セキュリティと運用の回復力のバランス:安全で安定したソフトウェアリリースのためのイルミオの戦略

Christer Swartz

ソリューションマーケティングディレクター

Illumio Editorial

2024年7月26日

23分読む

サイバーセキュリティとは、リスクを軽減することです。そのため、セキュリティソリューションが価値を提供するだけでなく、システムに障害が発生した場合に安全を確保する方法を考慮することが非常に重要です。

イルミオでは、お客様にとって安定性と信頼性を維持することを最優先事項としています。これは、何かが失敗した場合でも回復力を維持するゼロトラストセグメンテーションアーキテクチャを構築するのに役立ちます。

このブログ投稿では、最悪のシナリオの影響を軽減しながらセキュリティを維持するのに役立つ、Illumioプラットフォームで行った設計上の選択の概要を説明します。

イルミオが新しいソフトウェアをリリースする方法

セキュリティベンダーが新しいソフトウェアを顧客にリリースする場合、通常、次の2つの方法のいずれかで発生します。

データプレーンのインライン: これは、ベンダーのソフトウェアがネットワークトラフィックの経路にあるネットワークインフラストラクチャに直接配置されることを意味します。インラインソリューションは、悪意のあるトラフィックをブロックできます。ただし、これは、障害が発生した場合にすべてのトラフィックをブロックすることもできることを意味します。これらのソリューションは通常、オペレーティングシステム、多くの場合カーネル空間への深いアクセスも必要です。深くなればなるほど、何か問題が発生した場合のリスクは高くなります。

管理プレーンのアウトオブバンド: これは、ベンダーのソフトウェアがネットワークインフラストラクチャの残りの部分から分離されていることを意味します。既存のオペレーティングシステムの機能を使用し、冗長なソリューションの追加を回避します。カーネル空間にアクセスする必要はほとんどなく、ユーザー空間にとどまります。障害は管理プレーンに一時的に影響する可能性がありますが、データプレーンには影響しません。つまり、障害が発生しても顧客は保護され、運用が妨げられることはありません。

Illumioは、管理プレーンにソフトウェアを帯域外で展開します。

冗長またはインラインパケットフィルターの代わりに、主要なオペレーティングシステムにすでに組み込まれているパケットフィルタリングツールを使用します。このアプローチにより、これらの既存のツールが自動化され、ワークロードが直接セグメント化されます。パケットフィルタリングはオペレーティングシステムの一部であるため、イルミオソフトウェアを頻繁に更新する必要はありません。

イルミオは、世界最大かつ最も複雑な企業や政府機関と協力しています。私たちは、重要なシステムにとって継続的なアップグレードが困難になる可能性があることを理解しています。当社の帯域外展開モデルは、これらの課題を大幅に軽減するのに役立ちます。

イルミオがSaaSプラットフォームをアップグレードする方法

SaaS クラスターをアップグレードするときは、時差デプロイワークフローを使用します。つまり、段階的なプロセスを使用して、一度に 1 つのクラスターグループをアップグレードします。

まず、いくつかの内部の非運用環境で新しい更新プログラムをテストします。これらのテストに合格して初めて、SaaS クラスターのアップグレードを開始し、段階的で時差アップグレードのワークフローを使用してアップグレードを行います。つまり、アップグレードは一度に行うのではなく、段階的に行われ、一度に少数のテナントに対してのみ行われます。

アップグレード中に問題が発生した場合は、すぐにプロセスを停止します。これにより、この問題は、初期のフェーズでアップグレードされた顧客にのみ影響します。(そして、最後の安定したイルミオインスタンスをすばやくロールバックできます。SaaSクラスタをすべてのお客様に同時にアップグレードすることはありません。‍

イルミオがセグメンテーションポリシーをアップグレードする方法

ワークロードのゼロトラストセグメンテーションポリシーを更新する場合、それを必要とするお客様の環境の一部にのみ送信します。

Illumioプラットフォームでは、顧客はラベルを使用して独自のインテントベースのセグメンテーションポリシーを作成します。ロールベースのアクセス制御 (RBAC) は、寛容すぎるポリシーの作成を防ぎます。イルミオは、IPが変更されたり、ワークロードが追加または削除されたりすると、バックグラウンドでこれらのポリシーを更新します。特定の顧客の変更の影響を受けるワークロードのみが、イルミオから更新されたポリシーを取得します。

データセンターとエンドポイントのワークロードの場合、イルミオはネイティブオペレーティングシステムのファイアウォール内でポリシーを受信して適用します。お客様はこのプロセスを完全に制御し、いつ、新しいソフトウェアバージョンにアップグレードするかどうかを決定できます。

イルミオに新しいソフトウェアバージョンがある場合でも、SaaSプラットフォームには下位互換性があります。これは、古いバージョンのイルミオで引き続き動作することを意味します。このため、顧客は頻繁にアップグレードする必要はありません。独自のスケジュールと独自の変更プラクティスに基づいて、アップグレードをテストしてロールアウトできます。