業務アプリケーションのデータを不正アクセスから守るためのセキュリティ機器「SecureSphere」を開発する米Imperva。ITproは2006年7月21日，東京エレクトロンが開催したユーザー企業向けセミナーに合わせて来日した米Impervaワールドワイド・セールス担当VP（Vice President）のJames W.Drill氏およびアジア太平洋地域技術ディレクタのErez Schwarz氏に，業務アプリケーションのデータ保護の動向を聞いた。
SecureSphereは業務サーバーの手前に設置するブリッジ機器。拾い上げたパケットを再構成した上で，WebアプリケーションへのHTTPアクセスとデータベース・サーバー（DBMS）へのSQLアクセスの中身を調べる。バッファ・オーバー・フローを引き起こす攻撃やSQLインジェクションなどを用いた攻撃，DBMSに対する不正なクエリーといった危険なアクセスを防止する。
---業務アプリケーションに向けた不正アクセス防止装置を開発した背景は何か。製品が含んでいるメッセージと，ユーザー企業の動向を教えて欲しい。
---Erez Schwarz氏: 情報システム全体を対象とした総合的なデータ保護を実現すること。これが我々のビジョンだ。ネットワークの一部分だけを守るのではない。守るべき業務データそのものを直接守る，ということを主眼に置いている。
---James W.Drill氏: 当社は，第1世代のセキュリティ装置であるWebアプリケーション・ファイアウォールで用いていた技術とまったく同じ技術を，DBMSを守るといった業務アプリケーションのセキュリティ分野にまで広げてきた。
米Impervaの社長兼CEOのShlomo Kramerはファイアウォール・ソフト・ベンダーであるイスラエルCheck Point Software Technologiesの共同設立者だ。Check Pointのファイア・ウォールの技術と考え方を，DBMSのセキュリティへと継承している。
そもそもDBアクセスにまでアクセス監視・防御の対象を広げたのは，Webアクセスだけを防御していてもデータ保護には十分とは言えないからだ。このことにユーザー企業も気付き始めている。
企業がデータを保護しようと考えた時，そのステークホルダーは2つのグループに分かれる。（A）業務アプリケーションのデータベース・サーバーを維持しているグループと，（B）情報システムのインフラ全体を見てコンプライアンス（法令順守）や監査などに関わっているグループだ。データを不正アクセスから守るという観点で，この2つのグループは合体しなければならない状況にある。
---DBMSのセキュリティを考える際には，運用グループと業務グループの距離が近付かなければならないということか。
---James W.Drill氏: 確かに，企業の中でチームごとの役割が分離していたという状況があった。我々の解は，管理対象の異なる4つの製品を用意するというものだ。（1）不正なHTTPアクセスを防止する「Webアプリケーション・ファイアウォール」，（2）不正なSQLアクセスを防止する「データベース・セキュリティ・ゲートウエイ」，（3）個々の装置から情報を吸い上げてHTTPアクセスやSQLアクセスの全体を管理する「MX」，（4）SQLアクセスの監視用途の「データベース監査ゲートウエイ」だ。ユーザー企業ごとの需要の違いや組織の違いに合わせて，必要な機能を導入しやすくしている。
---Erez Schwarz氏: 中国の大手企業の例を示そう。我々は，この企業の異なる2つの部署から同時に受注したことがある。1つの部署は経理関係の部署であり，自分達が管理しているDBMSのデータを不正アクセスから守りたいという要求があった。もう1つの部署は携帯電話関連事業の業務部門であり，Webアプリケーションを不正アクセスから守りたいという要望があった。業務部門のWebアプリケーションは経理部門のDBMSにアクセスしている。結果的に同じニーズであったため，HTTPアクセスとSQLアクセスを監視して防御する装置を導入して問題を解決した。
---James W.Drill氏: 業務部門と運用部門の連携がうまくいっている例として，国際的に著名な銀行の例を挙げよう。この銀行では，運用部門にあたるセキュリティ担当グループが，米国に設置してあるオンライン・バンキングのシステムに脆弱性を発見した。その後どう対処したかと言うと，英国，米国，日本の3国にある顧客情報データベースの手前に，SecureSphereを導入したのだ。
---SecureSphereは，ネットワーク上ではアクセス透過型で使えるブリッジとして配置できる。すべてのDBMSの直前に分散設置する使い方や，Webアプリケーション・サーバーの直前に設置する使い方，あるいはインターネットと社内LAN，DMZなどのエッジ部分に少数配置する使い方などが可能だ。典型的な使い方は？
---James W.Drill氏: ブリッジ型で動作することはSecureSphereの強みだ。業務アプリケーションのデータを不正アクセスから守る場合，従来のセキュリティ製品ではアプリケーション・ゲートウエイ（プロキシ）型で動作させていた。しかし，プロキシ方式ではネットワーク構成に変更が加わってしまう。SecureSphereは，既存のネットワーク構成やネットワーク・アクセス設定に何の変更も加えることなく利用できる製品にしたかった。これが我々が言う“シンプル”ということの意味だ。
---Erez Schwarz氏: 企業によってネットワーク構成も需要も異なるが，不正なアクセスを受ける可能性のあるネットワーク経路にはSecureSphereを設置し，アクセス経路の穴を無くすのが普通だ。例えばDBMSに対するアクセス手段は，Webアプリケーション・サーバー経由のものに限らず，他の経路もある。この場合，Webアプリケーション・サーバーの手前とDBMSの手前，この両者にSecureSphereを配置する場合が多い。
Webアプリケーション・サーバーの手前とDBMSの両者に同時に配置することによって，機能上のメリットも生まれる。HTTPアクセスとSQLアクセス双方のデータを一元的に管理できるからだ。SQLアクセスでは，どのユーザーがいつどのテーブルに何の権限でアクセスしたのかといった情報を視覚的に把握できるが，HTTPアクセスとSQLアクセスを紐付けて管理できるため，どういったHTTPアクセスがどんなSQLアクセスを引き起こすのかをSecureSphereは自己学習できる。ユーザーのWebアクセスとDBMSへの影響とをエンド・ツー・エンドで管理できるというわけだ。
