検疫システムの概念

　クライアントPC側が適切に脆弱性を解消し、ウイルス対策ソフトやパーソナルファイアウォールを最新の状態にアップデートしていれば、本来ウイルスの攻撃は防げるはずである。セキュリティ意識の高い企業であれば、こうした対策をセキュリティポリシーとして明文化していることだろう。しかし、企業としてのポリシーを決めてあっても、また社員にこれを守るよう強く指導していても、常に守られていなければ企業はリスクを抱えたままの状態にあるといえる。1人の社員の不注意や、いい加減な気持ちが、情報セキュリティ上大きな問題を生み出してしまうのだ。

　PCがウイルスに感染してネットワークがダウンした、あるいは内部から情報が漏えいしたなどの被害を仕組み的に発生しないようにする上で、検疫ネットワークは有効な手段となる。

　検疫ネットワークは通常、PCが社内ネットワークに接続された時点で、

• ウイルスに感染していないか
• OSなどのセキュリティパッチが適用されているか
• ウイルス対策ソフトなどのセキュリティソフトが稼働しているか
• パターンファイルは最新のものか

などの項目を検査する。

　どのような項目を検査するのかは、企業のセキュリティポリシーによって決めることが可能だ。また、そのポリシーに基づいて検査する項目は、検疫ネットワークの「健全性のチェック」という機能により定義する。そして、定義した項目に沿って、健全ではないと判断されたPCをネットワークに参加させないようにする。しかし、そのPCはネットワークに参加させないと、修復ができなくなってしまう。特にOSのセキュリティパッチやウイルス対策ソフトのパターンファイルは主にネットワークからダウンロードされるため、単純にネットワークから切り離してしまうと、このPCは不健全なままになる。そのため検疫ネットワークでは、不健全なPCは健全化するのに必要な資源にのみアクセス可能なネットワークに隔離されるわけである。そして、その隔離されたネットワークを用いてPCの修復を行う。

ポリシー違反PCを検閲する「健全性チェック」

　企業内におけるセキュリティリスクを軽減するには、クライアントPCのウイルス対策ソフトやパーソナルファイアウォール、パッチ適応による脆弱性の排除といった複数のセキュリティ対策を確実に行うことが不可欠である。本来、パッチを適用し、ウイルス対策ソフトやパーソナルファイアウォールソフトが導入されていれば、基本的に内部からのウイルス感染は防げるはずだ。にもかかわらず、検疫ネットワークが登場した背景には、企業内のクライアントすべてが適切にパッチを適用し、セキュリティ対策をしているかどうかまでをシステム管理者が即座に調べることはできないという実情がある。すべてのクライアントPCに対して完全なセキュリティレベルを維持することは、非常に困難な作業といえる。

　例えばPCが長期間LANから切り離されていると、最新のパッチやウイルス定義ファイルの更新が受けられないだけでなく、次のようにユーザーが勝手に自分のPCの環境を変更した結果、脆弱性ができてしまい、全体のセキュリティレベルが低下する恐れがある。

　こうした状況に対して検疫ネットワークが導入されていれば、クライアントPCの状態が企業のセキュリティポリシーに適合しているか、健全であるかどうかを検査した上で、もしNGであれば治療を施すことができる。これにより、「利便性を優先するためにセキュリティは後回し」「仕事が忙しくて更新する暇がない」などさまざまな“事情”から安全な状態になっていないクライアントPCが社内ネットワークに接続されたままになることがなくなる。

　セキュリティ対策がなされているクライアントPCのみを社内ネットワークに接続させる、検疫ネットワークの中心となる機能、それが健全性チェック機能である。その名の通り、クライアントPCの健全性を確かめる仕組みを指す（製品によってはホストチェック、ホストインテグリティなどと呼ばれる）。

自動的な「隔離」

　以上のように検疫ネットワークの健全性チェック機能を利用すれば、クライアントPCにセキュリティポリシーを徹底させることが可能だ。ただし、PCの健全性をチェックし、その情報が管理者に迅速に通知されたとしても、ユーザーに対してその旨を伝えた上で健全性を確保してもらうような運用になっている場合、そのPCは問題が発生しているにもかかわらず、最低でも10分程度はネットワークに接続することになる。特にワームのような伝搬性があるマルウェアだとすると、その10分間で全社のPCが影響を受けてしまう可能性さえある。そのため、健全性をチェックし、その結果により自動的に問題のあるPCを「隔離」することが求められる。

そして「治療」へ

　社員の意識に頼ることなく、ポリシーの順守を強制させる仕組みをITとして確立するためには、問題のあるPCを自動的に隔離したら、そのPCを「治療」までしてあげる必要がある。

　例えば、現在ビジネス現場において最も使われているノートPCは、顧客のプロジェクトで外出先からリモート接続する際などに有効活用されている。このような状況において、個々のノートPCには、ISMS（情報セキュリティマネジメントシステム）の基準に従ってウイルス対策ソフトやHDD暗号化、トークンによる認証といったさまざまな情報保護対策が施されているであろうが、運用面では社員1人ひとりに管理が委ねられているケースが多い。そのため、そのPCが社内ネットワークにおけるIT統制上の弱点となるリスクも存在する。そこですべてのノートPCにセキュリティポリシーを強制し、統制を徹底する必要がある。

　だが、ISMSに基づいたセキュリティの運用を進めていく中で、情報セキュリティ管理室が描くセキュリティ像と現場の状況が次第に懸け離れていってしまうことはよくある。管理室が多数の文書を作成し、情報セキュリティの啓発に努力しても、現場で守られていなくては意味がない。一方、現場の社員からすると、ポリシーが守られていないからといって一方的にネットワークから遮断されてしまっては、せっかくのノートPCを活用できないことになる。現場の社員にとっては顧客プロジェクトを進めることが最優先であり、例えば故意ではないにせよ、長期的な出張に出かけているため一時的にパッチの適用がおろそかになっていた、という事態は十分に起こり得るだろう。

　そこで、セキュリティポリシーを強制・統制したい情報セキュリティ管理者と現場のタイムリーな対応を求められている社員双方にとって、満足する仕組みが必要だ。つまり、定められたセキュリティ要件に合致しているかどうかをチェックし「検査」するだけではなく、万一要件を満たしていない場合は正規の社内ネットワークから「隔離」して、合致した状態になるよう、ヘルプデスクに頼らず自動で「治療」する――その上でネットワーク接続を許可する仕組みである。

社内ネットワーク環境がどんなにセキュアに保たれていても、そこへアクセスするエンドポイント（クライアントPC）のセキュリティレベルが低ければネットワークの脅威は高まる。社内ネットワークへ脅威の侵入を許さないために、検疫ネットワークは4つのステップで企業が定めたセキュリティポリシーをエンドポイントに強制する

　ウイルス感染による情報漏えいやネットワークダウンなどの被害に遭ったときの復旧費用や業務停止による損害を最小限に抑えるために、保険の意味でも検疫ネットワークを導入したいと考える企業は多い。そのニーズに応えるべく、検疫ネットワークを実現するためのNAC（Network Access Control）ソリューションと呼ばれる製品が世の中には既に数多くリリースされている。しかし、大半の企業は一度は検疫ネットワークの導入を検討したことがあるにもかかわらず、導入自体があまり進んでいないのが現状のようだ。次回は、その理由について、検疫ネットワークを導入する上で考慮すべき課題を基に説明するとともに、解決に向けたアプローチを紹介していこう。