 |
検疫ネットワーク 検疫 NAC エンドポイントセキュリティ シマンテック |
|
 |
||
Symantec Network Access Control 技術情報
検疫方式について
|
 利用イメージはこちら |
SNAC12.1はUniversal NACのコンセプトに基づき、ユーザのネットワーク環境に合わせた多彩な検疫方式に対応しています。
ネットワークにインラインで配置するゲートウェイ検疫方式、IEEE802.1x規格に基づきネットワークスイッチのVLAN制御機能と連携させたIEEE802.1x認証スイッチ方式を採用しています。
これらの方式に加え、SEP12.1と連携させ、エンドポイント自身が自ら健全性のチェックを行い、通信を制御するクライアントファイアウォール方式にも対応しています。
| ※本ページでは、次のように製品名を省略して記載しております。 | |||
 |
Symantec Endpoint Protection | ⇒ | SEP |
|
Symantec Network Access Control | ⇒ | SNAC |
|
Symantec Endpoint Protection Manager | ⇒ | SEPM |
| SEPMにより、SEPとSNACは同一コンソールで、クライアントの設定やポリシーの適用など、全ての機能を一元管理できます。製品のアップデート管理もシンプルで容易です。 | |||
検疫方式の比較
ゲートウェイ検疫方式  |
LAN検疫方式 |
ソフトウェア検疫方式 |
|
|---|---|---|---|
| 対象 | ゲートウェイを通過する全てのクライアント |
スイッチのダイナミックVLAN機能が有効になっているポートに接続されるクライアント |
ソフトウェアにて実現する方式のためエージェント導入済みのクライアント |
| メリット |
|
|
|
ゲートウェイ検疫方式
ゲートウェイより内部へのネットワークアクセス時に、端末の健全性をチェックし、不正端末の侵入を制限する方式です。Gatewayエンフォーサをネットワーク上にインラインで設置します。リモートアクセスにおける検疫、あるいは特定のネットワークセグメントを保護する目的に最適なソリューションです。
-概要-
ネットワークにインラインでゲートウェイを設置しアクセス制御を行います。例えば、VPN装置と社内ネットワークの間にゲートウェイを設置すると、外出や出張により外部に持ち出されたクライアントがVPNを使用して社外から社内へアクセスする際に、セキュリティポリシーへの適合性をチェックします。外出先でウイルス定義ファイルの更新ができていない場合にも、更新を強制させた後でVPN接続を許可することが可能です。
- ゲートウェイ検疫方式の構成イメージ
LAN検疫方式
IEEE802.1x規格に基づきネットワークスイッチのVLAN制御機能と連携させ、スイッチへの接続時に端末の健全性をチェックし、不正端末の侵入を制限する方式です。LANエンフォーサをRadius Proxyとして設置します。ポリシーに適合する端末は社内LANセグメントへの接続を許可、不正端末や適合しない端末は検疫セグメントに強制隔離する、などの高度なエンドポイントコントロールを行うことが可能です。
-概要-
IEEE802.1xの規格に基づき、LANスイッチのVLAN制御機能と連携してクライアント認証およびポリシーチェックを行います。ポリシーに適合するクライアントは社内LANへの接続を許可、不正端末や適合しないクライアントは検疫セグメントに隔離します。末端のスイッチへ802.1xスイッチを導入することで、ポリシーを満たさないクライアントはLAN上の他のクライアントにまったくつながらないため、最も強力な検疫方式です。
ソフトウェア検疫方式 （※SEP 12.1が必要）
ホストインテグリティチェックにより健全性が満たされないエンドポイントをパーソナルファイアウォールが自らの通信ポリシーを変更することで、ネットワークから個体隔離を行う方式です。端末にClientをインストールすることで実現が可能なことから、ネットワーク構成の変更を必要としません。
-概要-
クライアント単体で検疫を実現します。クライアントの健全性(セキュリティ要件)が満たされていないとき、クライアントにインストールされたパーソナルファイアウォールが自らの通信ポリシーを切り替えそのクライアント自身を隔離・治療します。そうすることで、クライアントからのアクセスは特定のIPアドレスやセグメントのみに制限されます。 クライアントにエージェントをインストールすることで実現が可能なことからネットワーク構成の変更を必要としません。
利用イメージ
- PC端末を起動後、自動的にセキュリティポリシーチェックが開始されます。
合格している場合、ユーザによる操作は一切不要です。 - 不合格の場合、ポップアップ画面の指示に従うだけで、簡単に治療できます。
- 1.
- PC端末をLANケーブルに接続、電源をONにします。
- 2.
- Windowsにローカルログインします。
- 3.
- SEPクライアントのサービスが起動、SEPMで設定している最新のセキュリティポリシーに従って、ポリシーチェックが自動的に行われます。
< OKの場合 >
- 4.
- ポップアップでセキュリティポリシーに合格している旨が通知され、通常LANに接続可能な状態となります。（図1）
その後、一定間隔（デフォルト設定：2分間隔）でポリシーチェックが実行されます。
【図1】セキュリティポリシー合格のユーザ通知
< NGの場合 >
- 4.
- ポップアップにて、セキュリティポリシーに違反している旨が通知されます。 （図2）
- 5.
- 検疫用ポリシーへと切り替わり、SEPMやSymantecのLiveUpdateサーバなどの特定のアクセス先へ制限されます。
【図2】セキュリティポリシー違反のユーザ通知
- 6.
- 「詳細」ボタン→「すべてを修復」を押下すると、治療動作が開始されます。（図3）
※治療画面を表示しない設定も可能です。
- 7.
- ポップアップでセキュリティポリシーに合格している旨が通知され、通常LANに接続可能な状態となります。（上記の図1）
その後、一定間隔（デフォルト設定：2分間隔）でポリシーチェックが実行されます。
- 各種セキュリティ機能、及び検疫ネットワークを単一コンソールで一元管理できます。
- セキュリティポリシーの設定は、プルダウン等の選択式で容易に実施可能です。
【図1】SEPMのセキュリティ機能の一元管理画面
【図2-1】SEPMのポリシー設定画面（テンプレート）
【図2-2】SEPMのポリシー設定画面（カスタム）
上に戻る
