【第8回 PowerScale Isilonコラム】PowerScale(Isilon)・アンチウイルス対策特集

サイバーセキュリティの基本となるウイルス対策として、お使いのクライアントPCにアンチウイルスソフトを入れて対策することは一般的ですが、ファイルサーバー(NAS)側でもウイルス対策が可能なことをご存知でしょうか。今回は、実機でPowerScale(Isilon)製品と下記2つのアンチウイルスソフトを連携させ、対策可能なことを検証した結果についてご紹介したいと思います。

PowerScaleと連携可能なアンチウイルスソフト(CAVA)

【PowerScale(Isilon)】

Isilon H400 (OneFS 9.4.0)

【アンチウイルスソフトサーバー(Windows Server 2019 Standard/CAVA)】

Microsoft社Windows Defender(Windows Server 2019 Standard標準搭載)
TrendMicro社ServerProtect for Storage 6.0 (patch2)

PowerScaleでは上記の他、下記のような製品もサポートしています

McAfee社VirusScan / EndPoint Protection
Symantec社 Protection Engine
Symantec社 Endpoint Protection
Microsoft社 SCEP
F-Secure社 ESS
Sophos社 Endpoint Security Control
Computer Associates社 eTrust

＊CAVAとは？

サードパーティのウイルス対策ソフトをインストールしたサーバーと連携し、PowerScaleにSMB経由で保存されたファイルに対してウイルススキャンを実施できます。実施タイミングは、リアルタイム/スケジューリング/手動のいずれかを選択できます。PowerScaleはICAP(Internet Content Adaptation Protocol)でのウイルスキャンにも対応していますが、CAVAはICAPに比べて使用可能なソフトが豊富であり、一般的にスキャン速度が速いことがメリットとして挙げられます。

PowerScale（パワースケール）_検証環境概要図-東京エレクトロンデバイス — 図1：検証環境概要図

ピンチアウトで拡大

実装方法(概要)

【アンチウイルスソフトサーバー側の設定】

①Windows Serverにアンチウイルスソフトをインストール

②PowerScaleと連携を取るためにCEE(Common Event Enabler)をインストール

※TrendMicro社のアンチウイルスソフトのみ、①と②の順番が前後します。

【PowerScale側の設定】

①CAVAサーバーの登録

②CAVA専用IP poolの作成

③ ②で作成したIP poolをCAVA機能に割り当て

④CAVAサービスを有効化

⇒AvVendorというウイルス対策専用の特殊なアクセスゾーンが自動で作成されます

⑤AvVendorゾーンの認証プロバイダ設定にADドメインを追加する

⑥AvVendor Roleに対してCAVAサービスを実行させるユーザーを登録する

⑦必要に応じてオンデマンドスキャンやスケジュールスキャンの設定パラメータを変更

テスト内容および確認結果

今回はEICARテストファイルをテスト用のウイルスファイルとして使用しました。(EICARテストファイルとは EICAR が開発したアンチウイルスソフトウェアの応答をテストするためのファイルです)

PowerScale（パワースケール）_図2：SMB共有へのEICARファイル書き込み-東京エレクトロンデバイス — 図2：SMB共有へのEICARファイル書き込み

PowerScaleに保存したEICARテストファイルは数十秒程度で削除されます(検疫)。

PowerScale（パワースケール）_図3：数秒後にSMB共有よりEICARファイル自動削除-東京エレクトロンデバイス — 図3：数秒後にSMB共有よりEICARファイル自動削除

アンチウイルスソフトサーバー側でもウイルスファイルを検知したことを閲覧可能です。下記図4はMicrosoft社Windows Defenderの場合での通知例となります(表示形態はアンチウイルスソフトによって異なります)。

PowerScale（パワースケール）_図4：Windows Defender(CAVA)サーバーでの脅威通知例‐東京エレクトロンデバイス — 図4：Windows Defender(CAVA)サーバーでの脅威通知例

PowerScale側ではノードごとにアンチウイルスソフトサーバーとの連携ステータス、スキャンリクエスト数等が閲覧可能です。

PowerScale（パワースケール）_図5：PowerScale・Web管理画面でのCAVAステータス確認‐東京エレクトロンデバイス — 図5：PowerScale・Web管理画面でのCAVAステータス確認

また、PowerScaleとCAVA連携では2種類のスキャン方法を定義出来ます。

Profile Standard ⇒ ファイルcloseとrenameをトリガーとしてスキャン実施
Profile Strict ⇒ ファイルread/close/renameをトリガーとしてスキャン実施

定義ごとにH400(OneFSv9.4)とSPEC SFS 2014 SP2(ベンチマークツール)を用いてパフォーマンス影響の有無を確認し、下記グラフにまとめました。

Standard profileの場合、Baseline(CAVA連携なし)と比較し性能は-3.4%とほとんど影響はないことを確認しました。Strict profileの場合、Baseline(CAVA連携なし)と比較し性能は-27%と影響があるものの、Standardに比べてより厳密にスキャンを実施出来ます。