ランタイムアプリケーション自己保護

ファイアウォールなどの標準的なネットワークセキュリティ対策に加えて、Sophos Central では、RASP (ランタイムアプリケーション自己保護) テクノロジーを使用しています。一般的な境界防御に代わる対策として、RASP はアプリケーション自体の内部からのリアルタイム情報を活用して入力を監視し、Sophos Central に対する攻撃を検出、ブロックします。RASP を使用することで、Sophos Central は動的に対応して攻撃を防ぎ、セッションの終了やセキュリティチームへの警告などのアクションを実行して、常に顧客のデータを保護できます。

仮想ネットワークの Auto Scaling

Sophos Central は、認証やエンドポイント管理など、仮想ネットワークが実行するさまざまなワークロードに基づいて、論理的に分離された仮想ネットワークに分割されます。その後、すべてのワークロードがロードバランサの後ろにある Auto Scaling グループに配置され、特定のワークロードで負荷/トラフィックが増加した場合でも、一時的なリソースを追加で割り当てて、グループが負荷を処理できるようにします。

Network Access Control List

セキュリティグループと Network Access Control List は、最小権限の原則に基づいて構成されています。デフォルトでは、Sophos Central で使用するために構築されたサービスは、仮想ネットワークの外には公開されていないプライベートサブネットに配置されます。さらに各サービスは、明確に必要とされ、Sophos Central の Infrastructure Services (CIS) チームによってアクセス権が付与された場合を除き、他のサービスと通信する許可を与えられません。外部インターフェースを公開する必要のあるサービスのみに、パブリックインターフェースが与えられます。

データベースアクセス

データベースはインターネットに公開されず、仮想ネットワーク内のみでアクセス可能で、他の Sophos Central のインフラとは別のプライベートサブネットに保存されます。データベースとのやり取りを希望するサービスは、データアクセス層 (DAL) を介して行う必要があります。DAL の詳細については、本ドキュメントの「データセキュリティ」セクションを参照してください。

メンテナンスアクセス

Sophos Central へのメンテナンスアクセスは、 ソフォス の IT インフラ内の特定のネットワークから発信される VPN トンネル経由のみで可能です。認証情報、キー、証明書を使用しても、ソフォスのネットワークの外にトンネルを構築することはできません。

DDoS 防御

DDoS (分散型サービス拒否) 対策は、専用の DDoS 防御テクノロジー、Auto Scaling、システム監視、およびトラフィック制限を介して行われます。

整合性

可用性

すべてのデータは、少なくとも 3つ複製されたデータからなるデータベースクラスタに格納されます。レプリケーション係数が少なくとも「3」のイベントドリブン型クラスタ化レプリケーションでは、クラスタ内のデータベースのインスタンス 2つで障害が発生しても、引き続きデータを使用することができます。イベントドリブン型の場合、データベースの変更は、スケジュールに従って複製されるのではなく、クラスタ内のすべてのインスタンスに直ちにプッシュされます。したがって、特定のインスタンスで障害が発生した場合でも、フェールオーバーインスタンスで完全なデータセットを使用できます。

耐久性

データベースの各インスタンスには、1時間ごとにスナップショットが作成される専用のストレージボリュームがあります。このようなインスタンスは一時的なもので、ストレージボリュームのみが永続します。このようなクラスタのレプリケーション係数は、データ損失を懸念することなくデータベースのインスタンスを破棄することを可能にします。データベースアプリケーションや OS などにある脆弱性は、データを損失することなく迅速に対処できます。

暗号化

保存されているすべてのデータは、ボリュームレベル (ストレージボリューム、オブジェクトストレージ、仮想マシンの仮想ドライブ) で暗号化されます。

機密性の高いユーザーデータの場合は、各フィールドごとにマルチパート鍵を使用して、ストレージボリューム内でフィールドレベルで暗号化します。このマルチパートは、鍵管理システムを含む、複数の異なる場所から構成されます。各鍵は、顧客および各フィールドごとに特有です。

トランスポートレベルの暗号化は、証明書およびサーバー検証を活用して、クライアントソフトウェアと Sophos Central プラットフォーム間の管理通信を保護するために使用されます。

ソフォスでは、ユーザーのパスワードを平文で保管したり送信したりすることはありません。ユーザーがアカウントに登録する場合、この新規ユーザーは、アクティベーションプロセスの一環としてパスワードを設定する必要があります。

Central Device Encryption

Sophos Central Device Encryption で暗号化鍵は保管されませんが、BitLocker および FileVault で暗号化されたボリュームの復旧鍵は保管されます。

鍵の保管

復旧鍵は、Windows/Mac エンドポイントでランダムに生成されます。この復旧鍵は難読化され、TLS (Transport Layer Security) で保護された MCS (Management Communication System) プロトコルを介して Sophos Central に送信されます。Sophos Central に到達すると、復旧鍵は難読化解除され、該当するストレージボリュームに保管されます。復旧鍵は、暗号化されたボリュームに常駐するだけでなく、AES を使用して透過的に暗号化されます。復旧鍵のメタデータは、復旧鍵と一緒に保管されません。

鍵のアクセス

管理者またはユーザーがデータベースから復旧鍵を読み取ると (Sophos Central Admin または Self Service ポータル経由などで実行)、この復旧鍵には「期限切れ」のマークが表示されます。復旧鍵を使用してエンドポイントを復旧し、エンドポイントが起動して Sophos Central と同期すると、復旧鍵の有効期限が切れたことが通知されます。エンドポイントは新しい復旧鍵を生成し、上記にある説明のように Sophos Central に送信します。新しい復旧鍵を受信したことを Sophos Central が確認すると、古い復旧鍵はエンドポイントで無効になり、使用できなくなります。これにより、復旧鍵は一度のみ使用できます。復旧鍵が Sophos Central で削除されることはありません。

マルウェア対策

Sophos Central は、ユーザーの操作なしですべてのマシンが稼働するように設計されているので、マシンをロックダウンして強化することができます。マシンは、ソフォスの安全なデジタルコード署名プロセスの一環として、オリジナルのソースから構築されており、マシンのゴールドイメージ作成の一環として、エンジニアリング所定のソフトウェアのみを実行します。

さらに、データベースサーバーのインスタンスと同様に、Sophos Central を構成するマシンは、データを損失することなく、いつでも破棄し、再構築できます。

パッチ適用

3週間ごとに、仮想マシンのゴールドイメージは、最新のソフトウェアライブラリおよびアプリケーションでアップグレードされます。仮想マシンのインスタンスの寿命は最長 3週間で、古いインスタンスは破棄され、新しいインスタンスは最新のゴールドイメージに基づいてデプロイされます。

脆弱性に対して依存関係を管理するフレームワーク、内部/外部テスト、バグ バウンティ プログラム、またはその他の手段によって脆弱性が見つかった場合、脆弱性対処プログラムの一環として、パッチ適用および再デプロイが行われます。

セキュリティの監視と対応

ソフォスのグローバルセキュリティチームは、Sophos Central および関連サービスからのすべてのログデータを年中無休で監視しています。Sophos Central にはフォレンジック分析機能が装備されており、データ侵害が発生した際に迅速にインシデントに対応できます。

SOC

ソフォスは SOC タイプ 1 の監査を定期的に受けており、秘密保持契約 (NDA) に基づいてレポートへのアクセスを提供しています。SOC タイプ 2 監査は現在進行中です。

侵入テスト

ソフォスは、信頼できるサードパーティと協力して、定期的に内部および外部の侵入テストを実施しており、NDA に基づいて証明書を提供しています。

GDPR

ソフォスによるデータ保護へのグローバルな取り組みについては、ソフォス Web サイトで詳しく説明しています。

https://www.sophos.com/ja-jp/legal/sophos-gdpr.aspx

多要素認証 (MFA)

MFA は、Sophos Central アカウントのすべての管理者、管理者のサブセットに対して有効にすることも、完全に無効にすることもできます。認証情報が侵害された場合に、Sophos Central アカウントにアクセスできないようにするために、MFA を使用することを強く推奨します。

ロールベースの管理

事前定義された複数ある管理者ロールを管理者に割り当てて、機密ログデータへのアクセスを制限したり、設定や構成の変更を制限したりすることができます。

Webプロテクション

悪意のあるコードをホスティングしている、または危険な手段で使用されていることがわかっている Web サイトのユーザーによる閲覧を防止します。

Web コントロール

エンドポイントで実行される Web フィルタリングで使用する最新の Web サイトのカテゴリを取得します。

Live Protection

既知の悪意のあるファイルを迅速に特定し、実行前にブロックしたり、既知の不正ホストとのネットワーク通信試行を識別してブロックしたりします。Live Protection は、ダウンロードしたファイルのレピュテーションを確認するためにも使用されます。

誤検出の防止策

既知の正常なファイルに関する情報を受信することで、誤検出を抑制する追加機能です。