Living in the Flat World

「世界はフラットになっている」と考えれば、世の中の変化も少し違った見方ができるはず!その考え方のもと、ITを中心に日常生活から世界のニュースまで幅広い題材を取り上げるブログ。

Citrix製品

「アプリケーション仮想化」と「プレゼンテーション仮想化」

これまで複数のエントリで、XenAppを使った「アプリケーションの仮想化」が、標的型攻撃への対策としてどんな他の対策よりも高い効果を発揮することを書いてきた。おかげさまで複数のお客様からこの件で問い合わせがあり、実際に導入を前提に進めているお客様もあることから、書いてきたことの正当性は疑い無いものと自負している。
辛いのは、このことが(少なくとも私がこれを言い出した2ヶ月前時点では)ほぼどこにも書いていなかったことだ。どこにも書いてない以上、そのことを知っている人は極めて少ないし、せっかくの良いものも使っていただけない。その対策として始めたのがこのBlogであるし、実はそれ以外にもIT関連雑誌やWeb系のメディアにも掲載いただくように、メディア各社さんにもこのことを説いて回る活動を進めていた。
実はその活動がようやく実ったのが下記の記事。

私自身が実名で登場して内容を説明するような記事形式を取っており、書いてある内容もこのBlogで書いてきた内容にほぼ等しい。(取材を受けたとき、まさにこの内容の説明を記者さんにしている)
ただ一点、記事の内容に補足説明させていただきたいことがある。人によっては、記事を読んで混乱してしまうかもしれない「用語の使い方」があるのだ。
TechTargetの記事で「プレゼンテーション仮想化」と書かれているるものは、私がこのBlogで書いてきた「アプリケーション仮想化」のことだ。「用語の使い方」が異なるだけで、内容的には全く同じものだと考えていただいて良い。

ではなぜこのような用語の使い方の違いが出るのか?
端的に言うと、「プレゼンテーション仮想化」はマイクロソフトの用語で、「アプリケーション仮想化」はシトリックスの用語だ。この2社で用語の定義が異なるために、このような面倒なことが起きてしまっている。
この種の用語定義が各社で異なる問題の場合は、「多数決」で決められることが多いと思うが、ただその「多数決」も単純ではない。「単純な会社の数」だけでなく、「声の大きい会社」や「影響力の大きい会社」には、それだけ「多数決に参加する人数」も増やす権利があるらしいのだ。したがってこの件に関してもマイクロソフトの影響力は当然大きく、おそらく記者さんもそれに倣った用語の使い方をするのは当然のことだろう。

シトリックスとしたら、「長いものには巻かれろ」とマイクロソフト用語に揃える選択肢もあるはずで、他の多くの用語で実際そうしているが、この「アプリケーション仮想化 vs. プレゼンテーション仮想化」の用語の違いに関しては、なぜか自己主張を通している。
まあ、個人的にも「プレゼンテーション仮想化」はしっくり来ないし、一般の人もイメージ掴みにくいと思うので、シトリックスの用語の使い方を支持したい。だからと言って、マイクロソフト用語を否定することも出来ないので、私が出来ることは、混乱を招かないように2社の用語の使い方の違いをこのように説明することだろうか。

もうひとつ混乱を招きそうなので説明が必要なことがある。実は、マイクロソフトが『アプリケーション仮想化』と言う用語を使うこともあるのだが、それはシトリックスが言うような「画面転送を使ったアプリケーション配信」ではなく、「アプリケーションの中身そのものをネットワークで配信」する技術のことだ。
具体的には、こちらに説明のある「App-V」と言うテクノロジーのこと。


それにしても、この種のIT用語って判りにくい。「人によって会社によって用語の定義が大きく異なる」ことは、なにも今回挙げた例だけではない。また、「名前から受けるイメージと実態が大きくかけ離れている」ことも珍しくない。
これら用語の判りにくさが生み出す誤解は、この業界にいる人々の無駄な労力をかなり浪費しているはずなので、用語を決める権限を持つ人たちには、さらに努力していただきたいところ。
まあ、その判りにくさを解消するために、私のような人間がいるわけなのだが・・・

「キャズム」理論とXenApp

この本、いわゆる「ハイテク業界」の人間なら、それこそ誰でも読んでいるくらい有名な本。
キャズム

ジェフリー・ムーア著「キャズム」(原題:Crossing the Chasm)

この本で紹介されている下記の図はさらに有名。
キャズム図

読む価値のある本なので興味のあるかたは是非読んでいただきたい。本を購入するための金額と読むための時間のおしいかたは、Googleで「キャズム」と検索すれば、この図の意味を説明したページはたくさん見つかる。さらに検索の時間も節約したいかたは、下記の山田流に要約をどうぞ。

・画期的なテクノロジを用いた製品の場合、ハイテクオタク(Tech enthusiast)が真っ先に購入し、進歩派(Visionaries)が続く。

・さらにその後に実利主義者(Pragmatists)や保守主義者(Conservatives)が購入するようになると、製品の販売は大きく伸びる。

・ところが進歩派の購入動機と実利主義者の購入動機は大きな隔たり(キャズム)があり、進歩派に対して成功したマーケティング戦略は、実利主義者には通用しない。

・ハイテク製品で商業的な成功を成功をおさめるには、この隔たり(キャズム)を意識して、実利主義者に訴えるマーケティングを行わなければいけない。

具体的な例を出すなら、iPhoneは、2011年現在では完全にキャズムを超えて実利主義者に浸透したと言えるだろう。ところがほんの1年前の2010年の時点では、iPhoneを使っていたのは一部の進歩派のみだった。(ちなみにiPhoneの日本での発売は2008年7月より)

この場合、iPhoneは「キャズムを超えた」と言われる。ハイテク業界では、「○○はもうキャズムを超えたよね」だとか「△△は、なかなかキャズムを超えられないね」などと言う会話を普段から交わしていたりするのだ。

少し本題から離れるが、iPhoneがキャズムを超えられた理由を、「キャズム」に書かれた理論を基に、私なりに考察してみた。普通に考えて価格面での下落は大きな要素であるが、「競合の参入(具体的にはどドコモやauによるAndroidベーススマートフォンの登場)」も、(意外な事実であるが)iPhoneがキャズムを超えられた重要な成功要因だと考える。

キャズム理論によると、実利主義者は製品の性能や機能だけでなく信頼性も重視する。実利主義者にとってAppleは電話機の会社としては信頼できると言えないし、かつてiPhoneの販売を日本で独占していたソフトバンクも、携帯キャリアの中では新興だ。ところが、実利主義者にとっての信頼度No.1のNTTドコモがスマートフォン市場に参入したことによって、少なくともスマートフォンへの信頼性は大いに高まった。そしてスマートフォンを購入する前提で、iPhoneとAndroidを比較すればiPhoneに有利な点が多々あることになる。こうして、新しいものにはすぐには飛びつかない実利主義者や、果ては保守主義者までiPhoneを使うようになったのだ。

話はさらにずれるが、日本からシンガポールオフィスに転勤していた同僚が、約2年ぶりに出張で日本に来てくれた。彼いわく、2年ぶりの日本で最も驚いたことは急速なスマートフォンの普及の度合いだったとのこと。今は電車の中で見る携帯電話の半数以上がスマートフォンだが、確かに2年前は皆無に近かった。


------------------------------
さて、ここからが実は今日の本題!!

「キャズムの存在とその意味」については、ハイテク業界にいる人間ならたいてい知っている。ところが、「どうすればキャズムを超えられるか?」と言う具体的な手法までは、意外に知られていない。

「キャズム」本には、超えるための具体的な手法も懇切丁寧に書かれているのではあるが、それなりに複雑な手法であるし、なによりもあの曲線グラフのインパクトが強すぎて、読後に手法がしっかり頭に残っている人は少ないのだろう。

本日のエントリのタイトルである「エレベータテスト」は、本で紹介されているキャズム超え手法のひとつだ。実利主義者に訴えるためには、短くてわかりやすいメッセージでその製品を伝える必要があるのだが、エレベータに乗っているくらいの短時間で製品を説明できるかどうかで、キャズムが超えられるかどうかが決まる。逆に言えば、エレベータテストに合格できるようなメッセージを作ればキャズムが超えられる可能性は高まるのだ。

「キャズム本」で提唱されている、エレベータテストに合格できるメッセージを作るための雛形は下記の通り。

この製品は
[ 1 ]で問題を抱えている
[ 2 ]向けの
[ 3 ]の製品であり
[ 4 ]することができる。
そして、[ 5 ]とは違って
この製品には[ 6 ]が備わっている。

1 : 現在使われている手段 
2 : 橋頭堡となるターゲット
3 : この製品のカテゴリー
4 : この製品が解決すること
5 : 対抗製品
6 : 対抗製品と差別化する機能

「例」として、iPhoneでやると次の通りか。

Apple iPhoneは、
[携帯電話、PDA、携帯音楽プレーヤーなど複数デバイスの持ち運びと使い分け]で問題を抱えている
[若年層ビジネスマン]向けの
[スマートフォン]製品であり、
[すべてのデバイスの機能がひとつにまとめられたうえに素晴らしい操作性を体験]することができる。
そして、[機種ごとに操作方法に違いのあるAndroidベースのスマートフォン]とは違い、
Apple iPhoneなら[一貫した分かりやすい操作によって、誰でも簡単に使いこなす]ことが出来る。



さてこの雛形をXenAppに当てはめるとどうなるだろう?かなりたくさんのメッセージが出来るように思えるが、11月11日時点では、下記2作品。

【作品No.1】
Citrix XenAppは、
[新種のサイバーアタックからの防御]で問題を抱えている
[製造業・金融業・政府機関]向けの
[ネットワークセキュリティ]製品であり、
[インターネットへの出口対策の徹底することで情報漏洩を防止]することができる。
そして、[コンテンツフィルタリング製品や]とは違い、
XenAppなら[原理的に外部への情報漏洩を防止する]ことが出来る。


【作品No.2】
Citrix XenAppは
[自社製市販アプリケーションのSaaS対応]で問題を抱えている
[中小アプリベンダー]向けの
[アプリケーションのネット配信]の製品であり
[既存のWindowsアプリをすぐにSaaS化する]ことができる。
そして、[一般的なWebベースのSaaS]とは違って
[ドラッグ&ドロップなどのWindowsのUIをそっくりそのままネット配信の形で提供]できる


Windows XPの延命策

今日も標的型攻撃関連の情報を集めようとWebで色々調べていたら、興味深い記事を発見した。

ITmedia エンタープライズ

詳細はリンク先を読んでいただきたいが、要約すると下記の通り。
・Windows XPは、もうすぐサポートが切れる
・サポートが切れて脆弱性が残ったWindows XPでWebを閲覧すれば、Webを通じて深刻なウィルスに感染してしまう
・ウィルス感染で重要情報が漏洩し、会社の信用失墜、はては経営破綻だって起きかねない
・Windows XPを使い続けると、会社がつぶれるかもよ!早くWindows 7に乗り換えなさい!
と言ったところだろうか。

記者も書いている通り、これは「最悪シナリオ」ではあるが、「絶対起きない」とも言い切れないことだ。注意を喚起すると言う点では、意義のある記事だと思う。

一方で、記事に欠けている視点がある。いまだに多くの企業がWindows XPを使い続けている理由だ。別に新しいパソコンに買い換えるコストがもったいないわけではない。「Windows XPでしか動作しないアプリケーション」がまだまだ多くあり、それらアプリケーションをWindows 7対応させるコストが計り知れず大きいから躊躇しているのだ。

また、仮に必要な投資として、それらアプリケーションをWindows 7用に改修することに決めたとしても、今度はまたWindows 7対応したアプリケーションの寿命を心配しなければいけない。永遠に新OS対応のメンテナンスコストが発生し続ける。だとすれば、少しでもXPを延命してWindows 8の登場を待つほうが長期的なメンテナンスコストが安いだろうと考えるのは自然なことだろう。

ただし、それはセキュリティのリスクと隣あわせだと言うことは上記の記事の指摘の通りだ。

いやいや、そんなことはない。セキュリティのリスクを犯さなくてもWindows XPを使い続ける方策、そして何よりも様々なアプリケーションのメンテナンスコストを削減する方法は明確に存在する!

このようにすれば良いのだ!

Windows XPの中で、(本来XPでは動作しないはずの)Internet Explorer 9が動いている。

実はこれ、標的型攻撃のような高度なサイバーアタックに対する防御策として私が提案した「外部インターネット閲覧用のWebブラウザをCitrix XenAppで仮想化して、LANと隔離する」と言う方法なのである。(詳しくはこちら)

元々この手法は、最近ニュースで騒がれている「標的型攻撃」に対する防御手段として考えた。実はそれだけではなくて、Windows XPの延命策、最終的には企業内アプリケーションのメンテナンスコストの削減にもなる「一石二鳥以上」の手法なのだ。

是非ご検討いただきたい。


標的型攻撃(5) ~やっぱり出口対策~

11月5日のエントリで、標的型攻撃に対しては出口対策を真っ先にすべきと訴えたが、これは私だけの主張ではないらしい。Googleで「標的型攻撃 出口対策」と検索してみると、いくつかの読み応えのある記事が見つかった。

日経ビジネスオンライン
日経ビジネス記者 戸川 尚樹氏

ITPro
情報処理推進機構(IPA)相馬 基邦氏

ITPro
情報処理推進機構(IPA)相馬 基邦氏

ITPro
日経コミュニケーション記者 白井 良氏


いずれの記事も「ウィルス(マルウェア)の侵入を防止することはほぼ不可能」としたうえで、出口対策の必要性を説いている。私も全くその通りだと思う。ただしその出口対策として「具体的に何をやるべきか?」となると、どの記事の主張も効果が限定されるか、実施が難しいかになっているように思える。

例えばプロキシサーバーの設置が提案されているが、これは作者自身が効果が限定的であることを認めている。あとはトラフィック監視、ログ監視と言った施策は、運用継続自体に高度なスキルと人的コストが必要な一方で、「確実に出口を防ぐ」とまでは言えないように思う。

手前味噌で恐縮であるが、私が提案した「外部インターネット閲覧用のWebブラウザの仮想化と隔離」のほうが、遥かにシンプルかつ確実な方策だと確信しているのだが。

上記引用した作者の皆様、勝手にリンクを貼って記事を批評して恐縮でございます。反論などございましたら、是非コメント欄に書き込みをお願いします。

標的型攻撃(3) ~出口対策~

昨日までエントリで、「標的型攻撃」の巧妙な仕組みと、狙われる企業側の「弱点」について説明した。今日のエントリから、Citrix製品を使った効率的かつ効果的な対策について提案してみたい。既に過去のエントリで前置きが長くなったので結論を急ごう。私が提案する対策は次の2つだ。

1) XenAppを使った外部メール環境の隔離(入口対策)

2) XenAppを使ったインターネット閲覧環境の隔離と、端末上のWebブラウザからの直接的なインターネット参照のブロック(出口対策)

この2つは、それぞれ「入口」と「出口」を対策するものだ。いずれも狙われる企業側の「弱点」を補強する対策である。2つの対策の双方を実施すればそれだけ強い対策となるが、片方だけでも標的型攻撃への対策として相当な効果があると確信している。なぜなら標的型攻撃は、企業ネットワークの入口と出口をいずれも通過する必要があり、片方でも塞がれるとほぼ無力化してしまうからである。

「一つだけ取り入れるとしたらどちらか?」あるいは「2つとも取り入れるとして、どちらが先か?」と問われれば、2)の出口対策を実施していただくことを強くお勧めする。出口対策を先にお勧めする理由は複数あるが、最大の理由は入口対策に比べて導入が簡単で、利便性を損なう度合いが少ないことによる。他の理由も含めて、理由の詳細は後述する。

なお、このBlogの読者の中には「XenAppって何?」と言われるかたも多いと思う。別途機会を改めてXenAppを解説したいと思うが、当面はCitrixサイトの他、こちらこちらをご覧になっていただきたい。

以下、2)の出口対策について、さらに詳しく説明しよう。

対策の前にまず、一般的な企業でのWebアクセスについて復習する。どこの企業でも、基本的には下図のような仕組みになっているはずだ。(クリックで拡大)
一般的な企業LAN内からのWebアクセス

細かいことを言うと、Webプロキシサーバーが入っていたり、コンテンツフィルタリングをしていたりするかと思うが、残念ながらこれらは根本的な対策にはなっていない。私が訴えたいポイントは、ほとんどの企業が「ユーザ端末(パソコン)上のWebブラウザを使ってインターネット上のWebページを閲覧している(閲覧できる)」と言うことである。

「何を当たり前のことを言っているのか!」と言われそうだが、XenAppを使った出口対策とは、その「当たり前」を否定することから始まる。下の図を見ていただきたい。(クリックで拡大)
XenAppを使ったWebアクセスの隔離

注目していただきたい点は、「インターネットWebサイトを閲覧するWebブラウザは、ユーザ端末上では動いていない!」と言うことだ。ユーザ端末上では、Webブラウザが動作しているように見えるが、それは実際端末上で動作しているわけではなく、XenApp上で動作しているWebブラウザの「画面」が転送されてそれを遠隔操作しているに過ぎない。--最近流行の言葉で言えば「アプリケーション(Webブラウザ)が仮想化されている」とも言えるだろうか--

この仕組みの最大のポイントは、ユーザ端末から何らかの形でインターネットアクセスすることを、ネットワーク的に完全に禁止できることだ。一般的なWebプロキシサーバの導入も、「直接的なアクセスを禁止して間接的なアクセスのみ許可する」と言う観点では良く似ているが、XenAppを使った方法は、一般的なプロキシとは以下の点で完全に異なる。

一般的なWebプロキシを使った接続では、WebアクセスのTCPポート番号の変換は行われるが、HTTP通信の「中身」は、ほとんど手を加えられずに送られる。したがって、端末がウィルスに感染してそのウィルスがInternet Explorerのプロキシの設定を読み込めば(それは特別難しいことではない)、ウィルス自身もプロキシ経由の接続をしてしまえば、直接的にインターネットに接続しているのと何ら変わりない動作が可能である。

それとは違い、XenAppを使った「間接接続」では、ユーザ端末とXenApp間の通信はHTTP通信とは「中身」が全く異なる。ユーザ端末からXenAppへ送られるのは、キーボードの入力とマウスの動きの情報だけなのである。この仕組みによって、一連の事件で起きたような「ユーザ端末に感染したウィルスが、勝手に外部と通信する」事態を根本から防ぐことが出来るのだ。


これまで、ネットワーク的な仕組みを見てきたが、利用するユーザの視点に立つと、XenApp上のWebブラウザ利用は、下図のようなイメージになる。(クリックで拡大)
仮想IEの動作イメージ

Webブラウザが2つ立ち上がっているだけのように見えるが、よーく見ていただきたい。左上がIE6で、右下が(Windows XPでは本来動作しないはずの)IE9となっている。このIE9こそ、実際にはXenApp上で動作していて、画面転送・遠隔操作によってユーザ端末から利用できるようになっているものだ。一度起動してしまえば、ユーザは端末上のWebブラウザとほとんど同様に「仮想化されたWebブラウザ」を利用できる。

すぐ上で「ほとんど同様に」と書いたが、端末上のWebブラウザと仮想化されたWebブラウザでは異なることがある 何が異なるかと言うと、仮想化されたWebブラウザと、その他の端末上で動作するアプリケーションの間では「データ交換」が出来ないのだ。例えば、メモ帳で書いたテキストをコピーして、そのテキストをWebブラウザ内のフォームに「貼り付け」することは出来ないし、ユーザ端末上のファイルをWebブラウザを使ってインターネットサイトにアップロードすることは出来ない(注1)。

このWebブラウザとのデータ交換の無効化は、確かに不便なことかもしれない。しかしそれは、導入をためらうほど致命的なことだろうか?いや、それほど悪いことではないだろう。「外部インターネットを閲覧するためのWebブラウザ」に限定してデータ交換が出来なくなることは、ほとんどの企業で業務に支障がでるほどのこととは考えにくい。むしろ、「インターネットへファイルをアップロードできない」ことや「インターネットから端末にファイルをダウンロードできない」ことは、標的型攻撃への対策から離れたとしても企業のIT管理者にとって魅力的なことではないだろうか?

この「XenAppによるインターネットアクセスの分離」に関しては、実は一部の企業でこのような使い方が既に始まっている。それら企業がこのような対策を取り入れた一番の理由は、標的型攻撃への対策ではなかった。実は「インターネット経由で進入する脅威への入口対策」だったのだ。同じ対策が、標的型攻撃に対しては、出口対策にもなっていることは非常に興味深い。

さてここで少し、「1)入口対策」のことも触れてみよう。これを実施した場合に隔離の対象となるのはメールソフトである。入口対策のためには、これらメールソフトとその他のアプリケーションを隔離して、データ交換を禁止することになるわけだが、これは確かに利便性の面で悪い影響が大きいだろう。実はこのことが、「1)入口対策」よりも「2)出口対策」をお勧めする最大の理由なのだ。入口対策でメールソフトを隔離することは、セキュリティ面ではその効果が大きいものの、セキュリティ面以外に及ぼす影響があまりにも大きすぎる。
今日のエントリでは「2)出口対策」について詳しく説明したが、日を改めて「1)入口対策」についてもじっくり説明したい。


(注1)
実は、XenAppの機能としては、端末と仮想アプリ間のコピー/ペーストやファイル交換は可能である。しかし管理者側で定めるポリシー次第では禁止することも出来る。セキュリティ目的でXenAppの仮想アプリケーションを導入する場合、データ互換の機能は禁止することが妥当だろう。
このBlogについて
シトリックス・システムズ・ジャパン
(株)
に勤務し、自社製品をこよなく愛する山田晃嗣のブログ。

このブログで表明されている見解は、私(山田晃嗣)個人のものであり、シトリックスによって承認されたものではありません。
また、必ずしもシトリックスの見解を反映したものでもありません。
The views expressed here are
mine alone and have not been
authorized by, and do not
necessarily reflect the views
of, Citrix.

ブログ作者山田晃嗣のプロフィールはこちらのページをご参照ください。

アクセスカウンター
  • 累計:

記事検索
  • ライブドアブログ