Carbon Black Cloud Workloadとインスタントクローンによる電子カルテインフラのアドバンテージ

皆さん、こんにちは。もうすぐクリスマスですね。
こちらの投稿は vExperts Advent Calendar 2023 の 12月16日の記事になります。

今年は電子カルテの仮想化基盤の大幅にリプレイスしました。
インスタントクローンとVMware Carbon Black Cloud Workloadの組み合わせでの電子カルテは国内初ではないでしょうか。
医療情報システムの安全管理に関するガイドラインが6.0版に改正され以下のようにセキュリティソフトの推奨事項としてEDRの名称が明確に書かれていました。

ちなみに当院ではNGAV+EDRとして、VMware Carbon Black Cloud Workloadを採用しています。
以前までの医療業界はウイルス進入時のパターンマッチングだけのものが多かったと思いますが、EDRでは侵入後の検出/調査/対応/回復に対応し、監視下のエンドポイント全体を総合的に分析して関連付けるといったことが可能になります。今回、当院で導入したVMware Carbon Black Cloud Workloadに関してはNGAVも含んでいるので脅威の特徴や行動を監視、ふるまい検知などもカバーしています。ただ、攻撃は100％は防げないことを前提に侵入後対策を考えていくことは今後ますます重要になっていくとは思います。

従来のパターンマッチングだけでなく、EDR（Endpoint Detection and Response）によるスコアリングを活用し、疑わしい挙動を監視します。もし異常が検出された場合、脅威のスコアが付与され、それに基づいて被害の特定と対処が行えます。

さらに、Carbon Black Workloadを使用して、仮想基盤とも連携しました。これにより、電子カルテ端末（VDI）だけでなく、仮想サーバーにもEDRを展開し、ラテラルムーブメントによる被害を早期に検出し、対処できるようになりました。

ちなみに、ラテラルムーブメントとは、外部の攻撃者やマルウェアが内部ネットワークの侵入に成功した後、ネットワーク内を横移動し侵害範囲を拡大していく攻撃手法のことです。

Horizonのインスタントクローンにより、利用者が電子カルテの利用を終了（仮想デスクトップからログアウト）すれば仮想マシンごと初期化（再作成に約10秒）されるといった運用が可能となります。

仮想マシンが初期化されることにより、万が一脅威が侵入した場合においても潜伏期間を与えず、電子カルテ基盤を常に安全な状態（マスターイメージの初期状態）を維持しやすいというメリットが得られます。

ランサムウェアの潜伏期間は15日間という結果がでております。よって、潜伏期間を与えないというのは大きなアドバンテージではないかと考えます。

ただ、間違いなく言えるのは、今後はさらにゼロトラストの概念が必要になるかなということです。導入は入り口に過ぎず、チューニングやメンテナンスと日々勉強です。

最後まで読んでいただき、ありがとうございました。

皆様、良い年を！！

by koppun

インスタントクローンが高速展開できる仕組みの解説

今回は、当院の電子カルテ関連のインフラで使っているインスタントクローン方式がなぜ、仮想マシンの高速展開が可能かについて、簡単に解説したいと思います。
ポイントはペアレントVMがどういう状態であるかに仕掛けが隠されています。

インスタントクローンが高速に展開できる理由は、各ホストごとに「ペアレントVM」と呼ばれる仮想マシンが作成される点にあります。このペアレントVMは、OSが起動する直前の状態でフリーズし、そのメモリー状態を共有することで、高速な起動が可能になります。言い換えれば、電源を入れた瞬間から、OSが必要とするメモリーの読み込みがすでに完了した状態から起動することができ、その結果、高速な起動が実現可能となります。

多くの病院では、セキュリティの観点からインターネットへの接続を制限しており、それによりOSやソフトウェアの脆弱性のアップデートが難しい場合があります。しかし、当院では新しいゴールドイメージを一度作成すると、稼働中の仮想マシンはユーザーがサインアウトしたタイミングで自動的に最新のものに入れ替わります。そのため、業務中にメンテナンスを行っても問題ありません。特に電子カルテ系のウイルスソフトの定義アップデートに関しては、常に最新のパッチが適用される仕組みを9年前から採用しています。これは、センサーのアップリンクの単純な抜け道ではなく、複雑な制御が施されたシステムとはなります。

一部の環境ではウイルスソフトを無効にしてしまうことがあるようですが、これはリスクが高い行為であり、避けるべきかと思います。

また、ネットワークレイヤーでの対応となるとNDR（Network Detection and Response）が得意する部分となり、多岐にわたるセンサーと連携するXDR（Extended Detection and Response）などのソリューションも注目を浴びていますが、これらはエンドポイントのセキュリティがしっかりと構築されている場合に初めて最大の効果を発揮します。そのため、エンドポイントのセキュリティを無視せずに、少なくともEPP（Endpoint Protection Platform）の導入をからでもいいと思いますので検討することをお勧めします。