: text/plain Content-Transfer-Encoding: 7bit X-UIDL: dd44f7cca17afe8ccbecd7911404751b Trend Micro GateLock has detected the following hacker attempts on your system: **Date: 2001/11/11 03:20:23     Source: xxx.xxx.xxx.xxx     Method: Port scan attempt You can get the latest anti-hacker log from GateLock's Anti-Hacker Logs page. To view the Anti-Hacker Logs, open your Web browser (Netscape Navigator version 4.5 or above, or Microsoft Internet  Explorer 5.0 or above) and type http://192.168.253.1/cgi-bin/anti_hacker_log.cgi in the address bar. Note: The purpose of this message is to inform you of the hacker attempt. As long as you keep GateLock's anti-hacker feature enabled, you don't have to take any action because it automatically blocks hacker break-ins.

不正アクセスの検知時に管理者へ送信される通知メール

白文字が本文で、灰色の文字がメール・ヘッダだ。下記画面のようにメールの通知を有効にすると、不正アクセスが検知されたときに、こうしたメールが管理者に送られてくる。本文中の「Source:」には、アクセス元として検知されたIPアドレスが記される。

　

メール通知の設定画面

不正アクセスやソフトウェア・アップデートの通知を、ここで指定したメール・アドレスに対して実行できる。なお、送信に使われるSMTPサーバは、ここで設定したメール・アドレスのドメイン名から得られるMXレコードに指定されているサーバになる。

　この機能によりユーザーは、本機につないだLANがインターネットからの攻撃対象になっていることを知ることができる。

自動アップデート機能があってこそのセキュリティ機能

　ステートフルなパケット・フィルタリングや侵入検知システムは、3万円以上の高機能なブロードバンド・ルータでは比較的多くの機種が実装しているものであり、機能自体はそう珍しいものではない（細かい機能に違いはあるだろうが）。むしろ重要なのは、本機がパケットの遮断／通過といったファイアウォールの規則（ルール）を、メーカーのサイトにある最新版に自動アップデートできるという点だろう。新しい不正アクセスの技術や新しいネットワーク・アプリケーションが続々と登場している現状では、最適なファイアウォールのルールも変化していくのは当然であり、メーカー提供の最新ルールにアップデートし続けるのが理想的だ。しかし、従来のファームウェア・アップデートの手順、すなわち

1. メーカーのサイトを調べて最新モジュールの有無を確認する
2. メーカーのサイトから最新モジュールをPCにダウンロード
3. ツールを使ってPCからルータに転送
4. ルータを再起動

では、管理の手間が無視できない。本機では、PCを介さずに直接メーカーのサイトと通信し、最新モジュールがあれば自動的にダウンロードとアップデートを実行する。このときユーザーは、事前に自動アップデートを有効にしておけば、何も操作せずに済む。

各種ソフトウェア／データのアップデート設定画面

各ソフトウェア／データのバージョン 　手動アップデートの場合、現在のバージョンと最新バージョンを比較できる。その下の［Update Now］ボタンを押せば最新バージョンへのアップデートが始まる 　 自動アップデートの設定 　ここで自動／手動を選べる。最新版の有無のチェックは、電源投入後一定時間（初期設定は30分）経つと、あとは1日ごとに行われる 　 最新版の有無をメールで知らせる設定 　メーカーのサイトに最新版が掲載されたら、管理者にメールで知らせるよう設定できる

　自動アップデートできるのは

• ファイアウォールのルール
• ウイルス・パターンの定義ファイル
• ウイルス検索エンジン

がある。特にウイルス・パターンの定義ファイルは、最新のウイルスに対処すべく、常に最新版へアップデートしておくのが望ましいため、自動アップデートの効果は大きい（更新間隔は1日だが、もっと短く設定できてもよいくらいだ）。なお、GateLock本体のソフトウェア（いわゆるファームウェアに相当）については、最新版の有無のみ自動的にチェックされ、アップデート自体は手動で行う必要がある（仕様や設定が変更されるので管理者の確認が必要なこと、また再起動が必須なので一時的に通信が途絶するからだろう）。

PCのウイルス対策ソフトウェアに対する「保険」として有効

　既存のブロードバンド・ルータに比べると、GateLock X200はメールを使ったウイルスの脅威から、LAN側の複数のPCを同時に守るという点で大きなアドバンテージがある。ただし、PC側のウイルス対策ソフトウェアが不要にはならない点には注意が必要だ。というのも、GateLock X200はメール以外のウイルスには対抗できないからだ。例えば、Web／FTPサイトからダウンロードするプログラムやスクリプトなどの実行可能ファイルについては、PC側のウイルス対策ソフトウェアで感染を予防したりウイルスを駆除したりするしかない。ネットワークではないリムーバブル・メディア経由の感染などについても、同じことが当てはまる。

　最近のウイルス対策ソフトウェアならメールのリアルタイム・チェック機能もあるので、GateLock X200は必要ないように感じられるかもしれない。しかし、ウイルス対策ソフトウェアはPCごとにインストールしなければならず、その管理・運用が大きな負担になってしまっている。毎月のように現れる新しいウイルス用の定義ファイルのダウンロードを行い、定期的にPC内部のウイルス・チェックを実行するのは大変な作業だ。特に人的リソースが限られるSOHOや家庭では、例えばウイルス対策ソフトウェアの設定ミスで脆弱な部分の残ったPCが1台ぐらい生じても、そう不思議ではない。そこから感染が広がることも考えられる。一方GateLock X200を導入した場合は、本機でメールのウイルス・チェックだけでも集中管理できるため、比較的手間はかからない。PC側に手抜かりがあっても、その前に本機でウイルスを遮断できるため、いわば「保険」として利用できる。保険とはいっても、最近のウイルスはその多くがメールで感染するため、GateLock X200によるウイルス対策の効果は、その管理の手間に比べて大きいと思われる。

　少ない管理の手間で大きなセキュリティ効果という狙いは、前述した本機のネットワーク設定の多くが固定されていることにも表れている。もしネットワーク・トラブルが生じても、サブネットなどのパラメータが固定なので、解決のために管理者がチェックすべき設定項目も少なくなるからだ。

　以上から、GateLock X200に最適なのはやはり家庭向けといえる。家庭ならLANの構成は単純かつ小規模になることがほとんどで、設定の柔軟さより管理の容易さのほうがはるかに重要だからだ。約2万5000円（予価）という価格はブロードバンド・ルータとしては高めだが、継続的なウイルス・パターン定義ファイルやファイアウォール規則のアップデートも含めたセキュリティ機器として捉えれば、それほど高価とはいえないのではないだろうか。

　試用版を評価してみて、LAN側からウイルス付きメールを送信したユーザーにウイルス警告メールが届かないことなど、仕様に荒削りな部分も感じたが、正式出荷版で改善されていることを期待したい。また、SOHOネットワークを管理している身としては、設定の柔軟さやパフォーマンスの強化を図ったSOHOビジネス向けの上位機種の製品化も期待したいところだ。

項目	内容
メーカー名	トレンドマイクロ
製品名	GateLock X200
価格	未定
製品URL	http://www.trendmicro.co.jp/gatelock/index.asp
メモリ	RAM：32Mbytes、フラッシュメモリ：16Mbytes
OS	Linux kernel 2.4ベース
プロセッサ	MIPSアーキテクチャのRISCプロセッサ・コアを使用（クロック133MHz）
インジケータLED	5種類（電源、ウイルス対策、ファイアウォール、LAN側ポート、WAN側ポート）
電源	ACアダプタ方式
消費電力	最大4W
重量	本体のみ約285g
外形寸法	120（W）×170（D）×30（H）mm
対応プロトコル	IP、TCP、UDP、ARP、ICMP、PPPoE
IPアドレス割り当て方式	DHCP、PPPoE、固定（1個のみ）
ルーティング	スタティック
WAN側ポート	1ポート（10/100BASE-TX自動判別）
CATV対応	ホスト名設定：○、MACアドレス設定：○
LAN側PC数	最大32台
LAN側ポート	1ポート（10/100BASE-TX自動判別）、ストレート／クロスの切り替え可能
LAN側DHCPサーバ	○（無効化は不可）
NAT／IPマスカレード	○（無効化は不可）
サーバ公開機能	ポート・フォワーディング機能あり
DMZ	−
セキュリティ	ウイルス検知・駆除、ファイアウォール、IDS、外向きパケットの手動フィルタリング設定など
ファームウェア・アップデート	トレンドマイクロのサイトから自動ダウンロード可能（アップデート自体は手動）。ウイルス・パターン定義ファイルやファイアウォールのルールなどは自動アップデート可能
ログ機能	RAMに30レコードまで蓄積。Webブラウザで参照可能。syslog非対応
DNSプロキシ	○（無効化は不可）
設定方法	Webブラウザ経由
GateLock X200の主な仕様

　

関連記事（PC Insider内）
連載	ネットワーク・デバイス教科書：第1回 広帯域インターネット接続を便利に使う「ブロードバンド・ルータ」
連載	ネットワーク・デバイス教科書：第12回 ブロードバンド・ルータの基本設定
実験	新世代ブロードバンド・ルータの性能を検証する
実験	ビギナー管理者のためのブロードバンド・ルータ・セキュリティ講座
特集	ブロードバンド・ルータ徹底攻略ガイド

　

関連リンク
トレンドマイクロ	GateLock関連情報のページ
＠IT：ブロードバンド・ルータ動作確認情報局	トレンドマイクロ製GateLock X200の動作実績情報

　
　

INDEX
	［プロダクト・レビュー ］
	ウイルスを遮断できるブロードバンド・ルータ「GateLock X200」（1）
	ウイルスを遮断できるブロードバンド・ルータ「GateLock X200」（2）
	ウイルスを遮断できるブロードバンド・ルータ「GateLock X200」（3）

　

「PC Insiderのプロダクト・レビュー」

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）