SD-Securityとは何ですか？

SD-Securityは、Versa （Networks）が提供するソフトウェアのみのマルチテナント型セキュリティソリューションであり、統合セキュリティサービス（ファイアウォール、脅威防止、コンテンツフィルタリング）をVersa のSD-WAN環境に多層的に組み込んだものです。このソリューションは、ファブリック内のどこでも、支店、クラウド、データセンターのいずれにおいても、Versa Directorから一元的に管理されるポリシーに基づいて動作します。

主なポイント

• ソフトウェアのみ：専用のセキュリティハードウェアを購入したり、保守したりする必要がありません。
• ファブリック内のどこにでも展開可能です――ブランチ、ハブ、クラウド、データセンターなど。
• NGFW、ファイルフィルタリング、DNSフィルタリング、およびウイルス対策機能をネイティブに搭載しています。
• Director から一元的に管理され、ポリシーはグローバルに適用されます。
• ICSA Labs、NSS Labs、ONUGによる認証を取得しており、NFV向けのVMware Ready認定も受けています。

このページの内容： その重要性 ・ 仕組み ・ SD-Securityの導入モデル · SD-Security と「VersaONE 」プラットフォーム · よくある質問

SD-Securityはなぜ重要なのでしょうか？

従来、セキュリティといえば、専用のアプライアンスを積み重ねた構成――ここにファイアウォール、あそこにIPS、その後にセキュアWebゲートウェイを追加――が一般的でした。これらはそれぞれ、トラフィックを伝送するネットワークとは別個に購入、ライセンス取得、管理されていました。SD-Securityは、この構成を、すでにSD-WANトラフィックを転送している同じVOSインスタンスの一部として動作するソフトウェアに統合します。これにより、制御プレーンとデータプレーンのパスは、チェーンに別の機器を追加することなく、インラインで検査されます。

SD-Securityはマルチテナントかつキャリアクラスであるため、1回の導入で、独立して管理される制御、セキュリティ、脅威対策ポリシーを備えた複数の隔離された組織に対応できます。この特性により、サービスプロバイダーは、顧客ごとに個別のスタックを構築する代わりに、マネージドSD-WANと併せてマネージドセキュリティを提供することが可能になります。ポリシーが一元管理されているため、Directorで一度作成されたルールは、適用されるすべての場所（支店、ハブ、データセンター、オンプレミス、クラウド）で同一に適用されます。

SD-Securityとは何ですか？

SD-Securityは、Versaのソフトウェアスタックを構成するセキュリティ層であり、独立したアプライアンスではありません。これは、必要とされるブランチ、ハブ、ゲートウェイ、またはクラウドインスタンスのいずれにおいても、VOS内で動作します。 その多層的なサービスには、ネイティブなNGFWおよびUTM機能、ファイルフィルタリング（種類、サイズ、プロトコル、方向によるフィルタリング。SHA-256/SHA-384ハッシュに基づく許可・拒否リストに加え、クラウドベースのレピュテーション照会を含む）、DNSフィルタリング（許可・拒否リスト、DNSトンネリングの検出、および新規検出ドメインのレピュテーション照会）、ならびにWebおよび電子メールトラフィックのウイルススキャンが含まれます。

ポリシーと脅威情報は一元的に管理されます。制御、セキュリティ、および脅威ポリシーは一度作成すればグローバルに展開され、IPアドレス、ポート、URLといった動的な脅威インテリジェンスは、VSyncなどのツールによって全デバイスで常に最新の状態に保たれます。VSyncは、Director自体を経由せずに、更新されたフィードをSD-Securityデバイスに配信します。 本ソリューションは、ICSA Labs Firewall、NSS Labs NGFW/NG-IPS/SSL-Proxy、ONUG SD-WANおよびSD-Security Top 10、ならびにVMware Ready for NFVなどの認定を取得しています。

SD-Securityの導入モデル

SD-Securityは、セキュリティ対策が必要な場所に柔軟に対応します。SD-WANとの連携がデフォルトの設定となっており、ブランチおよびハブのVOSノードは、コントロールプレーンおよびデータプレーンのトラフィックを伝送する同一のIPsec-over-VXLANトンネルにSD-Securityを適用するため、追加のホップを必要とせずにオーバーレイパスを保護できます。スタンドアロン型ファイアウォールは、完全なSD-WANを必要としないサイトで、純粋にセキュリティ適用ポイントとして（バーチャルワイヤー、レイヤー2、またはレイヤー3モードで）VOSインスタンスを展開します。クラウドおよびデータセンターでの導入では、同じポリシーモデルをオンプレミス外のワークロードにも拡張し、ノース-サウスおよびイースト-ウェストのトラフィックを同様に保護します。マルチテナントプロバイダーでの導入では、共有インフラストラクチャ上で組織ごとに制御、セキュリティ、および脅威ポリシーを分離します。

SD-Security と「VersaONE 」プラットフォーム

SD-Securityは、Versa のSecure Cloud IP Platformが、ソフトウェア定義のレイヤー3からレイヤー7のサービスとして提供する3つのソリューションの柱（SD-WANおよびSD-Branchと並ぶ）の1つです。 すべてのSD-Securityインスタンスは、SD-WANおよびSD-Branchの基盤となるオペレーティングシステムであるVOSの一部として動作するため、1台のアプライアンスでこれら3つすべてを実行でき、機能ごとに個別のライセンスは必要ありません。Versa Directorは、SD-Securityポリシーを全フリートにわたってプロビジョニングおよび監視し、VSyncツールなどのユーティリティにより、外部の脅威フィードがすべてのSD-Securityデバイスと同期されるため、手動での更新なしに最新の状態でポリシーが適用され続けます。

よくある質問

SD-Securityと従来のファイアウォールアプライアンスの違いは何ですか？

従来のファイアウォールは、通過するトラフィックを検査する専用のアプライアンスです。SD-Securityは、すでにSD-WANトラフィックを処理している同じVOSインスタンス内で動作するソフトウェアであるため、ファイアウォール機能、脅威防止、コンテンツフィルタリングが、別途のデバイスを必要とせずにインラインで実行され、ポリシーもアプライアンスごとに個別に管理するのではなく、一元的に管理されます。

SD-Securityには専用のセキュリティハードウェアが必要ですか？

いいえ。SD-Securityは明確にソフトウェアのみのソリューションであり、SD-WANやSD-Branchの機能を処理する同じx86ベースのVOSアプライアンス、仮想インスタンス、またはクラウドノード上で動作します。ネットワークの他の部分とは別に、設置、ライセンス取得、または保守を行う必要のある専用のセキュリティアプライアンスは存在しません。

SD-Securityは、脅威インテリジェンスをどのように更新しているのですか？

企業は、WebサーバーやREST APIサーバー上の脅威インテリジェンス（IPアドレス、ポート、URLなど）を管理しています。VSyncなどのツールは、これらの情報源の更新を自動的に検出し、統合されたデータをDirectorを経由せずにSD-Security VOSデバイスに直接配信します。これにより、更新が迅速に行われ、Director自体の動作に影響が及ばないようになっています。

SD-Securityは、1つのシステム上で複数のテナント向けに導入することは可能ですか？

はい。SD-Securityは、キャリアグレードであり、設計上マルチテナント対応となっています。制御、セキュリティ、および脅威対策のポリシーは組織ごとに適用範囲が設定されるため、1回の導入で、互いに隔離された多数の顧客に対応でき、各顧客は独立して管理されます。これは、サービスプロバイダーがマネージドセキュリティサービスを提供する上で極めて重要な要素です。

SD-Securityはどのような認証を取得していますか？

SD-Securityは、ICSA Labsよりステートフル・ファイアウォールおよびDoS防御について、NSS LabsよりNGFW、NG-IPS、SSLプロキシについて、ONUGのSD-WANおよびSD-Securityワーキンググループが検証した「トップ10要件」に基づき認証を受けており、さらにNFV向けの「VMware Ready」認証も取得しています。

Versa のSD-Securityに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

SD-Securityに関する記事をお読みなら、次はこれらもぜひチェックしてみてください。