一般的に検疫ネットワークでは、通常のネットワークログイン時よりも時間がかかる。この状況をユーザーが把握し、どのようなパッチの適用やパターンファイルの更新、ファイアウォールの有効化などを行えばよいのか誘導してくれるインタフェースが必要になる。

　たとえば、「治療」が完了したPCは再度検疫を受けるための再起動が必要である。そのため検疫終了時に強制的に再起動させるか、ユーザー側へ再起動を促す分かりやすい指示がなされなければユーザーはとまどうものである。そのたびに管理者が呼ばれれば、新たな負担増につながりかねない。また、資産管理ソフトやパーソナルファイアウォールを利用したエージェントタイプの検疫ネットワークでは、エージェント自体をPCにインストールできないケース、インストール後にPCのパフォーマンスが大幅に下落するケースなど、PC固有の問題が発生する場合がある。このように実際に検疫ネットワークを導入してみると、思いがけないところでつまずくことがある。いずれにしても経験豊富なインテグレーターに相談し、実績のある製品の選択をおすすめする。


　上述のエージェントに関する問題の対策として、また隔離された特定用途向けのネットワークなどクライアントの管理ができない環境において、ActiveXやIPSを利用したエージェントレスタイプの「脆弱性スキャナ方式」検疫ネットワークが提供されている。最近ではLinuxやMacOSといったWindows以外のOSやPDA機器などへも対応が進み、よりいっそう使い勝手が向上している。

　この脆弱性スキャナは、文字通りシステムの脆弱性をスキャニングするツールであり、この脆弱性スキャナと認証スイッチを連携させる検疫ネットワークでは、クライアントに対してエージェントのインストールが不要となるため、Windows以外のOSへの対応も可能となるのである。

　脆弱性スキャナとしてはオープンソースソフトウェアであった「Nessus」が有名であるが、最近では検疫機能を持ったアプライアンス製品も提供されはじめており、各社の認証スイッチと連携することも可能である。この方式での検疫ネットワークの特徴は、PCやサーバだけでなくPDAやIP電話、プリンタといったネットワーク機器全般を検疫の対象とできること、従来の検疫における「検査」よりも細かい定義が可能となることである。

　ここでは、Enterasys社のTrusted End System（TES）を使って、脆弱性スキャナ方式による検疫ネットワークがいかなるものかを紹介する（図2）。

図2 Trusted End System の仕組み

　TESは、認証スイッチ、脆弱性スキャナ、STAG（注2)、STAM（注3）、治療用Webサーバから構成され、ユーザーの認証時にポリシーを割り当てるというEnterasysの認証スイッチの機能（Secure Networks）を利用したものである。ポリシーの検疫フローは次のようになっている。

　まず、ユーザーが接続されると認証スイッチからの認証リクエストに応じてRADIUSがユーザー認証を行なう（1～4）。同時にSTAGは脆弱性スキャナに対してセキュリティの評価・査定を行うように命令を発行する（5）。このとき、クライアントには評価・査定用のポリシーが割り当てられ、脆弱性スキャナサーバへアクセス可能となる（6、7）。アクセスの結果得られたセキュリティ上の評価値はSTAGに通知され（8、9）、STAGはエンドシステムの再認証を強制的に行う。問題があればRADIUSサーバのFilter-IDを「Quarantine（隔離）」に設定する（10）。

　このTESの結果は、ブラウザにより容易に状況が把握できる。評価、隔離の各ポリシーをクライアントに割り当て、HTTPパケットのToSフィールドの値を書き換えてポリシーを設定することにより、修復用のWebサーバに結果が返され（11）、その状況に応じたページを表示するのである。

　検疫ネットワークが話題になりはじめてから3年ほど経っているが、当初はさまざまな制限が多くあり、実環境への導入は難しいとされていた。しかし、現在では50社を超える企業から関連製品やサービスが提供されており、運用面や利便性も考慮されたソリューションが多くなっている。今回取り上げた「脆弱性スキャナ」型もその一例である。

---

(注2)STAG
Sentinel Trusted Access Gatewayの略。RADIUSサーバおよび脆弱性スキャナと認証スイッチの間に配置され、認証要求を転送するプロキシ。

(注3)STAM
Sentinel Trusted Access Managerの略。SATGの設定・管理を行うマネージャ。

岡本 孝 アクシオ 企画室　室長 1985年、昭和電線電纜に入社。ネットワーク機器の開発・設計に従事。その後アクシオに出向し、プロダクトマーケティングを担当。数年前から無線LANを含む認証ネットワークにフォーカスし、最近では検疫ネットワークを紹介している。 （※肩書きは当時のものになります）