【 ここから本文 】
- TOP
- > Topics : サーバ
- >
サーバ
ソーシャルブックマークに登録 ：
印刷用ページの表示
仮想環境でのセキュリティを考える
ベストプラクティスを実践し、仮想マシン・プラットフォームをマルウェアから守れ
（2007年09月07日）
物理的な世界と同じように分離する
仮想マシンのセキュリティではフェール・オーバー機能が1つのポイントになるが、ベリゾン・ビジネスでエグゼクティブ・コンサルタントを務めるトム・パーカー氏によれば、なかでも「仮想マシンのフェール・オーバーを“いつ”“どこで”行うかが重要だ」という。しかしながら、現在のところ、フェール・オーバー・プロセスの設定に関する企業IT幹部らの見解は、統一されているというにはほど遠い状況にある。
例えば、現在、ある仮想マシンからのフェール・オーバー先を、別の仮想マシンあるいは別の仮想サブネットにしている企業も、少なからず存在するはずだ。だが、ベストプラクティスでは、フェール・オーバー先は元の仮想マシンが構築されている物理サーバとは別の物理サーバにすることが推奨されている。物理サーバ自体にシステム障害が発生した場合、こちらの方法でなければフェール・オーバー機能を用いる意味がないからである。
また、仮想環境においては、システムの分離やパーティショニングが、バックアップを考える際だけでなくDMZを構築する際にもカギとなる。
ところが、一般にIT部門は、そうした分離作業の必要性を見落としがちだ。パーカー氏は、そうした現状を、「もし、データベース・サーバを仮想Webサーバ群と同じ物理マシン上で仮想化したらどうなるだろうか。ちょっと考えればわかるように、そんなことをしたら、Webサーバからデータベース・サーバへの侵入を許すリスクが極端に高まってしまう。だが、IT部門の不注意のせいで、こうしたケースが実際にしばしばまかりとおっている」と嘆く。
ベストプラクティスでは、こうしたタイプのシステムは、DMZで分離することが推奨されている。DMZは、仮想的にも、物理的にも、あるいは、仮想と物理の両方の要素を組み合わせたかたちでも、構築することができる。
専門家らによれば、仮想DMZでは、仮想スイッチと仮想ファイアウォールを使って、仮想データセンターのクラスタを仮想Webサーバのクラスタから仮想的に分離することになる。
仮想ファイアウォールと仮想スイッチを使えば、サブネットのあらゆる部分を分離できるため、ユーザーは分離レベルを必要なだけ細かく設定することができる。ただし、その場合、仮想ネットワーク・デバイスと仮想ファイアウォールが、同じようにベストプラクティスに沿って管理されていることが前提になる。
ただし、パーカー氏自身は、上述したように、こうしたサーバ・ファームについては物理的に分離することを勧めている。つまり、Webサーバとデータベース・サーバとを別々の物理サーバに構築するよう勧めているのだ。そうすることにより、「悪質な攻撃が（仮想マシン）サーバ・ファームの間に拡大するリスクを取り除くことができる」（同氏）からである。
