デル・テクノロジーズ製品 販売支援サイト
情報ガイドステーションメニュー
 | 安心安全! PowerEdgeサーバーのセキュリティ機能 (基礎編)

   
       
   
       
   
    





皆さん、こんにちは。パートナー様を担当しているSEの山田です。

今回は、PowerEdgeサーバーが備えているセキュリティ機能についてご紹介したいと思います。従来、サーバー製品はデーターセンターや鍵の付いたサーバールームに設置され、盗難や改ざん(ハードウェア的な)は物理的に困難であったと思います。
しかし、最近のキーワードになっている「エッジ・コンピューティング」のように、設置する場所が広範囲にないます。店舗・小規模な拠点・工場などにも以前からコンピュータ機器は存在していたと思いますが、よりリアルタイム性を求めた環境のニーズにより、サーバーもそのような環境への配置が進んでいます。また、メーカーから出荷された製品がお客様のお手元に届くまでの搬送経路も考慮した改ざん防止にも取り組んでいます。


ここに、独立行政法人情報処理推進機構(IPA)が発表した「情報セキュリティ10大脅威 2021」というものがあります。とても興味深く、身近に感じることが多くあると思います。そして、驚くことに企業(組織)向け1位から5位までのTOP5が “外部からの攻撃” となっており、セキュリティ対策の必要性を感じます。



■情報セキュリティ10大脅威 2021

NEW:初めてランクインした脅威
  ※独立行政法人情報処理推進機構(IPA)「情報セキュリティ10大脅威 2021」を基に作成




ソフトウェアと違いハードウェアを脅威にさらすには巧妙なハッキングが必要になります。サーバーハードウェア(マザーボード、メモリ、CPU、ストレージなど)は、おそらくITインフラストラクチャの最も安全な部分であると思われているかもしれません。しかし、Forrester社*¹による分析によると、63% の企業がハードウェアレベルまたはシリコンレベルのセキュリティの脆弱性が悪用されデータ侵害を受けており、実際に脅威は現実のものとなっています。
*1: Forrester Consulting Thought Leadership Paper Commissioned by Dell, BIOS Security – The Next Frontier for Endpoint Protection, June 2019.




インフラの「土台」となるサーバーのセキュリティ対策

デル・テクノロジーズでは、確立されたサプライチェーンを持ち、進化する脅威の状況に対応し続けています。PowerEdgeサーバーの新しい機能により想定される脅威に応じたセキュリティ対策が行われ、以下のように考えられる脅威に対して対策を行っています。

脅威の種類 PowerEdgeサーバーのセキュリティ機能
物理的な侵入 チップのはんだ除去
プロセッサーへの接続
USB接続
iDRAC Credential Vault
Chassis Intrusion Alert
マルウェアの侵入 偽のアンチウイルスポップアップ
悪意のある電子メールの添付ファイル
USB攻撃
BIOSルートキット攻撃
Dual Silicon Root-of-Trust
輸送中の改ざん 製品の改ざん
偽造部品の挿入
DELL EMC Supply Chain Assurance
悪意のあるファームウェアの更新 マルウェアの挿入 Root-of-Trust および Cryptographically signed & validated firmware
不正な構成 / アップデート /
オープンポートへの攻撃
パスワードやリモートからのハッキング iDRAC9
データへの侵害 サーバー/ストレージドライブの盗難 System Erase
Secure Key & User Authentication


– iDRAC Credential Vault — iDRACのストレージメモリは不変のルートキーで暗号化されています。
– Chassis Intrusion Alert — シャーシを開いたり改ざんしたりしたことを検出しログ記録します。
– Dual Silicon Root-of-Trust — ブートイメージのデジタル署名が保存された署名と一致することを確認します。
– DELL EMC Supply Chain Assurance — ファームウェアまたはデバイスドライバーにマルウェアが挿入されないようにします。
– Cryptographically signed & validated firmware — 暗号形式のデジタル署名をもったファームウェアを提供します。
– iDRAC9 — シングルサインオン、ログイン失敗によるIPブロックなどのログインオプション、システムロックダウンモードにより意図しない変更を防止します。
– System Erase — すべてのブロックを暗号消去(SEDドライブ)または上書き消去(通常のドライブ)を行います。
– Secure Key & User Authentication — クラウド上で暗号化ドライブを管理し、EメールやRSA Secure IDを利用した2段階認証を行います。



こちらのPowerEdgeサーバーのセキュリティ機能は、「テクニカル ホワイト ペーパー:第14世代Dell EMC PowerEdgeサーバーのサイバー レジリエント セキュリティ」 で公開しています。是非、参考にご覧ください。




サーバー セキュリティ ソリューション

今回は、サイバー・レジリエント・アーキテクチャの概要をご紹介します。PowerEdgeサーバーは過去数世代に渡り、シリコンベースのセキュリティや暗号化によるルート・オブ・トラスト認証を活用したサーバー起動およびファームウェア更新など、堅牢なセキュリティ機能を提供してきました。これらの機能は業界規格に則っています。現在のPowerEdge サーバーには強化された 「サイバー・レジリエント・アーキテクチャ」 が標準装備されており、サイバー攻撃に対する防御・検知・回復の能力を強化した設計がされています。サイバー・レジリエント・アーキテクチャでは、「効果的な防御」、「信頼できる検知」、「迅速な復旧」の3つの観点で実装されています。



「効果的な防御」機能は、NIST*2サイバーセキュリティフレームワークの主要なコンポーネントとなり、サイバーセキュリティ攻撃対策に使用できるようになっています。インフラストラクチャには、リソースおよびデータへの不正アクセスに対する堅牢な保護機能が必要であるということが重要です。これには、BIOS、ファームウェアなどの重要なコンポーネントの不正な変更からの保護が含まれており、NIST SP 800-193(Draft Platform Firmware Resiliency Guidelines:プラットフォーム ファームウェア復元性ガイドラインの草案)の現行の推奨事項を満たしています。

効果的な防御 -システム ロックダウン
-署名付きファームウェアアップデート
-セキュア ブート
-サプライチェーン保障
-工場出荷時のランダムパスワード
-ハードドライブの暗号化 (SED)
-エンタープライズ キー マネジメント
*2 : NIST : 米国国立標準技術研究所 (National Institute of Standards and Technology)


「信頼できる検知」機能は、サーバー内の構成、稼働状態のステータス、および、変更イベントに対する完全な可視性を提供します。この可視性によって、ブートやOSランタイムプロセス中のBIOS・ファームウェア、および、オプションROMへの悪意のある、または、その他の変更を検出する必要があります。システム内のすべてのイベントに対してアラートを送信する機能と組み合わせる必要があり、ログによりアクセスと変更に関する詳細な情報を提供します。

信頼できる検知 -監査ログとアラート
-ファームウェア検証
-変更検知
-シャーシ侵入検知
-BIOSライブスキャン


「迅速な復旧」機能では、新たな脆弱性や破損の問題への対応方法、および、必要に応じてサーバーを元の状態にリカバリーする方法を提供します。新たな脆弱性に迅速に対応することが重要で、タイムリーな情報をお客様に提供し、リカバリー時間の短縮や障害発生時の労力を最小限にする必要があります。

迅速な復旧 -BIOSとOSのリカバリー
-Easy Restore
-脆弱性への迅速な対応
-ファームウェア ロールバック
-システム消去


それぞれのセキュリティ機能の概要は、以下の表で説明しています。サーバーのセキュリティ対策によって、外部からの侵入を防ぐことだけではなく、それを検知し、復旧する機能を備えています。

セキュリティ機能 説明
【効果的な防御】
– システム ロックダウン 管理権限を持つユーザーは、下位の権限を持つユーザーがサーバーを変更できないようにするシステム ロックダウン モードを設定できます。
– 署名付きファームウェアアップデート ファームウェアが正規品のみであることを保証するために、ファームウェアの更新にデジタル署名を使用しています。
– セキュア ブート OSの実行前にロードされるUEFIドライバと他のコードの暗号署名を確認し、署名のないUEFIデバイス ドライバのロードが阻止されます。
– サプライチェーン保障 出荷する前に製品の改ざんや偽造部品の挿入がないことを確認し、ファームウェアまたはデバイスドライバーにマルウェアが挿入されないようにします。
– 工場出荷時のランダムパスワード 工場出荷時にiDRACのパスワードをランダムに設定することができます。ランダムパスワードは、製品オーダー時に指定する必要があります。
– ハードドライブの暗号化 (SED) データを取得する前にドライブのロックを解除するためのキーを要求することで、ディスクの物理的な損失または盗難からデータを保護します。
– エンタープライズ キー マネジメント データ暗号化のための暗号鍵を管理する通信プロトコル(KMIP)により、自己暗号化ドライブのデータセキュリティのニーズを満たすことができます。
【信頼できる検知】
– 監査ログとアラート タイムスタンプ、重大度、ソースなどのログにより、追跡やアラートの目的でイベントを生成し指定された宛先に転送されます。
– ファームウェア検証 UEFIセキュアブートでは、未署名のソフトウェアの実行を禁止するように設計されています。
– 変更検知 独自のサーバー構成ベースラインを定義して、本番稼働しているサーバーがそのベースラインからの変化を監視できます。
– シャーシ侵入検知 シャーシのセンサーは、輸送中であってもシャーシを開いたり改ざんしたりしたことを検出し、iDRACライフサイクルログにエントリを生成します。
– BIOSライブスキャン ホストに電源が投入されてPOSTが実行されていないときに、BIOSプライマリーROM内のBIOSイメージの整合性と信頼性が検証されます。
【迅速な復旧】
– BIOSとOSのリカバリー 特別なストレージ領域(BIOS、OSなどから認識できない)から、破損したBIOSイメージまたはOSイメージから迅速にリカバリーできます。
– Easy Restore サーバーの構成とファームウェアをバックアップおよびリストアする機能により、障害が発生したマザーボードを交換する時間を最小限に抑えることができます。
– 脆弱性への迅速な対応 新しい脆弱性に対する脅威に対して迅速かつ積極的に取り組み、タイムリーな情報を提供します。
– ファームウェア ロールバック アップデートを戻したり、前のバージョンをインストールしたりする場合、署名に対する検証も実行されます。(一部の未対応のコンポーネントあり)
– システム消去 ログ、構成データ、ストレージ データ、キャッシュ、および組み込み型アプリケーションを消去し、データ上書き、または、内部暗号化キーを破壊します。
※セキュリティ機能の有効化には、別途、ライセンスが必要な場合があります。






今後、お客様のセキュリティに関する関心事項が増えてくると思います。安心していたハードウェアも脅威の対象です。セキュリティ対策は、いたちごっこになるかも知れませんが、今あるテクノロジーを駆使して万全のデータ保全を実現しましょう。

次回は、代表的なセキュリティ機能について具体的に解説していきたいと思います。ご期待ください!!
 → 続編は こちら



※参考:ホワイトペーパー
 ・セキュリティ最重視のサーバー設計
 ・サプライチェーンセキュリティ:Secured Component Verification for PowerEdge
 ・テクニカル ホワイト ペーパー:第14世代Dell EMC PowerEdgeサーバーのサイバー レジリエント セキュリティ
 ・Technical White Paper : Cyber Resilient Security in Dell EMC PowerEdge Servers(最新版/英語版)
 ・Dell サプライチェーン 保証



データーセンター コンピュート&ソリューションズ事業統括
パートナーセールスエンジニアリング本部
山田 尚敏
2021/03/02


   
       
   
       
   
    

 

タグ: , ,