NSX IDS/IPS と NSX マルウェア防止の概要

NSX Intrusion Detection and Prevention Service (IDS/IPS) の目的は、ホストと Edge のネットワークトラフィックをモニターし、既知のシグネチャセットとトラフィックを比較して悪意のあるアクティビティを検出することです。NSX マルウェア防止の目的は、ホストおよび Edge 上のネットワークトラフィックからファイルを抽出し、これらのファイルを分析して悪意のある動作を分析することです。

NSX 侵入検知/防止サービスの概要

NSX IDS/IPS は、ホスト上のネットワークトラフィックをモニターし、トラフィックをシグネチャと比較して不審なアクティビティを検出します。シグネチャは、検出と報告が必要なネットワーク侵入のタイプのパターンを指定します。シグネチャに一致するトラフィックパターンが見つかると、アラートを生成したり、トラフィックの宛先への到達をブロックするなど、事前定義されたアクションが実行されます。

IDS の実装は、次の方法で行われます。

ナレッジベースのシグネチャ：ナレッジベースのシグネチャには、既知のタイプの攻撃に対応する特定の情報またはパターンが組み込まれています。このアプローチでは、IDS はシグネチャで指定された既知の悪質な命令シーケンスに基づいて侵入を検出しようとします。したがって、ナレッジベースのシグネチャは、すでに知られている攻撃に限定されるため、標的型またはゼロデイの脅威には対応できません。
動作ベースの検出：動作ベースの検出は、ベースラインまたは通常のトラフィックとは異なるイベントや異常なイベントを特定することによって、アノマリな動作を特定しようとします。
これらのイベントは情報と呼ばれ、ネットワーク内の異常なアクティビティを特定するイベントで構成されます。これは、必ずしも悪質とは限りませんが、侵害の調査に有益な情報を提供する可能性があります。シグネチャは、IDS エンジンを再コンパイルまたは変更することなく更新できるカスタム検出ロジックと一緒にバンドルされます。動作ベースの検出では、新しい IDS 侵入の重要度レベルが「不審」になっています。

NSX は、分散ファイアウォールとゲートウェイファイアウォールの両方で IDS/IPS 機能をサポートします。ゲートウェイファイアウォール機能の NSX IDS/IPS は、Tier-1 ゲートウェイでのみサポートされます。

マルチテナント

NSX 4.1.1 以降では、 NSX IDS/IPS でマルチテナントもサポートされます。マルチテナントを使用すると、単一の NSX 環境で複数のテナントを構成できます。マルチテナントを使用すると、テナント間でセキュリティとネットワーク構成を分離できます。 NSX IDS/IPS マルチテナントには、次の条件が適用されます。

シグネチャ管理と NSX IDS/IPS の設定は、デフォルトのプロジェクトでのみ使用できます。カスタムプロジェクトでは使用できません。
プロジェクト間で構成の分離はありません。
プロファイルとルールは、デフォルトプロジェクトとカスタムプロジェクトの両方から管理できます。
デフォルトのプロジェクトで作成されたルールに、テナントコンテキストはありません。
ユーザーは、カスタムプロジェクトにルールを作成できます。このルールにはテナントコンテキストがあります。
カスタムプロジェクトに対してトリガされたイベントには、テナントコンテキストがあります。
カスタムプロジェクトの場合、NSX IDS/IPS モニタリングダッシュボードには、そのプロジェクトに対してのみトリガされたイベントが表示されます。

マルチテナントの詳細については、「 NSX マルチテナント」を参照してください。

NSX マルウェア防止の概要

NSX マルウェア防止では、既知または未知の悪質なファイルと検出して防止できます。未知の悪質なファイルはゼロデイ脅威とも呼ばれます。マルウェアを検出するため、 NSX マルウェア防止は次の手法を組み合わせて使用します。

ハッシュベースでの既知の悪質なファイルの検出
不明なファイルのローカル分析
不明なファイルのクラウド分析

マルウェアの分析でサポートされるファイルサイズの上限は 64 MB です。

NSX Distributed Malware Prevention

分散ファイアウォールでのマルウェアの検出と防止は、NSX 用に準備された vSphere ホストクラスタで実行されている Windows および Linux のゲストエンドポイント（仮想マシン）の両方でサポートされます。

マルウェアファイルのすべてのカテゴリのローカル分析とクラウド分析がサポートされます。サポートされているファイルカテゴリのリストについては、NSX マルウェア防止でサポートされるファイルカテゴリを参照してください。

ゲートウェイファイアウォールの NSX マルウェア防止

ゲートウェイファイアウォールでは、マルウェアの検出のみがサポートされます。マルウェアファイルのすべてのカテゴリのローカル分析とクラウド分析がサポートされます。サポートされているファイルカテゴリのリストを表示するには、「NSX Distributed Malware Prevention」セクションに記載されているハイパーリンク付きのトピックを参照してください。

North-South トラフィックに対して、NSX マルウェア防止機能は、NSX Edge の IDS/IPS エンジンを使用して、データセンターに入るファイルを抽出またはインターセプトします。East-West トラフィックに対して、この機能は NSX ゲストイントロスペクション (GI) プラットフォームの機能を使用します。ファイルが NSX Edge の検証をバイパスしてホストに到達すると、ファイルはゲスト仮想マシン上の GI シンエージェントによって抽出されます。

ゲスト仮想マシンでマルウェアを検出して防止するには、ゲスト仮想マシンに NSX ゲストイントロスペクションシンエージェントをインストールして、NSX 用に準備された vSphere ホストクラスタに NSX Distributed Malware Prevention サービスを展開する必要があります。このサービスを展開すると、サービス仮想マシン (SVM) が vSphere クラスタの各ホストにインストールされ、ホストクラスタで NSX マルウェア防止が有効になります。

Windows 用の NSX ゲストイントロスペクションシンエージェントドライバは、VMware Tools に含まれています。NSX のバージョンでサポートされている VMware Tools のバージョンについては、VMware 製品の相互運用性マトリックスを参照してください。特定の VMware Tools バージョンでサポートされている Windows ゲスト OS の一覧については、VMware Tools のドキュメントで、該当するバージョンのリリースノートを参照してください。

注： Windows 11 および Windows 2022 ゲスト OS バージョンは、VMware Tools 12.0.6 以降でサポートされています。

Linux 用ゲストイントロスペクションシンエージェントは、オペレーティングシステム固有パッケージ (OSP) の一部として使用できます。パッケージは、VMware パッケージポータルにホストされます。Linux では、open-vm-tools または VM Tools をインストールする必要はありません。サポートされている Linux ゲスト OS のバージョンのリストを表示するには、Linux 仮想マシンへのアンチウイルス用ゲストイントロスペクションシンエージェントのインストールの「前提条件」セクションを参照してください。

NSX マルウェア防止ファイルイベント

ファイルイベントは、NSX Edge 上の IDS エンジンが North-South トラフィックからファイルを抽出したときと、仮想マシンエンドポイント上の NSX ゲストイントロスペクションエージェントが East-West 分散トラフィックからファイルを抽出したときに生成されます。

NSX マルウェア防止機能は、抽出されたファイルを検査して、無害なファイル、悪質なファイル、または不審なファイルかを判断します。NSX では、ファイルの固有の検査が 1 つのファイルイベントとしてカウントされます。つまり、ファイルイベントは一意のファイル検査を指します。

ユーザーインターフェイスを使用した NSX マルウェア防止ファイルイベントのモニタリングの詳細については、ファイルイベントのモニタリングを参照してください。

NSX マルウェア防止ファイルイベント API を使用したファイルイベントのモニタリングの詳細については、VMware 開発者向けドキュメントポータルにあるドキュメントを参照してください。