• [アーティクル]

セキュリティ

Forefront Security を使用してインスタント メッセージングを保護する

Molly Gilmore

 

概要:

  • FSOCS を使用して IM を保護する
  • OCS 環境に FSOCS を展開する
  • IM のメッセージ フローとスループット
  • IM コンテンツを管理および保護する

目次

IM の最適なウイルス対策
OCS 環境に FSOCS を展開する
IM ベースのファイル転送をセキュリティで保護する
外部ユーザーとのファイル転送
メッセージにスタンプする
OCS 内での IM のメッセージ フロー
メッセージ スキャンのスループットを管理する
IM コンテンツを管理および保護する
構成の例
まとめ

Forefront Security for Office Communications Server (FSOCS) は、Forefront Server 製品ラインに含まれるサーバー ベースのウイルス対策製品です。FSOCS を使用すると、OCS 2007 環境と OCS 2007 R2 環境で、マルウェアからインスタント メッセージングを効果的に保護できます。

FSOCS は、すべての IM 動作をスキャンし、インスタント メッセージング コンテンツや IM ベースの転送ファイルにウイルスや禁止されたコンテンツが含まれているかどうかを確認します。管理者は、使いやすい製品構成オプションによって、スキャンの対象と方法をきめ細かく制御できます。また、FSOCS 内で、IM コンテンツからウイルス脅威やポリシーへの違反を検出したときに、そのことをリアルタイムで通知する機能を有効にして、システム内のセキュリティ状況を監視できます。さらに、FSOCS で提供されるレポートとパフォーマンス カウンタを使用して、現在の FSOCS の正常性とパフォーマンス、および OCS インフラストラクチャ内を移動するインスタント メッセージのセキュリティを評価できます。

IM の最適なウイルス対策

FSOCS は、主要サードパーティ製のウイルス対策エンジンと統合されるので、IM を標的とした、進化を続ける新たな脅威に、一貫した方法ですばやく対応できます。FSOCS の各インスタンスでは、最大 5 つのウイルス対策エンジンを有効にできます。アクセス エッジ サーバー、ディレクタ サーバー、およびフロントエンド サーバーは、すべて Forefront Server のマルチ エンジン ソリューションによって保護されます。

ウイルス対策エンジンは、FSOCS の各インストールと共にサーバーにインストールされます。FSOCS は、インストールされた各エンジンと連携して、IM のウイルス スキャンを実行します。FSOCS は、各ウイルス対策エンジンから提供される検出情報を評価するロジック、およびウイルスをすばやく正確に検出できる可能性が最も高いスキャン シーケンスを選択するロジックを使用します。管理者は、ウイルス スキャンに 5 つのウイルス対策エンジンをすべて使用するか、使用可能な一部のエンジンを使用するかを決定します。エンジンの構成やエンジンとの対話は FSOCS によって行われるので、管理者がこれらの操作を行う必要はありません。

FSOCS では、新たな脅威にリアルタイムで対応できるように、ウイルス対策ソフトウェアのシグネチャとエンジン バイナリの継続的な更新を管理するコンポーネントが提供されます。これらの更新コンポーネントは、マイクロソフトによってホストされているシステムと通信します。このシステムは、24 時間 365 日、常にウイルス対策パートナーのダウンロード サイト上を探査して、エンジンとシグネチャの更新を取得、テスト、およびパッケージ化します。FSOCS の管理者は、FSOCS のインストールがエンジンの更新を取得しようとする頻度を確認できますが、ダウンロード プログラムを確認して更新をインストールする処理は、FSOCS によってシームレスに実行されます。

Forefront Server for Exchange または Forefront Server for SharePoint がインストールされている環境では、以前に構成した再配布サーバーから更新を取得するように FSOCS を構成できます。

OCS 環境に FSOCS を展開する

FSOCS は、OCS 2007 環境と OCS 2007 R2 環境の両方に展開でき、OCS の各バージョン用に推奨されるサーバーの仕様をサポートします。OCS 2007 の展開には、最低でも Windows Server 2003 SP1 が必要で、Windows Server 2003 R2 が推奨されます。OCS 2007 と FSOCS を 64 ビット バージョンの Windows Server 2003 オペレーティング システム上で実行した場合、これらは WOW64 モードで動作します。OCS 2007 R2 の展開には、64 ビット ハードウェアと、Windows Server 2008、Windows Server 2003 (SP2)、または Windows Server 2003 R2 (SP2) が必要です。

OCS 2007 環境と OCS 2007 R2 環境のどちらを使用する場合も、FSOCS を、OCS Standard Edition のサーバーの役割、フロントエンド サーバーの役割、アクセス エッジ サーバーの役割、およびディレクタ サーバーの役割の各インスタンスにインストールする必要があります。Enterprise Edition のトポロジでは、FSOCS を、フロントエンド サーバー、アクセス エッジ サーバー、およびディレクタ サーバーのプール内にあるすべてのサーバーにインストールする必要があります。図 1 は、サポートされる OCS のサーバーの役割にそれぞれインストールされる FSOCS コンポーネントを示しています。

fig01.gif

図 1 サポートされる OCS のサーバーの役割にそれぞれ展開される FSOCS コンポーネント

ForefrontRTCProxy は、Office Communications Server 2007 Server Application API を通じて、OCS 2007 と OCS 2007 R2 と統合されます。FSOCS は、OCS に登録されるときに、MSFT_SIPApplicationSetting オブジェクト (.Net Microsoft.RTC.Sip 名前空間内で定義されています) のインスタンスを作成し、Critical 属性を true に設定して、ForefrontRTCProxy サービスが実行されていなければ OCS を起動できないようにします。

ForefrontRTCProxy は、FSCController と通信して、FSOCScanner プロセスのインスタンスを作成します。FSOCScanner は、有効になっているウイルス対策エンジンへのウイルス スキャン呼び出しを管理します。FSOCS の管理コンソールで、[SETTINGS] (設定) の [General Options] (全般オプション) パネルにある [IM Process Count] (IM プロセス数) の値を参照すると、FSOCScanner によって作成されるインスタンスの数がわかります。インスタンスの数を増やすと、スキャンのスループットは向上しますが、より多くのシステム リソースが使用されます。

各 IM メッセージは、ForefrontRTCProxy を経由して、使用可能な FSOCScanner 上にルーティングされます。FSOCScanner は、フィルタ ルールを適用した後、メッセージを構成済みのウイルス対策エンジンに渡して、IM メッセージまたは IM 転送ファイル内にウイルスが含まれているどうかを確認します。

フィルタ ルールがトリガされるかウイルスが検出された場合、FSOCS の IM 通知エージェントは、送信または受信しようとした IM メッセージまたはファイルに、制限対象のキーワードやファイルの種類、またはウイルスが含まれていたことを IM ユーザーに警告します。通知は必要に応じて、IM セッション経由で送信者と受信者に送信されます。通知メッセージの内容はカスタマイズできます。

IM 通知エージェント自体は OCS クライアントなので、IM 通知の受信者との間に IM セッションを確立できます (セキュリティ上の理由から、FSOCS はフィルタ対象の IM セッションに SIP メッセージを挿入できないので、ユーザーとの間に独自のセッションを作成します)。

IM ベースのファイル転送をセキュリティで保護する

既定では、IM ベースのファイル転送は、2 つの Office Communicator インスタンス間で発生する、ピアツーピアの TCP または FTP ファイル コピー操作として行われます。ファイル転送のネゴシエートに使用される SIP メッセージングは、送信側と受信側の Office Communicator 間で、OCS を経由してルーティングされます。図 2 は、ファイル転送の構成に使用される SIP メッセージングのシーケンスを示しています。

fig02.gif

図 2 Office Communicator を使用したファイル転送をネゴシエートするために OCS で使用される既定の SIP メッセージング

受信者は送信者の IP アドレスを使用して、FTP ファイル転送を許可する TCP 接続を開始します。

図 3 からわかるように、FSOCS をインストールすると、シーケンスが若干変化します。FSOCS は SIP メッセージングをフィルタして、サーバー経由でファイル転送をリダイレクトします。この処理は、元の送信者の IP アドレスを格納し、それを FSOCS の IP アドレスと置き換えることによって行われます。

fig03.gif

図 3 FSOCS をインストールすると変化するファイル転送の SIP メッセージング

FSOCS は、格納された IP アドレスを使用して送信者のコンピュータに接続した後、サーバーにファイルをコピーします。ファイルをスキャンし、異常が検出されなかった場合、受信者がサーバーからデスクトップにファイルを転送することを許可します。検出処理の結果、ファイル転送が失敗した場合、送信者、受信者、管理者のいずれかまたは全員に、構成済みの通知が送信されます。内部ユーザーによる IM ベースのファイル転送のスキャンを有効にする場合、OCS または Office Communicator で追加の構成作業を行う必要はありません。

外部ユーザーとのファイル転送

内部ユーザーと外部ユーザーとの間でファイルを転送するために必要な接続が確立された場合、アクセス エッジ サーバーを経由する IM 転送ファイルは、FSOCS によって保護されます。外部ユーザーとの IM を可能にするには、アクセス エッジ サーバーの役割が 1 つ以上必要です。また、アクセス エッジ サーバーの役割の各インスタンスに、FSOCS をインストールする必要があります。管理者は、各アクセス エッジ サーバー上で実行される Forefront アプリケーションへの着信接続を許可するようにファイアウォールを構成することによって、エッジ サーバーをまたいだファイル転送をスムーズに行うことができます。既定では、この通信にはポート 6891 ～ 6900 が使用されますが、FileTransferStartPortRange と FileTransferMaxPorts という 2 つのレジストリ キーを使用して、この範囲を構成できます。

メッセージにスタンプする

Enterprise Edition のトポロジでは、複数の OCS インスタンスと FSOCS インスタンスにまたがって SIP メッセージをルーティングできます。最初の FSOCS インスタンスは、SIP メッセージに異常がないことを確認した後、そのメッセージにメッセージ スタンプを追加します。この処理は、Microsoft.RTC.Sip 名前空間の Message クラスで提供される Message.Stamp プロパティを使用して行われます。Message.Stamp プロパティを更新し、SIP メッセージ内に格納した後、SIP メッセージのルーティング シーケンスを通じてこのプロパティを送信できます。FSOCS は、このプロパティを使用して、SIP メッセージがスキャン済みであることを示します。

OCS 内での IM のメッセージ フロー

各 OCS サーバーの役割の中核を成すのは、プロキシ サービス、リダイレクト サービス、およびレジストラ サービスを提供する SIP サーバーの実装です。OCS サーバーは、これらのサービスを利用することによって、IM コンテンツを含む SIP メッセージを受信し、Office Communicator などの対象のユーザー エージェント エンドポイントを検出し、適切に SIP メッセージをルーティングまたは転送できます。FSOCS は、SIP メッセージのルーティング フロー内に組み込まれ、IM をスキャンおよびフィルタし、IM 内にウイルスやその他の禁止されたコンテンツが含まれているかどうかを確認して、侵害された IM が転送されないようにします。FSOCS が SIP のメッセージ フロー内に組み込まれることによって、OCS への影響を最小限に抑えながら IM をセキュリティで保護できるようになります。

図 4 は、FSOCS がインストールされた OCS Enterprise Edition のトポロジ内で SIP メッセージがルーティングされるときの一般的なメッセージ フローを示していて、フェデレーション パートナーとの間で IM が有効になっています。このシナリオでは、フェデレーション組織に属するユーザーが、内部ユーザーへの IM を開始します。次に一連の流れを示します。

  1. IM の開始地点はアクセス エッジ サーバーです。アクセス エッジ サーバー上の FSOCS インスタンスは、IM を受信した後、その IM をスキャンすることによって、ウイルスが含まれているかどうかの確認とフィルタ ルールの適用を行ったうえで、IM が安全であると判断します。この IM は、異常のない IM としてスタンプされ、内部ネットワークに属する目的の受信者のコンピュータへのルート上にある、ディレクタ サーバーの役割にルーティングされます。
  2. ディレクタ サーバーの役割は、推奨事項に従って、ユーザーの認証処理をフロント エンド サーバーからオフロードする目的で展開されています。通常、ディレクタ サーバーの役割は、OCS ユーザーの構成情報が格納された Active Directory インスタンスにアクセスできるように、内部ネットワーク上に展開されます。IM は、アクセス エッジ サーバーからこのディレクタ サーバーにルーティングされます。通常、内部ネットワーク上で、アクセス エッジ サーバーの次のホップ サーバーとして配置されるのは、ディレクタ サーバーの役割です。FSOCS は、IM が前の FSOCS インスタンスによって異常のない IM としてスタンプされているかどうかを確認し、スタンプされている場合は、メッセージを処理せず、その先にルーティングするよう OCS に指示します。
  3. IM は、ディレクタ サーバーからフロント エンド サーバー プールにルーティングされます。このプール内のいずれかのフロント エンド サーバーが、目的の受信者のホーム サーバーになります。IM を受信するフロント エンド サーバー上の FSOCS インスタンスは、ディレクタ サーバーの場合と同じく、メッセージを処理しません。これは、ルーティングされた IM が異常のない IM としてスタンプされているからです。フロント エンド サーバーは受信者を検出し、その受信者に IM をルーティングします。

fig04.gif

図 4 OCS Enterprise Edition のトポロジ内における SIP のメッセージ フロー

これらすべての処理は、エンド ユーザーに意識されることなく実行されます。

メッセージ スキャンのスループットを管理する

OCS Enterprise Edition 環境内に FSOCS を展開すると、予想外に多くのリソースを使用する IM 動作に対応するためのメカニズムが提供されます。このようなまれな状況では、サーバー上で FSOCS によってスキャンされる IM メッセージが格納されるキューの深さが増し、キューの最後にある IM メッセージが、許容時間内にスキャンされない可能性があります。

このような状況が発生した場合、FSOCS は既定でいくつかのアクションを実行します。管理者は構成オプションを使用して、FSOCS が実行するアクションを管理できます。FSOCS の動作は、スキャンされるのを待機する IM メッセージ キューの深さに依存するので、キューに格納されているデータが多すぎることを示すために、IM キューの最大の深さを示す既定のしきい値が定義されています。キューの深さがしきい値を超えたときに FSOCS が実行するアクションは、FSOCS が展開されているサーバーの役割によって異なります。各サーバーの役割で実行される既定のアクションを次に示します。

アクセス エッジ FSOCS は、スキャンとメッセージ スタンプの適用を行うことなく、次の FSOCS インスタンスに IM をルーティングします。

ディレクタ FSOCS は、スキャンとメッセージ スタンプの適用を行うことなく、フロント エンド サーバーの役割に IM をルーティングします。受信者は、IM がフロント エンド サーバーの役割を経由して渡されない限り、その IM を受信しません。

フロント エンド FSOCS は、IM をスキャンします。このサーバーの役割で IM キューの深さがしきい値を超えるまれな状況では、FSOCS は追加の処理を実行して問題を解決しますが、最終的には、メッセージをスキャンせずに通過させることなく、そのメッセージを削除します。

このしきい値は、各サーバーの役割で、MessageOverloadWatermark レジストリ キーを使用して設定できます。値は DWORD として格納され、既定値は、アクセス エッジが 1,000、ディレクタが 3,000、フロント エンドが 10,000 です。

また、メッセージ スタンプは、DisableMessageStamp レジストリ キーを設定することによって無効にできます。値は DWORD として格納され、既定値は 0 ですが、1 に設定するとメッセージ スタンプを無効にできます。

IM コンテンツを管理および保護する

FSOCS を使用すると、内部 (内部ネットワーク内の従業員間) 通信と、ネットワーク境界をまたいだ外部ユーザーとの通信の両方で、IM を経由する情報の流れをよりきめ細かく制御できるようになります。FSOCS 内で提供されるこのような制御は、次に示す 3 種類のフィルタによって実現されます。

ファイル フィルタ このフィルタを構成すると、IM ユーザー間で特定のファイルが送信されないようにできます。管理者は、制限するファイルを、ファイル名、拡張子、ファイル サイズ、またはファイルの種類 (トゥルー ファイル タイプ検出機能を含む) で指定することによって識別できます。たとえば、すべての実行可能ファイルをブロックして、それらが IM 経由で転送されないように、FSOCS を構成できます。これには、拡張子を .exe から .txt に変更した場合も含まれます。

管理者は、特定の範囲内でファイル フィルタ ルールを有効にすることによって、IM ベースのファイル転送をよりきめ細かく制御できます。ファイル フィルタ ルールは、すべての IM 転送ファイル、内部ユーザー間で送信されるファイル、内部ユーザーから外部ユーザーに送信されるファイル、または外部ユーザーからネットワーク境界をまたいで内部ユーザーに送信されるファイルに適用できます。たとえば、内部ユーザー間では IM を経由したすべてのファイルの種類の転送を許可し、外部ユーザーから内部ユーザーに送信される実行可能ファイルはすべてブロックするように、FSOCS を構成できます。

キーワード フィルタ このフィルタを構成すると、制限対象の単語や語句を含む IM メッセージ コンテンツやテキスト ベースの IM 転送ファイルをブロックできます。単語や語句は、任意の言語で定義できます。また、管理者は、FSOCS に付属しているインストール可能な冒とく的表現の一覧を使用して、IM 内で不快な言葉が使用されないようにできます。キーワード フィルタは、IM やファイル転送の方向 (内部、送信、または受信) と関連付けることもできます。

コンテンツ フィルタ このフィルタを構成すると、IM 送信者または受信者のドメインや SIP URI に基づいて、IM や IM 転送ファイルをブロックできます。ワイルドカード文字を使用すると、特定のドメインのすべてのユーザーを対象に、IM と転送ファイルをブロックできます。

たとえば、コンテンツ フィルタ内で "*.unknown.com" を構成した場合、unknown.com に関連付けられたユーザーからの IM と、それらのユーザーへの IM がすべてブロックされます。また、個々のユーザーの SIP URI を構成することによって、ユーザー レベルで IM をブロックすることもできます。

FSOCS 内のすべてのフィルタに関連する概念を、次に示します。

検出アクション 構成済みのフィルタ条件に一致する IM メッセージまたは IM 転送ファイルに対して FSOCS が実行する処理を決定します。たとえば、ブロックの検出アクションを使用して FSOCS 内のキーワード フィルタを構成することによって、制限対象のキーワードを含む IM メッセージがどのユーザーにも送信されないようにできます。

通知 検出アクションが実行されたときに FSOCS によって生成されるオプションの警告です。警告をフィルタごとに構成し、必ずその警告が管理者に送信されるようにできます。また、フィルタの種類に応じて、IM 送信者と IM 受信者のいずれかまたは両方に、検出アクションに関する警告を送信できます。たとえば、あるユーザーが制限対象の単語や語句を含む IM を送信しようとしたときに、管理者に警告を送信し、送信者にも制限対象のキーワードを含む IM がブロックされたことを示す警告を送信するように、FSOCS を構成できます。

管理者への通知は、常に電子メールで送信されます。送信者と受信者は、FSOCS によって開始される IM 会話を通じて通知を受信します。

検疫 検出アクションの結果ブロックされた IM メッセージと IM 転送ファイルのリポジトリです。管理者は、検疫されたアイテムを評価し、適切なコンテンツまたはファイルであると判断した場合、それらを電子メールで元の受信者に再送信できます。

構成の例

それではここで、管理者はどうすれば、数人の従業員による議論で共有された機密情報や個人情報が IM 経由で社外に送信されないようにできるかについて説明します。OCS は、フェデレーション組織やさまざまなパブリック IM ネットワークとの IM を許可するように構成されているので、ここで紹介する方法は重要です。

この目的を達成する方法の 1 つは、各 FSOCS インスタンスを OCS アクセス エッジ サーバーの役割に展開し、そのインスタンスを構成するときにキーワード フィルタを使用することによって、制限対象の単語や語句を含むすべての IM メッセージまたはテキスト ベースの IM 転送ファイルをブロックし、それらが内部ユーザーから外部ユーザーに送信されないようにすることです。先ほど説明したように、内部ユーザーから外部ユーザーに送信されるすべての IM メッセージは、アクセス エッジ サーバーの役割を経由して外部ユーザーにルーティングされるので、FSOCS はこの情報をネットワーク境界でブロックします。

また、外部ユーザーから IM メッセージや IM 転送ファイル経由で送信された冒とく的な情報をブロックして、そのような情報を内部ネットワークに侵入させないようにするには、内部ネットワーク上にある OCS Standard Edition のサーバーの役割またはフロント エンド サーバーの役割にインストールされた FSOCS インスタンス上で、キーワード フィルタを構成する必要があります。

管理者は、許可されたユーザーの一覧を使用すると、よりきめ細かい制御を行うことができます。この一覧では、ある一連のユーザーが送受信する IM を構成済みのフィルタに対して評価しないように FSOCS を構成するオプションが提供されます。管理者は、適用しないフィルタの種類を、許可されたユーザーの一覧に関連付けることができます。たとえば、コンテンツ フィルタを使用して、パブリック IM ドメインからのすべての IM をブロックするように FSOCS を構成した後、パブリック IM ドメインに属するユーザーの一部を (許可されたユーザーの一覧から) 識別し、それらのユーザーが内部の従業員との間で IM を送受信することを許可できます。

まとめ

IM の人気がこれまで以上に高まるにつれて、管理者が IM をセキュリティで保護する方法を持つことがますます重要になっています。今後、Forefront Security for OCS の機能に関する概要情報が提供されることを願っています。また、構成とパフォーマンスに関するさらに詳しい情報が提供されれば、管理者は、FSOCS を使用して、どのように組織内の IM をセキュリティで保護し、それらをポリシーに準拠させることができるかがわかるでしょう。

Molly Gilmore は、ニューヨーク州ロングアイランドに拠点を置く Forefront Security Rapid Response Engineering チームでプログラム マネージャとして勤務しています。Forefront Security for Office Communications Server の最初のリリースに携わるだけでなく、Forefront Server Security 製品ラインと共に配布されるウイルス対策エンジンとスパム対策エンジンを開発するソフトウェア ベンダとも直接仕事をしています。また、Stevens Institute of Technology で、技術管理の工学修士号、および定量的ソフトウェア工学の学士号を取得しています。1991 年からソフトウェア開発に携わり、さまざまな職務や技術に従事した後、2006 年にマイクロソフトに入社しました。