RAS、WAN、無線経由の攻撃を防ぐ技術――表口以外の境界セキュリティ：セキュリティ・テクノロジー・マップ（7）（1/2 ページ）

典型的な社内システムをイメージしながら、セキュリティ技術の基礎を総ざらいする本連載。今回は「表口以外の境界セキュリティ」の技術を解説します。

» 2016年10月04日 05時00分公開

[木方智之（ラック），＠IT]

クリックでマップ全体（記事一覧）へ

表口以外の境界セキュリティ

　典型的な社内システムを想定し、セキュリティ技術の基礎を総ざらいする本連載。前回は、ポリシーに合致しないアクセスを防止する技術について解説しました。今回は「表口以外の境界セキュリティ」の技術を紹介します。

赤枠内が今回の対象範囲（連載トップページへ）

　ほとんどの組織では、インターネットとの出入り口において、Webブラウジングやメールなど、通常の業務で必要な通信のみを許可し、それ以外の通信は拒否するアクセス制限を行っています。これにより、不正アクセスなどの危険な通信が組織内のネットワークに入り込まないようコントロールしています。

　しかし、業務の上では「出張先や自宅などから社内のネットワーク資産を利用する」「データセンターや離れた支社と通信する」「拠点間を無線LANで接続する」といったシーンもあります。通常の業務で使うインターネットの出入り口を「表口」とすると、こうしたニーズに応えるためには「裏口」を別に用意する必要があります。本稿ではこの領域を、「表口以外の境界」と呼ぶことにします。

　「表口以外の境界」で注意しなければならないのは、「第三者に勝手に使われてしまうこと」「データのやり取りを第三者に盗聴・改ざんされてしまうこと」です。これらの脅威に適切に対応できなければ、攻撃者にとっての格好の狙い目となってしまいます。

　そこで今回は、「表口以外の境界」におけるセキュリティ技術の安全な実装例として、「リモートアクセスサービス（RAS）」「ワイドエリアネットワーク（WAN）」「無線ネットワーク」を取り上げます。

リモートアクセスサービス（RAS）

　組織外から組織内への安全なネットワーク接続を実現するために、「表口以外の境界」を実装したのが「リモートアクセスサービス（RAS）」機能です。

　RAS機能では、組織外につながるネットワークの境界部分に、リモートアクセスサービスを実装したサーバ（RASサーバ）を設置します。組織外から組織内のネットワークに接続する際には、このRASサーバに対して接続を行います。RASサーバは、外部からの接続要求を受け付けると、ID・パスワードなどの認証情報を用いて接続元の正当性を確認し、認証情報が正しく入力された場合にのみ、組織内ネットワークへの接続を許可することで、第三者による利用を防止します。

　接続が許可された後は、「トンネリング」と呼ばれる手法を用いて、端末と接続先の2点間に、あたかも両者が直結しているかのような仮想的な通信経路を確立します。そして、この通信経路上を流れるデータを暗号化することにより、盗聴や改ざんを防止します。