UTM

読み：ゆーてぃーえむ　／　英語表記：Unified Threat Management

• セキュリティ

ファイアウォール、アンチウイルス、侵入防止など複数のセキュリティ機能を1台にまとめ、ネットワークの境界で一括して脅威を防ぐ機器または製品の分類である。個別に機器を導入・運用する手間を減らす狙いで、中小規模のネットワークで多く使われる。

イマシルちゃんの解説

会社のネットワークを守るには、通信を選別するファイアウォールやウイルス検査など、いろいろな対策が必要なんだ。
それぞれを別々の機器で用意すると、導入も設定も管理も大変になってしまうの。
UTMは、こうした複数のセキュリティ機能を一つの機器にまとめた製品のことだよ。
インターネットとの境界に置いて、出入りする通信をまとめて検査するんだ。
少ない機器で幅広い脅威に備えられるから、専任の担当者が置きにくい規模でも運用しやすいんだよ。
ただ、まとめている分、その機器が止まると守りも通信も一度に影響を受けることもあるの。

より深い解説

定義と位置付け

UTM（Unified Threat Management：統合脅威管理）は、複数のセキュリティ機能を一つの機器に統合した製品の分類である。特定のメーカーの製品名ではなく、こうした「全部入り」の形態を指す呼び名である。この用語は、2004年に調査会社のIDCが市場の分類として使い始めた。

背景には、守るべき脅威が増えるにつれ、ファイアウォール、アンチウイルス、侵入検知などを別々の機器でそろえると、導入費用も運用の手間も膨らむという問題があった。特に専任のセキュリティ担当者を置きにくい中小規模の組織では、機器ごとの設定や更新が負担になる。UTMは、これらをまとめて一括で管理できるようにしたものである。

統合される主な機能

搭載される機能は製品によって異なるが、代表的なものは次のとおりである。すでに個別の記事がある機能は、UTMとの関係だけを示す。

IDCがUTMの分類とした当初の条件は、ネットワークファイアウォール、ネットワークの侵入検知・防止、ゲートウェイでのアンチウイルスの3つの機能をすべて備えることであった。すべてを同時に有効にする必要はないが、製品として備わっている必要がある、という考え方である。実際の製品では、これに加えてWebやメールの検査、アプリケーション識別などが載ることが多い。

高機能な統合製品との違い

UTMとよく比較されるのが次世代ファイアウォール（NGFW）である。どちらも複数のセキュリティ機能を統合する点は共通し、現在は機能の重なりが大きい。歴史的な出発点と主な対象規模に違いがある。

NGFWは、従来のIPアドレスやポート番号に加え、通信をアプリケーション単位で識別し、利用者と結び付けて制御する点を特徴とする。もっとも、この区別は厳密な規格ではなく、メーカーや時期によって呼び方が変わる。製品を選ぶときは名称ではなく、実際に使える機能と処理性能で判断する。NGFWそのものの検査方式は、ファイアウォールの記事でも触れている。

導入の利点と注意点

利点は、機器が1台になることで導入・設置・運用が簡単になり、費用を抑えやすいことである。設定や状態の確認を一つの管理画面で行え、ログも集約できる。一方、1台に機能を集中させることには固有の注意点がある。

• 単一障害点になりやすい。機器が故障すると、セキュリティ機能だけでなく通信そのものが止まる場合がある。可用性が必要なら冗長化を検討する。
• 多くの機能を同時に有効にすると、1台の処理能力に負荷が集中し、通信のスループットが低下することがある。暗号化通信の検査などは特に負荷が大きい。
• すべての機能が最高水準とは限らない。個別の専用製品に比べ、特定の機能の検査精度や設定の細かさで劣る場合がある。

性能のカタログ値は、どの機能を有効にした条件かによって大きく変わる。ファイアウォールだけを有効にした値と、アンチウイルスやIPSまで有効にした値では差が出る。導入時は、実際に使う機能を有効にした状態で必要な性能を満たすか確認する。

検査できる範囲と限界

UTMは主にネットワークの境界に置かれるため、そこを通らない通信は検査できない。社内の端末同士が境界を経由せずに通信する場合や、在宅勤務の端末が社内を経由せず直接クラウドへ接続する場合は、UTMの検査が及ばない。

暗号化された通信の中身を検査するには、通信を一度復号するTLSインスペクションなどの仕組みが必要になる。これには性能面の負荷や、証明書の配布、プライバシーへの配慮といった課題が伴う。

境界の機器だけで守りが完結するわけではない。端末側の対策（EDRなど）や、クラウド利用を前提とした構成（SWGやSASEなど）と組み合わせて、通信経路の変化に合わせた防御を設計する。クラウド利用が中心の環境では、境界に機器を置く前提そのものを見直すこともある。

設計・運用での確認

• 境界を通らない通信や、復号できない暗号化通信など、検査できない経路が残らないか確認する
• 利用する機能を有効にした状態での処理性能と、通信量の増加への余裕を見積もる
• 可用性要件に応じて冗長化や代替経路を検討し、機器停止時の影響を把握する
• 各機能のシグネチャや定義ファイルの更新が自動で行われるか、更新停止時にどう動くかを確認する
• 誤検知による正常な通信の遮断に備え、例外設定とログの確認手順を用意する

午後での問われ方

• UTMに統合される機能を挙げ、それぞれが何を検査するかを問う
• 1台に機能を集約することの利点と、単一障害点・性能低下といった注意点を説明させる
• UTMとNGFW、専用機器を組み合わせた構成の違いや、適した規模を判断させる
• UTMの検査が及ばない通信経路を指摘し、端末側対策やクラウド型サービスとの組合せを考えさせる
• 機能を有効にした条件によって処理性能が変わることを踏まえ、必要な性能を見積もらせる

この用語が出てくる記事

• スループット
• DLP
• ローカルブレイクアウト
• ローカルブレイクアウトの設計