仮想化の利用も有効
ネットワーク上の携帯端末検出をめぐる新たなチャレンジ
社員が私物のノートPCやスマートフォンで会社のネットワークに接続するのを禁止するのは難しい。そうした接続を管理する方法を幾つか紹介しよう。
社内のネットワークに接続するデバイスがローカル環境であれリモート環境であれ、あるいは固定されたものであれ携帯できるものであれ、それらをコントロールすることは非常に重要だ。多くの企業では、モバイルアクセスを制限するためにアプリケーションポータル、メールサーバ、VPNゲートウェイなどを使用するだけでなく、抜け穴からの侵入を捕捉するためにIPS（不正侵入防御システム）も利用している。こういったテクニックが有効な場合もあるが、今日のモバイルデバイスは新たなチャレンジを課しており、なお一層の警戒が必要だ。
情報漏えいを監視する
先ごろ開催された「Mobile Wireless Summit」でGartnerの上級アナリスト、ジョン・ジラード氏は、特に会社の許可なく業務データにアクセスしたり業務データを保存したりするPDAやスマートフォンなどの携帯端末を検出する方法についてアドバイスした。
ジラード氏は最初のステップとして、すべてのデスクトップPCとノートPCを検査し、許可されていない同期化ソフトウェアが組み込まれていたり、過去に同期化動作を行ったりしていないかチェックするよう勧めた。「SMSやLANDeskのようなツールを使っているのであれば、こういったデスクトップインベントリを簡単に作成することができる」と同氏は語る。
これで終わりではない。会社で受信した電子メールを自分の携帯端末に転送するユーザーがいるかもしれないからだ。「個人のBlackBerryやWindows Mobileベースのスマートフォンでは、電子メールの転送を外部のISP（インターネットサービスプロバイダー）に簡単にセットアップできる。会社がこれを検出する手段を持っていなければ、把握することさえできない」とジラード氏は指摘する。
「この抜け穴をふさぐ方法として、ジラード氏は社内のサーバとデスクトップを検査し、電子メールや通話がイレギュラーなあて先に転送されている兆候がないか調べるようアドバイスしている。「ソフトウェア配布・インベントリ管理システムを利用すれば、こういった設定が社内規定に違反した場合、それを検出することができる」と同氏は話す。「あるはずのないアプリケーションが存在したり、誤った構成になっていたりしていないかチェックし、こういったポリシー違反をやめさせるための手順を確立すること。それらを禁止する理由の説明には、ヘルプデスクの協力も仰ぐとよい」
エッジ部分のセキュリティを拡張する
ジラード氏は、新しい携帯端末がもたらすリスクを軽減するために、既存のネットワークエッジシステムを利用するようアドバイスした。
「携帯電話の機能がインテリジェント化するのに伴い、無線経由でのソフトウェアアップデートや単純なスクリプティング攻撃などの攻撃経路が増えてくるだろう。これらはいずれも、コンテンツを配信するのにサーバを経由する」とジラード氏は指摘する。「企業は、悪質コンテンツに対する防護対策として、同期化サーバ、ワイヤレスアプリケーションゲートウェイ、外部のワイヤレスネットワークサービスのプロバイダーに投資すべきだ」
リスクを軽減するには、ネットワークエッジサーバとゲートウェイを使ってモバイルデバイスからのネットワークアクセスをすべてフィルタリングするとともに、スプリットトンネリング（※注）を許可するポリシーの利用は避ける必要がある。「携帯端末のリスクを軽減する最良の方法は、すべてのアプリケーションをサーバ上に置くことだ。「端末をセキュアにできないのであれば、ローカルデータを一切端末内に保存させないようにすべきだ」とジラード氏は話す。
※注：VPNと、インターネットなどVPN以外のネットワークに同時にアクセスできるようにすること
セキュリティインフラが整っていない中小企業でも、セキュアなコミュニケーションサービスを調達することにより、このアプローチを実装することが可能だ。「端末の暗号化と管理機能をキャリアから調達した上で、さらに携帯通信サービスに対してマルウェアをフィルタリングするよう要求すればいい」（同氏）。
非管理デバイスに対処する
ジラード氏によると、リスクに関して極めて保守的な企業の内部にもユーザーが所有する端末が入り込んでいるという。現実から目をそむけていても仕方がない。それよりも、このリスクを評価し、対処する取り組みを開始すべきだ。
既に多くのITマネジャーが個人用のPDAやスマートフォンの業務利用に懸念を抱いているが、Gartnerによると、従業員は個人用ノートPCも会社で使うようになってきたという。「誰がノートPCに関する会社の方針から逸脱しているかという調査をまだ行っていないのであれば、今すぐ実施すべきだ。ソーシャルゲーム（モノポリーなど社会性のあるゲーム）を動作できるようにするために、セキュリティ機能が組み込まれる前に作成された復元ポイントにシステムをロールバックする方法は子どもでも知っている。そのゲームがマルウェアの温床になっている可能性もあるのだ」とジラード氏は語る。
ユーザーが所有する端末やそのほかの非管理端末（自宅のPCなど）によるアプリケーションへのアクセスを許可するには、「クライアントレス」のSSL VPNを利用するという方法がある。クライアントレスソリューションは制約が多いのに対して、SSL VPNベースの「シンクライアント」を利用すれば、広範なアプリケーションアクセスを提供できる。その場合、ユーザーの端末を事前に検査しておくことが望ましい。最近では、いずれの手法もネットワークアクセスコントロール（NAC）ソリューションに組み込まれるようになってきた。これらのソリューションは、ユーザー認証とエンドポイントのアイデンティティーおよび健全性を組み合わせることにより、適切なアクセスレベルを決定する。
しかし、信頼できる既知の端末と、それを意図的に模倣した別の端末を区別するのが難しいこともあるとジラード氏は警告する。「正規の端末のクローンを検出するのが非常に困難な場合もある。しかし、レジストリキーを検査したり、NIC（ネットワークインタフェースカード）のMACアドレスなどのハードウェア属性を確認するといった方法でチェックすることは可能だ」と同氏は言う。
仮想化を利用する
SSL VPNの中には、非管理端末上でセキュアな仮想環境を作成できるものもある。これは基本的に暗号化されたコンテナであり、その中で信頼されたアプリケーションを動作させ、社内データを使用するという形になる。
「これは正しい方向へのステップだ」とジラード氏は話す。しかしユーザーが所有する端末によるリスクを管理するのに最も良い方法は、会社が管理する「仮想PC」を配備することかもしれない。例えば、VMwareやMoka5の製品を使えば、個人のノートPC上に企業の標準的なデスクトップ環境を作成できる（ただしPDAやスマートフォンには対応しない）。
仮想化を利用すれば、IT部門は業務で使用するコンピューティング環境をきめ細かく管理することができ、携帯端末が個人的な目的で使用されるときでも、これらの端末への影響が少なくて済む。要するに、セキュアな仮想環境は、従業員が社内ネットワークにアクセスするのにどのような携帯端末を利用しているかにかかわらず、リモートで仕事をすることを可能にするのだ。
このシナリオの場合、少なくともハードウェアに関するかぎり、携帯端末の検出の重要性はずっと低くなる。しかし、各ユーザーの実行環境を確実に検出・特定し、これらの環境が健全であり、自社のセキュリティポリシーに準拠していることを確認する必要はある。要するに、包装紙は何でもいいのだ。本当に大事なのはその中身なのである。
本稿筆者のライザ・ファイファー氏は、ネットワークセキュリティおよび管理技術を専門とするコンサルティング会社、Core Competenceの副社長を務める。ファイファー氏は20年余りにわたり、データ通信、インターネットワーキング、セキュリティ、ネットワーク管理製品の設計、導入、評価に携わってきた。各種の業界カンファレンスで無線LANやVPNなどのテーマについて講演を行っており、広範なIT関連メディアにネットワークインフラやセキュリティ技術に関する記事を寄稿している。
Copyright © ITmedia, Inc. All Rights Reserved.
関連記事
新着ホワイトペーパー PR
-
製品資料
[NTTインテグレーション株式会社] 取引先のセキュリティをどう管理する？ 「SCS評価制度」対応の勘所を解説 -
製品資料
[NTTインテグレーション株式会社] SCS評価制度「★4」取得のカギ 最大の壁を突破する方法とは？ -
製品資料
[NTTインテグレーション株式会社] 2026年度末から運用開始 「SCS評価制度」に備えて製造業がやるべきことは？ -
事例
[ネットワンパートナーズ株式会社, アイビーシー株式会社] ハイブリッド環境の一元管理と快適な無線LAN環境、三井ホームはどう実現した？ -
市場調査・トレンド
[TD SYNNEX株式会社] 調査で学ぶセキュリティ運用の実態 人を増やさず品質を維持する方法とは？
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
IBM iのブラックボックス化を打破 資産継承と進化を実現する「IBM Bob」の実力
-
2
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
3
【漫画付き】ひとり情シス協会が明かす、RAG導入でしくじる企業「2つの共通点」
-
4
MS&ADグループの目指す「AX」の全貌 本山CDOが語る変革の本質
-
5
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
6
1200万円のSaaS導入を回避 スギ薬局「運用費10万円」のAIエージェント構築術
-
7
脱VMwareの前提が崩れる BroadcomのVDDK公開停止で確認すべき点
-
8
LINEヤフーはなぜ「社内の管理者」すら信用しないインフラを作ったのか
-
9
「RAGの利用」に関するアンケート
-
10
【基本情報技術者試験】そもそもOSは何をしている？ 「ジョブ管理」の仕組みを解説
ホワイトペーパーランキング PR
-
1
DX／AI投資の壁を突破、現代の最高財務責任者が直面する課題と克服のヒント
-
2
バックアップは“取っているから大丈夫”なのか？ ランサムウェア時代の備え方
-
3
システムの保守がモダン化を阻む？ 「変えない判断」から脱却する方法とは
-
4
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
5
5分で分かる Microsoft 365のデータ損失に備えるためのバックアップの仕組み
-
6
「NAS」「SAN」「DAS」は何が違う？ いまさら聞けないストレージの基礎
-
7
ネットワーク遅延の原因、「パケットロス」の基礎知識と効果的な解決策
-
8
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
-
9
ソフトウェア開発の属人化と手戻りをどう防ぐ？ 速さと品質を両立させる方法
-
10
ランサムウェア攻撃“究極の対策”はこれだ
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー