ハイブリッドクラウドがハイブリッドセキュリティと同等であってはならない理由

ハイブリッドクラウドネットワークファブリックは、今日の企業ネットワークにおける多くの課題を解決します。これらは、基盤となるデータセンター環境の上に抽象化された、単一のネットワークアーキテクチャの構築を可能にする。また、耐障害性、回復力、データセンター全体にわたる「柔軟な」サービス、そして特定のネットワークベンダーに依存しないネットワークトポロジーも実現します。企業は複数の物理ネットワーク環境を管理する可能性があるが、それらすべてにまたがる単一のネットワークファブリックを構築できるだろうか？ 

例えば、企業はAWS、Azure、GCPなどの複数のパブリッククラウド環境に加えて、2つのデータセンター（1つはプライマリ、もう1つは災害復旧用）を維持することができます。これらのホスティング環境はそれぞれ、独自の基盤となる物理ネットワークアーキテクチャと独自の技術を採用しており、ルーティングおよびスイッチングのベンダーも異なる場合が多い。

しかし、ネットワーク業界全体にソフトウェア定義ネットワーク（SDN）が登場したことで、今日ではほとんどのネットワークベンダーが独自の「クラウド」を構築できるようになった。ネットワーク用語では、クラウドとは基本的に仮想ネットワークであり、ネットワークトポロジーが物理的なトポロジーの上に抽象化されたもので、しばしば「オーバーレイネットワーク」と呼ばれます。オーバーレイネットワークは基本的にトンネルの集合体であり、それらはすべて中央のSDNコントローラによって管理されます。このクラウドは、管理対象のすべてのホスティング環境にわたって、単一の統合されたネットワーク基盤を構築できます。 

VXLANなどのトンネルプロトコルを使用してオーバーレイネットワークトポロジーを作成するため、トラフィックの経路は、基盤となる物理トポロジーの展開方法ではなく、これらのトンネルの展開方法によって決定されます。ネットワークベンダーはそれぞれ異なる用語を用いてSDNベースのアプローチを説明しているが、結局のところ、彼らがやっていることは基本的に同じだ。つまり、トンネルを使って、中央コントローラによって自動化され管理されるオーバーレイネットワークを構築するということである。 

これらのベンダーの多くは、オンプレミスのデータセンターからパブリッククラウドベンダーまでオーバーレイネットワークを拡張する機能を備えているものの、実際には多くの企業はオンプレミスのデータセンター内でのみオーバーレイネットワークを展開しているのが現状である。

多くの企業は、オンプレミスのSDNソリューションをパブリッククラウドに拡張する（例えば、トンネル型ネットワークトポロジーをAWSやAzureに拡張する）のではなく、パブリッククラウドインスタンス内にローカル管理環境を構築し、オンプレミスのデータセンターネットワークとは異なる方法でこれらのネットワークを管理しています。彼らは多くの場合、AWSのVPCやAzureのVNetなど、各パブリッククラウドベンダーですでに使用されているネットワーク手法を選択し、オンプレミスのデータセンターにおけるSDNソリューションを別の方法で管理するだろう。

その結果、「スイベルチェア」アプローチで管理されるハイブリッドクラウドネットワークの展開が実現しました。ネットワーク管理者は、オンプレミスのデータセンターの管理に使用されるツールと、パブリッククラウドネットワークの管理に使用されるその他のツールの間で椅子を前後に回転させます。ハイブリッドクラウドという用語は、多くの場合、単一の統合アーキテクチャを意味しますが、運用に関しては正確ではないことがよくあります。 

ハイブリッド環境のセキュリティ保護

ネットワーク管理に対するこの断片的なアプローチは、ハイブリッドクラウド全体のセキュリティに特に当てはまります。オンプレミスのデータセンターやパブリッククラウドの各環境でローカル管理のネットワークツールが使用されているのと同様に、セキュリティソリューションにも同じことが当てはまります。ほとんどの SDN ネットワーク ベンダーは、ローカルで管理された環境である程度のポリシー適用を可能にするために使用できる独自の基本的な統合セキュリティ ツールを持っています。また、主要なパブリッククラウドベンダーはすべて独自のセキュリティソリューションを持っており、基本的なレベルのポリシー適用も可能にしています。

しかし残念ながら、これらのセキュリティツールは全体のアーキテクチャの中で孤立している。各セキュリティソリューションは互いにうまく連携せず、それらすべてに共通するセキュリティ侵害を特定することは煩雑な作業であり、解決に大きな遅延をもたらす。 

さらに、オンプレミスのデータセンターとパブリッククラウドインスタンスの間など、環境間でワークロードがライブマイグレーションされる場合、ポリシーの適用は通常、そのワークロードが移行先まで追跡されることはありません。このため、各環境のセキュリティツール間でポリシーを何らかの方法で転送するために手動によるアプローチが必要になるか、すべての環境から情報を取り込むためにSIEMソリューションに頼る必要があり、後者の場合は事前のスクリプト作成作業が大幅に増えることになる。

運用が複雑なため、これらの手順は頻繁に行われず、その結果、ハイブリッドクラウド全体のセキュリティとワークロードの可視性に大きなギャップが生じます。

ハイブリッドクラウドの各ネットワーク環境にあるサイロ化されたネイティブセキュリティツールに頼ってワークロードのセキュリティを強化するのではなく、基盤となるネットワークツールから抽象化されたワークロードで直接セキュリティと可視性を適用してみてはいかがでしょうか。

オーバーレイネットワークが、基盤となるルーターやスイッチへの依存関係の上に抽象化されたトポロジーを作成するのと同様に、同じアプローチをセキュリティに適用してみてはいかがでしょうか。また、セキュリティは、基盤となるネットワーク ファブリックの依存関係から抽象化 (仮想化) し、ワークロードがホストされている場所やライフサイクル中にライブ移行する場所に関係なく、ワークロードで直接有効にする必要があります。オーバーレイネットワークがハイブリッドクラウドでのネットワークへの一貫したアプローチを可能にするのと同様に、セキュリティも同じように設計する必要があります。 

マイクロセグメンテーションがどのように役立つか

イルミオでは、ハイブリッドクラウド全体のすべてのワークロードにセキュリティ(マイクロセグメンテーション)を直接適用しています。マイクロセグメンテーションポリシーは、保護しようとしているエンティティにできるだけ近い場所で適用する必要があるため、仮想またはベアメタルのすべてのワークロードに軽量エージェントをデプロイします。

• このエージェントは、どのトラフィックにもインラインではありません。バックグラウンドに常駐し、ワークロード上でアプリケーションの動作を直接監視します。
• その後、情報は Policy Compute Engine (PCE) に送り返され、ホストされている場所やライブ移行するネットワーク環境に関係なく、すべてのワークロード間の動作を明確に可視化できます。基本的に、基盤となるネットワークの依存関係から抽象化されたセキュリティを仮想化します。
• 中央の PCE は、ワークロードが動的にライブ移行され、IP アドレスが変更されるアーキテクチャでは、IP アドレスに対するポリシーの定義はスケーリングされないため、単純なラベルを使用してセグメント化する必要があるものを定義します。 

PCEは仮想化されたセキュリティアーキテクチャを構築するだけでなく、必要に応じてネットワーク層にまでアクセスし、オンプレミスのデータセンターにあるハードウェアスイッチへのアクセスリストを設定することもできます。つまり、セキュリティはネットワークよりも上位のレベルで仮想化され抽象化されているため、Illumioは単一の中央ポリシー運用モデルからワークロードセキュリティとネットワークセキュリティの両方を適用できるのです。 

データセンターやハイブリッドクラウドにおける基本的かつ不可欠なリソースを、コンピューティング、ストレージ、ネットワークと定義するならば、これら3つのリソースはすべて、現在では一般的に仮想化され、基盤となるリソースよりも上位に抽象化されている。

データセンターにおける4つ目の重要なリソースはセキュリティであり、これも同様に仮想化され、基盤となるリソースの依存関係も考慮されるべきである。ハイブリッドクラウドは、ハイブリッドセキュリティを意味するものではない。セキュリティはネットワーククラウドファブリック全体にわたって適用されるべきであり、ワークロードのセキュリティは、すべてのネットワークファブリックにわたる統一されたセキュリティ「ファブリック」として、ワークロードレベルで直接適用されるべきである。セキュリティを仮想化することで、基盤となるネットワーク設計者はネットワークの優先事項に集中できるようになり、ワークロードのセキュリティを本来あるべき場所、つまりワークロードに直接配置することができます。

このアプローチにより、 ハイブリッド クラウド環境全体のセキュリティ管理が容易になる方法の詳細をご覧ください。