シトリックスが提供する仮想化やネットワーク製品は、ワークスタイル変革を実現するための利便性とともに、セキュリティ対策としても有効な側面があります。ただ、セキュリティは非常に広い概念でもあるため、適切な目的を理解することは非常に重要です。本セッションでは、多岐にわたるセキュリティリスクのなかでも、よりシトリックス製品が効果的なケースを明確にし、特にITインフラの側面から効率的な対策に向けた考え方をご紹介します。

1. © 2015 Citrix |© 2015 Citrix |
水際のセキュリティ対策からの脱却
- ITインフラの考え方と実践 -
加藤 あかり
セールスエンジニアリング本部 コーポレートフィールドSE部

2. © 2015 Citrix |
アジェンダ
• セキュリティとは
• システムへの対策
• 人への対策
– アプリケーション仮想化でのアプローチ
– デスクトップ仮想化でのアプローチ
• まとめ

3. © 2015 Citrix | © 2015 Citrix | Confidential
セキュリティとは

4. © 2015 Citrix |
セキュリティ対策と未知の脅威
防弾ガラス
二重ドア
生体認証
防犯格子防犯カメラ
通報システム
入退室管理
警備員の配置
思いがけない攻撃に対するセキュリティ対策に完璧はない
過去の事例から学んで最小限に被害を食い止めることは可能
ドローン

5. © 2015 Citrix |
「システムへの対策」と「人への対策」
改ざんされた
Webページにア
クセス
なりすましサイト
で不正スクリプト
の実行
ウイルスやマル
ウェアの実行
情報漏えい
Webサーバー
Webサーバー
サービスの妨害
情報の引き抜き
ページの改ざん

6. © 2015 Citrix | © 2015 Citrix | Confidential
システムへの対策

7. © 2015 Citrix |
IPS WAFFW
WAFで防ぐことができるもの
7
ウェブサーバー（汎用）
IIS, Apache, Tomcat ...
OS（汎用）
Windows, Linux ...
Webアプリケーション
（固有）
ネットワークレベルの攻撃
ポートスキャン, TELNET, SSH …
OS、ミドルウェア、プロトコル
などの共通の脆弱性をつく攻撃
DoS攻撃, Nimda, Code Red …
SQLインジェクション
クロスサイト・スクリプティング
セッション・ハイジャック
パラメータ不正改ざん
XMLインジェクション
正常なアクセス
従来のFirewallやIPSでは
防ぐことができない
ウェブアプリケーションの脅威に
アプリケーションレベルで対処

8. © 2015 Citrix |
リスト型攻撃
A社
B社
C社
D社
事前に他社のサイトの
IDとパスワード情報
を入手してリスト化
持ってきたリストで他社の
Webサイトに不正ログイ
ンを試みる

9. © 2015 Citrix |
リスト型攻撃に対する手段
• 複数の要素のパスワードを設定
• ワンタイムパスワード
• CAPTCHA（キャプチャ）の使用
• ログオン状態の監視
• 監視人員の強化
利便性低下による
利用ユーザーの低下
管理コストの増大

10. © 2015 Citrix |
NetScalerで利便性を損なうことなく対応可能
ユーザーID
パスワード
同意する ☑
個人情報に関して
ｂ
ページの遷移を監視
して不正なアクセス
をブロック
○秒間に○回のログ
インが行われた場合
はブロック
Rate Limiting機能
電話番号
氏名
住所
Start URL機能

11. © 2015 Citrix | © 2015 Citrix | Confidential
人への対策
- アプリケーション仮想化でのアプローチ -

12. © 2015 Citrix |
主にインターネットに接続するのは・・
Webメール

13. © 2015 Citrix |
攻撃の変化
• 数年前までの攻撃
–標的：不特定多数
–攻撃の手法：特定の人間ではなく多くの人に共通する内容で攻撃したり、無
鉄砲な攻撃
• 近年の標的型攻撃
–標的：政府機関、製造業など、特定の情報を狙った攻撃
–攻撃の手法：送信先の相手に合わせた内容のメールを送信したり、標的のみ
を狙った攻撃

14. © 2015 Citrix |
メールによる標的型攻撃の例
送信者 : hacker@customer.com
ご担当者様
貴社製品に関しての情報をホームページで拝見いた
しました。
つきましては○○という製品に関しての詳細な資料
と発注した場合の納期を教えて頂けますでしょう
か？9月中の購入を考えています。
山田太郎
件名 : 貴社製品のお見積りに関して
宛先 : sales@company.co.jp
送信者 : kato@company.co.jp
山田太郎様、
この度はお問い合わせ頂きありがとうございます。
製品の資料と納期に関しまして添付資料をお送りさ
せて頂きます。
ご確認いただけますよう、お願いいたします。
加藤
件名 : 貴社製品のお見積りに関して
宛先 : hacker@customer.com
メール

15. © 2015 Citrix |
メールによる標的型攻撃の例
送信者 : hacker@customer.com
加藤様、
情報いただきありがとうございます。
資料を拝見いたしました。こちらでお願いしたい製
品と数量をリストにまとめました。
添付資料をご参照いただき、早急にお見積りをくだ
さい。
山田太郎
件名 : 貴社製品のお見積りに関して
宛先 : kato@compamy.co.jp
添付資料 : 見積もり依頼
メール
標的型攻撃はメールが起点になることが多いためメールへの対応がまず必要

16. © 2015 Citrix |
Web閲覧による攻撃（水飲み場型攻撃）
あらかじめ標的
の企業がアクセ
スしそうなサイ
トを調べる
①
脆弱性のありそうな
サイトにマルウェア
を仕込む
② ③
Web

17. © 2015 Citrix |
Web閲覧による攻撃（水飲み場型攻撃）
Web
攻撃の多くが狙っているもの
• ブラウザの脆弱性
• Flash Playerなどプラグインの脆弱性
• OSの脆弱性
• ウイルスパターンファイルの未更新
• 利用しているWebアプリケーションが多岐に及び影響が確認できない
• 他のアプリケーションとの互換性を確認する人手が足りない
• アップデートを配信するのに時間がかかる
• 外出が多くオフラインになりがちなユーザーへの適用が困難
継続的で迅速な対応が必要だが、実際のところは・・・

18. © 2015 Citrix |
インターネット接続環境を分離して安全性を確保
社内ネットワーク
インターネット接続
可能なネットワーク
物理的にネットワークと端末を分けるのは一番安全だが生産性が下がる

19. © 2015 Citrix |
インターネット接続アプリケーションの仮想化
機密情報
• ファイヤーウォールでICA
通信のみを許可することに
よりインターネットにつな
がるアプリケーションの通
信を分離
• インターネットに接続する
機器をXenAppに集約する
• 社内のアプリケーションや
端末はそのまま利用
Webとメールの両方を仮想化して分離することにより被害を最小限に
メールWeb
SSL

20. © 2015 Citrix |
ブラウザの仮想化
個人情報
アクセスログ
Webフィルタリング
ウイルススキャン
◆ ポイント
• ブラウザ、フラッシュなどのセキュリ
ティパッチをすぐに適用できる
• Provisioning Servicesを併用することで
迅速なアップデートと環境の初期化が容
易に可能
• 水飲み場型の攻撃に効果がある
◆ 考慮が必要な点
• プロキシサーバー導入やファイヤー
ウォール設定変更などの社内ネットワー
クの全体的な見直しが必要
• ソースIPが単一のものとなるためアクセ
スログの取得にはプロキシサーバーや
Webフィルタリングで別途認証を設定す
るなどの工夫が必要
Web

21. © 2015 Citrix |
メールソフトの仮想化
個人情報
メールアーカイブ
メールフィルタリング
ウイルススキャン
◆ ポイント
• メールアプリケーション管理の一元
化
• Provisioning Servicesを併用するこ
とで迅速なアップデートと環境の初
期化が容易に可能
◆ 考慮が必要な点
• メールのアーカイブファイルを常に
利用する必要がある場合はストレー
ジが必要になる
• メールデータ自体は分離された環境
に残るためそこから情報が漏えいす
る可能性があり効果は限定的
メール

22. © 2015 Citrix |
セキュアなメール利用
個人情報
メールアーカイブ
メールフィルタリング
ウイルススキャン
暗号化
リモートワイプ
メール

23. © 2015 Citrix |
添付ファイルやブラウザからのダウンロードは？ メールWeb

24. © 2015 Citrix |
仮想アプリケーションとローカルデータの受け渡し
許可しない
文字のコピー
＆ペースト
ファイルサーバー
等を介在したファ
イルのやり取り
クライアントドラ
イブマッピング・
USBリダイレクト
情報漏えい
リスク
ユーザー
利便性
ウイルス
感染リスク
コスト
情報漏えい・ウイルス感染リスクがほぼないのは許可しない方法
高
高
高
メールWeb
高コスト

25. © 2015 Citrix |
クライアントドライブの読み取り専用アクセス
仮想アプリケーション
クライアントPC
読み取りは許可
書き込みは不可

26. © 2015 Citrix |
事前の対策と事後の対策
• 脆弱性の迅速な発見と影響範囲の確認
マイクロソフトのセキュリティ更新プログ
ラムの事前通知 (ANS) の公開が限定され
たものになり、一部のユーザーには確認が
困難に。
・パッチやウイルスパターンファイルの迅
速なアップデート
XenAppで管理者側で一元管理することに
より早く確実に対応可能。他のアプリショ
ンとの互換性確認なども不要なため、検証
期間も最小限に。
• ログなどの取得で感染源の特定を
アクセスログやウイルス感染ログなどを取
得し、感染源の特定がすぐにできるように
する必要がある。
• 感染時の事業停止を限定的なものに
感染したPCのみを隔離する時代から企業内
のネットワーク接続可能なPCをすべて切断
することが常識の時代へ。
有事の際、XenAppをシャットダウンする
だけで済むため最低限の社内アプリケー
ションとネットワークは利用可能。
事前の対策 事後の対策

27. © 2015 Citrix |
ｂ
総合的な対策が必要
ネットワーク
サーバー
データ
被害最小化と事業継続のための適切な運用・監視
セキュリティポリシーの策定・ユーザー教育
クライアント
OS アプリケーション
セキュリティ製品
ソ
フ
ト
ウ
ェ
ア
ハ
ー
ド
ウ
ェ
ア
インターネット接続環境を
安全なものにするにあたり
XenAppが関与する分野

28. © 2015 Citrix | © 2015 Citrix | Confidential
人への対策
- デスクトップ仮想化でのアプローチ -

29. © 2015 Citrix |
デスクトップの仮想化
サーバー共有デスクトップ Linuxデスクトップ

30. © 2015 Citrix |
予算と要件に応じて選ぶことのできる様々な選択肢
XenDesktop
Windows
仮想デスクトップ
（ユーザー専用）
XenDesktop
Windows
共有VDI
XenDesktop
Windows
サーバーVDIXenApp
アプリケー
ション仮想化
Linux
VDI
XenApp
サーバー共有
デスクトップ
ユーザーの利便性、自由度
コスト

31. © 2015 Citrix |
金融業では
・「個人データ」の「漏えい」とは「個人デー
タが外部に流出すること」であり、たとえ流出
した媒体において暗号化処理がされていたとし
ても、「個人データ」の「漏えい」に当たりま
す。また、暗号化処理ではなく、パスワードが
設定されている場合も同様です。
・保有しているはずの「個人データ」を紛失し
た場合、「漏えい、滅失、き損」が発生してい
ない確 証がある場合を除き、その懸念があると
言えます。この場合も、「漏えい、滅失、き
損」に準じて 当局への報告等の措置を講じる必
要があります。
※ 金融機関における個人情報保護に関するＱ＆Ａ
金融庁のホームページより
個人情報、企業情報、債券情報、取引情報、
個人信用情報、カード情報など
支店
自宅
取引先

32. © 2015 Citrix |
製造業では
Aerospace Automotive Construction Energy
• 知的財産、機密データの流出
• デザイン/設計データ
• 部品コスト情報
• 生産管理情報

33. © 2015 Citrix |
FATクライアントからの接続はリスクも多い
• 端末紛失による情報漏えい
• セキュリティパッチ・ウイルス
ソフト管理
• 個人所有デバイスのサポート
• 外部デバイスからのデータ流出
• 未知の攻撃による端末のウイル
ス感染
• 大容量データの送受信による
ネットワーク帯域の消費
個人情報
企業機密情報
顧客情報国内外の支店
オフショア拠点
自宅・出張先
働き方の自由化に伴う懸念事項
社内

34. © 2015 Citrix |
ポリシーで設定することができる柔軟な制御
ポリシー設定 設定の対象

35. © 2015 Citrix |
仮想デスクトップを利用したセキュリティの担保
• 端末の一元管理
• ウイルスパターンファイルや
OSパッチの即時適用
• ユーザーの利用状況監視
• 盗難や紛失によるデータ紛
失を防ぐ
• 外部デバイスからの情報漏
えいを防ぐ
• 端末のウイルス・マルウェ
ア感染時に企業ネットワー
クへの拡散を防ぐ
• コピー＆ペーストの禁止
• USBデバイスの使用禁止
• ドライブの使用禁止
• プリンタの使用禁止
• 音声の制御
仮想デスクトップクライアント
画面のみ転送

36. © 2015 Citrix | © 2015 Citrix | Confidential
まとめ

37. © 2015 Citrix |
まとめ
• NetScalerのWAF機能を利用することでリスト型攻撃を含めた
攻撃からユーザーの利便性を損なうことなくWebサイトを守る
ことができます。
• すべての攻撃を完全に防ぐことはできませんがアプリケーショ
ン仮想化を利用してインターネット接続環境を分離することで
被害を受けた際の影響範囲を狭めることができます。
• 従来から利用されている仮想デスクトップ環境ではどこからで
も仕事ができる環境とセキュリティを両立できます。

38. © 2015 Citrix |
Work better. Live better.Work better. Live better.