NAPと4つの強制手段

MSのNetwork Access Protectionを活用したポリシー強制

Windows Server 2008とWindows Vistaに組み込まれているNAPでは、カスタマイズされたポリシーを作り、ネットワークのセキュリティ状態をチェックすることができる。

公開 2008年10月15日 07時30分

更新 2012年09月04日 18時36分

著者

Elizabeth Quinlan

[TechTarget]

印刷する

　Network Access Protection（NAP）はMicrosoftのWindows Server 2008とWindows Vistaに組み込まれているセキュリティポリシー強制プラットフォームで、システムの正常性を保つためのコンプライアンス強制によって、ネットワーク資産の保護を実現する。NAPユーザーはカスタマイズ版のポリシーを作成し、クライアント（Windows搭載PC）がネットワークに接続したり通信したりする前に、セキュリティをチェックできる。

　NAPは問題の是正に関して複数のオプションを設定できる。オプションでポリシーを順守していないクライアントを隔離してネットワークアクセスを制限したり、クライアントを許容できるセキュリティ水準にまで復元したり、ポリシーに沿ったコンピュータを自動更新して最新のコンプライアンスを適用したりできる。NAPはクライアントのセキュリティ状況に応じて、ネットワークへの完全アクセス、制限されたネットワークへの限定アクセス、ネットワークへのアクセス全面禁止などを設定できる。

　NAP用に選んだ強制手段によってポリシーの適用方法が決まる。ポリシーはDHCP（Dynamic Host Configuration Protocol）、VPN with Routing and Remote Access、IEEE 802.1Xポートベースの有線／無線LAN接続コントロール、IPsecで守られたトラフィック経由で強制できる。NAPではまた、既にネットワークに接続している順守PCに最新のコンプライアンスを適用することも可能だ。これは、ポリシーやクライアントの状態が変わった際に役に立つ。

NAPの仕組み

　NAPはWindows Server 2008、Windows Vista、Windows XP SP3クライアントのエージェントで機能する。クライアント環境にはシステム正常性エージェント（SHA）、検疫エージェント（QA）、強制クライアント（EC）が含まれる。クライアントがDHCP、VPN、IEEE 802.1X、IPsec経由で接続すると、SHAがクライアントの現状を判断し、ネットワーク接続要求をネットワークポリシーサーバ（NPS）に転送する。NPSはシステム正常性検証ツール（SHV）と検疫サーバ（QS）を備える。もしクライアントがポリシーに準拠していなければ、隔離ネットワークに送られて修復サーバが適切なセキュリティアップデートを適用し、システムを準拠させる。クライアントが準拠していれば、会社のネットワークへのアクセスを許可する。

DHCP検疫

　DHCP経由の強制は、ネットワークポリシーサーバと通信する強制クライアントコンポーネントとNAP強制サーバの利用を通じて実行される。コンピュータがネットワーク上でIPアドレス設定をリースまたは更新しようとするたび、正常性ポリシー要件に従っているかどうかをDHCPサーバでチェックし、強制できる。NPSはDHCPサーバに指示を出して制限付きのIPアドレス設定を割り当てさせることで、クライアントのネットワークアクセスを制限できる。

　この方法の欠点は、クライアントに静的IPアドレスが設定されていたり、制限付きのIPアドレスを迂回（うかい）する設定になっている場合、DHCP強制は効力がなくなることだ。

VPN検疫

　VPN強制は、VPN NAP強制サーバとVPN NAP強制クライアントコンポーネントを利用する。クライアントがリモートでVPN接続しようとすると、VPNサーバがクライアントの正常性を確認する。このやり方はDHCPと同じように機能するが、強力な制限ネットワークアクセスが提供されるのはVPNサーバ経由でネットワークに接続しているクライアントのみとなる。

IEEE 802.1X認証

　IEEE 802.1Xポリシーの手段ではNPSとEAPHost NAP強制クライアントを利用する。EAPHostはWindowsインフラのコンポーネントで、RFC 3748に記載されている通り、拡張認証プロトコル（EAP）ステートマシンとEAPプロトコルフレームワークを実装する。コンプライアンスに従っていないクライアントがアクセスポイント経由で接続しようとすると、ネットワークポリシーセンダーがアクセスポイント（IPパケットフィルタまたはVLAN識別子のいずれか）と通信し、順守するまでそのIEEE 802.1Xクライアントのアクセスプロファイルに制限を掛けるよう指示を出す。

IPsec検疫

　IPsec強制ではNPS、正常性登録機関（HRA）、IPsec ECを利用する。クライアントが正常性ポリシー要件を順守すると、HRAがそのクライアントにX.509証明書を発行する。発行された証明書は、クライアントがIPsec通信を開始／要求する際の認証に使われる。NAPで利用できるネットワークアクセス制限による保護手段すべての中で、IPsec ECは最も強力なセキュリティを提供すると考えられている。この手段はIPsecを利用することから、通信保護の要件は特定のIPアドレスやTCP／UDPポート番号に基づいて定義できる。

　以上のNAP強制手段にはそれぞれメリットがあり、これら手段を組み合わせて個々のメリットを活用することも可能だ。ただし、その場合はNAP導入の複雑さが増す。

　NAPは、究極的には企業が事業価値を高め、ユーザーの生産性を維持しながら、Microsoftベースやサードパーティーインフラへの既存の投資拡張を支援する狙いがある。NAPは健全性を保つ要件を順守させることにより、クライアントコンピュータの不適切な設定が原因でウイルスなどの悪質ソフトに感染するような共通のリスクを回避する一助となる。

本稿筆者のベス・クィンラン氏（MCT、MCSEセキュリティ、CISSPの資格を持つ）はHynesITeの技術指導者として講師、コンサルタントを務める。12年以上にわたり、Microsoftインフラ技術とセキュリティ設計を専門に手掛ける。著書にISA Server 2006 Reviewer's Guideがある。

印刷する