セキュリティ・サービスの仮想化に言及するベンダーがそのメリットについて語る場合、多くの場合 IT システムの簡素化や資産管理の効率化、物理的な統合など、単に物理的なインフラストラクチャをバーチャル化するだけで享受できる基本的なメリットの羅列であることがほとんどです。
あるいは、より創意工夫を凝らしているデータセンター・ベンダーであれば、「仮想化によって、新しいサービスのプロビジョニングとサポートの面で標準化や簡素化などのメリットが得られる」と述べることができるかもしれません。しかし、セキュリティの仮想化にあたっては、セキュリティそのものに関する懸念事項を考慮することも必要です。このコンテンツでは、セキュリティ・サービスなどを提供するアプリケーションや、ビジネスにとって重要性の高いアプライアンスを仮想化するにあたり、CTO や IT マネージャが考慮すべき5つのポイントについて説明します。
仮想化と単一障害点（SPOF）
サービスを仮想化すると、ハードウェア・コストや空調費用を削減したり、複数の重要なアプリケーションを1台の物理サーバに集約したりといったように、さまざまな面で効率性を向上させることができます。しかしながら、仮想化によって集約や統合を行うことは、単一障害点（Single
Point of Failure： SPOF）を生み出す可能性、すなわち障害発生時の影響が大きくなることにつながる恐れがあることをよく認識しなければなりません。
ほとんどのサーバおよびセキュリティ・サービス・アプリケーションにとって、オペレーティング・システム（OS）やハードウェアを単純に仮想化することは、抜本的な解決策にはなりません。ビジネスにとって重要性の高いサービスの複数のインスタンスを1つの仮想 OS 上で稼働させることは、複数のアプリケーションにとっての SPOF を増やす結果になる可能性があります。つまり、仮想化それ自体は、クラスタリングによって冗長性を高めるのでない限り、問題の解決策としては不完全なのです。この冗長性を高めるには、堅牢で管理性に優れたクラスタリング・アーキテクチャが必要となります。
一部のベンダーは、自社が提供するアプリケーションやセキュリティ・サービスの仮想化版をできるだけ早く提供しようと急ぐあまり、より大きなビジネス上の目的を見失っているように見えます。包括的なサーバ統合プロジェクトやデータセンターへの仮想化導入プロジェクトでは、OS を評価する場合と同じように仮想化の評価を行わなければなりません。例えば、高可用性構成がサポートされているかどうか、それらに実運用環境での十分な実績があるかどうかを考慮する必要があります。
監査機能
セキュリティ・サービスを仮想化すると、イベント・ログや監査証跡、および全般的な監査機能に影響が生じる場合があります。
イベント・ログや監査機能がそのまま使用できるかどうかは、仮想化インフラストラクチャのクオリティと、診断ログやトランザクション・ログとの統合がどの程度実現されているかに全面的に依存します。
仮想セキュリティ・サービス（ファイアウォール、認証機能、IDS/IPS など）は、従来のアプライアンスやアプリケーションと同様のログ機能を使用できるように設計されている必要があります。仮想化されているからと言って、イベント・ログやトランザクション・ログ、顧客データの分離機能に不足があってもいいということにはなりません。また、ロギングおよび監査証跡に関する法的要件を満たしていることも必要になります。例えば、チェック・ポイントの Provider-1 と Eventia Reporter の組み合わせでは、ファイアウォールや IDS/IPS のインスタンスごとにログとレポートを完全に分離することが可能です。
生産性と複雑さ
セキュリティの仮想化は、日常的な IT オペレーションの生産性に影響を与えます。また、設定の工数や複雑さにも影響が生じます。
生産性および複雑さに関するこの懸念は、既存のセキュリティ・ソフトウェア製品が、VMware などの一般的な仮想化プラットフォームでの使用をサポートしているのであれば、問題にはならないかもしれません。
これらの商用仮想化プラットフォームはすでに成熟しており、数年にわたる実績があります。しかしながら、この種の仮想化プラットフォームを使用する場合、おそらくは日常的なオペレーションの複雑さが増大することになります。多くの作業を仮想環境に合わせて変更せざるを得なくなるからです。
多くのセキュリティ・ベンダーにとって、この方法は、これまでと同じレベルの収益を確保し続ける手段として、唯一の現実的な選択肢であると言えます。OS カーネルのスケジューリング機能と仮想化機能を開発するためには非常に専門的なスキルが必要とされ、そのための人材も不足しています。仮想化されたサービスを提供しなければならないというプレッシャーは、2007年にはかつてないほど強まっており、今後もそうした傾向が続くと考えられます。
仮想化の真のメリットを享受するためには、プロビジョニング・ツールと管理ツールが提供されていることが不可欠です。例えば、パーティションを新しいサーバにドラッグアンドドロップするだけで、過負荷になったハードウェアを別のハードウェアに移行したり、物理サーバをクラスタに追加するだけで、ダウンタイムなしでシステムのパフォーマンスを増強したりといったことが可能でなければなりません。
チェック・ポイントのセキュリティ仮想化ソリューションでは、これらのことが実現されています。チェック・ポイントのセキュリティ製品はオープンなアーキテクチャを採用しており、汎用サーバ、シャーシ・ベースのセキュリティ・ソリューション、専用アプライアンス、またはチェック・ポイントの仮想セキュリティ・サービス・プロビジョニング・プラットフォーム上で、将来にわたって継続的にセキュリティ・サービスを運用することが可能です。インストール作業、管理インタフェース、プロビジョニング手順、およびオペレーションは、すべてのプラットフォームで共通化されています。この一貫性により、管理者による操作ミスの可能性を低減し、再トレーニングによるコスト増を回避することが可能になります。
実績が不十分な要素
セキュリティの仮想化においては、IT オペレーションにとっての新たなリスクとなる可能性がある、実績が不十分な要素がまだ存在しています。例えば、複数のセキュリティ・サービスが1つのサーバ、メモリ空間、ディスク・ドライブ、およびNICを共有している場合のシステムの挙動については、まだ十分実証されているとは言えません。
メインフレームの世界においては、仮想化技術は1960年代からさまざまな形で広く利用されてきました。1990年代にスイッチング・ハブを利用した Ethernet が普及して以来、サーバ用の NIC は、複数のアプリケーションに対して最大のスループットを提供できるように設計されるようになっています。そのため OS の仮想化は、これらのアプリケーションに対してリスクや複雑さの増大をもたらすことがありません。
共有型の次世代プラットフォーム
重要なセキュリティ・サービスは、仮想化または共有された物理サーバ上で実行するべきなのでしょうか。セキュリティ・サービスは、こうした次世代プラットフォーム上で実行するのに適しているのでしょうか。
答えは「イエス」です。セキュリティ・サービスは共有サーバで実行可能であり、共有サーバで実行するべきです。ビジネス・アプリケーション・サーバや Web アプリケーション・サーバ、データベースを仮想化することによって得られるコスト面および運用面でのメリットは、セキュリティ・アプライアンスやセキュリティ・アプリケーションでは、より効果的でより大きなメリットとなります。なお、ほぼすべてのデータセンターで採り入れられている仮想化レイヤとしては、次のようなものが挙げられます。
- ネットワークを MAC レイヤで論理的に分割できるようにする VLAN
- 複数のサーバを1台のマシンに見せるロード・バランサー
- 各アプリケーションがそれぞれ専用の環境で動作しているように見せかける OS のメモリ管理
- 1つのディスクを多数のディスクに見せ、多数のディスクを1つに見せる SAN および NAS
結論
ほとんどの IT 環境には、セキュリティ・サービスを提供するアプライアンスやアプリケーションが導入されていますが、これらのソリューションがフル稼働している時間は全体のごくわずかに過ぎません。セキュリティ環境を仮想化すると、物理的な設置スペースを削減するほか、仮想化されたセキュリティ・サービスを全社規模で集中的に提供、設定、および管理できることになり、生産性という面で継続的なメリットを享受することが可能になります。