サーバーからストレージアレイまで、ファイバーチャネルデータパス全体でエンドツーエンドのハードウェアベースのインフライト暗号化が初めて利用可能になりました。Everpure（旧Pure Storage）は、Emulex SecureHBAテクノロジーをアレイに直接統合したファイバーチャネル対応のFlashArrayシステムを出荷し、業界が目指してきた暗号化されたトランスポートパスを完成させました。今後のFlashArrayモデルでは、SecureHBAが標準のファイバーチャネルアダプタオプションとして出荷されます。今回の評価では、この機能をプラットフォームにネイティブにもたらす最初のプライマリストレージアレイであるFlashArray//XL130 R5を評価しました。
SecureHBA搭載サーバーがEverpureアレイに接続すると、暗号化セッションがハードウェアレベルで自動的に確立されます。追加のエージェントをインストールしたり、外部の暗号化インフラストラクチャを使用したりする必要はありません。その結果、サーバーからストレージまでエンドツーエンドで暗号化されたファイバーチャネル接続が、追加のソフトウェアや外部の暗号化インフラストラクチャを必要とせずに、透過的に実現されます。
エンタープライズストレージでは、保存データの暗号化は標準的な手法となっていますが、特にファイバーチャネルSAN環境において、転送中のデータを暗号化することは、複雑さを増し、アプリケーションのパフォーマンスに影響を与えずに実装することが困難でした。従来、企業は外部キー管理システムを用いたソフトウェアベースの手法に依存してきましたが、これには管理上のオーバーヘッドの増加や潜在的なリスクが伴います。ストレージネットワーク全体でシームレスなハードウェアレベルの暗号化を実現することは、これまで困難でした。
Emulex は SecureHBA でその課題の解決に着手しました。SecureHBA はホスト ソフトウェアや外部システムに依存するのではなく、ハードウェアで暗号化を実行するため、アプリケーションのパフォーマンスやワークフローに影響はありません。初期の報道以来、この技術は実用化に向けて大きく前進しました。2 月には、ファイバー チャネル業界協会 (FCIA) がINCITS ファイバー チャネル セキュリティ プロトコル第 3 版 (FC-SP-3)仕様の完成を発表しました。Emulex SecureHBA は、この新しい標準に完全準拠しています。SecureHBA は現在、Dell、HPE、Lenovo などの主要サーバー OEM によって広く出荷されており、12 万以上のアダプタがすでに企業環境に導入されています。多くの場合、組織は定期的なサーバー更新サイクルで暗号化対応のファイバー チャネル エンドポイントをインストールしていますが、ストレージ アレイにネイティブ サポートがないため、そのメリットを十分に活用できていません。
この技術分析では、テスト対象の FlashArray//XL130 R5 で SecureHBA がどのように機能するかをレビューし、Emulex SAN Manager 3.0 がどのように運用状況の可視化とレポート機能を提供するかを検証し、実環境におけるハードウェアベースの暗号化のパフォーマンスを確認します。重要な違いは、データパスのどの段階で暗号化が行われるかです。アプリケーション層の暗号化は、データがアレイに到達する前に圧縮不可能にしますが、SecureHBA はファイバーチャネルのトランスポート層で暗号化を行うため、アレイレベルの圧縮、重複排除、ランサムウェア検出機能が維持されます。
機内SAN暗号化が重要な理由
ファイバーチャネルネットワークは従来、信頼境界内で運用されてきた。ストレージファブリックは物理的にセグメント化され、厳密に管理され、より広範なネットワークの脅威から隔離されていると考えられていた。しかし、この前提を維持することはますます困難になっている。ランサムウェアの活動は依然として継続的かつ適応的である。SymantecとCarbon Black Threat Hunter Teamの「Ransomware 2026」レポートでは、脅威アクターグループが急速に進化を続けており、活動が中断された後すぐに新しい関連組織が取って代わり、結果として攻撃件数が前年比で増加し続けていることが指摘されている。2025年のVerizonデータ侵害調査レポートもこの傾向を裏付けており、分析されたすべての侵害の44%にランサムウェアが存在し、前年比で37%増加していることが判明した。
これらの攻撃キャンペーンはインフラストラクチャを意識したものです。攻撃者が特権アクセス権を取得すると、内部の横方向の可視性が可能になります。ファイバーチャネルのトラフィックは従来のIPトラフィックのようにルーティングされませんが、トランスポート層で動作し、サーバーとストレージ間で機密性の高いデータを転送します。SANを本質的に安全とみなすのは、境界防御が維持され、内部侵害が発生しないことを前提としていますが、侵害パターンはこうした前提をますます覆しつつあります。
より現実的なリスクシナリオは、外部の攻撃者がファイバーチャネルファブリックを直接標的にするのではなく、侵害されたホスト、あるいは既に環境内で活動している特権を持つ内部関係者による攻撃です。サーバーまたは仮想化ホストの管理権限が取得されると、ホストとアレイ間を移動するストレージトラフィックがインフラストラクチャ境界内で監視可能になります。トランスポートパスを暗号化することで、信頼できる内部ネットワークであっても、横方向の移動や侵害後の活動中に機密データが漏洩するのを防ぐことができます。
規制上の期待は、脅威の状況変化と並行して進化しています。CNSA 2.0、NIS2、DORAといったフレームワークは、暗号化の耐性と、保存データだけでなく転送中のデータの保護をより重視しています。セキュリティモデルは、内部ネットワークセグメントが暗黙的に信頼されるものではなくなるゼロトラスト原則に基づいて構築されることが増えています。その結果、組織は、これまで安全だと考えられていたストレージ転送経路を含む、インフラストラクチャのすべてのレイヤーにわたる暗号化を評価するよう迫られています。
運用面にも考慮すべき点があります。多くの最新ストレージプラットフォームは、ランサムウェアを早期に検出するために、異常な動作（圧縮率や書き込みパターンの急激な変化など）を検知する仕組みを採用しています。データがアレイに到達する前にアプリケーション層で暗号化を適用すると、これらの検出メカニズムが損なわれる可能性があります。一方、トランスポート層でトラフィックを暗号化することで、アレイはデータの特性を把握しつつ、転送中のデータを保護することが可能です。このようなアーキテクチャ上の違いは、組織が復旧戦略を洗練させ、攻撃中の滞留時間を短縮しようとするにつれて、ますます重要になってきます。
データパス内の暗号化の配置もストレージ効率に影響を与えます。データがストレージシステムに到達する前にアプリケーション層またはホスト層で暗号化されると、暗号化プロセスによって認識可能なデータパターンが削除されるため、通常は圧縮できなくなります。これにより、アレイレベルの圧縮およびデータ削減サービスの有効性が大幅に低下する可能性があります。一方、ファイバーチャネルスタック内のトランスポート層暗号化は、データがホストから送信された後、SANを通過する前に行われ、ストレージアレイに入ると復号化されます。このアプローチにより、アレイは元のデータストリームを通常どおり処理でき、圧縮、重複排除、その他のデータサービスを維持しながら、転送中のデータを保護できます。アプリケーション層暗号化とトランスポート層暗号化の違いは、効率性とランサムウェア検出のために最新のストレージアレイに依存している組織にとって特に重要です。
インフラストラクチャの更新サイクルは、この瞬間の重要性をさらに高めます。サーバーおよびストレージプラットフォームは、多くの場合5年以上運用され続けるため、今日下されるアーキテクチャ上の決定は、今後10年間のセキュリティ体制を左右します。ハードウェアレベルで組み込まれた暗号化機能は、後付けされることはほとんどなく、通常は基本設計の一部として選択されます。新しいサーバーの導入やストレージアレイの近代化を検討している組織にとって、SAN内のトランスポート層暗号化はもはやオプションとして扱うべきではありません。ハードウェアベースのファイバーチャネルPQCセキュア暗号化は、進化するコンプライアンス要件、ゼロトラストモデル、および長期的なリスク管理に合致する、耐久性のあるセキュリティ制御となります。
飛行中のSAN暗号化は、特定のファイバーチャネルの脆弱性への対応策ではありません。これは、より広範な、積極的な企業セキュリティの考え方の変化を反映したものです。つまり、内部ネットワーク層はどれも暗黙的に信頼されるべきではなく、あらゆるレベルで最初からインフラストラクチャに回復力を組み込む必要があるということです。
SecureHBAアーキテクチャの概要
Emulex SecureHBAエコシステムは、INCITSファイバーチャネルセキュリティプロトコル第3版（FC-SP-3）規格に基づいて構築されており、既存のファイバーチャネルネットワークおよびアダプタとの下位互換性と上位互換性を提供します。SecureHBAは、スイッチのハードウェアまたはソフトウェアのアップグレードを必要とせずに、既存のファブリックに導入できます。両方のエンドポイントがハードウェアベースの暗号化をサポートしている場合、暗号化機能は標準のファイバーチャネルログインプロセス中に自動的にネゴシエートされ、手動設定なしで暗号化されたセッションが確立されます。
PQCセーフな鍵ネゴシエーションはSecureHBAによって完全に管理されるため、追加の鍵管理インフラストラクチャやオペレーティングシステムの構成は不要です。ここでいうPQCセーフとは、従来の公開鍵アルゴリズムに対する将来の量子コンピューティング攻撃に耐性を持つように設計された暗号鍵交換メカニズムを指します。セッション鍵は自律的に生成および更新されるため、トランスポート層内で暗号化が透過的に動作します。
管理者はデフォルトの動作を変更できますが、完全な互換性のためには必ずしも必要ではありません。管理者は、暗号化された接続のみを許可するように設定を変更したい場合があります。これにより、暗号化をサポートしていないサーバーからの接続を防ぐことができます。また、必要に応じて、この機能を無効にして、すべてのサーバーが暗号化なしで接続できるようにすることも可能です。
アーキテクチャの観点から見ると、SecureHBAは暗号化をアプリケーションやホストソフトウェアの上に重ねるのではなく、ファイバーチャネル伝送経路に直接組み込みます。これにより、既存のファブリック設計を維持しつつ、運用上の複雑さを増すことなく、伝送中の暗号化を展開することが可能になります。
最新のサーバープラットフォームには、本番ワークロードを実行する前にシステムコンポーネントの真正性と完全性を検証するハードウェアベースの信頼メカニズムがますます多く組み込まれています。シリコンルートオブトラスト、セキュアブートチェーン、DMTFセキュリティプロトコルおよびデータモデル（SPDM）などのデバイス認証プロトコルといった技術により、システムは起動時にファームウェア、アダプタ、その他のデバイスを暗号的に検証できます。これらのメカニズムにより、ワークロードに関わるハードウェアが正規のものであり、データ転送が開始される前に検証済みのファームウェアで動作することが保証されます。
SecureHBAは、ハードウェアの信頼モデルをストレージトランスポート層自体にまで拡張します。サーバーとストレージのエンドポイントで信頼できるデバイスが確立されると、暗号化されたファイバーチャネルセッションによって、それらの間で転送されるデータが保護されます。このアーキテクチャでは、ID検証とデータ保護が連携して機能します。信頼できるインフラストラクチャコンポーネントは、追加のソフトウェア層や外部セキュリティインフラストラクチャを必要とせずに、暗号化されたSANパスを介して通信します。その結果、ファイバーチャネル環境特有の運用上のシンプルさを維持しながら、最新のゼロトラスト原則に準拠したセキュリティ体制が実現します。
パフォーマンス検証：Oracle TPROC-Hワークロード
BroadcomとEverpureの担当者が、Emulex SecureHBAとEverpure FlashArray//XL130 R5を使用した暗号化なしおよび暗号化あり接続のパフォーマンス特性を実演する仮想ラボセッションを開催しました。セットアップは、SecureHBAがインストールされ、Oracle 26ai Databaseソフトウェアが動作するサーバーで構成され、HammerDB TPROC-Hデータウェアハウジングテスト用にFlashArray//XL130 R5上に8つの200ギガバイトボリュームがプロビジョニングされていました。最大スループットを目標としたこのテストでは、アレイとSecureHBAの性能を限界まで引き出し、ハードウェア暗号化を有効にした場合と無効にした場合のパフォーマンスを確認することができました。
ソフトウェアベースの暗号化ソリューションはホストCPUに直接負荷をかけるため、ハードウェアオフロードが期待通りの効果を発揮するかどうかを評価する際には、ホストCPUに注目するのが適切です。すべての暗号化処理はSecureHBAのシリコン上で直接行われるため、暗号化されていないテスト実行と暗号化されたテスト実行の両方で、サーバーのCPU使用率はほぼ同じままでした。暗号化と復号化をHBAにオフロードすることで、CPUのボトルネックが発生することなく、データ伝送を最大スループットで実行できます。
さらに詳しく見ていくと、TPROC-Hワークロードにおける最大CPU使用率にほとんど差がないことがわかりました。暗号化接続では30.46%、非暗号化接続では31.68%でした。CPU使用率の平均値も非常に近く、暗号化オンの場合が24.35%、暗号化オフの場合が24.28%でした。これらの結果は非常に近いため、実行ごとのばらつきの範囲内であり、SecureHBAのオンボード暗号化プロセスがホストCPUの使用率に影響を与えないことを示しています。
キーマネージャサーバーまたはサービスに依存するソリューションを使用する場合、適切な認証と暗号化、およびフェイルオーバーが正常に行われることを確認するために、接続のアクティブ側とパッシブ側の両方を構成およびテストする必要があります。Emulexはこれをハードウェアで自動的に実行するため、管理者は気にする必要はありません。外部キーマネージャサービスに依存する代替ソリューションの場合は、適切なフェイルオーバー動作を確保するために、アクティブパスとスタンバイパスの両方を個別に構成、認証、および検証する必要があります。
数千の接続を持つ大規模なSAN環境では、これらのパスを検証するために必要な時間と運用上の複雑さが大幅に増加する可能性があります。このプロセスでは、ポートごとに数千の接続が必要になる場合があり、全体の所要時間が大幅に長くなる可能性があります。SecureHBAハードウェア内で暗号化ネゴシエーションを直接処理することで、これらの追加の認証手順が不要になり、設定ミスやフェイルオーバーの遅延のリスクを最小限に抑えることができます。さらに、外部キーマネージャに依存するソリューションでは、パッシブパスを含むすべての接続で設定ミスや証明書の同期ずれが発生するリスクがあります。ほとんどの接続問題はアクティブパスで問題が発生したときにのみ認識されるため、これはすぐには明らかにならない場合があります。
EverpureのFlashArray//XL130 R5とSecureHBAは、堅牢なデュアルコントローラアーキテクチャと自律的な暗号化接続再確立機能により、重大な障害発生時にも迅速かつ安全な切り替えを実現します。ストレージファブリックに障害が発生した場合、EverpureとEmulexのソリューションにより、SANフェイルオーバーはバックグラウンドで自動的に処理されるため、管理者は根本的な問題に集中できます。
運用検証：暗号化が実際にどのように監視されるか
ラボセッション中、Emulex社はEmulex SecureHBAを使用したゼロタッチプロビジョニング機能の簡単なデモンストレーションを行いました。このラボのハードウェア構成は、2つのHBA（1つは64GファイバーチャネルSecureHBA、もう1つはハードウェア暗号化機能のない64GファイバーチャネルHBA）を備えたイニシエータホストサーバーで構成されていました。両方のイニシエータは、ターゲットとして2つのSecureHBAが構成されたEverpure FlashArray//XL130 R5に接続されていました。
Everpure社は、XL130 R5のコマンドラインインターフェースを使用して、シームレスで自動的に暗号化された接続を実演し、各ポートの暗号化状態がどのように表示されるかを、以下の図のように正確に示しました。
Everpure CLIは、SecureHBAからより詳細な暗号化情報も表示できます。これには、接続がポスト量子暗号を使用しているかどうか、およびHBAの再鍵生成期限などが含まれます。
デフォルトでは、イニシエータホストサーバー上のSecureHBAとEverpure FlashArray//XL130 R5の間で暗号化された接続が即座に確立されました。標準のファイバーチャネルHBAと同一アレイポート間では暗号化されていない接続が確立され、幅広い互換性を維持しながら使いやすさが実証されました。
Emulex SAN Manager 3.0：ファブリックレベルの可視性とコンプライアンス
注目ポイントと新機能
- SAN内のすべての接続の暗号化ステータスにすばやくアクセスできます
- SAN全体のセキュリティコンプライアンスを監査および評価するための組み込みレポートツール
- PythonベースのCLIとSMTPによる自動イベント通知機能を備えた、スクリプト作成に適したプラットフォーム。
Broadcomは、Emulex Fibre Channel HBA（SecureHBAを含む）をご利用のお客様向けに、Emulex SAN Manager 3.0ソフトウェアを無償で提供しています。2020年のリリース以来、このソフトウェアはストレージ管理者がSANに関するより深い洞察を得られるように設計されており、複数のFibre Channel環境にわたる監視、保守、レポート作成のためのツールを提供します。ログインすると、ドーナツ型の分かりやすいグラフでSAN全体のパフォーマンスと健全性データの概要が表示されます。これらのウィジェットは、ユーザーの好みに合わせてカスタマイズおよび再配置できます。各ウィジェットをクリックすると、それぞれのグラフの背後にあるデータが表示されます。
Emulex SecureHBAのリリースと同時に、SAN Manager 3.0の新機能も追加されました。ダッシュボードの「暗号化ポリシー」ウィジェットを使用すると、暗号化に対応しているEmulexファイバーチャネルノード、暗号化が必要なノード、暗号化機能が無効になっているノードの数を正確に確認できます。SAN Manager 3.0で「暗号化ポリシー」ウィジェットまたは「暗号化情報」ヘッダーをクリックすると、接続されているすべてのポートの詳細なリストが表示され、WWPN、ホスト名、ポリシー、キー間隔などの属性でフィルタリングおよびソートできます。これにより、ポートをすばやく簡単に検索および管理でき、特定のポートを選択するとさらに詳細な情報が表示されます。
Emulex SAN Manager 3.0では、ダッシュボードで設定済みの暗号化ポリシーを確認できるだけでなく、監査およびコンプライアンス検証のためのレポートツールが組み込まれました。CSV形式のセキュリティレポートをアプリケーション内で直接生成し、ダウンロードまたはメール送信でエクスポートできるため、多忙なIT管理者は、数千ものファイバーチャネルノードから情報を収集し、手動でコンプライアンスを検証する手間を省くことができます。
Emulex SAN Managerは、SANの状態を可視化する機能も提供し、輻輳の緩和、障害が発生したトランシーバーの特定、リンク速度の表示などのツールを備えています。優れたGUIベースのツールであることに加え、Broadcomは自動化に関心のあるIT担当者向けに、スクリプト作成用のPythonベースのコマンドラインインターフェイスも提供しています。アナリストがSAN Managerからパフォーマンスと信頼性データをエクスポートして他のアプリケーションやツールで確認できるように、組み込みのWebhookを追加する予定です。強力なタスクスケジューラを使用すれば、管理者に重大なイベントを警告するメールアラート（SMTP経由）も設定できます。開発チームは、主に顧客からの要望に基づいて、このアプリケーションを拡張可能なオールインワンプラットフォームにするために尽力しています。Emulex SAN Manager 3.0は、Emulex SANの暗号化コンプライアンス、状態、マルチパス、パフォーマンスを確認する必要がある場合に、ストレージ管理者にとって非常に役立つツールとなるでしょう。
最終的な考え
Everpure FlashArrayとEmulex SecureHBAの組み合わせは、ファイバーチャネルデータパス全体にわたるトランスポート層のPQC対応暗号化を初めて実運用に導入した製品です。
ハードウェアベースのトランスポート層暗号化をファイバーチャネルスタックに導入することは、企業がストレージセキュリティについて考える方法に大きな変化をもたらします。長年にわたり、ファイバーチャネルファブリックは暗黙の信頼境界内で動作していました。Emulex SecureHBAは、ファブリック設計を変更したり運用上のオーバーヘッドを追加したりすることなく、暗号化をトランスポート層に直接組み込むことで、この前提に挑戦します。Emulex SecureHBAを搭載したEverpure FlashArrayの評価では、エンドツーエンドのインフライト暗号化を、測定可能なパフォーマンスの低下や複雑さの増加なしに展開できることが実証されました。暗号化は自動的にネゴシエートされ、1,000を超えるセッションに拡張され、アレイのデータサービスとホストのパフォーマンス特性が維持されました。
Emulexは既に大きな実績を築いており、主要なサーバーOEMプラットフォーム向けに120,000万台以上のSecureHBAを出荷しています。ストレージアレイエンドポイントの追加により、SAN全体で真のエンドツーエンド暗号化が実現し、セキュリティが強化されます。EverpureはSecureHBAをアレイレベルで統合した最初の企業ですが、そのアーキテクチャは標準規格に基づいており、ハードウェアの更新サイクルが続くにつれて、将来のファイバーチャネルプラットフォームにも拡張できるように設計されています。
このソリューションは標準規格に基づいているため、相互運用性が確保されています。EmulexとEverpureが最初に導入しましたが、他社製HBAやストレージアレイとの相互運用性も十分に確保されています。このソリューションはファブリックに依存せず、ファブリック拡張ソリューション（FC-IP）にもシームレスに拡張できます。すべてがハードウェアで管理されるため、特定のソフトウェアバージョンやOSバージョン固有の機能パッケージは不要です。
今日下されるインフラストラクチャに関する決定は、今後5～7年間の企業のリスク姿勢を決定づけることがよくあります。組織がサーバーやストレージアレイを最新化するにつれ、トランスポート層にPQC対応の暗号化を組み込むことで、進化するコンプライアンス要件やゼロトラスト原則に沿った、耐久性の高いセキュリティ制御を実現できます。SecureHBAは、伝送中のSAN暗号化を最新のファイバーチャネル設計の基盤要素として位置づけ、トランスポート層自体の中でセキュリティ、パフォーマンス、運用上の簡素化を両立させます。
Emulex LPe38102 SecureHBA、Emulex LPe37102 SecureHBA、およびEmulex SAN Managerの詳細については、こちらをご覧ください。
Everpure FlashArray//XLシリーズの詳細については、こちらをご覧ください。
このレポートは Broadcom がスポンサーとなっています。このレポートで表明されたすべての見解および意見は、検討中の製品に対する当社の偏りのない見解に基づいています。
Amazon