SOCをメインとしたUTMレンタルをスタートするにあたっての産みの苦しみ

1. UTMを自分たちで作った話 （SOCつき）

2. ➢ UTM開発の発端
✓ サプライチェーン攻撃
➢ 無償UTMの神々
✓ Untangle、ClearOS、Sophos、OPNsenseなど比較やパートナー申請
➢ そして自作へ…
✓ SOCを意識したログ転送
✓ SSL復号をデフォルト有効にしたくて
✓ 何かあったとき、行ってられないから隔離できないか
➢ 導かれしハードウェアたち
✓ はじめての輸入と取引交渉
➢ 天空の花嫁
✓ AWSと別れてOracleCloudにしたのにインスタンス消された
➢ 幻の顧客
✓ 決算迎えて在庫繰越に絶望する経理担当

3. UTM開発の発端

4. ➢ サプライチェーン攻撃
✓ 見つけた中小企業向けのUTMは最安で月5,000円レンタル
 既知の攻撃対策でIoT機器をフォローできるような物
 PCのセキュリティが上がったかは不明瞭
（UTMに機能はあってもHTTPS復号とか無効が当たり前）
 しかも10Gbpsまで出た光ファイバーの時代に、
最安UTMだと性能限界が20Mbpsとかの機器もあってむしろ邪魔
✓ 大企業の要望はUTMも入れてほしいけれど
 ログに特定のドメインが無いか見てほしい時もある
 配線ミスでただの箱になっていないか不安
✓ 大企業の要望に応えないSOC
 SOC追加で月5,000円とか。しかし
「アラートを翻訳する程度の内容のようで、
UTMの電源切れても電話来ないらしい（＊体験者個人の感想です）」
UTM開発の発端

5. 無償UTMの神々

6. ➢ 確かにUTM（ディストリビューション）はある
✓ Untangleいい感じと思ってたが痒い所に手が届かなかった
＊有償版じゃないとSSL復号ができないとか
有償版が高いとか、カスタマイズ出来なさすぎるとか
✓ Untangleとは調整進めたが相手からメール返信が遅すぎて不安に
➢ 家庭用に無償のUTMも
✓ Sophosが出してる。
でも家庭にUTM置いて設定までできるってどんな家庭？！
UntangleやClearOSとの出会いと別れ

7. そして自作へ…

8. ➢ CentOSあたりをベース
✓ カーネルカスタマイズはしっかりめに
➢ ebtables
✓ DNSとかHTTPとかHTTPSをぶんどる設定ができる
（透過型Proxyができる）
➢ iptables
✓ 国ごとのFW設定をお客様ごとに実施するための
（SOCサービスとしてアクセスしない国をピックアップして遮断する）
もう自作してみた

9. ➢ Unbound＋Squid
✓ ぶんどったDNS、HTTP、HTTPSをブラックリスト型で照合する用
✓ SquidはウイルススキャンでClamとも連携
＊Suricata＋mitmproxyへ変更予定
✓ ログを取って当社へ。
未知は白黒つけるため＋親会社さんや取引先に疑われた際などで活用
✓ HTTPS検査はSSL証明書をインストールしたPCのみ実施されるため
「UTM機能としてHTTPS復号あるのに無効設定」を防げる
もう自作してみた

10. 導かれしハードウェアたち

11. ✓ LAN２ポート
✓ Celeron3865U（1.8GHz）
✓ メモリ8GB
✓ SSD120GB
➢ 普通のベアボーン。
ちょっと大きい
ハードウェア 試作１号機

12. ✓ ４コア ２.５Ghz
✓ 小さくなった
✓ LAN２ポート
✓ メモリ4GB
✓ SSD120GB
➢ eMMCでBoot超しんどい
ハードウェア 試作２号機

13. ハードウェア 試作３号機
✓ ４コア ２.４Ghz
✓ LAN４ポート
✓ メモリ4GB
✓ SSD 64GB
➢ どこのかわからん製品売りにくい
➢ そもそも数百台買えるんか？これ

14. ハードウェア 試作４号機
✓ ４コア ２.４Ghz
✓ LAN４ポート
✓ メモリ4GB
✓ SSD 64GB
➢ どこのかわからん製品売りにくい
➢ そもそも数百台買えるんか？これ

15. ➢ 中国から輸入１台してみた
ハードウェア 試作５号機
✓ ２コア４スレッド ２.４Ghz
✓ LAN ６ポート
✓ メモリ４GB
✓ SSD ６４GB
この試作機のテスト中、同じ筐体を売ってるところを見つけた。
どうやらOEM元のようで「800台とか買えばカスタマイズ」とか再注文
できそうな文言並んでた。
ISO認証とか取って従業員も100人以上っぽくてそこと交渉開始。

16. ➢ ５０台調達
ハードウェア 本番機
✓ ２コア４スレッド ２.４Ghz
✓ LAN ６ポート
✓ メモリ８GB
✓ m.sata３２GB
これでも結局、無線LANが技適通って
ないので
USB接続の無線LAN子機（国内調達）
を親機にするタスクがスタート
メーカに行く視察ツアー企画中。
直接買ったとはいえ、輸入コストや
ツアーコストも入れると
台あたりのコストはAmazonで買っ
た試作機たちより高い

17. 天空の花嫁

18. ➢ 当社のサーバラック内に設置
✓ ログは再送してくれるから容量コストに優れる自前にrsyslog受け皿を作っ
た
➢ DNS用にクラウド活用
✓ Unboundは各UTMにブラックリストを保持すると、うちのノウハウが漏れ
ちゃうのでリストをサーバ上に保管してUTMの上位DNSサーバとして使
う
✓ 落ちちゃいけないし回線応答が早くないといけないのでクラウド選定
✓ Intelトラブってる中、AMD好きだったのでOracleCloudにした
→インスタンス削除された
✓ OracleCloudからGoogleへ移設
ログ転送や管理用のサーバ

19. 幻の顧客

20. ➢ 半年ほどでおおよそのことができた
✓ ブラックリストとかは自前で持っていたし、
サーバで起業して１７年やってたこともあって割とサクッと進んだ
✓ 上位DNS落ちた時の迂回（縮退）設定など障害回避はコンサルやってる分
結構いい感じにできてると自負している
✓ SOCも元々の体制があるので白黒つけやすくするツールをUTM向けに改良
してバッチリ→しかし目視なのでやはりコストはかかる
✓ 親会社や取引先からログ開示依頼があったときなどに対応できるよう
そのあたりはバッチリ 頻度低いだろうからKibanaとかまでは入れてない
✓ しかし１２月決算の当社にとってハードウェアを売り始める前に年越した
のがえらいこっちゃ＜経理の社員に怒られた
ここまで

21. ➢ Facebookで広告だしても
✓ 知らない外人Botさんからいいねをもらうだけ
https://www.facebook.com/SeireiNetwork/posts/3204318742917661

22. ➢ 代理店さんを取らないと売れない
✓ 大企業のお客様メインになっていた当社として
地場の強いITベンダーさんに売ってもらわないといけない
✓ フレッツ光の電話・店舗取次やっていたのでなんとなく感覚は
１件４～５万円とおもうが、UTMが何かとか知らないと売れないし
件数あたりの報酬を増やすか説明会をしっかり各社行ってしなければ
✓ 結局そのコストは設置・契約する各企業様に…