Windows Server 2012 における ネットワークアクセス保護 杵島正和 Microsoft MVP Virtual Machine

Transcription

1 Windows Server 2012 における ネットワークアクセス保護 杵島正和 Microsoft MVP Virtual Machine

2 自己紹介 杵島正和 ( きしままさかず ) お仕事 : 商社系 SIer で Microsoft 製品の営業支援 AD/Exchange から仮想化 SystemCenter まで インフラ回りが主担当です Microsoft MVP Virtual Machine 2

3 本日のキーポイント ネットワークアクセス保護の特徴 ネットワークアクセス保護の機能と実装方法 3

4 クライアントの正常性をどう保つか 4

5 クライアント管理は悩みがたくさん 勝手に持ち込まれたPCをネットワークに接続させたくない 不正なPCによる情報漏えいを防ぎたい ウイルス感染を未然に防ぎたい 会社の定めるポリシー違反のPCはネットワークにつながせたくない 毎月のセキュリティパッチぐらいは当ててほしい 万が一ウイルスに感染した場合 他のPC へ拡散を防ぎたい 外部から社内にアクセスさせたいが セキュリティポリシーと整合性をどう担保しよう 5

6 ユーザーの声はというと 面倒なことはやりたくない 難しいことはよくわからない パッチって当てないとだめなの? セキュリティが重要なのは理解できるが 業務効率向上を考えてほしい なんでも禁止すればよいというものではないでしょう 会社にいなくても業務ができる環境がほしい できることなら自宅の PC から会社に接続して仕事ができないか 6

7 対策を考えてみました ID/ アクセス管理の強化 サーバーやネットワーク管理の強化 ノート型パソコンの社外利用等の制限 端末利用の監視やログ管理の強化 オフィス入退出の管理強化 社員教育の強化 USBメモリ /CD-R 等の利用制限 検疫ネットワークの導入 生体認証の導入など端末認証の強化 シンクライアントの導入 ほぼ実施済み 今後導入を検討 7

8 ネットワークアクセス保護 (NAP) の概要 8

9 用語解説 用語および略称 NAP SHV SHA WSHV WSHA SCCM 説明 Network Access Protection ネットワークアクセス保護 System Health Validator システム正常性検証ツール System Health Agent システム正常性エージェント Windows System Health Validator Windows システム正常性検証ツール Windows System Health Agent Windows システム正常性エージェント System Center Configuration Manager 9

10 NAP 概要 ポリシーベースのシステム健全性の検証 ネットワーク接続に必要なシステムのポリシーに対して コンピュータが準拠しているかを検証 ネットワークの制限 正常性ポリシーの要件に準拠しないコンピュータに対して ネットワークリソースへのアクセスを制限 準拠 / 非準拠の状況に応じたアクションを規定することが可能 自動修復 非準拠のコンピュータに対して自動的な修復手段を提供 自動修復を行わずに 手動で修復することも可能 継続的な準拠 ネットワークに接続中も継続的に準拠状況を検証する 非準拠の状態でただちにネットワークを制限し自動修復を試みる 自動修復後 準拠の状態になれば ネットワーク接続が回復 10

11 NAP 環境 NPS サーバー ( ネットワークポリシーサーバー ) Windows Server 2012 (OS に標準搭載 ) NAP クライアント Windows 8 (OS に標準搭載 ) Windows 7 (OS に標準搭載 ) Windows Vista (OS に標準搭載 ) Windows XP (SP3 必須 ) インフラ環境 Active Directory ( 既存を利用可能 ) エンタープライズ CA ( 必要に応じて ) 実施ポイント 実施オプションに応じたサーバー スイッチ 修復サーバー 更新プログラムのアップデート用 ( 以下のいずれか ) Windows Server Update Services (WSUS) / Windows Update System Center Configuration Manager その他のアップデート用 ( 必要に応じて ) アンチウィルスの更新サーバー サポート用 Web サイト インターネットアクセス用プロキシサーバー 11

12 Windows Server 2012 での変更点 機能面の変更はない 変更されたのは管理面 サーバーの役割の変更 ネットワークポリシーとアクセスサービスから RRAS が分離 Powershell による構成と管理が可能 12

13 NAP のアーキテクチャ 修復サーバー システム正常性 サーバー (optional) WSUS, SCCM サードパーティ製品 インフラストラクチャ システム正常性ポリシー サーバー SHV によっては 外部サーバーと連携し 最新の状態を確認 更新情報 NAP 対応クライアント システム正常性エージェント (SHA) MS製品 サード パーティ 製品 SHA API NAP エージェント 実施ポイント システム正常性 ステートメント (SSoH) NAP EC API 強制クライアント (EC) (VPN, DHCP, 802.1X, IPSec RDGW) システム正常性 EC = Enforcement Client ステートメント応答 (SSoHR) 強制サーバー (ES) (VPN, DHCP, 802.1X, IPSec RDGW) ネットワーク ポリシー サーバー (NPS) システム正常性検証ツール (SHV) MS製品 RADIUS ネットワーク アクセス要求 RADIUS アクセス応答 サード パーティ 製品 SHV API NAP サーバー ES = Enforcement Server 13

14 ネットワークポリシーサーバー (NPS) NAP としての役割 NAP を実施するためのポリシーを定義 クライアントの 健全性/ 正常性 状態を検証 エラー時の内容に応じた準拠 / 非準拠を定義 標準では WSHV (Windows システム正常性検証ツール ) を用意 4 つの重要なポリシー設定項目 システム正常性検証ツール クライアントの状態の検証ポリシを定義 (Firewall 等 ) 正常性ポリシー SHV が認定した内容に基づいて準拠 / 非準拠の条件を定義 複数の SHV の要件をあわせてポリシー定義することも可能 ネットワークポリシー ネットワークアクセスの許可 / 拒否 / 制限のためのポリシー 定義した正常性ポリシーなどを条件とし アクセスのポリシーを定義 接続要求ポリシー 接続要求の処理の方法 ( 回線の種類やユーザー認証方法 ) を定義 14

15 ネットワークポリシーサーバー (NPS) RADIUS サーバー (RADIUS プロキシー ) としての役割 従来のインターネット認証サービス (IAS) の後継となる OS 標準の RAIDUS サーバー AAA ( 認証 承認 アカウンティング ) サーバーとして機能 RFC 準拠 ( 新たに RFC3162:IPv6/RFC3748:EAPHost に対応 ) RADIUS プロキシ機能 接続要求を RADIUS サーバーに転送し 接続要求ポリシーを構成 アカウンティングデータをリモート RADIUS サーバーグループに転送することも可能 Active Directory を利用した認証機能 ワイヤレス 802.1X 認証 有線 802.1X 認証 15

16 NAP クライアント システム正常性エージェント (SHA) 標準では WSHA (Windows システム正常性エージェント ) を用意 複数の SHA をクライアント上に展開可 NAP エージェント 各 SHA の結果をまとめて システム正常性ステートメントを作成 システム正常性ステートメントを実施ポイントを通じて NPS に報告する NPS からの応答結果を元に SHA と EC との調整 強制クライアント (EC) 実施ポイントとネットワークアクセス要求をネゴシエート 標準では VPN/DHCP/802.1X/IPSec/RD ゲートウェイの 5 種類の強制クライアント 16

17 標準 SHA/SHV Windows セキュリティ正常性検証 (WSHA/ WSHV) Windows 8/7/Vista /XP のアクション ( セキュリティ ) センターと連動し状態をチェック ファイアウォール 自動更新 アンチウィルス スパイウェア対策 外部にシステム正常性サーバーは不要 WSHA NAP エージェント NAP クライアント SoH WSHV NAP 管理サーバー NPS 17

18 標準 WSHA/WSHV ファイアウォール : 有効 / 無効 アンチウィルス : 有効 / 無効 定義情報が最新であるか アンチスパイウェア : 有効 / 無効 定義情報が最新であるか XP では アンチスパイウェアの検証はなし (XP 版のセキュリティセンターの制限による ) 自動更新 : 有効 / 無効 セキュリティ更新 : 特定の重要度以上のパッチが適用されているか 新しいアップデートをチェックしてからの経過時間をどれだけ許容するか Windows Server Update Services が展開されているか Microsoft Update が利用可能でなければならない 18

19 実施オプション 実施オプションとは 検疫の合否 ( もしくは NAP 未対応 ) によってネットワーク制限 許可を強制する方法 DHCP 実施 実施ポイント DHCP サーバー (Windows Server 2012) アクセス制限 許可の方式 検疫結果に応じた IP v4 アドレスの割当て 制限時には 特殊なサブネットマスクとデフォルトゲートウェイ無が割当て 802.1x 実施 IEEE 802.1X ネットワーク機器 ( スイッチ / アクセスポイント ) IPSec 実施 正常性登録機関 Web サイト (Windows Server 2012) 検疫結果に応じて接続ポートへの動的な VLAN の割当て 検疫パス VLAN1 検疫 NG VLAN2 検疫結果に応じた証明書の発行 保護対象のサーバーには IPSec を必須に設定 検疫をパスした PC に短期の証明書を発行 VPN 実施 VPN サーバー (Windows Server 2012) 検疫結果に応じた VPN サーバー経由の通信をフィルタリング RD ゲートウェイ実施 RD ゲートウェイサーバー (Windows Server 2012) RD ゲートウェイへの接続時に検疫結果に応じて接続を許可または拒否 19

20 NAP の動作イメージ 1 ネットワーク接続時 システム状態を提出 2 問合せ 3 ポリシーを確認 6 ポリシーに合致しないことを通知 5 ネットワーク制限 実施ポイント ( サーバー / デバイス ) 4 NG! ネットワークポリシーサーバー Windows Server 修復サーバーよりアップデート 修復サーバー (WSUS Web サイト等 ) Active Directory 検疫ゾーン 境界ゾーン セキュアゾーン 20

21 DEMO

22 NAP RD ゲートウェイ設定 22

23 NAP 設定概要 NAP 導入ステップ NAP 環境の構成 Active Directory の構成 修復サーバーの構成 NPS サーバーの構成 RDゲートウェイサーバーの構成 NAP クライアントの構成 NAP の構成 23

24 NAP 設定概要 Active Directory の構成 GroupPolicy を利用するための OU 及びセキュリティグループを設定 WMI で NAP 対応クライアントを選定可 ドメインコントローラーが Windows 2003 の場合 GroupPolicy で NAP 設定を展開するなら中央ストアを構成しポリシーテンプレートを配置する NAP 対応クライアントで適用例外を設定する場合は対応したセキュリティグループを策定 24

25 WSUS: NAP 設定概要 ( オプション ) WSUS 展開が必要 SCCM: SCCM 展開が必要 及び NAP クライアントへパッチ展開設定 その他 : アンチウイルスのパターンファイルの展開設定 25

26 NPS ポリシー設定 26

27 NPS インストール 27

28 NPS 設定 RADIUS 通信 RADIUS クライアント リモート RADIUS サーバーグループ 接続要求ポリシー NAP ポリシー システム正常性検証ツール 正常性ポリシー ネットワークポリシー 28

29 RADIUS クライアント NPS にリクエストを行う RD ゲートウェイサーバーを定義 29

30 接続要求ポリシー 30

31 NAP ポリシーの構成 ネットワーク アクセス 保護 設定 システム正常性検証ツー ル SHV Windows セキュリティ 正常性検証ツール の検証項目の設定 System Center Configuration Manager SHV の設定 (オプション) その他 SHV の設定 (オプション) 正常性ポリシー ネットワークポリシー 正常性 OK SHV をすべてパス 正常性 NG に 1 合致した場合は 正常性 NG SHV のいずれか 失敗 正常性 OK に 2 合致した場合は ネットワーク制限あり ネットワーク制限なし NAP に対応しない 3クライアントは ネット ワーク制限あり/なし 修復サーバーグループの 設定 31

32 システム正常性検証ツール エラー時の設定 いずれかのコンポーネントにエラーがあった際の挙動を設定可能 32

33 正常性ポリシー システムの正常性の状態を規定するポリシー 33

34 正常性ポリシー SHV すべて OK なら 準拠 SHV のうち 1 つ以上 NG だと 非準拠 34

35 ネットワークポリシー ネットワークへの接続要求に対する許可 拒否 および制限のポリシーを規定する ポリシーで規定する項目 (1) 概要 ( アクセス許可 ) 接続要求がこのポリシーの条件と制約に一致する場合のアクセス許可 / 拒否を指定 条件 接続要求が条件に一致する場合 このポリシーを利用して アクセス許可に従って 接続要求の許可 拒否 制限を実施 接続要求が条件に一致しない場合は 次の優先順位で定義されたポリシーが評価 指定可能な条件 グループ HCAP 日付と時刻 ネットワークアクセス保護の条件 接続のプロパティ RADIUS クライアントのプロパティ ゲートウェイ ネットワークアクセス保護の条件 正常性ポリシー NAP 対応コンピュータ ( かどうか ) 35

36 ネットワークポリシー ポリシーで規定する項目 (2) 制約 設定 接続要求がこのポリシーの条件に一致するが すべての制約が一致しない場合 ネットワークアクセス要求は拒否される 指定可能な制約項目 認証方法 アイドルタイムアウト セッションタイムアウト 被呼端末 ID 日付と時刻の制限 NAS ポートの種類 条件と制約が接続要求に一致して アクセスが許可された場合 ネットワーク接続に対してこの設定が適用される 設定項目 RADIUS 属性 ネットワークアクセス保護 ルーティングとリモートアクセス ネットワークアクセス保護 (NAP 強制 ) 完全なネットワークアクセスを許可する 時間を限定して完全なネットワークアクセスを許可する 制限付きアクセスを許可する 修復サーバーグループとトラブルシューティングの URL 自動修復の設定 36

37 ネットワークポリシーの設定例 ~ 準拠 正常性 OK 正常性ポリシーに合致 制限なしアクセス ~ 非準拠 正常性 NG 正常性ポリシーに合致 ネットワークを制限 自動での修復を試みる ( 選択 ) ~ 非対応 NAP 非対応クライアント 制限のある / なし 37

38 ネットワークポリシー 適用フロー 接続要求 ポリシー 1 を評価 Yes Yes 許可 接続に 設定を適用 条件に一致する 制約に一致する アクセス許可に 応じた処理 No No 拒否 ポリシー 2 を評価 ポリシー n を評価 完全なアクセスを 許可する 接続要求は拒否される 接続要求は許可され NAP 強制 設定が適用される 時間を限定して完 全なアクセスを許 可する 制限付きアクセスを 許可する 38

39 ネットワークポリシーの設定例 39

40 ネットワークポリシーの設定例 クライアント側で自動的に修復するよう構成しポリシーに準拠させることも可能 ( ただし 自動修復対象は全てではない ) ネットワークの制限有無を選択する制限を開始する時期も設定可能 アクセスが制限された場合に 修復方法等を案内するためのサポート用 Web サイトを設定 40

41 RD ゲートウェイサーバーの設定 RD ゲートウェイから NPS に対して接続承認を要求するための設定を行う 41

42 クライアント設定 42

43 GPO によるクライアント設定 43

44 クライアント設定 クライアント側のレジストリを変更する HKEY_LOCAL_MACHINE SOFTWARE M icrosoft Terminal Server Client TrustedGateways GatewayFQDN に RD ゲートウェイの FQDN を入力 44

45 DEMO

46 まとめ 46

47 部分 段階的な展開が可能 コスト セキュリティ 既存環境等に応じてネットワークの制限手法を選択可能 柔軟に運用できるポリシー 検証項目の追加 強制方法を随時変更可能 ポリシーの変更は動的に反映され 健全性を常に最適化できる 展開シナリオ ( 例 ) 対象範囲 フェーズ 1: 既存のネットワーク環境の一部で導入 (DHCP IPsec) フェーズ 2: リモートアクセスの検疫の追加 (VPN RD ゲートウェイ ) フェーズ 3: ネットワーク機器の更改に応じて順次強化 (802.1X) 時間軸 フェーズ 1: 制限なしのアクセス ( パイロット展開 レポート採取のみ ) フェーズ 2: 執行猶予つきアクセス 最終フェーズ : 制限を強制 47

48 まとめ セキュリティポリシーの統合と末端までの浸透させることのメリットの享受 ネットワーク コンピューターといった複数のレイヤーをまたがって保護 セキュリティとコンプライアンスの管理がシンプルにできる 48

49 Q & A 49

50 Thank You! 50