メインコンテンツに移動

プラットフォームのセキュリティとハードニング

この記事では、お客様の機器とデータを保護するためにエクイニクスが遵守しているポリシーと手順について概説します。

エクイニクスのセキュリティ対策は、以下のチームとプログラムによって検討、評価、強化されています：

  1. 監査とコンプライアンス–ISO 27001、SSAE16、PCI DSSなどのさまざまな業界標準に正式に準拠。監査証明書と証明書は、資格のある第三者監査人によって提供される。これらの監査人は、ビジネス保証サービス、内部監査、およびオペレーションなどのさまざまなビジネスおよびテクノロジーチームと活動を調整する。
  2. 情報セキュリティチーム–法務部門と緊密に連携し、グローバルおよび事業部門のガイドラインに従うことで、地域および連邦の法律および規制へのコンプライアンスを確保する。
  3. 情報セキュリティポリシー–情報セキュリティチームは、上級管理者がレビューし承認する、一連の内部機密情報を管理および実施する。このチームは、国や地域に固有の法律、規制、ビジネス要件に特に重点を置いて、内部ポリシーの適用範囲がグローバルであることを確認する。

この内部セキュリティポリシーが適用される領域は、以下の通りです。

* 技術の適正な使用
* アンチウィルス、マルウェア
* データのバックアップと保持
* データの分類、ラベル付け、処理
* 論理的アクセス
* パスワード
* パッチマネジメント
* モバイル機器
* パーソナルコンピューター
* リモートアクセス、VPN
* ソーシャルメディア
メモ

これらの内部ポリシーは厳格に実施されている。それらは継続的な関連性と正確性を確立するために毎年見直される。必要に応じて新しいポリシーが導入される。

Equinix Fabricサービスセキュリティ​

トラフィックセパレーション​

ファブリックでは、実績のあるテクノロジーを使用して、顧客間のトラフィックを確実に分離カスタマーまたはカスタマー接続ごとのMPLS L3VPN（VRF）およびEVPN L2インスタンス。これはすべて自動構成を使用してプロビジョニングされ、構成を変更することなく、お客様のファブリック接続の外部でデータを利用できない。すべての構成変更（自動および障害診断の場合の手動の両方）が記録され、異常がないか監視される。すべてのネットワークデバイスのアクティブな設定が記録された設定と常に比較され、異常があれば報告および修正される。

トラフィックオーナーシップと暗号化​

ファブリックプラットフォームを介して伝送されるすべてのデータは顧客が所有しており、Equinixはどのデータが伝送され、どの規制フレームワークに転送されるかを知る方法がないため、このデータがEquinixの対象となるデータを暗号化する方法についてのアドバイスは提供していない。転送中のデータを規制要件に準拠して処理するのはお客様の責任である。Equinixには、ファブリック接続を介して伝送されるトラフィックを監視または介入するメカニズムが導入されていない

管理用インターフェイス​

インフラストラクチャの一部であるネットワーク機器の管理インターフェースは、すべて社内の管理インフラに接続されており、管理インターフェースがインターネットに公開されたり接続されたりすることはありません。

企業ITセキュリティ​

  • インターネットファイアウォールEquinixは、ウイルス対策、侵入検知と防止、URLフィルタリング、アプリケーション制御を提供する次世代ファイアウォールを導入している。ファイアウォールによって検出されたイベントは、グローバルなセキュリティインシデントおよびイベント管理(SIEM)システムに供給される。
  • 電子メール - アンチウイルスおよびアンチスパムゲートウェイは、電子メールから発信される脅威を防御します。

エクイニクスの人事デスクトップとノートパソコン​

  • 強化–Equinixデスクトップとラップトップが強化されている。Equinix強化ガイドラインと標準は文書化され、システム構築時に実行される。
  • ウイルス対策およびマルウェア- WindowsおよびMacのデスクトップおよびラップトップでは、ファイルおよびアプリケーションのリアルタイムスキャン保護機能を備えたウイルス対策およびマルウェア対策ソフトウェアを実行する必要がある。感染したファイルは隔離される
  • リモートコントロール - 安全なリモートコントロール技術は、技術的な問題を抱えたスタッフを支援するために使用されます。
  • リモートアクセスVPN–Equinix企業のネットワークまたはシステムにリモートアクセスするスタッフは、企業が提供するリモートアクセスおよび2要素認証を使用したVPNソリューションを使用する必要がある。リモートデスクトップサーバーに接続するクライアントシステムは、企業IT部門が割り当てて制御する必要がある。
  • WiFi–WiFiネットワークはEquinixエンタープライズネットワークから分離されている。WiFiに接続しているユーザーは、リモートアクセスVPNを介して企業ネットワークにアクセスできる。

エクイニクスエンタープライズサーバー​

  • ハードニング - エクイニクスのハードニングガイドラインと基準は文書化され、システム構築時に実施されます。
  • ウイルス対策/マルウェアWindowsサーバでは、ファイルやアプリケーションのリアルタイムスキャン保護機能を備えたウイルス対策/マルウェア対策ソフトウェアを実行する必要がある。感染したファイルは隔離される
  • スキャン–脆弱性スキャンは、毎週オンデマンドで内部で実行される。アプリケーションは、一般にリリースされる前に、包括的な脆弱性スキャンとアプリケーションセキュリティスキャンに合格しなければならない。
  • ログ–システムへのアクセスの成功と失敗を分析のためにログに記録する業界標準のsudoユーティリティはUNIXシステムで使用される。ログはSIEMに入力され、少なくとも90日間保持される。

IBXデータセンターの物理的セキュリティ​

すべてのIBXデータセンターの物理的セキュリティは、運用上の優先事項として高い。各データセンターは、施設を監視し、アクセスを制御および記録するために、一連のセキュリティ機器、技術および手順を使用する。

  • アクセス–アクセス制御サブシステムにより、建物内および施設内で許可されたユーザーが使用できる。生体認証ハンドジオメトリや指紋リーダ、近接カードなどの技術により、ユーザーはシステムに対して自分自身を識別し、認証を受けて施設内の特定のエリアにアクセスできるようになる。

  • アラーム監視および侵入検知–アラーム監視および侵入検知サブシステムは、セキュリティシステムに関連するさまざまなデバイスのステータスを監視する。これらには警報接点、ガラス破断検出器、動体検出器および改ざんスイッチが含まれる。これらのデバイスのいずれかのステータスがセキュア状態から変化した場合、アラームが起動され、イベントが記録され、適切なアクションが実行される。

  • CCTV（閉回路テレビサブシステム）は、施設内および施設外で許可されているカメラからのライブビデオの表示、制御、録画、再生を提供する。このシステムは、アラーム監視および侵入検知サブシステムと統合されているので、アラームが発生した場合には、カメラを起動してイベントを記録することができる。

    メモ

    CCTVは毎日24時間稼働しています。

  • 音声インターコムおよび双方向無線サブシステム音声インターコムサブシステムは、施設訪問者と警備員の間の双方向通信を提供する。業務用無線サブシステムは、フロント・ロビー・ガードとパトロール・ガードとの間の通信も提供する。

  • 侵入テスト-侵入テストは定期的に実施され、現場スタッフへの事前通告はない。

  • セキュリティ担当者—雇用とトレーニング–Equinixは、業界をリードするベンダーとパートナーを活用して、各IBXデータセンターの物理インフラストラクチャの管理を支援する。警備員は経歴と犯罪者のチェックを受け、雇用時とその後定期的にセキュリティトレーニングを受ける必要がある。

  • 顧客および訪問者の緊急プロトコル–緊急時に、IBXデータセンターのスタッフが指示を提供する。施設内の顧客や訪問者は、指示に従う必要がある。

  • ビデオ録画および写真-施設を保護し、IBXデータセンターのすべての顧客の匿名性を維持するために、IBXデータセンター内での写真やビデオ撮影は禁止されている。許可されたケージの顧客は、訪問のスケジュール時にケージとその機器の写真を要求することができる。

    メモ

    撮影にはエクイニクスの技術者の立会いが必要です。

  • 資産追跡–顧客とそのベンダー、請負業者、および下請け業者は、ロビーを介してIBXデータセンターから機器を納入したり取り外したりすることが多い。資産追跡には次の規則が適用される。

    • 手提げ袋や物品は、法律で許可された範囲内で検査することがあります。
    • その日に持ち込まれなかったIBXデータセンターから取り外した機器は、取り外し可能な機器としてサービスチケットに記載されている必要がある。機器を正確に識別するために、項目の説明を明確にする必要がある。
    • 施設との間で出荷される機器は、コロケーションエリアとは別の出荷および受領部門によって処理される。お客様が機器を受け取るには、出荷サービスリクエストチケットを開く必要がある。

  • ケージサイネージ–Equinixのポリシーでは、お客様のケージの物理的な位置を明らかにしないこと。ただし、顧客はEquinixの承認を受けてケージの看板を掲示することができる。

    メモ

    ケージサインはプライベートケージにのみ使用可能で、シェアケージや再販スペースでは使用できません。

運用​

IBXデータセンター セキュリティガバナンスチーム​

Cloud Exchangeセキュリティガバナンスチームは、Network EdgeなどのEquinix Fabric展開に適用される社内セキュリティポリシー、手順、標準に対する認識と遵守を促進する責任を担っています。

メンテナンスの管理​

エクイニクスのサービスネットワークインフラストラクチャに対する定期的、緊急時、および設定変更は、承認、記録、テスト、承認、文書化されます。

変更要求​

変更リクエストとは、Equinix FabricやNetwork Edgeの、お客様に影響を与える部分の変更を記述した正式なアーカイブ文書です。

変更審査会​

変更レビュー委員会は、変更リクエストドキュメントのレビューを毎週開催する。取締役会は、技術、リリース、プロジェクト管理チームの専門家を含む適切な利害関係者で構成されている。ボードは変更リクエストに優先順位を付け、変更に特定の時間枠を割り当てる。

変更のロールバック​

変更要求には、変更が本番環境に悪影響を及ぼす場合に備えて、ロールバック計画を含めることが要求されます。

問題管理​

問題の発見から解決まで、チケットシステムを使って正式に管理追跡されます。

エスカレーション​

お客様対応エスカレーション手順について、運用方針とプロセスが公開されております。

Equinix FabricとNetwork Edgeサービス ネットワークセキュリティ​

Network Edgeは相互接続にEquinix Fabricネットワークとプラットフォームを使用する。以下に記載されていない限り、同じ規則が両方の製品ラインに適用される。

ゲート​

Equinix Fabricサービスネットワークへの管理アクセスは、Bastionホストを通じてのみ可能です。

AAA (Authentication, Authorization And Accounting)​

Equinix Fabricサービスネットワーク上のデバイスは、AAAサービスにTACACS+を使用する。Equinix Fabricサービスネットワークの管理に携わるスタッフには、職務に応じたアクセス権を持つ「最小権限」モデルに基づいてアクセス権が付与される。ネットワークデバイスへのアクセス試行が成功した場合と失敗した場合は、分析およびアラームの目的でログに記録される。

これと同じモデルが、コンピューティングリソースやハイパーバイザリソースを含むNetwork Edgeインフラストラクチャでも採用されている。  TACACSおよびLDAPアクセスは、管理オーケストレーションアクセスが必要なすべてのインフラストラクチャおよび仮想デバイスでコマンドレベルに制限される

管理ツール​

サービス管理ツールはAAAの制御の対象となる。それらが管理する構成は、リビジョン管理、タイムスタンプ、ログ化されている。

仮想デバイスから発信されたセッションのみが外部ツールにアクセスでき、同じセッションのリターントラフィックのみがリターンできる。  内部のオーケストレーションおよび管理ツールでは、Equinix OSSからのセッションのみが仮想デバイスにアクセスできる。  Equinixサービス管理ネットワークは、プライベートRFC 1918アドレス空間のみを使用する。

ライセンスを検証するには、仮想デバイスがプライベートネットワークの外部にコールする必要がある場合がある。  デバイスからのステートフル出力セッションのみが、そのデバイスのベンダーによって認可された特定の許可されたアドレスに許可される。

ネットワーク機器管理プレーン​

管理プレーン制御には、AAAサービスの使用が含まれる。リモート管理セッションは暗号化され（SSHを使用）、非アクティブな状態が適切な期間続くとタイムアウトする。管理者アクセスと設定の変更が記録されるアクセスコントロールリスト(ACL)は、必要な送信元IPアドレスと宛先IPアドレスだけを送受信するトラフィックを制限する。ベンダーのデフォルト構成は、製造元のセキュリティ推奨事項に従って変更される

ルートアクセスは禁止されています。

Network Edge仮想デバイスのアクセシビリティ​

ユーザーまたは顧客のデバイスへのアクセスは、SSHまたはベンダー認証ソフトウェア（WAN用のSaaSポータルなど）を介して行われ、すべてのデバイスのコマンドレベルまで管理される。  デバイスおよび資格情報へのアクセスは、そのデバイスのユーザー/所有者の単独の裁量に任される。  SSH認証情報は、ポータルまたはAPIからユーザーが管理する。  Equinixの担当者は、仮想デバイスの所有者が確立した資格情報を追加、削除、または変更する権限や権限を持っていない。

SSHを介したデバイスへのアクセスは、Equinixが提供するパブリックインターネットインターフェイスまたはお客様が提供するネットワークインターフェイスを介して行う必要がある。  ユーザーはアクセスを必要とするIPアドレスとサブネットのリストを許可する必要がある。許可しないと、Network Edgeプラットフォームが接続要求を拒否する。

SSHのセッション数は5まで、アイドルタイムアウトは5分が適用されます。

ネットワーク機器制御プレーン​

コントロールプレーン制御には、デバイス自体（ICMP、ARP、BGP、SSH、SNMP）宛てのトラフィックや、サービス拒否攻撃から防御するためのDNSなどのコアアプリケーションプロトコルに対するレート制限が含まれる。許可されていないネットワークと無効なネットワークとの間のトラフィックがブロックされるMD5認証はプロトコルメッセージ交換および更新BGP )に使用される。

ネットワーク機器転送プレーン​

カスタマーフォワーディングプレーンは、独自のVirtual Routing and Forwarding（VRF）テーブルおよびレイヤ2 VPNまたはレイヤ3 VPN（あるいはその両方）に分離されている。BGPプレフィックスの最大制限と物理(MAC)アドレスの最大数の制限は、リソースを保護し、サービス拒否攻撃から保護するために使用される。

Equinixはデータパケットの圧縮や重複除外を実行しない  EquinixはEquinix FabricではFECを採用せず、フローロードバランシングのみを使用するため、パケットインスペクションを必要とするパケットの並べ替えは行われない。

Network Edgeインフラストラクチャ​

Network Edge サービスに関連するすべてのサービスは、開いているポートが制限されており、ハイパーバイザーおよびオーケストレーションはコンテナベースです。

Network EdgeInternet Access​

すべてのインターネットトラフィックは、Equinix Internet Accessサービスのインターネットゲートウェイとインフラストラクチャを通過する。このサービスには、高度なDDoS保護とリモートトリガブラックホール保護が含まれている。

仮想デバイスだけが、提供されたインターネットインターフェースを通じて、仮想デバイスと他の場所との間のVPNトンネルを含む外部へのセッションを発信することができます。

お客様ポータルとAPI（Application Programming Interfaces）​

アイデンティティ管理とアクセス管理​

Equinixは、ECPおよびクラウドエクスチェンジポータルの範囲に限定されたアイデンティティ管理機能を顧客に提供する。プロビジョニングプロセスの一環として、Equinixはお客様用に1つのプライマリ管理者アカウントを作成する。プライマリ管理者は、他のプライマリ管理者を含め、必要に応じて顧客ユーザーアカウントを作成、変更、無効化、および削除できる。プライマリ管理者は、顧客のニーズに応じて顧客ユーザーアカウントに役割と権限を割り当てる。クラウドサービスプロバイダーは独自のIDおよびアクセス管理システムを提供する場合があるが、ECPが提供するシステムとは別のものである。

アプリケーションプログラミングインタフェース（API）​

EquinixはNetwork Edge APIを提供しており、その機能にはEquinix Fabricポートと仮想接続に関する情報の取得と操作の実行が含まれる。認証と承認はOAuth 2.0標準を使用して行われる。クラウドサービスプロバイダは独自のAPIを提供する場合もあるが、Equinixが提供するAPIとは別のものである。

お客様データへのアクセス​

Equinixは、移動中または保存中のNetwork EdgeまたはEquinix Fabricの顧客トランジットデータにアクセスしないし、アクセスしないものとする。本書で説明しているように、お客様の輸送データにアクセスまたはアクセスしようとする権限のない者を防止、監視、検出するために、物理的および論理的な制御が導入されている。

データセキュリティ、情報ライフサイクル、暗号化、鍵管理​

Equinix FabricとNetwork Edgeは、データにアクセスしたり、検査したり、操作したり、コピーしたりすることなく、クラウド顧客とクラウドサービスプロバイダ間の直接ネットワーク接続を提供する。顧客は、セキュリティ要件、ポリシー、および適用される規制要件または法的要件に従って、Equinix Fabricを送信するデータのあらゆる側面を保護する責任がある。

Network Edge 設定データ​

Equinixは、サービスを開始した各仮想デバイスの構成全体の現在のビルドおよび履歴記録を保持する。これには、デバイスのOSと設定、インターフェイスのアドレス指定、およびその他の詳細が含まれる。

Network Edge イベントデータ​

Equinixは、各デバイスで記録されたすべての変更管理および管理イベントの継続的な記録を保持する。これには、デバイス、ポータル、APIへのログインとログアウトの成功と失敗、ユーザーまたはEquinixオーケストレーションによる管理者による設定の変更、インターフェイスのステータスの変更、およびその他の一般的なイベントが含まれる。ユーザーは、デバイスから直接これにアクセスするか、Equinix担当者に要求できる。このデータがユーザーアクセス権データ（フルユーザー名やパスワードなど）に関連付けられることはない。

このページは役に立ちましたか？