検疫ネットワークの未来

なぜ検疫ネットワークが普及しないのか

鈴木成明
チェック・ポイント・ソフトウェア・テクノロジーズ株式会社
セキュリティ技術部
エンドポイント・セキュリティ・スペシャリスト
2005/7/14

---

　2003年に大きな被害をもたらしたBlasterを教訓に、検疫ネットワーク（検疫システムともいう）が考え出されました。これは、OSパッチやウイルス対策ソフトの定義ファイルが最新でないなど、十分なセキュリティ対策が取られていないクライアントPCを社内ネットワークに直接接続させないで隔離するというものです。

　多くの企業ではノートPCの利用が普及しており、セキュリティ管理者はこれらモバイル端末の管理に頭を悩ませています。社内ネットワークでのセキュリティ運用ができていても、ノートPCを管理者の目が届かない社外（自宅、客先、ホットスポットなど）で利用することでウイルスに感染する可能性があるからです。

　最近のウイルスやワームはOSやアプリケーションの脆弱性を突き、ネットワークを介して急速に拡散するため、大規模な感染を予防するために検疫ネットワークが有効な手段として注目されています。

　しかし、注目されているものの導入が進んでいるとはいえません。本稿では、なぜ検疫ネットワークが普及しないのかという原因を探り、導入に際して検討すべき事項は何かを明らかにしたいと思います。そして、検疫ネットワークの今後について紹介します。

4種類の検疫ネットワーク

　検疫ネットワークには、まだ標準規格というものがないため、さまざまな実装方法でシステムが製品化されています。基本的には、社内ネットワークと検疫ネットワークを切り替える方法の違いにより大別して4つの方式に分類できます。

　いずれの方式でもクライアントPCが満たすべきセキュリティ対策状況を定義した検疫ポリシーサーバを置き、社内ネットワークとは別にセキュリティ対策が不十分なクライアントPCを隔離するための検疫ネットワークを設けています。

検疫ネットワークの概念図

　検疫ネットワークには、パッチやウイルス定義ファイルのアップデート用サーバのみを配置するものや、インターネット経由でアップデートを実行させるためにインターネットへのアクセスのみを行えるようにしているものがあります。以下にその方式と特徴を紹介します。

●DHCP方式

　DHCPサーバを利用して、社内ネットワークと検疫ネットワークに接続するIPアドレスを切り替えて使う方式です。クライアントPCがネットワークに接続すると、最初に検疫ネットワーク用のIPアドレスが割り当てられ、セキュリティ対策状況のチェックが行われます。それに合格したクライアントPCにあらためて社内ネットワーク用のIPアドレスが割り当てられます。

　DHCP方式では、既存のネットワーク構成を変更したり、クライアントPCのセキュリティ対策状況をチェックするための専用ソフトウェア（エージェント）をあらかじめインストールしておく必要がないため導入は容易です。

　しかし、スタティックなIPアドレスを持ったクライアントPCに対してはセキュリティ対策状況のチェックを行えないため注意が必要です。そのため、スタティックIPアドレスを持ったクライアントPCからのARP要求を検出すると、偽りのARP応答を返してそのほかのホストとの通信を妨害する対策が取られたシステムもあります。

●認証スイッチ方式

　802.1xやWeb認証をサポートしたL2スイッチや無線アクセスポイントを使う方式です。ユーザー認証時にクライアントPCのセキュリティ対策状況をチェックします。そして、スイッチのダイナミックVLAN機能を利用し、チェックに合格したクライアントPCは社内ネットワークのVLANに、不合格のクライアントは検疫ネットワークのVLANに割り当てます。

　検疫ネットワークに割り当てられたクライアントPCは、パッチやウイルス定義ファイルのアップデートを行ってセキュリティ対策状況を最新のものにします。その後、再度認証を実行しチェックに合格すれば、社内ネットワークのVLANが割り当てられ、社内ネットワークに接続できるようになります。

　認証スイッチ方式を使う多くのシステムは、認証とセキュリティ対策状況のチェックのための専用クライアントソフトをあらかじめ導入します。

　この方式ではポート単位での制御が基本となるため、クライアントPC個別のアクセス制御が可能となり、高いセキュリティを確保することができます。半面、既存ネットワーク機器を認証機能に対応したものにしたり、全クライアント分のポート数のスイッチを導入する必要があるため、導入においてその敷居が高いともいえます。

●クライアント（パーソナル）ファイアウォール方式

　各クライアントPCに集中管理型のクライアントファイアウォールソフトを導入し、クライアントPCを管理するポリシーサーバから配信されたセキュリティポリシーに従ってクライアントファイアウォールがネットワークへのアクセス制御を行う方式です。セキュリティ対策が十分でないクライアントPCはセキュリティポリシー違反となり、クライアントファイアウォールにより検疫ネットワークのみにアクセスが制限されます。

　パッチのアップデートなどを行ってセキュリティポリシーに適合すると、制限が解かれ社内ネットワークに接続できるようになります。既存のネットワーク環境を変更する必要がないので、容易に導入できるのがメリットです。

　しかし、クライアントPCにクライアントファイアウォールソフトが導入されているのが前提のため、これが行われていないクライアントPCに対してセキュリティ対策状況のチェックが行えないデメリットがあります。このため、社内ネットワークに承認されていないクライアントPCが持ち込まれる可能性がある場合には、認証スイッチやゲートウェイと連携が取れるクライアントファイアウォールシステムを選択する必要があります。

●ゲートウェイ方式

　リモートからの接続の場合はVPN機器を、ローカルでの接続の場合はルータ、IPS、専用機器などのゲートウェイを使う方式です。

　認証スイッチ方式の場合はネットワークのエッジに配置される隔離デバイスが、ゲートウェイ方式ではネットワークのセグメントの境界に設置されます。クライアントPCがネットワークに接続し、その通信がゲートウェイを通過するときに、クライアントPCのセキュリティ対策状況のチェックが行われます。その合否に応じてゲートウェイにより社内ネットワークもしくは検疫ネットワークへのアクセス制御が行われます。

　システムによっては専用クライアントソフトの導入が必要なものもありますが、既存ネットワークに大きな変更を加える必要がないため比較的導入が容易な方式です。

1/3

Index
なぜ検疫ネットワークが普及しないのか
	Page1 4種類の検疫ネットワーク 　-DHCP方式 　-認証スイッチ方式 　-クライアント（パーソナル）ファイアウォール方式 　-ゲートウェイ方式
	Page2 なぜ検疫ネットワークが普及しないのか マネージドサービスという選択肢
	Page3 検疫ネットワークの今後―TNCとSDN

関連リンク
	持ち込みPCをLANに安全につなぐ検疫とは？
	2つの事例から考える検疫の効果と課題
	脅威に対して自動的に防衛するネットワーク

Security&Trust記事一覧

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）