IPSアプライアンスカタログ2005[中編]

DoS攻撃やスパイウェアにも効く
不正侵入防御システム

岡田大助
@IT編集部
2005/7/29

 DefensePro(日本ラドウェア)

 日本ラドウェアは、L4-7スイッチで実績を重ねてきた企業だ。「DefensePro」も開発のベースになったのは同社のスイッチ製品で、ハードウェアとしての信頼性は非常に高い。また、競合製品と比べてポート数が多く、1台で最大11セグメントを監視・防御することができる。

 DefenseProの発表は2003年12月であるが、同社はそれ以前にSynApps(シナプス)と呼ばれるセキュリティアーキテクチャを展開している。SynAppsは、ヘルスモニタ、負荷分散、帯域制御、侵入防御、DoSプロテクションという5つのサービスを備えており、同社のロードバランサ「LinkProof」などと組み合わせることでIPS機能を実現できた。DefenseProは、この実績をベースにIPSアプライアンスとして生まれた。

 スループットは100Mbpsから3Gbps。4製品がラインアップされている。SOC(セキュリティオペレーションセンター)は米国とイスラエルの2カ所に存在し、アウトブレーク発生後6時間以内にパッチアップデートが実施される。

●ASICベースの高速なシグネチャマッチングエンジン搭載

 最大3Gbpsというスループットを実現するため、DefenseProの上位2機種(DefensePro 1000、DefensePro 3000)には、StringMatch Engineと呼ばれるハードウェアアクセラレータが用意されている。これは1サイクルで最大25万6000個のシグネチャをパラレルで照合するものだ。通常、シグネチャの数が増えればマッチングにかかる時間が増加し、結果的にパフォーマンスが低下する。これをRISCプロセッサと最大8つのASICで構成されるアクセラレータで回避できる。

 また、DoS/DDoS攻撃へのリアルタイムな防御にも優れている。DoS攻撃のタイプによって、防御方法はいくつか考えられる。ランドアタックやTCPヘッダに不正なフラグを記しているフラッディングアタックなどに対してはシグネチャでの検知・防御が可能だ。また、正常な通信との違いを検出するのが難しいフラッディングアタックに対しては、シグネチャに加えてしきい値を組み合わせた検知・防御ができる。

 SYNアタックについては、ディレイドバインディングが効果的だ。これは、クライアントとサーバの間に入ったDefenseProがクライアントからのTCP通信が正常なものかどうかを判断し、TCP通信が確立したものだけをサーバに渡すもの。DefenseProではSYNクッキーと組み合わせて防御している。ちなみに、秒間100万SYNアタックを防御できるという。

 導入については、1st Timeウィザードと呼ばれるテンプレートが準備されている。Javaベースの管理コンソール「Configware Insite」から6つのステップで、企業内LAN用、ネットワーク境界部用、DMZ用、キャリア用、大学内LAN用などの設定を完了できるもので、15分以内の導入を目指している。

 管理画面のリアルタイムモニタは、競合製品と一風変わった表示方法が用意されている。特徴的なのはミリタリー物の映画やドラマで見掛けるようなレーダービュウだろう。3つの同心円で構成されていて、中心部ほど危険度の高い攻撃が表示される(方向については、特に関係はないという)。また、攻撃元の国が一目で分かる世界地図型の「ジオグラフィカルマップ」もある。

 DefenseProの今後の展開として、トラフィックを3次元曲線で分析し、自動的にシグネチャを作成する機能が実装されるという(残念ながら、詳細については教えてもらえなかった)。

  3000 1000 200 100
価格
1396万円
798万円
498万円
199万円
性能
スループット
3Gbps
1Gbps
200Mbps
100Mbps
同時セッション数
1,100,000
500,000
500,000
120,000
監視セグメント数
11
10
10
3
監視用ポート数
Gigabit Ethernet
7
5
5
-
Fast Ethernet
16
16
16
8
サイズ
筐体
1U
1U
1U
1U

写真は3000

2/4


Index
DoS攻撃やスパイウェアにも効く不正侵入防御システム
  Page1
IPSは難しい?
Page2
DefensePro(日本ラドウェア)
  Page3
Symantec Network Security 7100(シマンテック)
  Page4
ジュニパーネットワークスIDP(ジュニパーネットワークス)

IPSアプライアンスカタログ
  セキュリティの次の一手となる不正侵入防御システム
(ISS、マカフィー)

関連リンク
  IPSの実装方法と防御技術とは
  IPSを実装する場所と考慮すべき点

Security&Trust記事一覧


Security&Trust フォーラム 新着記事
@ITメールマガジン 新着情報やスタッフのコラムがメールで届きます(無料)

注目のテーマ

Security & Trust 記事ランキング

本日 月間