セキュリティインフラには、セキュリティ情報イベント管理（SIEM）、不正侵入防御システム（IPS）、NGFWなどがある。NACシステムは、これらの統合された製品が生成する通知に基づいて、変化するネットワークの状態に柔軟に対処することができる。例えば、不正な侵入が警告された場合は新しいデバイスの接続を全てブロックできる。また、デバイスの動作（ポートスキャンを開始しているなど）に基づいて特定のデバイスをブロックしたり、受信した情報に基づいてデバイスを必要に応じてブロックすることもできる。特定のデバイスがネットワークに攻撃を企てているか、侵害されているかは関係ない。

　NAC製品の中には、「Active Directory」と統合して、グループポリシーに基づいてネットワークアクセスを制御できるものもある。これにより、仕事に必要なレベルのネットワークアクセス権をユーザーに与えられる。例えば、コールセンターの電話応対の担当者が人事部のデータベースにアクセスしたり、下請け業者が年金情報にアクセスしたりすることを回避できる。

エージェントあり／なしのネットワークアクセス制御

　NACの実行はネットワークに接続している全デバイスのインベントリ調査から始まる。個々のエンドポイントにインストールされているエージェント（またはモバイルデバイス用アプリケーション）を使用してインベントリ調査を実行して、データを収集する。エージェントレスで実行できる場合もある。インベントリ調査にエージェントが使用されるかどうかは、NAC製品によって異なる。

　エージェントは、レジストリ、実行中のプロセス、ファイル構造にアクセスしてデバイスに関する詳細情報を取得する。そしてインストールされているOS、ソフトウェアのバージョン、ハードウェア構成（プロセッサー、メモリ、ストレージなど）を列挙してセキュリティ上の問題を検出する。だが、エージェントベースのNACには制限があることに注意しなくてはならない。

　まず、NAC製品はエージェントがなくてもネットワークに接続するデバイスに対処できなければならない。エージェントを使用する場合、管理者には全アクセスを拒否するか許可するかの二択しかないが、そのどちらも適切な対応ではない。全アクセスを拒否するとネットワークに新しいデバイスを追加することができない。一方、全アクセスを許可すると、NACシステムの意味がなくなる。

　それから、エージェントが全てのOSと連携するとは限らない。また、当然ながらプリンタ、ルータ、VoIPシステムなどのデバイスにはエージェントをインストールできない。包括的なNACシステムは、各種デバイスのアクセスを制御できることが条件となるため、制御できるデバイスか限られることは問題だ。デバイスが別のネットワークに接続しなくてはならない場合も同様に問題になる。そのデバイスに適切なエージェントがインストールされていないかもしれないからだ。だが、エージェントが非永続型で、ネットワークに接続しているときに一時的にインストールされるだけなら、この問題は緩和される。

　エージェントレスインストールでは、受動的または能動的な検出によって情報が収集される。簡単にいうと、受動的な検出では、エンドポイントから生成されるトラフィックをネットワークで監視し、トラフィック内の情報を使用してエンドポイントに関する情報（メーカーやソフトウェアのバージョンなど）を検出する。一方、能動的な検出では、より詳細な情報を収集できる。ネットワークに接続しているデバイスがWindowsデバイスの場合はActive Directoryの資格情報を使用してデバイスにログオンすることで情報を収集する。その他のデバイスについてはポートスキャンおよびフィンガープリント手法を使用することで情報を収集する。

　ネットワークに接続している全デバイスのインベントリ調査が完了したら、NAC製品は変化や悪意のある動作がないかどうかデバイスを監視する。セキュリティリスク（ポートスキャンや脆弱性スキャンなど）が疑われるエンドポイントの動作を検出した場合、そのエンドポイントを停止することができる。

NACのコストと管理

　NAC製品は仮想製品と物理製品のいずれかの形態で販売されている。価格は、システムが対応するエンドポイントの台数によって異なる。だが一般的な価格帯は1万ドル～2万5000ドルだ。さらに、1年につき2500ドル程度のサポートコストが必要になるほか、NAC製品の管理を任せる従業員へのトレーニングにも投資しなくてはならない。

　NACのテクノロジーは、NACベンダーが提供する製品で一元的に管理される。機器の使い方、ポリシーの構成方法、警告システムの管理方法についてのトレーニングがパッケージに含まれているベンダーも存在する。NACシステムの実装を検討している場合は、トレーニングに必要な時間とコストについて把握されたい。それから、社内管理者は自身の任務にNAC製品の管理業務に専念する時間を追加しなければならない。

まとめ

　NACは適切に実装すればセキュリティ製品として強力な効果を発揮する。特に従業員数が多く、使用しているデバイスの種類が多岐にわたる企業は、NAC製品を使用することでネットワークとネットワークに接続しているデバイスを管理できていると感じることができるだろう。だが、全てのネットワーク脅威から保護できる特効薬ではないので、SIEM、NGFW、IPSなどのシステムと併用することをお勧めする。