ネットワークアクセス制御

ネットワークアクセス制御（NAC）は、エンドポイントセキュリティ技術（ウイルス対策、ホスト侵入防止、脆弱性評価など）、ユーザーまたはシステム認証、ネットワークセキュリティの実施を統合しようとするコンピュータセキュリティへのアプローチです。^{[1] [2]}

ネットワーク アクセス制御は、一連のプロトコルを使用して、デバイスが最初にネットワークにアクセスしようとしたときにネットワークノードへのアクセスをセキュリティで保護する方法を規定するポリシーを定義および実装するコンピュータ ネットワーキングソリューションです。 ^[3] NAC は、自動修復プロセス (アクセスを許可する前に非準拠ノードを修正する) をネットワーク システムに統合し、ルーター、スイッチ、ファイアウォールなどのネットワーク インフラストラクチャがバック オフィス サーバーやエンド ユーザーのコンピューティング機器と連携して、相互運用性が許可される前に情報システムが安全に動作していることを確認できるようにします。NAC の基本的な形式は802.1X標準です。

ネットワーク アクセス制御は、その名前が示すとおり、ポリシーを使用してネットワークへのアクセスを制御することを目的としています。ポリシーには、承認前のエンドポイント セキュリティ ポリシー チェックや、ユーザーとデバイスがネットワーク上でアクセスできる場所と実行できる操作に関する承認後の制御が含まれます。

コンピュータがコンピュータ ネットワークに接続すると、ウイルス対策保護レベル、システム更新レベル、構成など、ビジネスで定義されたポリシーに準拠していない限り、何にもアクセスできません。コンピュータは、事前にインストールされたソフトウェア エージェントによってチェックされている間、問題を修正 (解決または更新) できるリソースにのみアクセスできます。ポリシーが満たされると、コンピュータは NAC システムによって定義されたポリシーの範囲内で、ネットワーク リソースとインターネットにアクセスできるようになります。NAC は主にエンドポイントのヘルス チェックに使用されますが、多くの場合、ロール ベース アクセスに関連付けられています。ネットワークへのアクセスは、個人のプロファイルと、ポスチャ/ヘルス チェックの結果に従って付与されます。たとえば、企業では、ロールとエンドポイントの両方がウイルス対策の最小要件を満たしている場合、人事部門は人事部門のファイルにのみアクセスできます。

NAC は、定義が進化し、議論を呼んでいる新興のセキュリティ製品カテゴリです。このコンセプトの包括的な目標は、次のように要約できます。

• ネットワーク接続の認証、承認、アカウンティング。
  • 従来の IP ネットワークではIP アドレスに基づいてアクセス ポリシーが適用されますが、NAC 環境では、少なくともラップトップやデスクトップ コンピュータなどのユーザー エンド ステーションに対しては、認証されたユーザー IDに基づいてアクセス ポリシーを適用しようとします。
• ポリシーの施行
  • NAC ソリューションを使用すると、ネットワーク オペレータは、ネットワーク領域へのアクセスが許可されるコンピュータの種類やユーザーの役割などのポリシーを定義し、スイッチ、ルーター、ネットワーク ミドルボックスでそれを適用できます。
• 接続デバイスのセキュリティ体制の検証。
  • NAC ソリューションの主な利点は、ウイルス対策、パッチ、またはホスト侵入防止ソフトウェアがないエンド ステーションがネットワークにアクセスして、他のコンピューターをコンピューター ワームの相互汚染の危険にさらすことを防ぐことです。

NAC には、エンド ステーションがネットワークにアクセスする前と後でポリシーを適用するかどうかによって、2 つの設計が一般的です。前者の場合、事前承認NAC と呼ばれ、エンド ステーションはネットワークへの接続が許可される前に検査されます。事前承認 NAC の一般的な使用例は、古いウイルス対策シグネチャを持つクライアントが機密サーバーと通信するのを防ぐことです。一方、事後承認NAC は、ユーザーにネットワークへのアクセスが与えられた後で、ユーザーのアクションに基づいて適用を決定します。

NAC の基本的な考え方は、ネットワークがエンド システムに関する情報に基づいてアクセス制御を決定できるようにすることです。そのため、ネットワークがエンド システムに関する情報を取得する方法は、重要な設計上の決定事項です。NAC システム間の重要な違いは、エンド システムの特性を報告するためにエージェント ソフトウェアを必要とするかどうか、またはスキャンとネットワーク インベントリ技術を使用してそれらの特性をリモートで識別するかどうかです。

NAC が成熟するにつれて、Microsoft などのソフトウェア開発者がこのアプローチを採用し、 Windows 7、Vista、XP リリースの一部としてネットワーク アクセス保護 (NAP)エージェントを提供してきましたが、Windows 10 以降、Microsoft は NAP をサポートしなくなりました。Linux および Mac OS X 用の NAP 互換エージェントもあり、これらのオペレーティング システムに同等のインテリジェンスを提供します。

一部のアウトオブバンド システムでは、エージェントがエンド ステーションに分散され、情報を中央コンソールに報告します。中央コンソールは、スイッチを制御してポリシーを適用できます。これとは対照的に、インライン ソリューションは、アクセス層ネットワークの内部ファイアウォールとして機能し、ポリシーを適用するシングル ボックス ソリューションです。アウトオブバンド ソリューションには、既存のインフラストラクチャを再利用できるという利点があります。インライン製品は、新しいネットワークに簡単に導入でき、回線上の個々のパケットを直接制御するため、より高度なネットワーク適用機能を提供できます。ただし、エージェントレスで、アウトオブバンドの導入が簡単でリスクが少ないという固有の利点を備えながら、適用が必要な非準拠デバイスにインライン効果を提供する技術を使用する製品もあります。

ネットワーク オペレータは、一部の正当なクライアントがネットワークへのアクセスを拒否されることを想定して NAC 製品を導入します (ユーザーが古いパッチ レベルを適用したことがなければ、NAC は不要です)。このため、NAC ソリューションには、アクセスを拒否するエンド ユーザーの問題を修正するメカニズムが必要です。

修復のための一般的な 2 つの戦略は、検疫ネットワークとキャプティブ ポータルです。

検疫

検疫ネットワークは、特定のホストとアプリケーションのみにルーティングされたアクセスをユーザーに提供する制限された IP ネットワークです。検疫は、多くの場合、 VLAN割り当ての観点で実装されます。NAC 製品がエンド ユーザーが最新ではないと判断すると、そのスイッチ ポートは、ネットワークの残りの部分ではなく、パッチ サーバーと更新サーバーのみにルーティングされる VLAN に割り当てられます。他のソリューションでは、検疫にアドレス管理技術 (アドレス解決プロトコル(ARP) や近隣探索プロトコル(NDP) など) を使用し、検疫 VLAN の管理のオーバーヘッドを回避します。

キャプティブポータル

キャプティブ ポータルは、 Web ページへのHTTPアクセスを傍受し、ユーザーを、コンピューターを更新するための手順とツールを提供する Web アプリケーションにリダイレクトします。コンピューターが自動検査に合格するまで、キャプティブ ポータル以外のネットワークの使用は許可されません。これは、有料のワイヤレス アクセスが公共のアクセス ポイントで機能する方法に似ています。

外部キャプティブ ポータルを使用すると、組織はワイヤレス コントローラとスイッチを Web ポータルのホスティングからオフロードできます。ワイヤレスおよび有線認証用に NAC アプライアンスによってホストされる単一の外部ポータルにより、複数のポータルを作成する必要がなくなり、ポリシー管理プロセスが統合されます。

モバイル展開で NAC を使用すると、従業員は就業時間中、さまざまなワイヤレス ネットワークを介して接続しますが、有線LAN環境では発生しない課題があります。セキュリティ上の懸念によりユーザーのアクセスが拒否されると、デバイスの生産的な使用が失われ、仕事の完了や顧客へのサービス提供に影響を及ぼす可能性があります。さらに、有線接続では数秒しかかからない自動修復が、低速のワイヤレス データ接続では数分かかる場合があり、デバイスの処理が遅くなります。^[4]モバイル NAC ソリューションを使用すると、システム管理者はセキュリティ上の懸念を修復するかどうか、修復するタイミング、修復方法をより細かく制御できます。^[5]ウイルス対策シグネチャが古いなどの低レベルの懸念については、ユーザーに簡単に警告しますが、より深刻な問題の場合はデバイスを隔離します。^{[6]セキュリティ}パッチや更新プログラムのプッシュや適用などの自動修復を、デバイスがWi-Fiまたはより高速な接続で接続されるまで、または就業時間後まで保留するようにポリシーを設定できます。^[4]これにより、管理者はセキュリティの必要性と従業員の生産性を維持するという目標とのバランスを最も適切に取ることができます。^[6]

• ネットワークアクセス保護
• ネットワークアドミッションコントロール
• 信頼できるネットワーク接続
• 統合脅威管理

• ブーズ・アレン・ハミルトン、国防総省のサーバーに6万件の安全でないファイルを残す