Flowmon

既知の脆弱性の影響について

Flowmon バージョンVer.12.03.04以下およびVer11.01.13以下に重大なセキュリティ脆弱性が存在することが確認されました。

概要

認証されていない攻撃者がFlowmonのWebインターフェイスにアクセスすることで、
Flowmonアプライアンス上で任意のシステムコマンドを実行できる脆弱性が発覚しました。
この脆弱性のFlowmonへの影響についてご説明します。

詳細

Flowmon バージョン Ver.12.03.04以下およびVer11.01.13以下の場合、この脆弱性の影響を受けます。

現時点では、本脆弱性が悪用されたという報告は受けておらず、直接的な運用上の影響は確認しておりません。潜在的な脅威に対して環境を強化するために、できるだけ早く脆弱性対策パッチが適用されたバージョンを適用することをお勧めします。

対策方法

脆弱性対策パッチが適用されたバージョンは次のとおりです。

Flowmon Ver.12.03.05
（Ver12.00.00～Ver12.03.04をご利用の場合）
Flowmon Ver.11.01.14
（～Ver11.01.13をご利用の場合）

当社（Progress）はVer.12.03.04以下およびVer11.01.13以下を実行しているすべてのお客様にセキュリティ強化ガイドラインに従いこの更新プログラムを適用すること強く推奨します。

Flowmon新バージョンver.12.03情報

PDF版のダウンロードはこちらから行えます。

ver.12.03アップデートによる変更点（一部抜粋）は、下記の通りです。

ネットワンシステムズ様から見るFlowmonの価値とは？

2023年12月1日

オリゾンシステムズでは、高い提案力・技術力を備えたパートナー様と連携し、Flowmonの拡販に努めております。 2016年に日本国内のパートナー制度を開始し、各社パートナー様に拡販をいただきましたおかげで、ユーザ様の拡大とともにFlowmonの良さという部分を広く認知していくことができました。 2023年現在、18社のパートナー様でFlowmonをお取り扱いいただいております。

本記事では、パートナーご担当者様へのインタビューを通して、Flowmonをご存じない方や、お取扱い実績のある企業様・パートナー様へ改めてFlowmonのメリットや魅力/価値をご案内いたします。

今回は、ネットワンシステムズ株式会社の皆様にお話を伺いました。

御社がパートナーになった経緯について教えてください。

2013年頃にInteropのブースにてお話を聞いたのが初めてのコンタクトだったと聞いています。他製品も検討はしていたようですが、仕様が複雑でマニュアル等もローカライズされていないなど、導入のハードルが高い製品だったようです。Flowmonは日本語ドキュメントがあり、費用感、画面も比較的シンプルだったことが取り扱いの大きな要因となったのかなと思います。また、ネットワンシステムズでは製品を検討する際に、どれだけ案件があるのかを企画目線で必ず確認しており、実績やニーズが高まってきている製品でないとなかなか取り扱えないところがあります。お客様の成長やニーズの変化も追い風となり、取り扱うに至ったと思います。

Cisco製品にてサポートされているNetFlowを用いたトラフィック可視化、それに加えセキュリティインシデント検知という、新たな付加価値を顧客へ提供できる製品として着目しました。現在では当たり前になりつつあるNDRの領域ですが、いち早く着手していた点、お客様の資産を活用することで容易に実装が可能である点、そしてプラグインという仕組みを採用することでスモールスタートを可能にし、お客様の成長とニーズの変化に応じて柔軟に拡張していける点を魅力に感じました。

御社が思うFlowmonの魅力について教えてください。

プラグインという仕組みそのものが魅力だと思います。可視化はもちろん重要ですが、多様な機能を持っていることで比較的高価で手を出しにくい製品もある中で、よりハードル低く、まずはコレクタやプローブからという提案ができるところが最大の魅力と考えています。

私は他の製品と比較をすることが多いですが、解析画面を見ると、Flowmonは本当にわかりやすいと思います。出力できる情報は他の製品と大きくは変わりませんが、見やすさはFlowmonに分があると思います。個人的にはFlowmonの“変にかっこつけていない”ところが魅力に感じます。

提案、導入のしやすさです。比較的安価な上、必要機能が揃っているので、目的をはっきりとさせた上での提案がしやすいです。可視化のみならず、セキュリティ分野への機能拡張も行え、分野を超えた拡張性があることもうれしいです。シンプルな構成で、導入に際して他のサービスへの影響も少ないので、容易に導入に踏み切れる点も魅力です。また、製品の魅力ではありませんがオリゾンシステムズによる、国内でのサポート力が高く、ユーザ目線に立った親身なサポートが受けられるのも魅力だと思います。要望、課題、改善にも十分に耳を傾けて頂け、必要だと判断した機能についてはスピード感を持って対応頂だけるので、安心して提案できる製品と感じています。

御社内でのFlowmon認知度について教えてください。

比較的高い水準を維持できていると思います。数年前は聞いたことがないという社員もちらほらといましたが、最近では名前すら聞いたことがないという社員はほとんどいなくなったと思います。可視化の提案はどの市場でも一定以上のニーズがあるため、社員自らがFlowmonの情報を調べ、ある程度特徴を把握しているケースも増えてきていると感じます。

可視化・監視分野の商品の中では、認知度は高い方だと思います。特に、フローコレクター分野では相当の認知度があり、事業部内での好感度も高く感じます。メーカー、代理店のこれまでのサポートの賜物だと感じています。

私たちの所属する部での認知度はかなり高いです。ただ営業SEさんなど、担当のお客様が導入されていないとなかなか知る機会がないということが実態としてあると思います。年次が上がるにつれてFlowmonを知っているという人は多い印象ですが、若手や中途で入社してきたメンバーに関しては認知度が低くなる傾向にあるので、営業SEや若手、中途のメンバーに知ってもらうことが、今後の課題です。

Flowmon導入後のお客様の反響について教えてください。

導入して約1年の金融系のお客様の話ですが、レポート機能でトラフィックを可視化できるようになり、満足していると聞いています。複数のユーザを担当されているお客様なので、ぜひ違うユーザでも入れてみたいという前向きなフィードバックをいただいています。

ネガティブな意見はほぼ聞いたことがないですね。基本的にトラブルが起きた際には、直接オリゾンさんに連絡をするという流れなので、私たちが認識しきれていないところもあるとは思いますが、他の製品だと、お客様で何かトラブルがあったら私達の部門に連絡が来るというパターンがあるのですが、Flowmonでそういったことはないので安心しています。

御社で得意とする業種において、Flowmon導入に至った経緯を1つ教えてください。

自治体と製造を得意としています。直近ですと製造系のお客様で、次期WANの更改に向けたネットワークの可視化というのがありました。背景を聞くと、更改前にまず可視化したいという要望から、フィールドテストで導入を検討、実際に導入されたとのことです。それからＮＷ更改に伴い、他の製品のリプレースで、Flowmonに変えたいというお客様も一定数いますね。

Flowmon提案時の強みや弱みについて教えてください。

強みは、プラグインという仕組みによるスモールスタートが可能な点とCisco製品との親和性です。加えて言うのであればADS自体が強みになると思っています。近年はNDR領域を検討しない顧客はいないので、ADSがプラグインで存在すること自体が強力な強みになると考えています。
弱みは、ビジョンとシナリオ不足です。製品としては魅力も多く完成度も高いので、担当者に対しては刺さる製品だと思います。ただペインを感じていない顧客に対し、LOB（主要な、基幹アプリケーション）から落とす攻め方をしている際にはビジョンとシナリオが足りていないと感じます。顧客にどういう姿になって欲しくて、そのためのどの要素にFlowmonが刺さるのかを突き詰めていく必要があると考えています。対応領域/シナリオが広がり、3rd party連携も拡充されていくと、違うアプローチからの提案機会も増えると思います。

強みは、費用対効果の高さ、トラフィック可視化という明確な目的を持って提案がしやすく、導入がしやすい点です。
弱みは、ワールドワイドでの認知度、導入実績が乏しいと感じます。ブランド力や知名度は、「有名であること」が信頼性につながると感じている層へのアピールにつながると考えています。今後の販促活動に期待したいです。

強みは、導入の容易さと、 GUI の操作の直感性の２点です。導入の容易さについては、既存のネットワーク構成に依存せず、IPリーチャビリティーがあればコレクタですぐネットフローを取れる点です。 GUIの操作の直感性については、分析タブに情報が集約されており期間の指定も自由にできるので、あまり熟達していない担当者でも直感的に必要な情報にアクセスできる作りになっていると感じます。
弱みですが、フロー技術を使っている点、逆にそれが足かせになると思う時があります。ネットフローが中核になっているアプライアンスなので、良くも悪くもできることの範囲が制限されてしまいます。そういう意味でも、オプションとしてセキュリティ観点で ADS、パケットキャプチャでFPIとプラグインっていうのは面白い試みだなと思っています。中核をネットフローとしつつそれだけではなくて別ベクトルで他の機能を実装するというのを今後も続けてほしいと思っています。

今後、Flowmonに期待する機能等ありましたら教えてください。

プラグインの選択肢の拡張、分野を跨いだ連携機能に期待します。ADSで検知したイベントに基づき、アクションや隔離などがシームレスにできるといいと思います。また、過去、現在からの未来予測や、障害予測、セキュリティインシデントの未然防止機能に寄与できると提案機会も増えるのかなと思っています。

CiscoのDNAセンターを担当している背景もあって、コントローラー製品との可視化の比較を行うことがあります。コントローラーではあくまでもサブ機能の形で可視化機能が実装されていますが、それでも可視化に力を入れています。Flowmonはネットフローにフォーカスしている製品だからこそ、フローでわかることに特化した機能を実装し棲み分けを考えて欲しいと思います。
フロー情報をもとにしたトレンド予測や、 ChatGPTをはじめ、AIをトレンド予測に活かしたりできるといいと思います。ADSでセキュリティのイベントを検知する際に、対処の方法をAI で提案できたりすると、新しい機能になると思います。

最後に、意気込みを一言お願いします。

コロナの収束、開発元の変更もあり、イベントやセミナーが増えてきたと思うので、ロードマップなどのアップデートを我々も積極的に収集したいと思います。社内への情報発信についても、これまで以上に力を入れていきたいと考えていますので、ぜひよろしくお願いいたします。

開発元が変わり、エンドユーザーの情報を収集するという意気込みが伝わってきています。ここでの意見を今後どう反映していくのかを期待しつつ、社内の検証などを通じて販売促進に貢献できればと思います。

終わりに

この度、Flowmonの販売パートナーであるネットワンシステムズ様へインタビューをさせていただきました。お客様とより近い距離で接していただいているパートナー様の生の声を聞かせていただくことで、改めてFlowmonの強みや弱み、要望機能などについて大変有意義なお話をお伺いすることができました。
Flowmonについて、より詳しく知りたい方は、下記の資料をぜひご覧ください。

細かく相談されたい方は、こちらよりお気軽にお問い合わせください。
担当営業が直接Web会議ツールなどで製品のご案内をすることも可能ですので、お気軽にお申し付けください。

取材担当：プリセールス惣田、営業若月

Flowmonインテグレーションから生まれる効果とは？

2023年11月1日

前回のインタビューに引き続き、アイビーシー株式会社ビジネスビジネスソリューション事業本部コンサル・インテグレーション事業部の皆様にSystem Answer G3との連携およびShowNetにおける導入の効果についてお伺いしました。 System Answer G3はアイビーシー社の自社製品である、ITシステム情報管理／性能監視ソフトウェアです。FlowmonはSystem Answer G3と連携することができ、これにより相乗効果をもたらすことが可能です。今回はアイビーシー様に連携メリットや工夫された部分、連携画面の操作感などについてお伺いしました。また、System Answer G3はInterop Tokyo 2023のShowNetでも導入されており、その際のFlowmonの効果や課題についてもお聞きしました。

アイビーシーはシステム情報管理 / 性能監視ツール System Answer シリーズの開発/販売/サポートから、ITシステムのコンサルティング、性能評価、設計・構築、IoT セキュリティ基盤サービスの開発/提供など、IT障害をゼロにするためのご支援をいたします。

System Answer G3との連携メリットについて教えてください。

Flowmonの機能も含めてSystem Answer G3の画面で完結できることが最大のメリットだと思っています。一つの画面で監視も可視化も行いたいと考えるユーザが多く、複数の監視ツールが混在している環境の場合には、「すべての情報を一元的に管理していきましょう」という話から、System Answer G3を提案するケースも多々あります。また、「我々（アイビーシー）からFlowmonを購入していただく理由」のベストアンサーの一つになると思っており、連携はアイビーシーとユーザ双方のメリットとなると思います。

私はFlowmonから見ても連携の利点があると思います。ショートパケットが多数流れた際、Flowmonで解析をしてもわからないことがあると思います。その際、System Answer G3のレポートではどこのインターフェイスが利用されているかがわかるので、お互い補完するような連携ができていると思います。

連携はどういった手順で行えるのでしょうか？

連携は非常に簡単にできるように設計しました。FlowmonのIPとログインアカウントをSystem Answer G3に入れてもらうだけで完了します。System Answer G3がFlowmonのAPIキーを自動取得し、画面で指定したリクエストを実行することができます。統計情報で対象のFlowmonを選択すると、Flowmon側のプロファイルやチャネル（事前に定義した特定の通信情報）が表示されますので、統計基準や並べ替え基準を選択していくことで、詳細解析が可能です。

System Answer G3で監視しているノードとFlowmonの解析対象を紐づけることができるので、例えばSystem Answer G3でトラフィックバーストを見つけた際、そのまま条件として設定し、検索することができます。FlowmonのAPIの作りの良さもあり、フィルター条件をそのままAPIで付加して投げられるため、このような実装ができました。実際に使っていただくシーンを想定して実装したので、かなり使いやすい機能に仕上がっていると思います。

その他に工夫された点はありますか？

Flowmonの解析画面では統計基準が多数あり、選ぶのが大変という側面があったので、System Answer G3の画面ではユーザの利便性を上げるために、よく利用されるものに絞りましたし、IP通信（From Toでの検索）の場合はセグメント単位の解析ができるように、マスクが指定できるなど、細かい点を工夫してくれました。また、お客様によってはFlowmonを2、３台利用している環境もあると思います。その場合、それぞれGUIでログインして見る必要がありますが、System Answer G3との連携を利用すると複数のFlowmonを一元的に管理ができるというメリットもあります。仮想環境であれば、vCenterをまたがっていても一つの画面で管理することができます。ShowNetの時も複数のvCenterを利用していましたが、一つの画面の中で表現できるのは利便性が高いです。

Interop Tokyo 2023ではどのような目的でShowNetに入れていただいたのでしょうか？

今回のShowNetでは冗長化、異なる形式のネットフローを受信するため3パターンで構築しました。
・ネットワーク機器からのネットフローをFlowmonコレクターで受信する構成
・パケットブローカーが生成したアンサンプリングのネットフローをコレクターで受信する構成
・パケットブローカーで重複排除したミラートラフィックをFlowmonプローブを利用して可視化する構成

こうすることで、特定の機器の調査時にはネットワーク機器で生成しているフローを分析。全体のトラフィックを対象に調査をしたい時には、パケットブローカーで生成したネットフローを分析。プローブでしか解析できないメトリックはプローブでネットフロー生成させて解析するといった使い分けができました。

それから、パケットブローカーとネットフローの連携は、キーサイト・テクノロジー様にもご協力をいただきました。Vision 400（キーサイト様）との連携でしたが、Vision 400がネットフローを生成するのは、実は今年のShowNetが世界初のチャレンジとのことでした。キーサイト様は自社でフローコレクターをお持ちではなかったため、可視化できる製品を探していました。検証を通じて、Flowmonを気に入っていただいたので、キーサイト様のブースにおいてもFlowmonのデモ環境を構築、紹介していただきました。

課題はありましたか？

FlowmonをShowNetに入れたのは、今年が初めてではなく2、3回目だったので、割とこなれてきました。昔は構築の初期段階で、仮想版Flowmonを展開したものを用意してNOCに渡していましたが、今年は他の機器と同じタイミングでアイビーシーが設置しました。要望になってしまうのですが、今回貸し出していただいたプローブは、ミラートラフィックが10Gbpsまでの制限があり、足りない点です。ShowNetのバックボーンは400Gbpsなので、束ねると何Tbpsにもなります。そこにMedia Over IP等の通信で常に数十Gbpsのトラフィックが流れたりするので、トラフィック量はかなり多くなってきています。今回はマルチキャストなどを省いて何とか10Gbpsに収めましたが、来年は40Gbpsか100Gbpsのモデルを貸し出してほしいと思っています。（笑）

どのような効果がありましたか？

ShowNet環境でもループやトラブルが起きるため、ループの起点をSystem Answer G3とFlowmonを組み合わせて調査していました。その他には、HotStage（ShowNetの構築）期間中にコントリビューター向けの生活用ネットワークが提供されるのですが、コントリビュータが持ち込んだPCのSNMPマネージャーが動いているとか、悪さをしていることもあり、特定するのに活躍しました。

おわりに

今回のインタビューでは、アイビーシー様のソリューションであるSystem Answer G3とFlowmonの連携から生まれる相乗効果や、ShowNetへの導入の際の効果や課題についてお聞きすることができました。
System Answer G3との連携を行うことで、複数の画面での監視を一元化できることは利便性の向上につながります。連携手順も簡潔で、解析方法はFlowmonの基準をそのまま利用できるなど、ユーザの使いやすさを考慮して機能実装いただきましたので、ご興味がありましたら是非ご連絡をいただきたく思います。また、ShowNetでの活用事例は、お客様からもFlowmon導入のきっかけとしてご相談をいただくケースとなっております。大規模な環境における、Flow可視化の有効性を改めて再確認させていただくことができました。
今後ともパートナー様と協力しながら、より多くのお客様の要望に応え、最適なソリューションを提供できるよう努めて参ります。

Flowmonについて、より詳しく知りたい方は、下記の資料をぜひご覧ください。

取材担当：プリセールス惣田、営業渡辺

終わりに

この度、Flowmonの販売パートナーであるアイビーシー様へインタビューをさせていただきました。お客様とより近い距離で接していただいているパートナー様の生の声を聞かせていただくことで、改めてFlowmonの強みや弱み、要望機能などについて大変有意義なお話をお伺いすることができました。
アイビーシー様では、2023年6月に開催されたInteropのShowNetにおいてFlowmonを活用いただきました。その際の効果や課題、自社製品であるSystem AnswerとFlowmonのインテグレーションについて、後日別コラムで掲載を予定しておりますので、お楽しみにいただければと思います。

Flowmonについて、より詳しく知りたい方は、下記の資料をぜひご覧ください。

取材担当：プリセールス惣田、営業渡辺

クラウドネットワークの特徴と課題

クラウドネットワークは物理的なインフラストラクチャではなく、仮想化技術を基にしたネットワークです。仮想マシンやコンテナなどの仮想化されたリソースを活用することで、柔軟性と拡張性を実現しています。クラウドネットワークでは、仮想ネットワーク、仮想ルータ、仮想ファイアウォールなど、仮想化されたコンポーネントが重要な役割を果たしています。

クラウドネットワークの特徴により、可視化にはいくつかの困難さと課題が存在します。まず第一に、クラウドネットワークは分散環境であるため、物理的なロケーションやデータセンターの境界を越えた可視化が必要です。さらに、仮想化により、物理的なネットワークデバイスへのアクセスが制限されるため、トラフィックの監視や分析がより困難になります。さらに、複雑なネットワークアーキテクチャやサービスの柔軟な提供形態により、クラウドネットワークの可視化は、より困難な課題となっています。

Flowmonのクラウドネットワーク可視化機能

オンプレミスのみならず、Flowmonは、クラウド環境を合わせたハイブリッドなネットワーク可視化機能を提供しています。クラウドのサポートでは、AWS、Azure、Google Cloud Platform（GCP）などの主要クラウド環境に対応しており、オンプレミスと合わせ、統合的なネットワーク可視化と監視機能を提供しています。

国内のお客様にも広くご利用いただいているFlowmonは、以下のポイントで高い評価をいただいています。

リアルタイムの可視化と監視機能により、ネットワークのトラフィックやアプリケーションのパフォーマンスの迅速な把握と、それによる障害やトラブルの早期検出と対応
高度な分析機能による、トラフィックのパターンや異常の検出、セキュリティイベントの監視、異常なトラフィックや攻撃の検出による、セキュリティの脅威に対しての迅速かつ効果的な対応
直感的なダッシュボードやレポートの提供と、可視化されたデータの直感的な表示による、ネットワークの状態やトレンドの把握、およびトラフィックパターンの分析機能

Flowmonのネットワーク可視化機能には、リアルタイムのトラフィック分析や監視、セキュリティイベントの検出など、包括的な機能が備わり、これにより、ネットワークのパフォーマンスの向上、セキュリティの強化、トラブルシューティングの迅速な対応が可能となっています。

クラウドネットワークの可視化手法とベストプラクティス

クラウドネットワークの可視化における重要な手法の一つは、フローベースの監視です。フローデータを収集し、通信パターンやトラフィックの詳細を分析することで、ネットワークの健全性やセキュリティに関する洞察を得ることができます。フローベースの監視は、リアルタイムでのトラフィックの可視化やアノマリーの検出に効果的です。

また、クラウドネットワークは複雑なアーキテクチャを持ち、仮想化された要素が動的に変化するため、正確なネットワークトポロジの把握が必要です。トポロジマッピングにより、リソースの配置や通信パスの可視化が可能となり、トラブルシューティングやネットワークの最適化に役立ちます。

クラウドネットワークでは、異常なアクティビティや攻撃の検出が必要となります。ログデータやセキュリティイベントの収集、監視、分析を行うことで、セキュリティインシデントの早期検出と対応が可能となるため、セキュリティイベントの監視と分析も重要な手法です。

ベストプラクティスとしては、まず、適切なデータ収集と保管が重要です。必要な情報を正確に収集し、長期的なデータの保管を行うことで、トラフィックのトレンド分析やセキュリティインシデントの調査が可能となります。さらに、可視化データの適切なフィルタリングや集約も重要です。大量のデータから必要な情報を抽出し、見やすい形式で提示することで、効率的なネットワーク監視とトラブルシューティングが現実的なものとなります。

Flowmonによるクラウドネットワークの監視とトラフィック分析

Flowmonはネットワーク上のデータフローを収集し、可視化することで、ネットワークのトラフィックパターンやアプリケーションのパフォーマンスをリアルタイムに把握することができます。これにより、トラフィックの異常やボトルネックの早期発見が可能となります。

また、高度なトラフィック分析機能により、トラフィックのパターンや振る舞いを分析し、異常なトラフィックや攻撃を検出することができます。異常なトラフィックの検出により、セキュリティインシデントやネットワークの問題に早急な対処を可能としています。それらの情報は、ネットワークの最適化やキャパシティープランニングへの有効なインプットとしてご利用いただけます。

Flowmonはまた、上述のように、主要なクラウドプラットフォームとの連携が可能であり、クラウド環境でのネットワーク監視と可視化を容易に行うことができます。さらに、Flowmonは柔軟なデプロイメントオプションを提供し、仮想環境やハイブリッド環境にも対応しています。

終わりに

クラウドネットワークの普及に伴い、統合的なネットワーク可視化の重要性が高まっています。その可視化により、リアルタイムでのトラフィック監視や異常検知、セキュリティ強化、ネットワーク最適化が可能となります。Flowmon製品は、クラウドネットワークを含めた、ハイブリッドネットワーク環境の可視化を実現するための優れた機能と統合性を提供しています。クラウドネットワークの可視化は、今日のビジネスにおいて、安定的なシステム環境とセキュリティ確保に重要です。Flowmon製品の活用により、IT基盤の最適運用の実現にお役立てください。

Flowmonについて、より詳しく知りたい方は、下記の資料をぜひご覧ください。

現行のインシデント対応自動化の実装

Pavel Minarik氏: “Flowmonでは、セキュリティ管理者の介入を必要としない自動対応を実現するために、さまざまなシステム機器とのインテグレーションが可能です。 Firewall製品であるFortiGateやストレージシステム不正アクセス防御製品であるSupernaなど、多くの機器とのインテグレーションが既にサポートされています”。製品のインテグレーションによる自動化は、Pavel Minark氏のコメントのように、すでに多くのものが対象となってています。また、このほかにインシデントの自動対応では、個別のお客様の求めるユースケースを実現させるものが必要な場合があります。 Flowmonでは、RESTなどの汎用APIやセキュリティイベントに対してカスタムスクリプトの実行機能を備えており、これによってさまざまな機器へのアクションを定義することができます。そのため、幅広いお客様の要件に合わせたインシデント対応の自動化が実現可能です。

自動化実装事例

オリゾン社内で現在活用しているFlowmonを利用した仕組みが、個別のユースケースに適した典型的な例といえます。この仕組みでは、Flowmonが検知したイベントに応じて、該当するクライアントの所有者へ必要な対応を自動メールで案内する機能が提供されています。具体的には、Flowmonから得られたイベント情報（例えば、発信元IPなど）を利用して、そのユーザーの現在のメールアドレスを特定し、問題が発生してから迅速にメールやチャットで注意喚起を行うことで、オペレーションにおいて何が問題となったのかをユーザーが素早く認識できるようになっています。

例えばTORネットワークへのアクセスをFlowmonが検知すると、即座にエンドユーザーにはメールで「TORネットワークとの通信が検知されました。これがテストなど意図した操作によるものでなければ、マルウエア感染が疑われます。その場合は管理者に連絡してください」と注意喚起がなされます。時間をおいてその問題を認識した場合、その要因となる操作の特定が困難になり得ますが、問題事象の発生直後に通知されることで、ユーザーはその要因となった可能性のある自身の操作をより特定しやすくなります。

これにより、エンドユーザーは自身の直近の操作が問題を引き起こしているかどうかを確認できるため、効果的な対応策となっています。この仕組みは、FlowmonのカスタムスクリプトやAPIを使用して実装されており、処理のメカニズムは汎用スクリプト言語で定義されています。そのため、一般のお客様でも広く利用できる典型的なモデルと言えます。

NDRに求められる優先事項

インシデント対応の自動化を検討する際には、要件の明確化やプロセスの評価など、さまざまな要素を考慮する必要があります。どのデータソースを使用するかや、業務要件に基づいてどのような対応が可能か（たとえば、遮断の可否など）など、ベンダーが製品機能として提供する仕組みをそのまま適用することは実際には難しいケースが多くみられます。このような背景から、セキュリティ製品において重要な機能として、リスク事象をより正確に捉える能力が求められると考えられます。

Pavel Minarik氏：”攻撃手法は日々進化し、テクノロジーの進歩によってプロトコルも更新されています。そのような状況の中で、最新の情報を取り込んでリスクのあるセキュリティイベントやエンドポイントを正確に特定することが、FlowmonといったNDR（Network Detection and Response）製品にとって最も重要な優先事項です”。インシデントの正確な把握は、その後の処理の基盤となる前提条件です。そのため、イベントの検知の正確性が何よりも重要であることは明白です。

インシデントの正確な把握に向けた方向性

今後のFlowmonでは、検知手法の向上に加えて、エンドポイントに焦点を当てた脅威情報のスコアリング（リスクの高いイベントを引き起こしているエンドポイントの特定）や、IDS（Suricata）によって検出されたイベントの可視化など、インシデント対応の自動化に有益な機能の拡張について検討を進めています。これらの機能拡張は、将来のリリースで実装される予定です。

Pavel Minarik氏：”Flowmonは、現在も大学との共同研究を通じて、常に最新のテクノロジーを追求し、それを実装しています”。ネットワーク環境は絶えず進化し続け、セキュリティ要件も同様に求められています。このような状況では、技術的な挑戦が連続的に存在します。Flowmonは、業界の最先端の攻撃検知性能を維持するために、継続的にリサーチへの投資を行っています。

終わりに

セキュリティインシデントの検知および自動対応には、さまざまな要素が関与するため、業務要件などを考慮する必要があります。そのため、FlowmonというNDR（Network Detection and Response）製品では、求められる業界最先端の攻撃検知性能を追求し、今後の製品計画でその取り組みが検討されています。オリゾンシステムズとしては、業界トップクラスのNDRとして、今後もお客様にFlowmon製品をご提供し続けたいと考えています。

Flowmonについて、より詳しく知りたい方は、下記の資料をぜひご覧ください。

ランサムウエアの現状

今日では、あらゆる組織がサイバーセキュリティの脅威に晒されています。攻撃者は新たな脆弱性を見つけ攻撃手法を変え、既存の攻撃防御機構を回避する手立てを日々開発している現状です。またネットワークやアプリケーションの通常の挙動に紛れ、さまざまな攻撃の証跡を隠蔽しようとするのが一般的です。これにより被害を早期に回避することが困難となり、重大なセキュリティ事故に繋がってしまっています。

従来のサイバーセキュリティツールでは、このような絶えず変化する脅威に対処することはほとんど不可能でした。しかし、Flowmonなどのセキュリティ分析ソリューションを使用することで、このような未知の攻撃や脅威を検出することが可能となります。Flowmonは、異常なアクティビティをつなぎ合わせて原因を特定し、全体像を明らかにし、対応策の立案実施をご支援します。この早期段階での脅威検出および対応により、ランサムウエア被害などを未然に防ぐことを可能としています。

未知の脅威への対処

IT部門における典型的な問題対応の例として、アプリケーションが突然正常に動作しなくなるという状況があります。それにより、ユーザーからの苦情が相次いで報告され、その対処には多大な時間と労力が求められることとなります。

アプリケーションの異常を解決するには、通常トラブルシューティングが行われますが、問題の原因究明までは一般的には大変時間のかかるプロセスとなります。システム管理者が調査を進める間、内部ユーザーの不満が高まり、生産性に悪影響を及ぼす状況となります。さらに、問題が外部顧客にも影響を及ぼす場合（例えば、ショッピングアプリケーションやB2Bアプリケーションを使用するビジネスクライアントの場合）、問題はより深刻化します。前者の場合、顧客が望んだタスクを実行できないことで売り上げの損失が生じ、後者の場合、ビジネスの評判に直接的な影響を与え、後続のビジネスへの影響が憂慮されます。

IT部門が問題に取り組んでいる間、管理者や営業部門は問題対応に奔走することとなり、システム再起動などの対処療法による解決が功を奏しない場合には、長期的な解決策を見つけるために、時間をかけた分析や改善策の検討が必要となります。

根本原因の特定

ITチームが直面する問題の一つは、原因が明確に定義されていない問題を特定することです。たとえば、ネットワークに障害が発生した場合、問題がネットワーク自体、アプリケーションサーバー、またはアプリケーションそのものに関連しているかを特定するのは困難です。このような問題を解決するには時間と労力が必要であり、その間に生産性に影響が及ぶ可能性があります。

この問題に対処するため、Flowmonは異常検出システム(ADS)を提供しています。Flowmonのお客様も同様の問題を抱えており、たとえば、従業員が海外出張中にマルウェア感染に遭い、オフィスに戻ってラップトップを接続したことで感染が広がった事例があります。ADSを導入することで、このような根本原因を特定し、システムをクリーンアップして正常な状態に戻すためにかかる時間と労力を削減することができます。

Flowmon ADSによる対応

Flowmon ADSは、マルウェアや他の脅威を検出するために、複数の検出方法を利用してネットワークを監視します。機械学習や行動パターン分析を利用することで、既知のシグネチャに依存しない検出が可能です。Flowmonは、ネットワークテレメトリ、NetFlow/IPFIXデータ、生のパケットデータ、IDSの署名、業界全体の評価データ、ユーザー識別情報、カスタム脅威インテリジェンスなど、さまざまなデータソースを使用して、ネットワーク全体のデータを収集します。

例えば、感染したラップトップがネットワークに接続された場合、Flowmon ADSはネットワーク上の異常な動作を検出し、ITチームに通知します。また、感染が内部ユーザーや外部ユーザーに影響を与えなかったことも確認できます。その後、システム管理者は感染したデバイスをネットワークから隔離し、そのデバイスを正常な初期状態に復元することができます。さらに、マルウェアや攻撃のベクトルを分析し、今後の感染を防止するための対策を講じることも可能です。Flowmon ADSにより、既知の攻撃に対応するだけでなく、未知の攻撃も検出し、適切な対処を行うことができます。

終わりに

Flowmonは、既知または未知のサイバー攻撃を検出するため、機械学習やヒューリスティックなどの複数の手法を使用して、ネットワーク上での異常な動作を検知します。たとえば、ネットワーク上で大量のトラフィックが発生したり、不審なIPアドレスからの通信があった場合、Flowmonは異常を検知し、ITチームに通知することができます。これにより、サイバー攻撃によるユーザーの金銭的な損失や企業評価への悪影響を未然に防ぐことができます。

さらに、Flowmonは、お客様が既に導入しているセキュリティ製品とも柔軟に連携させることが可能です。例えば、IBM QRadarやSplunkなど、多数のセキュリティ製品とAPIを介した連携をご提供しています。これにより、より高度なセキュリティ運用を実現し、ビジネスの運営に影響を与えずにサイバー攻撃対策を強化することができます。さらに、Flowmonの異常検知により、ITチームがトラブルシューティングに費やす時間を削減し、ビジネスの成長に向けたオペレーションの最適化が可能となります。

東陽テクニカ様から見るFlowmonの価値とは？

2023年6月1日

今回は、株式会社東陽テクニカ情報通信システム営業部の斉藤様にお話を伺いました。

東陽テクニカは 1953 年の創立以来、世界最高水準の“はかる”技術の提供をコアコンピタンスとし、最先端の測定機器の輸入販売と自社開発製品の提供によって、官公庁、大学ならびに企業の研究開発を支援してきました。技術分野は、情報通信、自動車計測技術、環境エネルギー、EMC（電磁両立性）試験、海洋調査、ソフトウェア開発支援、ライフサイエンスなど幅広く、米国や中国の現地法人などを通じて世界にも提供しています。

パートナーになった経緯について教えてください。

2014年当時、他社フローコレクタ製品を取り扱っていましたが、NetFlowが今ほど一般的でなく、NW機器からNetFlowを出力できないお客様もいて、提案機会損失につながっていました。そこで、ハードウェアアプライアンス型でパケットからNetFlowを生成できる機器を探していました。実は取り扱い製品の中に、Flow生成機もあったのですが、1Gのモニタリングポートで非常に高額だった為、お客様への提案が難しいというのが実態でした。そのため、代わりとなるようなハードウェアアプライアンス型でパケットからNetFlowを生成できる機器を探していました。そんな時、SIerやDC事業者が集まるFlowops （NetFlowやsFlow、IPFIXといったネットワーク機器を流れるパケットをサンプリングして出力・モニタする仕組みについて議論しているグループ）でFlowmonに出会い、我々のニーズにマッチしていると感じたため、即時コンタクトを取り評価を開始しました。

評価当時、想定していた性能に達しない現象が発生したのですが、オリゾンシステムズの技術支援を受けスムーズに解決することができたことを覚えています。（不要な機能が有効になっていたためでした。）その後、今後需要が高まると思いデモ機を購入しました

製品品質はもちろんですが、オリゾンシステムズの対応や、手厚いサポート支援にも好感を持ちました。まだ販売パートナーがほとんどいない時でしたが、2014年頃からパートナー契約に向けた取引きを進め、代理店となりました。

東陽テクニカ様が思うFlowmonの魅力について教えてください。

非常に動作が安定している点です。

バグも比較的少なく、GUIが直観的でわかりやすい点も魅力に感じます。ダッシュボード画面を大きなモニターに映すことで、常に状況把握するといった使い方もできるので、顧客受けが非常に良いです。

また、ラインナップも多数あり顧客規模に応じた提案をすることが出来る点も魅力だと感じています。弊社では物理アプライアンスをメインに提案しておりますが、顧客要望に応じて仮想版やクラウド版にて切り替えて提案ができることも取り扱いやすさにつながっていますね。

社内でのFlowmon認知度について教えてください。

社内での認知度は非常に高いと思います。

ネットワークにかかわるソリューションを提案する部隊では、NetFlow・sflow・可視化・トラフィック監視というキーワードが上がった際にはFlowmonを提案していると思います。東陽テクニカでは、Flowmon製品以外に自社で設計開発した大容量パケットキャプチャ装置「SYNESIS」やネットワーク監視ソリューション「NetEyez」を取り扱っており、お客様のトラフィック計測・検証など要件に応じてうまく棲み分けて提案させて頂いております。