無線LANにおけるセキュリティ対策として、一般的によく知られているのは、暗号化（WEP、WPA、WPA2）やMACアドレスによるフィルタリング、SSIDのステルス化、ANY接続拒否といった技術だ。ただし、企業で利用する場合、それだけでは十分でない。

　「WEPは破られやすい」とか「MACアドレスは偽装可能」といった技術の陳腐化ももちろん問題をもたらすが、そもそも多くの人が出入りし、さらに正社員や派遣社員、外部からのゲストなど、さまざまな人が混在する環境で、単純に固定的なパスフレーズの組み合わせだけでネットワークを運用するのは危険だ。また、社員間でも役職や職能によって、与えるべき権限は異なってくる。複雑なポリシーを管理するための仕組みが必要となる。

　そこで必要になるのがユーザー別の認証である。代表的な認証技術として「IEEE 802.1X」がある。IEEE 802.1Xによって、ユーザーを特定するID／パスワードを利用した認証が可能になる。

　IEEE 802.1Xを利用するには、これに対応したクライアント端末（サプリカント）、無線LANアクセスポイント（オーセンティケータ、AP）と認証を行うためのサーバ（RADIUSサーバ）が別途必要となる。ユーザーがクライアント端末から無線LANにアクセスしようすると、APはRADIUSサーバに認証情報を確認し、アクセス権限のある端末であると認められれば、ユーザーは初めて無線LANに接続できる。

　つまり、ネットワークユーザーは実際に無線LANに接続する一歩手前でユーザーIDとパスワードの入力を求められるわけで、認証に失敗すればネットワーク側にパケットを送ることはできない。IEEE 802.1Xは有線LANの認証にも使われる。

　IEEE 802.1Xでは「EAP」という認証プロトコルが用いられる。EAPには幾つかのタイプがあり、Windows 7／8で標準搭載されているのは「EAP-TLS」と「PEAP」である。これらの方式では、認証にユーザーIDとパスワードに加えてデジタル証明書を使用する。EAP-TLSではサーバとクライアントそれぞれの認証で証明書を発行するため、セキュリティのレベルが高い。一方で、クライアント側の証明書を管理するための負担が増す。なお、この証明書を発行するためのCA（認証局）も必要となる。

　それなりにコストは掛かることになっても、認証の仕組みは不可欠。例えば、ソリトンシステムズの「Net'Attest EPS」のようにRADIUSサーバとCAの機能を兼ね備えた製品もある。

「Net'Attest EPS」

　なお、シスコシステムズでは、独自タイプのEAPである「Cisco LEAP」を採用している。Cisco LEAPは、ユーザーごと、セッションごとに同的に暗号化キーを提供する。必要なのはRADIUS サーバだけでCAは必要としない。

BYOD時代に求められるデバイス識別

　私物端末の業務利用（BYOD）が問題になる昨今では、ユーザー管理のみならず、セキュリティリスクの高いデバイスはネットワークに入れないといったコントロールも必要になってくる。個別の認証情報を割り当てても、当のユーザーがそれを使って、企業の把握していない端末から自由にアクセスできてしまえば、他のセキュリティ対策が全て台無しになりかねない。

　「現在マルウェアの95.98％は『Android』を狙っています（※）。今後はWindowsタブレットを標的としたマルウェアも出てくるでしょう。マルウェアはデバイス間を伝搬するもの。デバイスの先にはサーバがあります。社内LANの入口にあるAPがファイアウォールと連係してアクセスの可否を判断できるようにするべきです」。こう語るのは、フォーティネットジャパン シニアネットワークセキュリティアーキテクトの田中愁子氏だ。

※日本スマートフォンセキュリティ協会（JSSEC） Kaspersky Labs Japan調べ

　セキュリティベンダーである同社では、2010年にAPである「FortiAP」を発売。同社の統合脅威管理（UTM）製品「FortiGate」を無線LANコントローラーとして利用できるようにしている。また、2012年には両製品を一体化させた「FortiWifi」を発売。スマートフォンやタブレットもUTM機能の管理対象にできることを売りにしている。これにより、ポリシーに合わないデバイスからの接続をブロックする一方で、不正侵入や、ウイルスなどのマルウェアを検知し、脅威を感じたら通信をブロックすることもできる。

「FortiGate」と「FortiAP」

　田中氏によれば同社の日本市場における無線LANビジネスは急成長を遂げているという。この分野における企業のセキュリティへの関心の高さがうかがえる。

　ポリシーに従って各デバイスからのアクセスをコントロールする仕組みは重要だ。アルバネットワークスでいえば「Aruba ClearPass統合認証基盤システム」というアプライアンスがそれを実現してくれる。「オフィスからのアクセス、自宅からのVPNによるアクセスなどを自動的に認識してコントロールできます」（アルバネットワークス 名古屋支店 中部営業部 技術部長の天野重敏氏）

　シスコシステムズで同じ仕組みを担う製品が「Cisco Identity Service Engine」。BYODを前提とした環境でポリシーに応じたセキュリティを適用する。「社外からのアクセス、自宅からのアクセスなどさまざまな接続環境に合わせて設定を変更したり、誰を、どのデバイス経由でどのサーバへアクセス可能にさせるのかを制御したりと、柔軟に設定を適用することで必要なセキュリティを確保できます」。シスコシステムズ エンタープライズネットワーク事業 コンサルティング　システムズエンジニア 古川裕康氏はこう説明する。

不正な挙動を可視化したい

　これらの製品を組み合わせて一元的に管理する上で、可視化の仕組みは欠かせない。単にデバイスの管理だけでなく、どのユーザーがどこで何をしているのか、直観的に把握することは、管理コストの低減の観点からはもちろんのこと、セキュリティ上も重要なことだ。

　例えば、アルバネットワークスの「AirWave統合管理システム」では、ネットワークにアクセスしているユーザーの身元情報、アクセス場所、使用デバイス、あるいはAPの状況や速度、転送データ量などを可視化し、不審な挙動があればすぐに見抜くことができるようになる。また、フォーティネットのFortiGateでは、ユーザーが接続できなくなっている原因がどういうポリシーに違反しているのか（利用不可のデバイスか、接続先や時間帯による制限か）、あるいはウイルスに侵されているなど別の理由でブロックされているのかといったことが瞬時で分かるようになっているという。また、これらのログをストレージに保存し、分析することで、ネットワーク状況の改善を図れるのはもちろん、セキュリティ上の懸念点が発見できる可能性もあるだろう。

AirWave統合管理システムの管理画面

　今回の記事では、企業の無線LANに望まれるセキュリティについて条件を挙げてきた。ネットワークインフラとして無線LANを捉えたとき、快適に使えて管理しやすいことと同様、セキュリティの重要性は疑う余地がない。

　もちろん、防御を強固にするために管理製品を次々と購入すれば出費はかさむし、セキュリティのために肝心のパフォーマンスが下がるようでは本末転倒だ。それでもやはり、投資できる予算に限りがある中で、ネットワーク担当者は既存の資産を生かしつつ、できるだけの対策を考えなくてはならないだろう。