NAPと4つの強制手段
MSのNetwork Access Protectionを活用したポリシー強制
Windows Server 2008とWindows Vistaに組み込まれているNAPでは、カスタマイズされたポリシーを作り、ネットワークのセキュリティ状態をチェックすることができる。
Network Access Protection（NAP）はMicrosoftのWindows Server 2008とWindows Vistaに組み込まれているセキュリティポリシー強制プラットフォームで、システムの正常性を保つためのコンプライアンス強制によって、ネットワーク資産の保護を実現する。NAPユーザーはカスタマイズ版のポリシーを作成し、クライアント（Windows搭載PC）がネットワークに接続したり通信したりする前に、セキュリティをチェックできる。
NAPは問題の是正に関して複数のオプションを設定できる。オプションでポリシーを順守していないクライアントを隔離してネットワークアクセスを制限したり、クライアントを許容できるセキュリティ水準にまで復元したり、ポリシーに沿ったコンピュータを自動更新して最新のコンプライアンスを適用したりできる。NAPはクライアントのセキュリティ状況に応じて、ネットワークへの完全アクセス、制限されたネットワークへの限定アクセス、ネットワークへのアクセス全面禁止などを設定できる。
NAP用に選んだ強制手段によってポリシーの適用方法が決まる。ポリシーはDHCP（Dynamic Host Configuration Protocol）、VPN with Routing and Remote Access、IEEE 802.1Xポートベースの有線／無線LAN接続コントロール、IPsecで守られたトラフィック経由で強制できる。NAPではまた、既にネットワークに接続している順守PCに最新のコンプライアンスを適用することも可能だ。これは、ポリシーやクライアントの状態が変わった際に役に立つ。
NAPの仕組み
NAPはWindows Server 2008、Windows Vista、Windows XP SP3クライアントのエージェントで機能する。クライアント環境にはシステム正常性エージェント（SHA）、検疫エージェント（QA）、強制クライアント（EC）が含まれる。クライアントがDHCP、VPN、IEEE 802.1X、IPsec経由で接続すると、SHAがクライアントの現状を判断し、ネットワーク接続要求をネットワークポリシーサーバ（NPS）に転送する。NPSはシステム正常性検証ツール（SHV）と検疫サーバ（QS）を備える。もしクライアントがポリシーに準拠していなければ、隔離ネットワークに送られて修復サーバが適切なセキュリティアップデートを適用し、システムを準拠させる。クライアントが準拠していれば、会社のネットワークへのアクセスを許可する。
DHCP検疫
DHCP経由の強制は、ネットワークポリシーサーバと通信する強制クライアントコンポーネントとNAP強制サーバの利用を通じて実行される。コンピュータがネットワーク上でIPアドレス設定をリースまたは更新しようとするたび、正常性ポリシー要件に従っているかどうかをDHCPサーバでチェックし、強制できる。NPSはDHCPサーバに指示を出して制限付きのIPアドレス設定を割り当てさせることで、クライアントのネットワークアクセスを制限できる。
この方法の欠点は、クライアントに静的IPアドレスが設定されていたり、制限付きのIPアドレスを迂回（うかい）する設定になっている場合、DHCP強制は効力がなくなることだ。
VPN検疫
VPN強制は、VPN NAP強制サーバとVPN NAP強制クライアントコンポーネントを利用する。クライアントがリモートでVPN接続しようとすると、VPNサーバがクライアントの正常性を確認する。このやり方はDHCPと同じように機能するが、強力な制限ネットワークアクセスが提供されるのはVPNサーバ経由でネットワークに接続しているクライアントのみとなる。
IEEE 802.1X認証
IEEE 802.1Xポリシーの手段ではNPSとEAPHost NAP強制クライアントを利用する。EAPHostはWindowsインフラのコンポーネントで、RFC 3748に記載されている通り、拡張認証プロトコル（EAP）ステートマシンとEAPプロトコルフレームワークを実装する。コンプライアンスに従っていないクライアントがアクセスポイント経由で接続しようとすると、ネットワークポリシーセンダーがアクセスポイント（IPパケットフィルタまたはVLAN識別子のいずれか）と通信し、順守するまでそのIEEE 802.1Xクライアントのアクセスプロファイルに制限を掛けるよう指示を出す。
IPsec検疫
IPsec強制ではNPS、正常性登録機関（HRA）、IPsec ECを利用する。クライアントが正常性ポリシー要件を順守すると、HRAがそのクライアントにX.509証明書を発行する。発行された証明書は、クライアントがIPsec通信を開始／要求する際の認証に使われる。NAPで利用できるネットワークアクセス制限による保護手段すべての中で、IPsec ECは最も強力なセキュリティを提供すると考えられている。この手段はIPsecを利用することから、通信保護の要件は特定のIPアドレスやTCP／UDPポート番号に基づいて定義できる。
以上のNAP強制手段にはそれぞれメリットがあり、これら手段を組み合わせて個々のメリットを活用することも可能だ。ただし、その場合はNAP導入の複雑さが増す。
NAPは、究極的には企業が事業価値を高め、ユーザーの生産性を維持しながら、Microsoftベースやサードパーティーインフラへの既存の投資拡張を支援する狙いがある。NAPは健全性を保つ要件を順守させることにより、クライアントコンピュータの不適切な設定が原因でウイルスなどの悪質ソフトに感染するような共通のリスクを回避する一助となる。
本稿筆者のベス・クィンラン氏（MCT、MCSEセキュリティ、CISSPの資格を持つ）はHynesITeの技術指導者として講師、コンサルタントを務める。12年以上にわたり、Microsoftインフラ技術とセキュリティ設計を専門に手掛ける。著書にISA Server 2006 Reviewer's Guideがある。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社うるる] 「入札市場」攻略ガイド：効率的に落札するためのポイントを徹底解説 -
製品資料
[株式会社うるる] 入札情報に特化した「販路拡大」「効率化」のためのサポートツールとは？ -
市場調査・トレンド
[株式会社うるる] 公共入札に成功する企業と失敗する企業の「5つの違い」 -
製品資料
[日本ビジネスシステムズ株式会社] 専門家が教える、Microsoft 365の「テナント統合／分離」を成功に導く秘訣 -
製品資料
[rakumo株式会社] Microsoft 365での情報埋没を防ぐ、社内ナレッジを資産化する情報ポータル活用
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
2
半数がブルーカラー転向を視野に？ ベテランエンジニアを追い込む“54歳の壁”
-
3
生成AIが普及しても「技術書」を手放せないエンジニアの本音
-
4
“アジャイルの壁”に挑むオリックス生命がIBMの開発管理ツールを選んだ理由
-
5
PHP脆弱性「PHP2Shell」で2260万件に影響 情シスの緊急チェックリスト
-
6
「テザリング依存」に潜む落とし穴 “遅いVPN”を解消するネット構築術
-
7
ライオンが挑む「守りのIT」脱却：Google Cloudで加速させるデータ駆動型経営
-
8
IT製品の導入に関するアンケート「セキュリティ」編
-
9
「Microsoft 365」が乗っ取られる MFAを破る“本物の画面”の恐怖
-
10
Claude利用8割のGMO、AI人材の評価軸が「トークン管理」に変わった
ホワイトペーパーランキング PR
-
1
AI駆動攻撃にどう対抗する？ 超速の攻撃からエンドポイントを保護する方法
-
2
2026年のサイバーセキュリティには何が必要か？ 最新データに学ぶ傾向と対策
-
3
経験豊富な即戦力人材に直接アプローチできる、「攻めの採用」への転換術
-
4
「IT史に名を残すシステム障害」8選
-
5
最速72分でデータが流出？ 最新の脅威トレンドや侵入手法から分かった防衛策
-
6
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
7
AI駆動開発のスピードと安全性を両立 「品質・セキュリティ管理」の実践ガイド
-
8
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
-
9
「標的型攻撃メール」事例・サンプル集
-
10
Microsoft 365のメールセキュリティ、3つの“死角”と追加で検討すべき対策とは
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー