本文へスキップ

プラットフォームのセキュリティとハードニング

この記事では、お客様の機器とデータを保護するためにエクイニクスが遵守しているポリシーと手順について概説します。

エクイニクスのセキュリティ対策は、以下のチームとプログラムによって検討、評価、強化されています：

  1. 監査とコンプライアンス - ISO 27001、SSAE16、PCI DSSなど、さまざまな業界標準に正式に準拠しています。監査証明および証明書は、資格を有する第三者監査人によって提供されます。これらの監査人は、ビジネス・アシュアランス・サービス、内部監査、オペレーションなど、さまざまなビジネスおよびテクノロジー・チームと活動を調整します。
  2. 情報セキュリティチーム - 法務部門と密接に連携し、グローバルおよび事業部門のガイドラインに従い、地域および連邦の法律や規制の遵守を支援するのがこのチームの任務です。
  3. Information Security Policies - 情報セキュリティチームは、上級管理職によってレビューされ、承認された包括的な内部機密情報のセットを管理し、実施します。このチームは、国や地域特有の法律、規制、ビジネス要件に特に重点を置きながら、社内ポリシーがグローバルな範囲に及ぶことを保証します。

この内部セキュリティポリシーが適用される領域は、以下の通りです。

* 技術の適正な使用
* アンチウィルス、マルウェア
* データのバックアップと保持
* Data classification, labeling, and handling
* 論理的アクセス
* パスワード
* パッチマネジメント
* モバイル機器
* パーソナルコンピューター
* リモートアクセス、VPN
* ソーシャルメディア
メモ

これらの内部方針は厳格に実施される。これらは毎年見直され、継続的な妥当性と正確性が確認される。新しい方針は必要に応じて導入される。

Equinix Fabricサービスセキュリティ​

トラフィックセパレーション​

Equinix Fabricは、実績ある技術により、お客様間のトラフィックを確実に分離します。MPLS L3VPN（VRF）およびEVPN L2インスタンスは、お客様またはお客様の接続ごとに提供されます。これはすべて自動化された設定でプロビジョニングされ、設定を変更しなければ、お客様のFabric接続の外ではいかなるデータも利用することはできません。すべての設定変更（自動および障害診断時の手動）はログに記録され、異常がないか監視されます。すべてのネットワーク機器のアクティブな構成は、記録された構成と常に比較され、異常があれば報告され、修正されます。

トラフィックオーナーシップと暗号化​

Fabricプラットフォームで伝送されるすべてのデータはお客様が所有するものであり、エクイニクスはどのようなデータが伝送され、そのデータがどのような規制の枠組みに従っているかを知る方法がないため、伝送されるデータを暗号化する方法についてのアドバイスを提供しません。転送中のデータを規制上の要求に従って処理するのはお客様の責任です。エクイニクスは、Fabric接続で伝送されるトラフィックを監視または介入するための機構を導入していません。

管理用インターフェイス​

インフラストラクチャの一部であるネットワーク機器の管理インターフェースは、すべて社内の管理インフラに接続されており、管理インターフェースがインターネットに公開されたり接続されたりすることはありません。

企業ITセキュリティ​

  • インターネットファイアウォール - エクイニクスは、アンチウイルス、侵入検知防御、URLフィルタリング、アプリケーション制御を提供する次世代ファイアウォールを導入しています。ファイアウォールで検出されたイベントは、グローバルなセキュリティインシデントイベント管理（SIEM）システムに送られます。
  • 電子メール - アンチウイルスおよびアンチスパムゲートウェイは、電子メールから発信される脅威を防御します。

エクイニクスの人事デスクトップとノートパソコン​

  • ハードニング - エクイニクスのデスクトップとラップトップはハードニングされています。エクイニクスのハードニングガイドラインと基準は文書化され、システム構築時に実施されます。
  • アンチウイルスおよびマルウェア - WindowsおよびMacのデスクトップとラップトップは、ファイルとアプリケーションのリアルタイムスキャン保護を特徴とするアンチウイルスおよびアンチマルウェアソフトウェアを実行する必要があります。感染したファイルは隔離されます。
  • リモートコントロール - 安全なリモートコントロール技術は、技術的な問題を抱えたスタッフを支援するために使用されます。
  • リモートアクセスVPN - エクイニクスの社内ネットワークやシステムにリモートアクセスするスタッフは、2要素認証を使用した会社提供のリモートアクセスとVPNソリューションを使用する必要があります。リモートデスクトップサーバーに接続するクライアントシステムは、企業のIT部門が割り当て、管理する必要があります。
  • WiFi - WiFiネットワークは、エクイニクスのエンタープライズネットワークから分離されています。WiFiに接続したユーザーは、リモートアクセスVPNを通じて企業ネットワークにアクセスできます。

エクイニクスエンタープライズサーバー​

  • ハードニング - エクイニクスのハードニングガイドラインと基準は文書化され、システム構築時に実施されます。
  • アンチウイルスとマルウェア - Windowsサーバーは、ファイルやアプリケーションをリアルタイムでスキャンして保護するアンチウイルスおよびアンチマルウェアソフトウェアを実行する必要があります。感染したファイルは隔離されます。
  • スキャン - 脆弱性スキャンは社内で毎週、オンデマンドで実施される。アプリケーションは、一般に公開される前に、包括的な脆弱性スキャンとアプリケーションセキュリティスキャンに合格しなければならない。
  • ロギング - システムへのアクセスが成功した場合も失敗した場合も、分析のためにログが記録される。UNIXシステムでは、業界標準のSUDOユーティリティを使用する。ログは SIEM に供給され、少なくとも 90 日間保持される。

IBXデータセンターの物理的セキュリティ​

すべてのIBXデータセンターの物理的セキュリティは、運用上の高い優先事項です。各データセンターでは、さまざまなセキュリティ機器、技術、手順を駆使して施設を監視し、アクセスを制御記録しています。

  • アクセス - アクセスコントロールサブシステムは、建物内および施設内の許可されたユーザーを許可します。バイオメトリクスのハンドジオメトリーまたは指紋リーダー、近接カード、およびその他の技術により、ユーザはシステムに対して自分自身を識別し、認証されると、施設敷地内の特定のエリアへのアクセスを得ることができます。

  • アラーム監視および侵入検知 - アラーム監視および侵入検知サブシステムは、セキュリティシステムに関連するさまざまなデバイスのステータスを監視します。これには、アラーム接点、ガラス破損検知器、モーション検知器、およびいたずらスイッチが含まれます。これらのデバイスのステータスが安全な状態から変化すると、アラームが作動し、イベントが記録され、適切なアクションが実行されます。

  • CCTV - クローズド・サーキット・テレビ・サブシステムは、施設全体および法的に許可された施設外のカメラからのライブ・ビデオの表示、制御、録画、再生を行います。このシステムは、アラーム監視および侵入検知サブシステムと統合されているため、アラームが発生した場合、カメラを起動してイベントを記録することができます。

    メモ

    CCTVは毎日24時間稼働しています。

  • オーディオインターホンと双方向無線サブシステム - オーディオインターホンサブシステムは、施設訪問者と警備員との間の双方向通信を提供します。双方向無線サブシステムは、フロントロビーの警備員と巡回警備員との間の通信も行います。

  • 侵入テスト-侵入テストは定期的に実施され、現場スタッフへの事前通告はない。

  • セキュリティ要員 - 採用とトレーニング - エクイニクスは、各IBXデータセンターの物理インフラストラクチャを管理するために、業界をリードするベンダーやパートナーを活用しています。セキュリティ担当者は、身元調査と犯罪歴チェックを受け、採用時とその後の定期的なセキュリティトレーニングの受講が義務付けられています。

  • お客様および訪問者の緊急時の手順 - 緊急時には、IBXデータセンターのスタッフが指示を出します。施設内のお客様およびその他の訪問者は、与えられた指示に従う必要があります。

  • ビデオ録画と写真撮影 - IBXデータセンターの施設を保護し、すべてのIBXデータセンターのお客様の匿名性を保持するため、IBXデータセンター内での写真撮影やビデオ撮影は禁止されています。許可されたケージをご利用のお客様は、訪問予約の際にケージおよび機器の写真撮影をリクエストできます。

    メモ

    撮影にはエクイニクスの技術者の立会いが必要です。

  • アセットトラッキング - IBXデータセンターでは、お客様やそのベンダー、請負業者、下請け業者がロビーを通して機器を搬出入することがよくあります。アセットトラッキングには以下のルールが適用されます：

    • 手提げ袋や物品は、法律で許可された範囲内で検査することがあります。
    • 当日搬入されなかったIBXデータセンターから搬出される機器は、サービスチケットに搬出可能な機器として記載する必要があります。その際、機器を正確に特定できるような明確な記載が必要です。
    • 出荷される機器は、コロケーションエリアとは別の出荷/受取部門が扱います。お客様が機器を受け取るには、出荷サービスリクエストチケットを開設する必要があります。

  • ケージの表示 - エクイニクスのポリシーでは、お客様のケージの物理的な場所を公開することはありません。ただし、エクイニクスの承認があれば、ケージの標識を掲示することができます。

    メモ

    ケージサインはプライベートケージにのみ使用可能で、シェアケージや再販スペースでは使用できません。

オペレーション​

IBXデータセンター セキュリティガバナンスチーム​

Cloud Exchangeセキュリティガバナンスチームは、Network EdgeなどのEquinix Fabric展開に適用される社内セキュリティポリシー、手順、標準に対する認識と遵守を促進する責任を担っています。

メンテナンスの管理​

エクイニクスのサービスネットワークインフラストラクチャに対する定期的、緊急時、および設定変更は、承認、記録、テスト、承認、文書化されます。

変更要求​

変更リクエストとは、Equinix FabricやNetwork Edgeの、お客様に影響を与える部分の変更を記述した正式なアーカイブ文書です。

変更審査会​

変更レビュー委員会は、変更要求文書のレビューを毎週開催しています。この委員会は、技術チーム、リリースチーム、プロジェクト管理チームの専門家を含む適切な利害関係者で構成されています。ボードでは、変更リクエストに優先順位を付け、変更のための特定の時間枠を割り当てます。

変更のロールバック​

変更要求には、変更が本番環境に悪影響を及ぼす場合に備えて、ロールバック計画を含めることが要求されます。

問題管理​

問題の発見から解決まで、チケットシステムを使って正式に管理追跡されます。

エスカレーション​

お客様対応エスカレーション手順について、運用方針とプロセスが公開されております。

Equinix FabricとNetwork Edgeサービス ネットワークセキュリティ​

Network Edge は、相互接続に Equinix Fabric ネットワークおよびプラットフォームを使用しています。以下に記載がある場合を除き、同じルールが両方の製品ラインに適用されます。

ゲート​

Equinix Fabricサービスネットワークへの管理アクセスは、Bastionホストを通じてのみ可能です。

AAA (Authentication, Authorization And Accounting)​

Equinix Fabricサービスネットワーク上のデバイスは、AAAサービスにTACACS+を使用しています。Equinix Fabricサービスネットワークの管理に携わるスタッフは、「最小権限」モデルに基づいてアクセス権限を付与されます。ネットワーク機器へのアクセスに成功した場合も失敗した場合も、分析とアラームの目的でログに記録されます。

これと同じモデルが、コンピュートやハイパーバイザリソースを含む Network Edge インフラストラクチャにも適用されます。 TACACs と LDAP アクセスは、管理オーケストレーション・アクセスが必要なすべてのインフラストラクチャと仮想デバイスのコマンド・レベルまで制限されています。

管理ツール​

サービスマネジメントツールは、AAAコントロールの対象です。設定は、リビジョン管理され、タイムスタンプが押され、ログが記録されます。

仮想デバイスから発信されたセッションのみが外部ツールへのアクセスを許可され、同じセッションのリターントラフィックのみがリターンを許可されます。 内部オーケストレーションおよび管理ツールでは、エクイニクスのOSSから発信されたセッションのみが仮想デバイスへのアクセスを許可されます。 エクイニクスのサービス管理ネットワークは、プライベートRFC 1918アドレススペースのみを使用します。

ライセンスを検証するために、仮想デバイスがプライベートネットワークの外部に電話をかける必要がある場合があります。 デバイスから発信されるセッションは、そのデバイスのベンダーによって認可された特定の許可されたアドレスにのみ許可されます。

ネットワーク機器管理プレーン​

マネージメントプレーンの制御には、AAA サービスの利用が含まれる。リモート管理セッションは暗号化され（例：SSH を使用）、適切な非アクティブ時間が経過するとタイムアウトする。管理者のアクセスおよび構成の変更はログに記録される。アクセス制御リスト（ACL）により、必要な送信元および送信先IPアドレスのみへのトラフィックを制限する。ベンダーのデフォルト設定は、メーカーのセキュリティに関する推奨事項に従って変更される。

ルートアクセスは禁止されています。

Network Edge仮想デバイスのアクセシビリティ​

デバイスへのユーザーまたは顧客のアクセスは、SSH またはベンダー認証ソフトウェア（SD-WAN 用 SaaS ポータルなど）を介して行われ、すべてのデバイスのコマンドレベルまで管理されます。 デバイスへのアクセスおよび認証情報は、そのデバイスのユーザー/所有者の単独の裁量に委ねられます。 SSH認証情報は、ポータルまたはAPIからユーザーが管理します。 エクイニクスの担当者は、仮想デバイスの所有者が設定した認証情報を追加、削除、変更する権限や能力を一切持ちません。

SSHによるデバイスへのアクセスは、エクイニクスが提供するパブリックインターネットインターフェースまたはお客様が提供するネットワークインターフェースから行う必要があります。 アクセスに必要なIPアドレスとサブネットのリストを許可しないと、Network Edgeプラットフォームは接続リクエストを拒否します。

SSHのセッション数は5まで、アイドルタイムアウトは5分が適用されます。

ネットワーク機器制御プレーン​

制御プレーンの制御には、サービス拒否攻撃から保護するために、デバイス自体（ICMP、ARP、BGP、SSH、SNMP）およびDNSなどのコアアプリケーションプロトコル向けのトラフィックのレート制限が含まれています。不正なネットワークとのトラフィックはブロックされます。プロトコルのメッセージ交換や更新（IGP/ LDP/ BGP）には、MD5認証を使用します。

ネットワーク機器転送プレーン​

お客様のフォワーディングプレーンは、独自の仮想ルーティング転送（VRF）テーブルとレイヤ 2 および/またはレイヤ 3 VPN に分離されています。BGP の最大プレフィックス制限と物理 (MAC) アドレスの最大数制限を使用して、リソースを保護し、サービス拒否攻撃から保護する。

エクイニクスは、データパケットの圧縮や重複排除を行いません。 エクイニクスはエクイニクス・ファブリック上でFECを使用せず、フローのロードバランシングのみを行うため、パケット検査が必要となるようなパケットの並べ替えは一切ありません。

Network Edgeインフラストラクチャ​

Network Edge サービスに関連するすべてのサービスは、開いているポートが制限されており、ハイパーバイザーおよびオーケストレーションはコンテナベースです。

Network EdgeInternet Access​

インターネット上のトラフィックはすべて、Equinix Internet Accessサービスのインターネットゲートウェイとインフラストラクチャを通過します。このサービスには、高度なDDoS防御とリモートトリガーによるブラックホール防御が含まれています。

仮想デバイスだけが、提供されたインターネットインターフェースを通じて、仮想デバイスと他の場所との間のVPNトンネルを含む外部へのセッションを発信することができます。

お客様ポータルとAPI（Application Programming Interfaces）​

Identity and Access Management​

エクイニクスは、ECPとCloud Exchangeポータルの範囲に限定したID管理機能をお客様に提供します。プロビジョニングプロセスの一環として、エクイニクスはお客様に1つのプライマリ管理者アカウントを作成します。プライマリ管理者は、他のプライマリ管理者を含め、必要に応じてお客様のユーザーアカウントの作成、変更、無効化、削除を行うことができます。プライマリ管理者は、お客様のニーズに応じてお客様のユーザーアカウントに役割と権限を割り当てます。クラウドサービスプロバイダーは独自の Identity & Access Management システムを提供することがありますが、ECP が提供するものとは別物です。

アプリケーションプログラミングインタフェース（API）​

エクイニクスは、Equinix Fabric ポートおよび仮想接続に関する情報の取得や操作を行う機能を備えた Network Edge API を提供しています。認証および認可は、OAuth 2.0 規格を使用して行われます。クラウドサービスプロバイダは独自の API を提供している場合がありますが、それらはエクイニクスが提供する API とは別のものです。

お客様データへのアクセス​

Equinix は、転送中または保存中の Network Edge または Equinix Fabric のお客様のトランジットデータにアクセスすることはありません。本文書に記載されているとおり、お客様のトランジットデータへの不正アクセスまたはその試みを防止、監視、検出するための物理的および論理的な管理措置が講じられています。

データセキュリティ、情報ライフサイクル、暗号化、鍵管理​

Equinix FabricおよびNetwork Edgeは、データへのアクセス、検査、操作、コピーを行うことなく、クラウドのお客様とクラウドサービスプロバイダー間の直接ネットワーク接続を提供します。お客様は、お客様のセキュリティニーズ、ポリシー、適用される規制や法的要件に従って、Equinix Fabricを通過するデータのすべての側面を保護する責任を負います。

Network Edge 設定データ​

エクイニクスは、サービスを開始した各仮想デバイスの全構成の最新ビルドと履歴を管理しています。これには、デバイスのOSや設定、インターフェースアドレス、その他の詳細が含まれます。

Network Edge イベントデータ​

エクイニクスは、各デバイスに記録されたすべての変更管理と管理イベントの継続的な記録を保持します。これには、デバイス、ポータル、APIへのログインとログアウトの成功と失敗、ユーザーまたはエクイニクスのオーケストレーションによる設定の変更、インターフェースのステータスの変更、その他の一般的なイベントが含まれます。ユーザーはデバイスから直接アクセスするか、エクイニクスの担当者にリクエストできます。このデータがユーザーのアクセス権限データ（ユーザー名やパスワードなど）と関連付けられることはありません。

このページは役に立ちましたか？