初期のNACソリューションは、ユーザーの端末を検査し、端末がマルウェアに感染しておらず、エンドポイントセキュリティソフトウェアで適切に保護されていることを確認してから、ネットワークへの端末の接続を許可していた。その後、NACは、ソフトウェアパッチの適用状況や、構成の適否もチェックするようになった。

　今ではNACソリューションは、コンテキストベースのセキュリティの向上を求める企業の要望に対応するため、EVASプラットフォームに進化していると、ESGの上級主席アナリスト、ジョン・オルトシク氏は強調した。米Cisco Systems、米Juniper Networks、米ForeScout、米Bradford Networksは、いずれもこの方向に進んでいるという。

　EVASは2つの機能が特徴的だとオルトシク氏は説明した。EVASプラットフォームは、セキュリティおよびポリシーシステムと統合できる他、初期のNACシステムの主な対象だった従来のPCだけでなく、幅広いエンドポイントに対応できるという。

　「EVASは、インフラの他の要素と統合できる仕組みになっており、MDM（モバイル端末管理）サーバ、アイデンティティーサーバ、RADIUSサーバといったものが統合の対象になる。分析用の情報を提供するとともに、ポリシーを強制する場として機能するよう設計されている」とオルトシク氏は語った。

　「また、EVASは次世代のエンドポイントに対応して作られている。PCだけでなく、モバイルエンドポイントやプリンタのような他のIP機器、さらには制御システム、医療機器など、ネットワーク上にあり、把握する必要がある全てのものに対応している。これらの機器を認識し、それらのコンテキスト情報を提供できる」（同氏）

　企業は、セキュリティプラットフォームおよびイベント管理プラットフォームで、「パケットキャプチャー分析やフロー分析などさまざまなセキュリティアナリティクスを利用できる」とオルトシク氏は語った。だが、セキュリティエンジニアは、それらの分析対象の背景状況の詳細を知るすべがない。

　「誰がどのような端末を使っていたか、彼らがどのようなアクティビティを行っていたか、そのとき、彼らのシステムがどのように構成されていたか。こうした情報の多くが抜けており、取得しにくい」とオルトシク氏は説明した。「EVASは、仲介者としてそうした情報を取得し、きめ細かく提供する」。また、「EVASはポリシーを強制できるが、アナリティクスプラットフォームではそれができない」と同氏は述べた。

エンドポイント可視化 vs アクセス制御――新しい名前か、それとも新しい技術か

　NACは、新しい製品に進化しているわけでは必ずしもないと、米Frost & Sullivanのネットワークセキュリティ業界アナリスト、クリス・ロドリゲス氏は語った。しかし近年、顧客が単純なアクセス制御の他にもNACの用途を見いだしていることから、NACには新しい機能が追加されている。

　EVASという名称は、「NACの価値をもう少し適切に伝えようとするものだ」とロドリゲス氏。また、この名称は、市場におけるNACの傷ついた評判から逃れようとするものでもある。この悪評は、導入の失敗が何年にもわたって繰り返されていることからきているが、もはや正当なものではないと、同氏は語った。

　「顧客は一貫して、NACを使えば、他のエンドポイント管理ソリューションを使うよりも可視性が向上し、会社が所有する端末以外のものも可視化できると評価している」とロドリゲス氏。「彼らは、従業員が所有する端末に加え、制御システムや医療向けモニタリング装置など、エージェントをサポートしない機器も可視化できる」

EVASの制御対象はエンドポイントであり、データではない

　高い可視性とコンテキストは重要だが、フォーカスするのに最適な要素がエンドポイントかどうかには異論もある。米Forrester Researchの主席アナリスト、ジョン・キンダーバグ氏は、セキュリティベンダーは本当に重要なもの、すなわちデータにフォーカスしなければならないと指摘した。

　「可視性が必要であるという点では私も同意見だ。しかし、エンドポイントでは必要ない。可視性は、データにごく近いところで必要になる。エンドポイントは多過ぎるからだ。エンドポイントは制御できない」とキンダーバグ氏。「われわれは、制御できる可能性がありそうなものに目を向ける必要がある。それがデータだ」

　データを保護するには、企業は全てのトラフィックを検査、監視する必要がある。そうすることで、データに何が起こっているかが分かるからだ。誰がネットワークにアクセスするかを気に掛けるのは時間の浪費だと、同氏は語った。

　「ここでは、トラフィックは貴重なものだ。エンドポイント上に存在していなくても、エンドポイントで起こっていることを全てわれわれに教えてくれる。これらのことを教えてくれる極めてスケーラブルな場所だ」とキンダーバグ氏。「ネットワークに入ってくるものに注目する必要はない。われわれはこのことを理解しなければならない。ネットワーク境界は重要ではなくなっている。それが現状だ」

　さらにキンダーバグ氏は、エンドポイントベースの制御は安全だという錯覚や自己満足につながるとも指摘した。

　「確かに、企業ネットワークは接続を許可されたユーザーだけが接続するようになっている。彼らは正規の方法でネットワークに入ってくるし、もちろん、それはそれで良いのだが、社内データに常に目を光らせる必要がある。誰かが不正にアクセスしようとしたり、持ち出そうとしたりする恐れがあるからだ。データにフォーカスすれば、エンドポイント保護がある程度強化されるかもしれないが、この問題をエンドポイントで解決しようとするのは禁物だ」（キンダーバグ氏）

　キンダーバグ氏とForrester Researchはここ数年、企業が“ゼロトラスト”（全てを信頼しない）セキュリティモデルを採用することを提唱している。このモデルでは、全てのトラフィックが信頼できないものであるとして、検査と分析の対象になる。接続を許可されたユーザーが、ポリシーに準拠した端末でネットワークに接続した場合でも、企業データを危険にさらす可能性は依然としてある。そのために企業は、ネットワークへの人や物のアクセスではなく、データの移動を追跡しなければならない。

　NAC/EVASベンダーは、こうしたゼロトラストアプローチに貢献してきたと主張している。

　「例えば、企業ポリシーで、『ユーザーのパーソナルファイアウォールが有効であること』『特定のパッチレベルが満たされていること』『情報漏えい防止（DLP）プログラムがインストールされているだけでなく、稼働中であること』が要求されているとしよう」と、ForeScoutの最高マーケティング責任者を務めるスコット・ゴードン氏は語った。

　「われわれのシステムは、ネットワークへのアクセス許可の前後に、これらについて動的に検証を行える。DLPプログラムがインストールされているが、実行されていない場合、DLP管理システムが、何も問題がないと認識してしまう恐れがある」（ゴードン氏）

　「NAC/EVASプラットフォームは、エンドポイント上でDLPプログラムが動いていないことを検知し、DLPシステムに対しその端末上のエージェントを操作するよう指示できる」と同氏は語った。