今までYAMAHAルータ　RTX1200のさまざまな機能や設定を紹介しました。
今回はYAMAHAから出ているファイアウォール「FWX120」を紹介します。

機能

主な機能としては「不正アクセス検知」「ポリシーベースのフィルタリング」「MACアドレスフィルタリング」などがあります。また、有料にはなりますが「URLフィルター」と「メールセキュリティー」がありインテルセキュリティのMcAfee GTIを利用するオプション機能になります。

URLフィルター機能

インテルセキュリティのMcAfee GTIのデータベールを利用してスパイウェアなどの不正なプログラムやスパムURLやフィッシング被害が予測される危険なサイトへのアクセスを防ぎます。

メールセキュリティー

URLフィルター機能と同様にインテルセキュリティのMcAfee GTIのデータベースを利用します。スパムメールかどうか判断したりメールに添付されるファイルをウイルススキャンします。

機器の設置

FWX120を設置する場合、ルータ型と透過型に分けることができます。

ルータ型

ルータ型はFWX120をルータおよびファイアウォールとして利用することです。

ネットワーク構成

FWX120がルータおよびファイアウォールの役割を担います。ルータ型の場合は既存で設置されているルータに替わりFWX120が設置されることになるので既存ネットワークの構成の見直しや設定が必要となります。

設定

FWX120の工場出荷時の設定は下記になります。

• IPアドレス：192.168.100.1
• DHCP範囲：192.168.100.2~192.168.100.191/24

パソコンはIPアドレスを自動取得するに設定します。FWX120のLAN1ポートとパソコンをLANケーブルで接続しWEBブラウザで「http://192.168.100.1」にアクセスします。ユーザ名とパスワードの入力を求められますが初期値は

• ユーザ名：空白
• パスワード：doremi

でログインできます。ここからルータ型の設定を行います。

まず、トップ画面から「プロバイダ情報の設定」をクリックします。

回線の自動判別の画面を確認後、「PPPoEを用いる端末型ブロードバンド接続」を選択し「次へ」をクリックします。

「ユーザID」にはプロバイダの接続アカウント、「接続パスワード」にはプロバイダのパスワードを入力します。「設定名」は空白でも問題ありません。

DNSサーバ設定はプロバイダからの指定がなければ「DNSサーバーアドレスを指定しない、またはプロバイダから自動取得」を選択し「次へ」をクリックします。

設定内容を確認し間違いがなければ「設定の確定」をクリックします。

これで設定は完了となります。
「接続する場合は［接続］ボタンを押してください。」と表示されるので「接続」をクリックするとインターネットへの接続が完了となります。

透過型

透過型はFWX120をファイアウォールとして利用します。

ネットワーク構成

透過型の場合、FWX120をルータ直下に設置します。既存のネットワーク構成を変更する必要はありません。

設定

管理画面への接続はルータがと同じです。
FWX120の工場出荷時の設定は下記になります。

• IPアドレス：192.168.100.1
• DHCP範囲：192.168.100.2~192.168.100.191/24

パソコンはIPアドレスを自動取得するに設定します。FWX120のLAN1ポートとパソコンをLANケーブルで接続しWEBブラウザで「http://192.168.100.1」にアクセスします。ユーザ名とパスワードの入力を求められますが初期値は

• ユーザ名：空白
• パスワード：doremi

でログインできます。
設定前に下記の情報を確認しておきましょう。

• FWX120に設定するIPアドレス/ネットマスク
• DNSサーバ
• デフォルトゲートウェイのIPアドレス

それでは透過型の設定をおこないます。
トップ画面から「ファイアウォールの設定」をクリックします。

FWX120のIPアドレスを設定します。DHCPサーバからIPアドレスを取得するでも問題ありませんが、管理しやすいようにここではIPアドレスを固定で指定します。
「LAN分割機能の使用」はここでは「使用しない」にします。「使用する」にするとLAN1の各ポート毎で通信が遮断されてしまいます。

DHCPサーバはルータになるのでここでは「機能を使用しない」にチェックを入れます。

DNSサーバの設定ですが、上記でIPアドレスを固定で設定したのでここではDNSサーバを指定します。

利便性を重視するためここでは「利用するアプリケーションを制限しない」を選択します。
ファイルサーバへの接続はPC間のファイル共有を利用できるようにするため「Windowsネットワーク共有を使用する」を選択します。

設定した内容を確認し間違いがなければ「設定の確定」をクリックします。

これで設定は完了です。ルータからのLANケーブルをFWX120のポート2に接続、各PC、HUBからのLANケーブルをLAN1に接続することで接続が完了します。

ファイアウォールFWX120用セキュリティーライセンス

ファイアウォールFWX120用セキュリティーライセンスはインテルセキュリティのMcAfee GTIを利用した「メールセキュリティー機能」と「URLフィルター機能」を利用するために必要なライセンスになります。
セキュリティーライセンスは購入から2週間ほど利用できるまで時間が掛かります。FWX120のシリアル番号を認証サーバに登録するために時間がかかるようです。なので専用のIDやパスワードはありません。ライセンス認証も管理画面上から機能を利用する設定をするだけで、ライセンス情報と認証サーバでライセンス情報を確認してくれます。

まとめ

FWX120を設定した感想ですが、機器の設置方法が決まれば上記で説明したルータ型と透過型のどちらかを設定することですぐに導入できます。
しかしながら導入はできても細かいセキュリティ設定をここから行わなければなりません。
企業によっては表示させるサイトの制限が必要であったり、特定の通信のみ許可させたいなどそれぞれの環境にあった設定が必要です。
また、セキュリティ関係の機器やソフトウェアなどは一度設定したものに対してずっと同じというわけにはいきません。日々の状況を確認しながら修正していくことが大切です。

次回は有料機能である「メールセキュリティー機能」と「URLフィルター機能」の設定について紹介します。

この記事を読んだ方はこちらも読まれています

Winodws10でVPN（L2TP/IPsec）の自動接続設定 FortiGateでVPN（L2TP/IPsec）を設定しよう 複合機からクライアントPCへスキャンデータの送信エラー

以前「ランサムウェア「Wanna Cryptor」に関する注意」というブログを石原が投稿いたしましたが、今回はその続報としていくつかの事例を紹介しながら対策を考察してみたいと思います。

ホンダのランサムウェア感染事例

前回投稿後もランサムウェアの被害は拡大し、とうとうホンダの工場がランサムウェアの被害に遭ったというニュースまで流れました。

ホンダでは海外を含む社内ネットワークを通して感染が拡大し、6月18日の発覚から20日にかけて狭山工場が停止しました。

実はホンダは事前にランサムウェア対策を実施していたにもかかわらず、ランサムウェアに感染してしまいました。

生産設備に使われていた古いパソコンが対策できずにいたことが原因となったようです。

工場や研究施設などの特殊な設備で使用するパソコンは、ベンダーが古いOSを指定し、セキュリティパッチを適用したらサポート対象外というケースが多くあります。
また特殊な設備であるがゆえに、新OSに対応するには莫大なコストがかかったり、数億円する設備の買い替えが必要になることもあります。

このためなかなか対応に踏み切れず、古いOSやパッチをあてられないOSをそのまま使っている企業が多くあるようです。

ちなみにホンダを取り上げましたが、ほかにもイオンのデジタルサイネージがランサムウェアにかかってしまったというTwitterが取り上げられたり、日立製作所でもランサムウェアによりメール送受信に影響が出るなどの被害がありました。

ドイツの原発のウィルス感染事例

それでは古いOSを使用したり、セキュリティを確保したい場合にはインターネットから隔離しておけば大丈夫かというと、確かに有効なのですが絶対に大丈夫というわけではありません。

1年ほど前ですが、ドイツの稼働中の原子力発電所が攻撃を受けた事例があります。

この原子力発電所で使用されているコンピュータはインターネットから隔離されていたにもかかわらず、ウィルスに感染してしまいました。
感染の原因はリムーバブルディスクでした。リムーバブルディスクというと身近にあるUSBメモリやポータブルハードディスク、CD/DVDドライブなどです。

インターネットから隔離するというこは、インターネット経由のセキュリティアップデートが適用できなくなる場合があるという点も忘れてはなりません。

どのように対策すべきか

前回の投稿で、以下のように対策を注意喚起させていただいております。

• Windows Updateで脆弱性の解消 – 修正プログラムの適用
• ウイルス対策ソフトの定義ファイルを更新
• ファイルおよびシステムのバックアップ
• 不審なメールの添付ファイルの開封やリンクをクリックしない

今回の事例をふまえ、加えて以下の対策を推奨いたします。

• 古いOSは可能な限り使用しない
• USBメモリやCD/DVDドライブのセキュリティ対策
• 社員教育の徹底

資産管理ソフトの活用も有効

パソコンの台数が多くなってくると、クライアントパソコンの管理が大変になってきます。
これらの管理を効果的に行うためにSKYSEAのような資産管理ソフトを活用することも一つの手段です。

資産管理ソフトは以下のような特徴を持っており、管理画面から一元管理が可能になります。

• 使用しているOSのバージョンやセキュリティアップデートの管理
• リムーバブルディスクの利用可否設定
• ウィルス対策ソフトの有効期限の管理、アップデートの管理
• メールの送受信管理

なお、資産管理ソフトによってはクライアントパソコンのリモート監視や操作ログ取得もできますので、企業のコンプライアンスを守るためにも有効だと思います。

最後に

もしも御社がランサムウェアやウィルスに感染したらどれだけの被害額が発生するでしょうか？

ホンダのケースでは工場が停止し、1日あたり1000台の生産に影響が出たということです。

解決に至るまで約2日間ありましたので約2000台分、単純に1台あたりの販売価格が約300万円程度と考えると約30億円前後の影響があったと考えられます。
恐ろしい数字ですね・・・。

ランサムウェアに感染してしまいましたが、ホンダは事前に対策をしていたからこそ、企業規模に対して復旧までの時間が短かったとも言えます。

ランサムウェアやウィルスの被害を被ってからでは遅いため、事前に可能な限り対策を行いましょう。

なお、弊社ではランサムウェア対策を企業個別に調査したうえで提案しております。お困りの際にはぜひお声がけください。