IT ライブラリーより (pdf 100 冊 ) http://www.geocities.jp/ittaizen/itlib1/ Windows Server 2008 R2 今すぐ始めるネットワーク検疫
他の章は下記をクリックして PDF 一覧からお入り下さい IT ライブラリー (pdf 100 冊 ) http://www.geocities.jp/ittaizen/itlib1/ 目次番号 270 番 Windows Server Enterprise 2008 R2 完全解説 ( 再入門 ) 全 26 冊 2
ネットワーク検疫とは? ネットワークアクセス保護 (NAP) ネットワーク検疫とはクライアント PC がに接続する際に セキュリティチェックを行う仕組みです 一定のセキュリティ要件 ( ポリシー ) を満たしていないとにアクセスさせないように強制できます ネットワーク検疫を導入することで次のメリットを期待できます 機密情報の漏洩の防止 : 不正に接続された PC からのアクセスを制限 他のサーバー / PC へのウィルス感染の防止 : ウイルス対策が不十分 セキュリティ更新プログラムが未適用といった P C のアクセスを制限 Windows 標準のネットワーク検疫機能 : NAP NAP( ネットワークアクセス保護 ) は Windows Server 2008 /R2 に標準搭載されたネットワーク検疫機能です Windows クライアント (Windows XP SP3 / Vista / 7) に標準搭載された NAP クライアント機能と連携して動作します NAP の仕組みと特徴 PC がネットワークに接続された際に 自動でポリシーと適合するかをチェックします チェックに合格すれば にアクセスが許可されますが 不合格の場合はアクセスが拒否または制限されます 制限された場合は 別の隔離されたネットワークに自動接続され ポリシーを満たすよう修復させることができます 制限ネットワーク ( 修復用 ) Windows 標準でチェックできる項目 ウィルス対策ソフト : 有効 定義が最新か スパイウェア対策ソフト : 有効 定義が最新か ファイアウォール : 有効 定義が最新か 自動更新の設定 : 有効 セキュリティ更新プログラムの適用 : 重要度 最終更新 NAP サーバー 業務サーバー 3
セキュリティ違反の PC を排除 New 課題: 社内でのウィルス感染や不正アクセスを防ぎたい セキュリティの脆弱な PC や 不正な持ち込み PC が社内に 接続できてしまうと ウィルス蔓延や情報漏えいのリスクが高まる どうやって危険な PC を排除したらい いか システム管理者 脆弱性あり 各種ネットワーク アクセス ポイント 解決策: NAP を使用して セキュリティ ポリシー違反の PC を排除 PC の健康状態をアクセス ポイント 経由で検疫サーバーへ通知 ポリシーへの適合結果で接続を制限 検疫サーバー ネットワーク ポリシー サーバー 更新プログラム未適用 ウィルス定義が古い ファイアウォール無効 etc ネットワークアクセス保護 NAP セキュリティ ポリシーへの適合度に応じて ネットワークへのアクセスを制限 4
検疫で問題のあった PC を自動修復 New 課題: 検疫 NG の結果 社内にアクセスできないと 問い合わせが殺到してしまう 検疫 NG の場合に ネットワークから 遮断するだけだと ユーザーからの問い合わせが 殺到してしまう ring ring ring 検疫 NG アクセス なんか繋がらないんですけど ユーザーが PC の 更新を忘れるたびに 問い合わせがくるんじゃ 対応してられないよ システム管理者 解決策: 検疫 NG の PC を排除するだけでなく 自動的に問題を修復して再接続も可能 検疫で問題のあった PC は自動的に修復され 再度アクセスできる ① アクセス ネットワーク ポリシー サーバー 検疫 NG ② 修復 ファイアウォール有効化 更新プログラム適用等 ③ 再アクセス 修復 サーバー 社内リソース 修復サーバー 検疫 NG の際に修復のため 誘導されるサーバー 自動的に更新プログラムを 適用できる 検疫 OK 5
既存環境に合わせて容易に導入 New 課題: 低コストで現実的に導入可能な検疫環境を構築したい 特定のハード ソフトで固めればできるけど 既存設備や標準ソフトの刷新が必要 社製スイッチ 社製ソフト コストがかさむし 切り替えだって大変だよ 解決策: 既存環境に合わせて構成を選択可能 クライアントは標準 構成の PC で OK 既存のネットワーク機器を利用可能 特定ベンダに依存しない DHCP方式 (DHCPサーバー) IPSec 方式 (IPsec 設定) 802.1x 方式 (対応スイッチ) SP3以降 選択が可能 組み合わせが可能 段階的な導入も可能 導入コスト セキュリティ強化 不正接続防止 多様なネットワーク 実施ポイント 選択 ネットワークの選択肢が広く 既存環境も活用可能 6
初期投資を抑えて段階的に導入 New 課題: 検疫を実施したいが 初期投資の負担が大きい 不正接続 802.1x 対応に インフラを刷新 コストもかかりそうだし プランニングも大変だ 社内リソース セキュリティ 脆弱性 コンプライアンス 解決策: まずは低コストでセキュリティ強化を 次に不正接続の防止へ まずはネットワーク機器に依存しない DHCP 方式でセキュリティを強化 STEP 1 DHCP で検疫 そして 802.1x 対応機器を導入して 接続ポート単位で不正アクセス防止 STEP 2 802.1X の導入 ネットワーク ポリシー サーバー ネットワーク ポリシー サーバー DHCP サーバー ポリシー ポリシー 判定 セキュリティ 脆弱 ネットワーク 認証失敗 DHCP から 802.1x へ 段階的に導入 導入しやすい 仕組みから順に 展開できる 判定 802.1x 対応スイッチ セキュリティ脆弱 7
社外からの VPN アクセスを検疫 New 課題: 自宅や外出先からのアクセスを検疫したい リモートから仕事できるようにして 認証だけだとセキュリティが不安 利便性を高めたいけど セキュリティ ポリシーに 違反した PC は接続させ たくない Internet 解決策: VPN サーバー上でも検疫が可能 ポリシーに合致した PC のみ VPN アクセスが可能 合致しない PC は修復サーバーにのみ接続が可能 接続時に PC の健康状態を送信 ポリシー準拠 VPN サーバー ネットワーク ポリシー サーバー Internet 更新プログラム未適用 ウィルス定義が古い ファイアウォール無効 etc ポリシー判定 修復 制限エリア VPN 検疫 VPN でも接続時に 検疫 自動修復できる 修復サーバー 8
社外からのリモート デスクトップ接続を検疫 New 課題: 情報漏えいを防ぎつつ 社外から安全に仕事ができる環境を提供したい 社外からも仕事ができるように したいけど セキュリティが不安だし 情報漏えいも心配だなあ Internet アクセス元を検疫できて かつ ローカルにデータを保存させない 仕組みはないかな 解決策: リモート デスクトップも検疫できて 情報漏えいも防ぐ リモート デスクトップなら社内と同じ 操作性で ローカルにデータを保存しない ローカル PC への データ保存禁止 やりとりするのは 画面の情報だけ 更新プログラム未適用 ウィルス定義が古い ファイアウォール無効 etc RD ゲートウェイ リモート デスクトップ サーバー RD ゲートウェイ検疫 社外からのリモート デスクトップ接続を NAP で検疫 ネットワーク ポリシー サーバー RD ゲートウェイ インターネット経由でリモートデスクトップを利用するためのゲートウェイ 9
検疫の内容を強化 New 課題: 標準の検疫内容に さらに機能を追加したい 標準でできる検疫内容に さらに項目を追加したい ネットワーク ポリシー サーバー 標準の検疫内容 検疫 修復 更新プログラムが最新 ウィルス定義が最新 ファイアウォール有効 etc 修復サーバー 独自のルールを組み込みたい ウィルス対策ソフトと連携したり あるプログラムのインストールを 必須にするとか 解決策: アドインで検疫機能を強化できる 標準の検疫内容を 他製品と連携して拡張 例えば ウィルス対策ソフトが停止しても 強制起動 ウィルス定義ファイルの更新に 猶予期間を設定できる etc ウィルス対策 スパイウェア対策 ファイアウォール 自動更新 更新プログラム + 更新プログラムに限らず 任意のインストール条件を検査 さらに API でカスタム開発も可能 MSDN ライブラリ: Network Access Protection 英語 拡張性の高さ 他製品またはカスタム製の アドオンを組み込み可能 NAP 対応パートナー情報 セキュリティー センター http://www.microsoft.com/japan/windowsserver2008/ nap-partners.mspx 10
検疫の実施ログとレポート New 課題: 検疫の実施状況をログで見たい そこから手軽にレポートを作成したい 毎日たくさんの PC が アクセスしてきて 検疫自体はちゃんと 機能していそうだけど 実際のところ 検疫 NG って どれくらい検知してるんだろう どのくらいの PC が NG になってい るのか監査ログを採りたい 社内リソース 脆弱性あり 解決策: 監査ログとレポート パックによる監査レポート データベースにログを貯めてレポート出力 検疫結果リアルタイムにログ採取 ポリシー判定 ネットワーク ポリシー サーバー 脆弱性あり 監査ログ レポート生成 (SQL Server) SQL Server NAP レポート パック 検疫結果のログを取得してレポート 誰が いつ どの端末で NG になったか etc NAP レポート パック http://www.microsoft.com/japan/technet/itsolutions/cits/mo/default.mspx 11
参考構成例 Windows Server 2008 R2 Standard x 1, Windows Server 2008 R2 Enterprise 4, Windows Server CAL 1,000 参考価格 : 8,463,300- 構成例 (DHCP による検疫実施 ) DHCP サーバー ( 冗長化構成 ) ネットワークポリシーサーバー ( 冗長化構成 ) クライアント PC x 1,000 台 Windows Server Update Services (WSUS) Active Directory ( ドメインコントローラー ) 記載の価格は 2009 年 10 月現在の参考価格です ( 参考価格は Select の価格レベル A の新規ライセンス (L) + SA 3 年分で算出しております ) お客様の実際のお支払額は お客様のご注文先である LAR 様 販売会社様との間で決定されます 上記はあくまで参考情報であり 導入の際には実環境に合わせた構成を考慮する必要があります 本構成例にはハードウェア 構築費用は含まれておりません NAP 動作要件として Active Directory が必要になります ( 本構成例ではドメインコントローラーの費用は含まれていません ) Windows Server CAL は 2008 用のライセンスをお持ちであればその分の購入の必要はありません クライアント PC(Windows 7 Windows Vista Windows XP SP3) には NAP クライアント機能が標準で搭載されます 12
導入事例 栗山米菓 新社屋移転にともない NAP 対応スイッチ (802.1x) を導入 PC のセキュリティチェックと持ち込み PC 対策のコストを削減 情報漏えいなどのリスクは常に存在します しかし 外部で利用した PC を社内に持ち込むことは 業務上必要な場合もあります それを禁止してしまうと逆に業務に支障が出たり 効率が悪くなるということがありました 反面 自宅などでダウンロードしたファイルでウイルスに感染するといった可能性もあり これらの課題を解決できるのが NAP だったのです 公開事例 http://www.microsoft.com/japan/windowsserver2008/casestudies/kuriyamabeika.mspx 国内製造業 7000 台のクライアント PC を DHCP 方式にて検疫 ネットワークポリシーサーバー x 2 台 DHCP サーバー x 2 台 ( 冗長構成 ) マイクロソフト 全世界 13 万台のクライアントを IPsec 方式にて検疫 System Center Configuration Manager との連携でソフトウェアの更新を実施 公開事例 http://www.microsoft.com/casestudies/casestudy.aspx?casestudyid=4000000983 http://www.microsoft.com/casestudies/casestudy.aspx?casestudyid=4000002160 Windows Server 2008 導入事例はこちらからアクセス http://www.microsoft.com/japan/windowsserver2008/casestudies/default.mspx 13
もっと知りたい方は デモンストレーションでよくわかる Windows Server 2008 R2 Webcast ネットワークアクセス保護 (NAP) Webcast Windows Server 2008 R2 に搭載されたネットワークアクセス保護 (NAP) 機能とその強化点 (Windows 7 クライアントのサポート 管理機能の強化 DHCP フィルターなど ) についてご紹介します ご都合のよい時間に視聴下さい http://www.microsoft.com/japan/windowsserver2008/r2/webcast/default.mspx 製品情報ポータル Windows Server 2008 : ネットワークアクセス保護 (NAP) ネットワークアクセス保護 (NAP) に関する製品情報のポータルサイトです 協賛パートナーの一覧や 無償の NAP レポートパックのダウンロードも下記のサイトより案内があります http://www.microsoft.com/japan/windowsserver2008/network-accessprotection.mspx 技術情報 Windows Server 2008 TechCenter 本 Web サイトには Windows Server 2008 の評価 導入に役立つ技術情報が掲載されています 機能説明 ステップバイステップガイドなど Windows Server 2008 / Windows Server 2008 R2 の評価 導入にお役立てください http://technet.microsoft.com/ja-jp/library/cc754521(ws.10).aspx Windows Server 2008 TechCenter で検索 14
サポートライフサイクル マイクロソフトは ビジネス製品および開発用製品について 最短でも 10 年間 ( メインストリームサポートフェーズ 5 年間 および延長サポートフェーズ 5 年間 ) サポートを提供します 1 年 2 年 3 年 4 年 5 年 6 年 7 年 8 年 9 年 10 年 メインストリームサポート 延長サポート メインストリームサポート 延長サポート オンラインセルフヘルプサポート オンラインセルフヘルプサポート 上記はビジネス製品および開発用製品についての情報です コンシューマ製品 ハードウェア製品 マルチメディア製品 および Microsoft Dynamics 製品については 最短でも 5 年間のメインストリームサポートを提供します 詳細については マイクロソフトのサポートライフサイクルの Web サイトをご覧ください http://support.microsoft.com/lifecycle/ 製品の仕様変更 機能追加 セキュリティ更新プログラム提供 セキュリティ以外の更新プログラムのリクエスト 無償サポート 有償サポート セキュリティ更新プログラム提供 セキュリティ以外の更新プログラムのリクエスト ( 別途契約が必要 ) 有償サポート マイクロソフトの Web サイトでの製品情報提供 Windows Server のサポートライフサイクルは以下のとおりです Windows 2000 Server はまもなく延長サポート終了です 新バージョン移行へのご計画を早期にお願いいたします 2009 年 2010 年 2011 年 2012 年 2013 年 2014 年 2015 年 2016 年 2017 年 延長サポート 2010 年 7 月終了 メインストリームサポート 延長サポート 2015 年 7 月終了 + メインストリームサポート 延長サポート Windows Server 2008 R2 をお勧めします 15
他の章は下記をクリックして PDF 一覧からお入り下さい IT ライブラリー (pdf 100 冊 ) http://www.geocities.jp/ittaizen/itlib1/ 目次番号 270 番 Windows Server Enterprise 2008 R2 完全解説 ( 再入門 ) 全 26 冊 16