ラテラルムーブメントを防ぐ鍵は、クライアント端末間通信の確実な制御
東映アニメーションは、1956年の創立以来、日本を代表するさまざまなアニメ作品を生み出し、世界的にも高い評価を受ける日本のアニメーション文化を牽引してきました。技術の進化とともに製作現場のデジタル化が進んだ今、クライアント端末やワークステーションは、作品づくりに欠かせない製作基盤となっています。
「私たちには、そのツールを必要なときに常に利用できる環境を整え、円滑な作品製作を支えることが求められています」と、東映アニメーション株式会社 経営管理本部 情報システム部 セキュリティ室長の高村伸人氏は語ります。
製作チームがクリエイティビティを存分に発揮できるよう自由度を高めたい――その一方で、統制の効かない利用がセキュリティ侵害を招く事態は避けなければなりません。とりわけ近年はリスクが高まっており、「安全にIT環境を利用し、万が一にも大規模な業務停止に至るような被害を起こさないことを念頭に、システムの導入・設計とその対策を考えています」（高村氏）。
中でも注意を払うのが、クライアント端末です。サーバであればIT部門の管理下で確実に制御でき、定期的にバックアップも取得しているため、多くの場合は元の状態に戻せます。しかしクライアント端末は、リモートワーク環境も含めて物理的に離れた場所に分散しており、状態を正確に把握して制御することが困難です。
さらに昨今のサイバー攻撃は、社内システムにいったん侵入すると、“ラテラルムーブメント”と呼ばれる手口で、クライアント端末から別のクライアント端末へと侵害範囲を広げていきます。こうしてクライアント端末が次々と侵害されれば、本社の業務も製作現場の業務も止まりかねません。それを防ぐため、クライアント端末同士の通信を確実に制御する手段を求めていました。
エージェント型で“意図どおり”の制御を実現するIllumioを採用
VLANによる拠点単位・部署単位のセグメンテーションにとどまらず、クライアント端末単位で「何を通信させ、何を制限すべきか」をきめ細かく制御しなければ、脅威の封じ込めは難しい――同社はそう考えました。
そこで着目したのが、エージェント型のマイクロセグメンテーションによる制御です。同様の制御はネットワーク機器との連携でも実現できますが、機器そのものの入れ替えが必要になり、コストと工数がかさむうえ、時間もかかります。迅速に導入できる点も含め、エージェント型が適していると判断しました。
当初は別のツールの導入を進めていましたが、想定どおりに動作せず悩んでいたところに浮上したのが、Illumioでした。
採用の決定後、約5ヶ月でWindowsおよびmacOSを搭載した社内のクライアント端末約1,900台にIllumioを展開し、運用を開始しました。
クライアント端末間の通信を一斉に制御すると、予期せぬ影響が生じるおそれもあります。Illumioを導入してログ収集のみを行い、想定と実際の通信に食い違いがないかを裏付ける期間を設けたうえで、本格的な制限を開始しました。まず本社から始め、次いでスタジオへと段階的に広げていきました。
現在、クリエイター用ワークステーションを含むすべてのクライアント端末に対し、「端末同士の通信は原則禁止とし、一部の例外アプリケーションについてのみ、特定のポートでの通信を許可する」という厳格なポリシーを適用しています。導入以降、業務への思わぬ影響やトラブルもなく運用できています。
「仮にどこか一台が侵害され、さらに何らかの脆弱性を突かれたとしても、致命的なセキュリティ事故の主因となり得る端末間のラテラルムーブメントを確実に止められます。そもそも通信自体ができないため、被害が広がらない――この安心感は非常に大きい」と高村氏は述べます。
Illumioでは、通信制御ポリシーがクライアント端末のOSに標準搭載されたファイアウォールに書き込まれます。そのため、仮にIllumio自体が停止したとしても、直前までのポリシーが端末側に残り、ラテラルムーブメントに対する強固な防御を維持できます。
「マイクロセグメンテーションの価値は、クライアント端末間の通信制御を、常に最適な状態で維持し続けられる点にあると考えています。」（高村氏）
