検疫ネットワーク

読み：けんえきねっとわーく

• セキュリティ
• LAN・無線LAN

社内ネットワークに接続しようとする端末のセキュリティ状態を検査し、基準を満たす端末に通常の接続を許可する仕組みである。基準を満たさない端末は隔離し、治療と再検査を経て基準を満たしてから通常の接続を許可する。OSの更新プログラムの適用状況やマルウェア対策ソフトの定義ファイルの新しさなどを確認する。

イマシルちゃんの解説

社員が持ち帰ったノートPCが、長いあいだOSの更新をしていなかったとするよ。
そのまま社内LANにつなぐと、弱点を突かれてマルウェアが広がるきっかけになりかねないんだ。
検疫ネットワークは、接続してきた端末を先に検査してから社内LANに入れるセキュリティの仕組みだよ。
更新プログラムやマルウェア対策ソフトが会社の基準どおりかを調べるの。
基準に届かない端末は、更新用のサーバにしか行けない区画へ入れられるんだ。
そこで更新を済ませて再検査に合格したら、やっと普段のネットワークを使えるよ。
問題のある端末を入口で止められるから、社内全体を守りやすくなるんだね。

より深い解説

定義と位置付け

検疫ネットワークは、端末をネットワークへ接続させる前にセキュリティ状態を確かめ、その結果に応じて接続先を制御する仕組みである。人の空港検疫になぞらえた名前で、2000年代に持ち込みPCやモバイルPCからのワーム感染が問題になったことを背景に広まった。

広い意味では、接続する端末や利用者に応じてネットワークの利用を制御するNAC（Network Access Control）の一種である。この制御は「誰が・どの端末で接続するか」による制御全般を指す。検疫ネットワークはその中でも、端末の状態の検査と、不合格の端末を修復させる流れに重点を置く。

検査する端末の状態は、英語ではポスチャ（posture）とも呼ばれる。IETFでは、端末の状態を収集してサーバ側で評価する枠組みがRFC 5209（Network Endpoint Assessment: Overview and Requirements）にまとめられている。

ここで注意したいのは、認証と検疫は別の確認だという点である。認証は「正規の利用者か、正規の端末か」を確かめる。検疫は「その端末が今、安全に使える状態か」を確かめる。正規の社員が使う正規の会社PCでも、更新を怠っていれば検疫では不合格になり得る。

検疫の流れ

検疫ネットワークの処理は、次の段階に分けて考えると整理しやすい。

1. 端末がネットワークへ接続し、必要に応じて利用者や端末を認証する。
2. 端末の状態を収集し、管理者が定めた検疫ポリシーと照合する。この照合を行うサーバを検疫サーバと呼ぶ。
3. 基準を満たさない端末は、通信先を限った区画に入れる。これを隔離と呼ぶ。基準を満たす端末は通常の業務ネットワークへ接続する。
4. 区画に入れられた端末は、更新プログラムや定義ファイルを配布するサーバから必要なものを取得し、状態を修正する。
5. 修正を終えた端末をもう一度検査し、合格すれば通常の接続へ切り替える。

4.の修正作業を、検疫の用語では「治療」や「修復」と呼ぶ。自動で更新を適用する製品もあれば、利用者に手順を示すだけの製品もある。

検査する項目は組織の方針によって異なる。代表的な例を次に示す。

検査は「接続した時点の状態」を確かめるものである。合格後に利用者が設定を変えたり、新しい脆弱性が公表されたりすれば状態は変わる。そのため製品によっては一定時間ごとに再検査を行う。

端末の情報をどう集めるか

端末の状態は、端末に導入したエージェントと呼ぶ常駐ソフトウェアが収集して検疫サーバへ報告する方式が一般的である。エージェントはOSの更新履歴やセキュリティソフトの状態を細かく調べられる。

一方で、常駐ソフトウェアを導入できない端末は詳しく検査できない。プリンタ、IP電話、来訪者の私物端末などが該当する。これらには、MACアドレスによる例外登録、来訪者用の別ネットワーク、一時的に導入する検査用ソフトウェアなどで対応する。

端末自身の報告を使う以上、侵害された端末が偽りの状態を報告する可能性も考える必要がある。RFC 5209でも、この「嘘をつく端末」の問題が検査の限界として扱われている。検疫ネットワークは、他の防御を置き換えるものではなく、既知の弱点を持つ端末を入口で減らす仕組みとして位置付ける。

不合格の端末を切り離す方式

検査に不合格だった端末を、どの装置で、どのように通常の通信から切り離すかによって方式が分かれる。

認証スイッチ方式は、端末が接続したスイッチのポートや無線LANのアクセスポイントで通信を止められる。そのため最も強力な方式とされる。認証サーバであるRADIUSサーバが認証結果とともにVLAN番号を返し、スイッチがそのポートの所属VLANを切り替える。この仕組みをダイナミックVLAN（動的VLAN）と呼ぶ。RADIUSでVLANを指定する属性の使い方はRFC 3580に示されている。認証の仕組みそのものはIEEE 802.1Xの記事で扱う。

DHCP方式は、DHCPサーバが検査結果に応じて、通常とは異なるアドレスやデフォルトゲートウェイを配布する。導入は容易だが、利用者がIPアドレスを手動設定すれば、検疫用の設定を受け取らずに通信できてしまう。この弱点を補うため、未登録の端末の通信をARPの偽応答で妨げる製品もある。

ゲートウェイ方式は、ルータ、ファイアウォール、VPN装置などの通過点で制御する。リモートアクセスの入口に置けば、社外から接続する端末も検査できる。ただし同じセグメント内の端末同士の通信は、ゲートウェイを通らないため止められない。

認証スイッチ方式の動作例

次は、業務用のVLAN 10と検疫用のVLAN 99を用意した独自の例である。

1. PCがスイッチのポートに接続すると、スイッチはIEEE 802.1Xの認証を開始する。PCのエージェントは認証情報とともに端末の状態を報告する。
2. 検疫サーバと連携したRADIUSサーバが、更新プログラムの不足を検出する。認証の許可応答にVLAN 99を指定する属性を付けて返す。
3. スイッチはそのポートをVLAN 99に所属させる。PCは検疫用のセグメントでアドレスを取得し、更新用のサーバにだけ接続できる。
4. PCが更新を終えると、エージェントが再検査を求める。RADIUSサーバは再認証の指示や、セッション中の属性変更を求めるCoA（Change of Authorization）をスイッチへ送る。
5. スイッチは改めて認証を行い、今度はそのポートをVLAN 10に切り替える。

VLANが変わるとIPアドレスのセグメントも変わる。PCは新しいVLANでDHCPによりアドレスを取り直す必要がある。切替後に通信できないときは、PCが古いアドレスを使い続けていないかを確かめる。この属性変更の要求はRFC 5176で定められたRADIUSの拡張である。

検疫VLANから到達させてよい通信

隔離した端末も、治療のために一部のサーバへは接続できなければならない。逆に、それ以外の業務システムやインターネットへは接続させない。この区画を検疫VLANや検疫セグメントと呼ぶ。

この許可はVLAN間のルーティングを行うレイヤ3スイッチやファイアウォールで、必要な宛先とポートだけに絞る。許可を広げすぎると切り離した意味がなくなる。逆に名前解決を許可し忘れると、更新サーバの名前を引けずに修復が進まない。

検疫VLAN内の端末同士も通信させない方がよい。不合格の端末はマルウェアに感染している可能性があり、互いに感染を広げるおそれがあるためである。スイッチのポート間通信を遮断する機能を併用する。

似た仕組みとの違い

検疫ネットワークは、認証やアドレスの制限と混同されやすい。それぞれが何を確かめているかで区別する。

IEEE 802.1Xは認証の枠組みであり、それだけで更新状況を検査するわけではない。検疫ネットワークの認証スイッチ方式は、802.1Xの認証と、エージェントによる検査結果を組み合わせて実現する。MACアドレスは偽装できるため、MACアドレスの登録だけでは端末の正当性も安全性も保証できない。

近年はゼロトラストの考え方に基づき、接続時の1回だけでなく、アクセスのたびに端末の状態を評価する方式も広がっている。MDMやEDRが集めた端末情報を、クラウドサービスへのアクセス可否の判断に使う構成である。検査を入口で行うか、利用のたびに行うかという違いはあるが、「端末の状態で接続先を変える」という考え方は共通する。

運用と障害の切り分け

検疫ネットワークは、正しく動いても業務を止める可能性がある仕組みである。基準を厳しくするほど安全になるが、検疫VLANへ送られる端末も増える。運用では次の点が問題になりやすい。

検疫サーバやRADIUSサーバが停止したとき、全端末を検疫VLANへ送れば安全側だが業務が止まる。全端末を許可すれば業務は続くが、検査の効果がなくなる。障害時に接続を拒否する設計をフェールクローズ、許可する設計をフェールオープンと呼ぶ。どちらを選ぶかは、組織が可用性と安全性のどちらを優先するかで決める。

午後での問われ方

• 構成図とポリシーを示し、ある端末が業務VLANと検疫VLANのどちらに所属するかを答えさせる。
• 認証スイッチ方式で、RADIUSサーバが接続先VLANを指定する仕組みや、修復後に接続先を切り替える手順を説明させる。
• DHCP方式やゲートウェイ方式を採用したとき、検査をすり抜ける端末がどのような条件で生じるかを問う。
• 検疫VLANから許可すべき通信先と、その理由を記述させる。
• 検疫サーバが停止したときの影響と、その対策を設計の観点から答えさせる。