コンシューマライゼーション時代のNACセキュリティ

　現在のNACツールは、単純なアクセス制御ではなく、「エージェントレスなエンドポイントの可視化、アクセス、セキュリティメカニズムを実現する」と米Enterprise Strategy Groupのアナリスト、ジョン・オルトシク氏は指摘する。NACツールは、APIを使って他のインフラコンポーネント（MDM《モバイルデバイス管理》ツールや米MicrosoftのSystem Center Configuration Manager《SCCM》など）と統合することで、システム連携やデータアグリゲーション、セキュリティ対策、監視の自動化に利用できると、同氏は説明する。

　「私の経験では、旧来のNACツールは、手間を掛ける価値はなかった」と、マーケティングサービスを手掛ける米Vistaprintの主席情報セキュリティエンジニア、ニック・ドゥダ氏は語る。「だが今では、NACツールなしで私の環境を管理することは想像もできない」

　柔軟な企業文化を持つVistaprintは、社員にどれでも好きな端末を使うよう奨励している。営業チームはiPad、開発者はLinuxマシン、経営幹部はMacBookを使っており、「ネットワークに接続する各種モバイル端末を全て追跡するのは、不可能に近い」と、ドゥダ氏は語る。

　Vistaprintは米ForeScoutの自動セキュリティ管理製品「CounterACT」を使って、MicrosoftのSCCMでは物足りない点を補っている。CounterACTはData Exchange（DEX）プラグインにより、VistaprintのMDM、脆弱性スキャンソフトウェア、LDAP（Lightweight Directory Access Protocol）、さらには外部データベース（OracleやMySQLなど）を結ぶ自動ワークフローブリッジを提供する。

　DEXがあれば、潜在的な脆弱性の影響に関するリアルタイムデータリポートを迅速に作成できる。例えば、2012年8月に登場したが、米Oracleがすぐにパッチを公開しなかったJavaのゼロデイエクスプロイトについて見てみよう。ドゥダ氏は、このエクスプロイトについて知ってから約5分以内に、その影響を受ける可能性がある全ての端末用のリポートを作成した。さらに同氏のチームは、このエクスプロイトへのVistaprintとしての対策を用意した。

　これとは全く対照的だったのが、Microsoftが2012年3月、同社のリモートデスクトッププロトコルの脆弱性「MS12-020」の詳細情報とパッチを公開したときのVistaprintの対応だ。CounterACTがまだ導入されていなかったため、VistaprintのIT部門では、同社のネットワークに接続するエンドポイント端末に対するこの脆弱性の影響を調査し、同社としての対策を用意するのに約2000人時を要した。

　「CounterACTではプロアクティブ監視が可能だ。われわれの端末について生成されるデータを活用し、われわれのビジネスニーズとセキュリティニーズに迅速に対応できる」（ドゥダ氏）

マイアミマーリンズでもNACツールが活躍

　米メジャーリーグのマイアミマーリンズは、2012年に本拠地を新球場に移した際、IP端末を接続するための7000個近くのオープンポート（その多くは公開用）の管理とセキュリティ対策の方法を見直した。マーリンズは、球団内で進めるBYOD（私物端末の業務利用）のためのネットワーク拡張に向けた基盤整備を行っており、将来的には試合中にネットワーク接続をファンに提供しようとしている。だが、その前にシステムをより強固なものにし、潜在的な問題を全て解決したいと考えている。

　マーリンズは米Bradford NetworksのNAC製品「Network Sentry」を採用、2012年シーズンの後半に新球場の一部エリアに初導入した。2013シーズン末までに、球場全体に導入する計画だ。

　この製品の恩恵の1つは、ネットワークの可視化とセキュリティの自動化による省力化である。

　「ネットワーク管理者が、年中無休24時間体制で常駐してくれているようなものだ」と、マーリンズのシニアITディレクターを務めるデビッド・エンリケス氏は語る。

　マーリンズのIT部門はNetwork Sentryを使って、ポートにアクセスするあらゆる端末（IPTV機器からPOS端末まで）を適切な仮想LAN（VLAN）に接続する自動化ポリシーをセットアップした。このポリシーでは、アクセスを試みる不正な端末は隔離VLANに誘導され、閉じ込められる。

　「新球場の一部エリア、特に、ファンが集まるウェストプラザでは、ほとんど誰でもこうしたオープンポート経由で、端末からわれわれのネットワークにアクセスできる」とエンリケス氏は語る。同氏は以前にもNAC技術を導入しようとしたが、断念せざるをえなかった。マーリンズは旧球場では必要なインフラを持っていなかったためだ。「われわれは、何か手を打たなければ、深刻な状況に陥ると悟った」（同氏）

　エンリケス氏は、BYODに関して「マーリンズのIT部門は、端末に接続を許可する前に、“脱獄”した端末やウイルス対策が施されていない端末を検出し、それらを自動的にMDMに登録する仕組みを作れるだろう」と述べる。定められたポリシーを守っていない端末は、ゲストネットワークに送り込まれるか、あるいは接続を一切拒否されるという。

　しかし、NACの可能性を最大限に生かすには、幾つかの課題をクリアしなければならない。

　「一部の企業は既製のポリシーを使って価値を引き出している」と、Frost & Sullivanのロドリゲス氏は語る。「しかし、各種のシステムを本当に自動化して連携させようとすると、途端に極めて複雑なポリシーが必要になり、IT部門には高度な技術ノウハウが要求される」

　また、さまざまなITチーム、例えばセキュリティ、モバイル、ネットワークの担当チームが協力し、多数のインフラコンポーネントをカバーするワークフローおよびポリシーエンジンを構築することも必要になる。