イルミオコアのあまり知られていない機能:仮想サービス

この継続中のシリーズでは、Illumio のセキュリティ専門家が、あまり知られていない (しかし、それほど強力ではない) Illumio Coreの機能を紹介します。  

流 出したデータの価値 が闇市場で下がったことで、重要なリソースを乗っ取り、そのデータの身代金を保持 することは価値が劇的に高まり 、非常に成功した犯罪ビジネスモデルになりました。今日、組織のインフラストラクチャを破壊することは、悪意のある行為者にとって非常に魅力的な標的となっています。  

インフラストラクチャ リソースは、ホスト層とアプリケーション層でハイジャックされ、中断される可能性があり、両方のタイプのリソースを視覚化し、互いに独立して、きめ細かなスケールで適用する必要があります。  

このブログ投稿では、Illumio Core の仮想サービスを活用して、 エージェントの有無にかかわらず、ホストとそのアプリケーションおよびプロセスを保護する方法について説明します。これにより、死角のないエンドツーエンドのゼロ トラスト アーキテクチャが実現します。‍

ワークロードセキュリティに対するイルミオコアのエージェントレスアプローチ

Illumio Core は、 Illumio VEN エージェントを展開し、Illumio PCE とペアリングすることで、OS 上で直接ワークロードを管理します。これにより、Illumio は、従来のセキュリティ ソリューションに依存せずに、各 OS にネイティブのファイアウォール機能を使用して、アプリケーション中心のトラフィックを視覚化および適用できるようになります。ワークロード中心のセグメンテーションには、基盤となるホスティング環境に依存しないソリューションが必要です。

ワークロード セキュリティ ソリューションをワークロードに直接プッシュするこのアプローチは最も理想的ですが、ロード バランサ、IoT、 OT デバイスなど、ワークロードの可視性と適用のアーキテクチャに含める必要があるものの、サードパーティ エージェントの展開を許可しない他の種類のワークロードもあります。‍

エージェントレス セキュリティ ソリューションは、多くの場合、Illumio がIllumio CloudSecureで実現するパブリック クラウド プラットフォームに関連付けられています。オンプレミス環境には、さまざまなセキュリティ オプションを備えたさまざまなプライベート クラウド ソリューションがありますが、これらのソリューションのほとんどは、ハイパーバイザーまたは仮想オーバーレイ ネットワーク アーキテクチャに依存しています。ハイパーバイザーまたはオーバーレイ ネットワーク環境でセグメントを作成することは依然としてネットワーク中心のソリューションですが、ワークロード中心のセグメンテーションには、基盤となるホスティング環境に依存しないソリューションが必要です。Illumio はどのようにしてVEN エージェントなしでこれを実現できるのでしょうか?

Illumio Coreがエージェントなしで環境を保護する3つの方法

Illumio Coreは、次のエージェントレスエンティティを使用して、管理されたワークロードを超えて可視性と適用ソリューションを拡張します。  

• 管理されていないワークロード

• 仮想サーバー
• 仮想サービス

管理されていないワークロード

Illumioは、ホスト名とIPアドレスを使用して、VENエージェントなしで管理されていないワークロードを識別できます。次に、イルミオはそのワークロードにラベルを割り当て、イルミオが他のすべての管理対象ワークロードからそのワークロードへのアクセスを視覚化して強制できるようにします。  

その管理対象外ワークロードにはVENエージェントがデプロイされていないため、Illumioはそこからテレメトリを受信していません。その代わりに、Illumioはどの管理対象ワークロードと通信しているかを把握できるため、管理対象外のエージェントレスワークロードをIllumioのIllumination Mapとポリシーモデルに完全に組み込むことができます。

Illumioは、マネージドワークロードとアンマネージドワークロードの両方を同じように管理します。

仮想サーバー

仮想サーバーは、ロードバランサーを経由するトラフィックを強制するために使用されます。Illumioは、F5またはAVIロードバランサーで公開されているVIPによって各仮想サーバーを定義します。イルミオは、そのVIPに関連付けられたロードバランサーの背後に展開されたプールメンバーのラベルも作成します。  

イルミオのネットワーク適用ノード(NEN)モジュールは、API駆動型のワークフローを使用して、セキュリティポリシーをロードバランサーに直接読み書きするのに役立ちます。これにより、イルミオはVENエージェントの展開に依存することなく、ロードバランサーを介して仮想サーバーとの間のトラフィックを視覚化し、適用することができます。  

キャプション：イルミオは、ロードバランサーを構成し、プールを管理することで、仮想サービスを適用します。

仮想サービス

仮想サービスは、同一ホスト上に存在する1つまたは複数の特定のプロセスまたはアプリケーションに対してラベルを付け、ポリシーを定義するために使用されます。各仮想サービスは、基盤となるホストのラベルやポリシーとは独立しています。例えば、2つのアプリケーションが1つのホストにデプロイされている場合、Illumioは2つの異なる仮想サービスを作成し、それぞれが互いに、そして基盤となるホストに対しても異なるポリシーを適用します。  

Illumioが仮想サービスを使用して特定のプロセスまたはアプリケーションをワークロードとして定義する場合、デプロイ先のホストとは無関係に、その仮想サービスをそのプロセスが使用するポートに「バインド」します。仮想サービスは、単一のプロセス、またはホスト上の特定のTCPポートの集合のいずれかにマッピングできます。  

Illumioは、1つのホスト上で異なるアプリケーションに異なるラベルを割り当てることができます。例えば、あるホストがデータベースプロセスとPostgreSQLインスタンスの両方をポート5678にデプロイしている場合、Illumioは2つの異なる仮想サービスを作成し、それぞれを各プロセスで使用される関連ポートにバインドすることができます。次に、Illumioは管理対象ワークロードで使用されるものと同じ多次元ラベリングを使用して、それらにラベルを付けます。  

これにより、基盤となるホストに定義されたラベルやポリシーとは別に、各アプリケーションラベルに対して異なるポリシーを定義できます。

 

サービスやアプリケーションが1つのホストから別のホストに移行する場合（これはプライベートクラウドプラットフォームで発生する可能性があります）、Illumioでそのアプリケーション用に定義されたポリシーを変更する必要はありません。Illumioは、アプリケーションが移行したホスト上の新しいIPアドレスなど、更新されたワークロードに基づいてルールを動的に再計算し、この仮想サービスが移行中にアプリケーション中心のポリシーを引き継げるようにします。  

これにより、例えばアプリケーションを異なる仮想マシン間で動的に移行することが可能になります。アプリケーションポリシーは安定したまま維持され、アプリケーションがホスト間でどれほど動的に移行するかに関わらず、セキュリティ変更管理プロセスをアプリケーションの移行に合わせて実行する必要はありません。‍

マネージド ワークロードとアンマネージド ワークロードの仮想サービス

仮想サービスは一般的に管理対象ワークロードで使用されますが、管理対象外ワークロードでも使用できます。管理対象外のワークロードに複数のプロセスやアプリケーションがデプロイされている場合、Illumioはそれぞれを異なる仮想サービスに関連付け、それぞれを他のものと区別してラベル付けし、管理を強制することができます。  

これにより、セキュリティチームは、さまざまな種類のワークロードにわたるプロセスやアプリケーションに特化した、非常にきめ細かなポリシーを定義できるようになります。その結果、可視化とポリシーは、OS/ホストのワークロードモデルだけに限定されなくなる。  

ここで、イルミオがサポートするワークロードの大規模なことが重要になります — このモデルを大規模に従うことで、イルミオが簡単に管理できるものを視覚化して適用するエンティティが爆発的に増加する可能性があります。

ホストやアプリケーションを標的とする脅威から保護

Illumioは、アプリケーションとホストネットワークの依存関係の適用を可能にし、誰が何と話しているかを 明確に可視化 し、複雑さをかけずにリソース間の横方向の移動をロックする機能を提供します。イルミオは、エージェントの有無にかかわらず、ホストとそのアプリケーションとプロセスを保護します。これにより、死角のないエンドツーエンドのゼロトラストアーキテクチャが実現します。

イルミオZTSの詳細については、 今すぐ無料 相談とデモをご利用ください。