iNetSec Inspection Center V7.0開発～スマートデバイス検疫の実現～

Transcription

1 inetsec Inspection Center V7.0 開発 ~ スマートデバイス検疫の実現 ~ Development of inetsec Inspection Center V7.0 - Achieving Smart Device Inspections - 久保田旭 * Akira Kubota 福嶋航 * Wataru Fukushima 奥田裕 * Hiroshi Okuda * ソリューション & ソフトウェアグループアプライアンスソフトウェア事業部モバイルアプライアンス開発部 検疫ネットワークは, 企業内ネットワークに接続するパソコンに対し企業のセキュリティポリシーを遵守させるための仕組みとして, 広く導入されている. このような状況の中, 近年のスマートデバイス ( スマートフォン, タブレット ) の普及により, スマートデバイスを社内ネットワークに接続し業務の効率化を図る企業が急速に増加している.PFU の検疫ネットワークソフトウェア inetsec Inspection Center V7.0 では, 社内ネットワークへ接続するスマートデバイスに対しパソコン同様, 企業のセキュリティポリシーを遵守させ, 企業内ネットワークでの安全なスマートデバイス利用を実現した. Inspection networks have been extensively introduced in the intranet for companies to keep the personal computers that connect to the intranet in compliance with the security policy of the company. With the spread of smart devices (such as smartphones and tablets), the number of companies with smart devices that are connected to their intranet in order to increase work efficiency is rapidly increasing. "inetsec Inspection Center V7.0", PFU's inspection network software, enables the safe use of smart devices in the intranet by making these smart devices compliant with the same security policies as the personal computers in the company. 1 まえがき 従来の携帯電話よりも便利になったスマートデバイスの利用は急速に広まっており,2011 年度のスマートデバイスの出荷台数は 2,600 万台余りに達してい 1) る参. 大学生は就職活動にスマートフォンを利用するようになり, 企業でも出張先でのメールのやりとりにスマートデバイスを利用することも普通に見られるようになった. スマートデバイスの利用形態は, 社給端末を利用する方法と,BYOD(Bring Your Own Device) と言われる個人所有の端末を業務で利用する形態がある. 社給端末は企業が端末を選定し,MDM(Mobile 注 1) Device Management) ツール等でその端末の管理を行うことが一般的であるが,BYOD の場合は個人所 注 1) 端末の一括設定, 遠隔地からのデータ消去や端末操作を無効化するリモートワイプなどの機能を持つツールを意味する. 有の端末を利用するため, 企業での統制は難しい. しかしながら従業員にしてみれば操作の慣れた自分の端末で業務効率化できる上, 企業にとっても端末料金の負担が軽減されるため BYOD のメリットは大きく, ニーズがある. 一方, スマートデバイスは, いつでもネットワークにアクセスでき, ゲームなど娯楽アプリケーション ( 以降, アプリ ) の導入も容易である. アプリには端末に記録されている情報を無断で収集するものがあるため, 利用者のセキュリティ意識次第で便利なデバイスにも危険なデバイスにもなりうる. そのため, スマートデバイスを社内ネットワークへ接続するには, 相応の安全性の担保が必要不可欠である. 本稿では, スマートデバイスの安全性を担保する検疫ソフトウェア製品 inetsec Inspection Center V7.0 PFU Tech. Rev., 23, 2,pp.1-7 (11,2012) 1

2 ( 以降, 本製品 ) について, 開発の背景と狙い, 実現方式, 適用例を紹介する参 2). 表 - 1 OS 毎の監査項目 監査項目 Android 1 ios 2 OS バージョンチェックレレ 2 開発の背景と狙い 2.1 開発の背景 本製品は, スマートデバイスの安全性を担保するこ とに加え, 検疫市場で 2007 年より 5 年連続シェア注 2) No.1 を獲得した原動力の一つである, 簡単導入, 簡単運用のノウハウを継承した簡単操作を実現する. 2.2 本製品の開発の狙い (1) スマートデバイス利用で想定される脅威と OS 毎 の監査項目 スマートデバイス利用者のセキュリティ意識に欠如し がちな観点, すなわち, 想定される脅威には以下のものがある. 1) デバイスの OS パッチを適用していないセキュリティ脆弱性を対策せずに放置している. 2) 改造端末による非正規な利用ユーザーの好きなようにカスタマイズできる反面, ウイルスやスパイウェアに容易に感染しかねない. 3) 第三者からの容易なアクセスを防止していない毎回ロック解除するのが面倒だからと言って, デバイスをロックしない. 4) ウイルス対策アプリを導入していない危険なアプリをインストールするとウイルスやスパイウェアが混入しかねないことは認識しているが, ウイルス対策ソフトウェア導入による端末動作の緩慢化を嫌い, ウイルス対策ソフトウェアを導入しない. こうした脅威の状況から, 監査対象項目を抽出した. スマートデバイスの市場シェアは,OS 毎に見ると注 3) Android と Apple 社の携帯情報端末用独自 OS である ios で 90% を占めていることから, 対象スマートデバイスとして Android 端末と ios 端末の二つを優先することにした. また,OS 仕様やセキュリティに対する OS コンセプトの違いから,OS 毎に監査すべき項目が若干異なる. 表 -1に本製品の監査項目を示す. 注 2) 出展元 :( 株 ) 富士キメラ総研 2008 ネットワークセキュリティビジネス調査総覧 ~ 2012 ネットワークセキュリティビジネス調査総覧注 3)Android は,Google Inc. の商標または登録商標である. root 化 / Jailbreak 3 レレスクリーンロック設定レ - 必須アプリ導入チェックレ - 1 Android デバイスはカスタマイズの自由度が高い反面, セキュリティに対してより深い考慮が必要である. 安全なセキュリティ設定がされているかを監査する. 2 ios デバイスはカスタマイズの自由度が低く, また Apple 社審査を経たアプリだけが公開されていることから危険なアプリが排除されており, セキュリティ面で安全と言われている. それでも Jailbreak( 脱獄 ) のような改造をした場合は危険性が生じるため, それを監査する. 3 root 化や Jailbreak OS に掛けられている制約を解除し通常アクセスできないシステム領域へのアクセスなどを可能にした状態のこと. 一般に, Android に関しては root 化,iOS に対しては Jailbreak と呼ばれる. (2) 開発の狙い社給端末の運用も,BYOD の運用も, 以上の要素を盛り込むことで, 社内のセキュリティポリシーを満たしているデバイスだけが社内や学内ネットワークに接続可能となり, 安全性を担保した運用が徹底できる. 具体的には以下の二つのケースである. 1) 社給のスマートデバイスのケース社給のスマートデバイスをリモートから VPN 接続して社内に接続する際にセキュリティ上のチェックを行う運用が考えられる. この時のチェックの内容は, 対象が社給デバイスであるため, 決められた機種や決められたウイルス対策ソフトウェアの導入など, 規約に従った要件を満たしていることを確認できた場合に, 社内ネットワークへの接続が許可できればよい. 2) 個人所有のスマートデバイス (BYOD) のケース個人所有のスマートデバイスを社内や学内の Wi-Fi アクセスポイントから各ネットワークに接続する際にセキュリティのチェックを行う運用が考えられる. この時のチェックの内容は, 対象が個人所有の端末であり, ある程度各個人の好みが残されるため, 全端末共通となるチェック項目を抽出することが難しい. そこで, 非正規な改造デバイスの排除や, 認められた数種の中からウイルス対策ソフトウェアの導入を必須とする, など最低限の規約に従った要件を満たしていることを確認できた場合に, 社内や学内ネットワークへの接続が許可できればよい. 本製品では, これら二つのケースにおけるセキュリ 2 PFU Tech. Rev., 23, 2, (11,2012)

3 ティの担保を保障することを狙いとした. 3 本製品の実現方式スマートデバイスの詳細情報を監査しセキュリティを担保 ( 安心安全 ) するため, また簡単運用 ( 操作性など ) の実現を可能にするために, ネイティブアプリを開発することにした. 3.1 スマートデバイスならではの安心安全の確認本製品では, スマートデバイス固有のセキュリティ監査項目選定基準を定め, それらの項目を監査できるようにした. そのためには, まずスマートデバイスの設定画面で設定できるセキュリティに関する設定値や設定状況を取得し検疫サーバに送信することにした. また, スマートデバイスの場合, 端末識別子に相当する MAC アドレスだけでなく, 従来の PC 検疫には無かった機種 ( モデル ) 情報,OS バージョン情報も取得し検疫サーバに送信することにした. 機種や OS バージョンに応じて監査基準 ( ポリシー ) が異なる場合を想定してのことである. 環境設定画面の例を図 -1に示す. 個々の監査項目について説明する. (1)OS バージョンチェック OS のアップデート通知は新しいアップデートが提供されると自動的に更新通知が来るが, ユーザーがアップデートを適用するか否かを選択できるため, いつまでも 適用しないユーザーがいる. また,Android デバイスの場合, 何社ものメーカーから多数の機種が提供されており, 搭載する Android OS バーション, およびファームウェアは各メーカーが開発し更新している. このため, 各デバイスの所有者に更新通知は来るが, 社内ネットワークシステムの管理者がそれらの更新通知を全て把握し適用済みか否かを統制管理することは難しい. さらに, 機種によって適用できる OS バージョンが異なる. このような状況を考慮し, 機種に応じた OS バージョンチェックとアップデート適用済みかの監査が行えるようにした. 機種により適用可能な OS バージョンが相違する例を表 -2に示す. (2)root 化や Jailbreak されたデバイスの排除スマートデバイスは標準状態では幾つかの制約があり, ユーザーの好きなようにカスタマイズはできない. 一部のパワーユーザーは root 化または Jailbreak という方法で OS の改造を行い, その制約を避けて使っている. この改造によって標準よりもセキュリティレベルを下げた設定への変更や非公式なアプリが導入できるようになる. このような端末は, ウイルスから攻撃を受けたり, ウイルスに感染したアプリが混入したりするなど, 危険なデバイスとなる. このことからネットワークの安全性に特に脅威となりうるこうした root 化や Jailbreak したデバイスの利用を禁止できるようにした. (3) スクリーンロックの設定有無と強度 Android デバイスはスクリーンロックの設定有無, およびロック解除の強度 ( 方式 ) をユーザーが自由に変 表 - 2 機種により適用可能な OS バージョンが相違する例 機種 適用可能な OS バージョン又はアップデート ipad ios3.2.x 系であり,3.2.2 が最新 ipad2 ios4.x 系, または 5.x 系. ios および ios5.1.1 の適用が必要 図 - 1 スマートデバイスの環境設定画面の例 (Fig.1- Example of an environmental setting screen for smart devices) Android スマートフォンの大半 Android タブレット Android の一部のスマートフォンやタブレット Android OS 2.x 系であり が最新 3.x 系が提供されており が最新 4.x 系へのアップデートの提供有り PFU Tech. Rev., 23, 2, (11,2012) 3

4 更できる. スクリーンロックが無効に設定されている状態で, デバイスを紛失した場合, 情報漏えいや第三者による悪用のリスクがある. このことから, スクリーンロックが有効と設定されているかチェックする機能を提供した. (4) 必須アプリの導入チェック Android デバイスは何社ものメーカーから提供されており, デバイス毎に標準搭載されているアプリが異なる. 標準搭載アプリでは業務が行えない場合, 必要なアプリをユーザーが個別に導入することになるが, 導入は端末利用者の判断に委ねられている. このため, 業務ルールとして導入必須アプリ ( 例えばウイルス対策ソフトウェア ) が定められるが, 導入していなかったり, 導入してもアップデートせずに使い続けていたりするケースも想定できる. このことから, 必須アプリの導入とそのアプリのバージョン値のチェック機能を提供した. 3.2 スマートデバイスならではの簡単操作の実現 PC とは異なるスマートデバイス固有の利用シーンを考慮し, 本製品の簡単操作の実現に取り組んだ. (1) ログイン認証スキップ VPN 接続の場合, 通常 VPN 接続時にユーザー認証を行っている. そこで,VPN 接続時には従来の PC 検疫処理では必要としていたログイン認証をスキップできるようにした. これによりユーザーの操作手順を減らした ( 図 -2 参照 ). また,Android デバイスの場合には, 業務用 VPN に接続されたことを検知し, 自動的に本製品クライアン トアプリを起動し検疫を開始できるようにした. これら機能を提供することにより, 利用者がより少ない操作で業務を開始できるようになった. (2) スマートデバイス固有のライフサイクル動作を考慮スマートデバイスは省電力のため比較的短時間でスリープ状態になる. またユーザー操作やシステム操作からアプリが強制終了させられることがある. このようなスマートデバイス固有のライフサイクル動作を考慮し, いつプログラムが強制終了されても処理中断時点から再開できるように, 随時処理の状態値を保存するように検疫アプリを作成した. これにより不要な処理時間を減らし, 快適に運用が行えるようになった. (3) 端末認証 端末識別子に Wi-Fi の MAC アドレスを採用スマートデバイス機器を特定する情報として電話番号注 4) や IMEI などの個体識別情報の利用が考えられるが, これらの情報は 3G や 4G 通信を搭載していない機種では存在しない. タブレットなどでは Wi-Fi 接続だけをサポートする製品があり, スマートデバイス共通で存在する Wi-Fi の MAC アドレスを個体識別情報として採用し端末認証機能で利用することにした. また, 端末利用者が MAC アドレスを確認することが難しいため, 検疫アプリの情報画面から参照できるようにした. これにより, トラブル時にサポートを受ける際, ユーザーが MAC アドレスを確認でき, その MAC アドレスをキーに端末を特定し, トラブル解決を早めることが可能である. (4) 保守情報の収集スマートデバイスの場合, デバイス内に記録されたログファイルなどのファイルを参照する行為はユーザーには許可されていない. このため, 本製品のトラブルサポートに必要な保守情報ファイルを取り出すための機能を提供した. ユーザーが 報告 ボタンを押下することで, 保守情報ファイルが集約, 圧縮され検疫サーバへ送信される ( 図 -3 参照 ). これにより, トラブルサポートの手間を排除し, 早期解決が期待できる. VPN ログイン検疫 ( ログイン認証はスキップされる ) 図 - 2 VPN 接続時のログイン認証がスキップされる画面例 (Fig.2- Example of the screen when a login authentication is skipped while a VPN connection is established) 注 4)International Mobile Equipment Identity の略. 携帯電話の製造元, 機種, シリアル番号などの情報から生成された個体識別に使われる値. 4 PFU Tech. Rev., 23, 2, (11,2012)

5 トを本製品サーバへ移入する方法がある. いずれの方法でも, 収集した MAC アドレスのリストが格納されたファイルを本製品サーバの Web 管理画面 ( 図 -4 参照 ) から指定するだけで運用を開始できる. 情報画面を表 4 適用例 図 - 3 保守情報の収集 情報画面から 報 (Fig.3-Maintenance information collection) 本製品では, 第 1 章で述べたスマートデバイスの市 場環境から, スマートデバイス検疫の運用のターゲットを, 大きく分けて以下の二つとした. 1) 社給端末のみ業務ネットワークへの接続を許可する運用 4.1 節に記載 2)BYOD 端末の場合, セキュリティポリシーを遵守している端末のみ業務ネットワークへの接続を許可する運用 4.2 節に記載 4.1 社給端末運用への適用社給端末の場合, 社員に支給する前に予め MAC アドレスのリストを入手することが可能である. そこで, 本製品では,MAC アドレスによる認証で, 社給端末運用を実現する. あらかじめ本製品サーバに定義してある許可 MAC アドレスリストと端末の MAC アドレスが一致するかどうかをチェックする. 一致した場合のみ業務ネットワークへの接続を許可する. MAC アドレスリストの作成方法は, 例えば, 社給端末の導入時に社給端末の MAC アドレスリストを事前に入手し, それを本製品サーバに移入する方法と, PFU の IT 機器管理アプライアンス inetsec Smart 注 5) Finder や MDM 製品が収集する MAC アドレスリス 注 5) オフィスなどのネットワーク環境において, ネットワークに接続されている様々な IT 機器をトータルに管理し, 機器の台数, 種別, 稼働時間などを見える化する製品. 4.2 BYOD 運用への適用本製品は, 以降で示すように, 様々な BYOD 運用シーンに適用できる. (1) 特定 OS バージョンだけを許可する運用への適用 Android 端末は,Version 2 系,3 系,4 系が同時に出荷 更新されており, それぞれの製品世代毎に 最新バージョン が存在する ( 表 -3 参照 ). 単純にバージョン番号の数字の大きさだけでは, 新旧を判断することができない. そのため, 表 - 3の網がけで示したバージョンのみの接続を許可する, といった複雑な制御が求められる. 本製品では,Web 管理画面から世代ごとに許可するバージョンを指定するだけで, このような運用が実現できる. (2) ソフトウェアの導入を強制する運用への適用企業や大学では, セキュリティ対策の一環としてウイルス対策ソフトウェアを利用者にインストールするよう指導するのが一般的であるが, 徹底させることは難しい. 本製品を導入することで, 利用者にウイルス対策ソフトウェアのインストールを強制できる. 端末にウイルス対策ソフトウェアが導入されている場合だけ業務ネットワークへの接続を許可することで実現する. また, 大学のように, 特定のセキュリティソフトウェアの導入を学生に指示することが難しい場合は, 複数の種類のウイルス対策ソフトウェアのうち, どれか一つでもインストールされていれば許可する, といった柔軟な運用も可能である. (3) 特定機種限定で持ち込みを許可する運用への適用企業が特定機種の端末の購入を推進している場合や, 特定機種に限って個人所有の端末持ち込みを許可している場合, 企業側が指定した特定機種のみ業務ネットワーク接続を許可する必要がある. 本製品は,Web 管理画 6) 面にて接続を許可する端末のモデル名やビルド番号注などを指定するだけで, 指定した特定機種からの接続だけを許可する運用が実現できる. (4) 端末の検知 ~ 監査まで一元管理する運用への適用 inetsec シリーズの IT 機器管理アプライアンス inetsec Smart Finder と本製品が連携することで, 注 6) ソフトウェアを生成する際に, ソフトウェアを識別するためにつけられるユニークな番号. PFU Tech. Rev., 23, 2, (11,2012) 5

6 図 - 4 MAC アドレス認証の設定画面 inetsec Inspection Center V7.0 開発 ~ スマートデバイス検疫の実現 ~ スマートデバイスに対する検知 遮断 認証 検疫 管理の一元管理 実行が可能となる ( 図 -5 参照 ). inetsec Smart Finder との連携の構成において, inetsec Smart Finder のセンサーが, 社員や学生の個人所有端末による業務ネットワークへの接続を自動的に検知し, 通信を遮断する. ネットワーク利用者は, ネットワークへの初回接続時のみ, 端末のブラウザに表示される利用申請画面からネットワークの利用申請を行う. 利用申請が許可された後, 利用者は端末の検疫アプリのログイン画面から ID とパスワードを入力しログインボタンを押下することで, パスワード認証処理が実施される. また, ログイン端末のバージョン情報やアプリの導入 状況, スクリーンロックや root 化チェックなど端末に対するセキュリティ監査 ( 検疫処理 ) が実行される. セキュリティポリシーを満たしている端末だけが, 業務ネットワークを利用でき, 業務ネットワークをセキュアな状態に保つことができる. 一方, ネットワーク管理者は,iNetSec Smart Finder のマネージャソフトウェアに, 利用者の情報がすべて格納されるため, 利用者によって持ち込まれたスマートデバイスを一元管理することができる. 表 - 3 Android のバージョン遷移 系 1. 系 2.2 系 2.3 系 3. 系 4. 系 (Fig.4- Setting screen for MAC address authentication) タブレット 業 ーバ root 化 inetsec Inspection Center 検疫 ーバ検疫 リシー 守 検 inetsec Smart Finder セン ー 認証 inetsec Inspection Center 認証 ーバ ルータ 用 情報 inetsec Smart Finder マ ージ スマートフォン AN アクセス イント 図 - 5 inetsec Smart Finder 連携構成図 (Fig.5-iNetSec Smart Finder-integrated installation) 6 PFU Tech. Rev., 23, 2, (11,2012)

7 5 むすび本製品では, スマートデバイスに対する検疫機能を提供した. 今後もスマートデバイスの利用者数は増加することが見込まれており, 新 OS や新プラットフォームの対応のほか, モバイル端末に適した快適な業務環境の提供など, 新しいニーズへの対応を積極的に行うことで, 顧客が安全, 簡単に最新デバイスを利用できる製品を継続的に提供していく. 参考文献参 1)( 株 )ICT 総研スマートデバイス需要動向調査 参 2)iNetSec シリーズホームページ PFU Tech. Rev., 23, 2, (11,2012) 7