イスラエルのソフト・ベンダーであるアルゴリスミックセキュリティ（AlgoSec）は，ファイアウォールのセキュリティ・リスク管理ツール「AlgoSec Firewall Analyzer」を開発している。世界で有力企業100社以上が導入しており，日本ではSRAと三井情報の合弁会社であるクレディストが販売する。AlgoSecのユーバル・バーロン社長兼最高経営責任者（CEO）に，ファイアウォール管理の必要性などについて聞いた。

（聞き手は中井 奨＝日経コミュニケーション）

AlgoSecが開発したファイアウォール管理技術とは。


AlgoSec社長兼CEOのユーバル・バーロン氏
[画像のクリックで拡大表示]
　当社のFirewall Analyzerは，ファイアウォール上のセキュリティ・リスクを可視化し，ファイアウォールを容易に管理することができるツールである。

　ファイアウォールのセキュリティ・リスクを手作業で解析するのは極めて難しい。というのも，ファイアウォールのポリシーの種類は10の30乗通りもあるからだ。これらのポリシーに基づいてファイアウォールのセキュリティ・リスクを解析しようとすれば，通常5～6年はかかるだろう。ファイアウォールでセキュリティを確保できると思っていても，リスクの種類によっては解析せずに見逃してしまうケースだってある。

　こうした問題に対してFirewall Analyzerは，膨大な数のポリシーに対して，瞬時にセキュリティ・リスクを解析できるのが特徴だ。

Firewall Analyzerと他社のセキュリティ管理製品との違いは。

　ファイアウォールは，一つのネットワークの通信に対して許可するかしないかというポリシーを100～200の単位で定義する。外部からの侵入もあれば，内部からの侵入もある。それらについて細かい定義をしている。

　Firewall Analyzerは，ファイアウォールのこうしたポリシーとログを収集してリスクを解析する。ポリシー自体のリスクを評価したり，ログに基づいて不要なポリシーや重複したポリシーを判別する。解析を通じて，これから起こり得るリスクを予測することもできる。また，ファイアウォールのポリシーの独自データベースを最初から用意している点が，他社製品に比べてユニークな点だ。

ファイアウォール管理に対する企業ユーザーのニーズは。

　ファイアウォールのリスクの可視化は，日本の企業ユーザーにとって最も重要なことではないかと考えている。

　例えば，日本版SOX法で求められるコンプライアンス面での対応だ。Firewall Analyzerは，ファイアウォールのポリシーや変更が会社全体のセキュリティ・ポリシーや外部の法令に準拠しているかどうかをチェックする。ポリシーで許可されたトラフィックであるかどうか，ポリシー違反のトラフィックをブロックできているかどうかをチェックできる。こうして，企業ユーザーは自社システムがファイアウォールでしっかりと守られていることを証明できる。

　また，Firewall Analyzerは，コンプライアンスのレポートを自動的に作成する機能を搭載している。これによって，ユーザーが監査法人に提出するレポート作成の時間を大幅に短縮することが可能になる。