InfoCage 不正接続防止 ご紹介資料 詳細版

不正接続防止領域 2012 年実績シェア No.1 出典 : 富士キメラ総研 2013 ネットワークセキュリティビジネス調査総覧 InfoCage 不正接続防止 ご紹介資料 ( 詳細版 ) 2014 年 6 月 日本電気株式会社

はじめに セキュリティ対策は 企業の規模を問わず 今やあらゆる企業に欠かせません 多くの企業がメディアの持ち出しを禁じたり ウイルス対策ソフトを導入したりといった対策を実施しています しかしながら 勝手に社内に持ち込まれた私有 PC を ネットワークに接続させない対策を実施し 管理しきれていますか? Page 2 NEC Corporation 2014

ネットワーク管理における問題点と課題 セキュリティ対策を施していない PC や持ち込み PC に対する対策が不十分だと 問題点 持ち込み PC からウイルス感染 無許可で接続された持ち込み PC がウイルスに感染していると そこから社内ネットワーク経由でウイルス感染が拡大 ウイルス感染した PC から情報漏えい ウイルス感染した PC から Winny 経由で社内情報が漏えいし 漏えい情報の悪用による犯罪の誘発や 漏えい事故に対する損害賠償が発生 社会的な信用も失墜 ネットワーク管理者の声 持ち込み PC をネットワークに接続させたくないが 高価なシステムの導入やネットワークの設定変更といった作業はできれば行いたくない 不正 PC による情報漏えいを防止したいが 社内システムに接続された PC の情報をリアルタイムで監視するには多大な工数が必要 上記の不安を解消し ネットワーク管理者の負担を軽減する InfoCage 不正接続防止をご紹介いたします Page 3 NEC Corporation 2014

InfoCage 不正接続防止とは ネットワークに接続された端末をセンサーが自動的に検知し 不正に接続された端末の通信を遮断します センサー OK! NG! NG! 正規 PC 持ち込み PC 私有スマートフォン 正規の端末のみ接続を許可 セキュリティ対策が不十分な PC によるウイルス感染を防止 管理外の PC による不正アクセスを防止 ネットワークのセキュリティを守り 情報漏えいなどのリスクから企業を守ります Page 4 NEC Corporation 2014

InfoCage 不正接続防止とは < 構成 > ネットワーク接続機器の固有情報の収集機能と その情報の管理機能で構成されます また 管理機能はシステムの規模によって 集中管理と分散管理機能の選択ができます 集中管理サーバ DomainManager 通報 管理サーバ SiteManager 管理者 端末情報収集 端末情報収集 InterSec/NQ30 ( アプライアンス ) SwitchManager オプション 接続を防止 接続を防止 インテリジェントスイッチ 接続を防止 持ち込み ( 無許可 ) 機器 許可済機器 持ち込み ( 無許可 ) 機器許可済機器 持ち込み ( 無許可 ) 機器 許可済機器 許可済機器持ち込み ( 無許可 ) 機器 Page 5 NEC Corporation 2014

各モジュールの説明 モジュール名 SiteManager DomainManager 機能概要 本製品の管理ソフトウェアです InterSec/NQ30 および SwitchManager が収集したホスト情報を集計し 台帳の作成 接続可否の設定 管理者への通知を行います SiteManager の上位の管理ソフトウェアです SiteManager を複数台まとめて管理します 承認申請機能 接続ポート検知機能など Web コンソールを使った集中管理機能を提供します InterSec/NQ30 ( アプライアンス ) SwitchManager 各ネットワーク (IP サブネット ) に設置します ネットワーク上のパケットを収集し管理サーバ (SiteManager) に転送します また 管理サーバのホスト接続可否設定に従って 不正接続の監視 未承認マシンの不正接続防止を行ないます インテリジェントスイッチから接続端末の情報を収集し 管理サーバ (SiteManager) に転送します また 管理サーバのホスト接続可否設定に従って スイッチと連携し不正接続の監視 未承認マシンの不正接続防止を行ないます Page 6 NEC Corporation 2014

InfoCage 不正接続防止の特徴 1. 簡単導入 ネットワーク構成の変更が不要で 既存環境にそのまま導入することができます 管理対象の機器に 新たにソフトウェアをインストールする必要はありません 2. スマートデバイス対応 スマートフォンやタブレットなどのスマートデバイスも PCと同様に管理可能です 3. IPv6 対応 IPv4と同様にIPv6が有効になっている端末も管理ができ IPv6で行われる不正な通信の遮断が可能です 4. 大規模対応 10 万件のMACアドレスを1 台のサーバで管理できます サーバ台数を1 台に抑えることで 導入 運用コストを削減します Page 7 NEC Corporation 2014

主な機能紹介 PC 台帳情報の自動収集機能 不正接続監視機能 不正接続防止機能 機種別許可設定機能 IPv6 対応 スマートデバイス対応 接続ポート検知機能 資産管理製品との連携 承認申請機能 スイッチ連携機能 タグ VLAN 対応 InterSec/NQ30 の冗長化機能 Page 8 NEC Corporation 2014

PC 台帳情報の自動収集機能 ネットワークに接続されている機器の情報 ( アドレス情報 OS 情報など ) を自動収集し PC 台帳を作成します 管理用に SiteManager を 1 台 各セグメントに InterSec/NQ30 を設置するだけでネットワーク上の PC 台帳情報を自動収集 & 作成します サイトコンソール 端末情報収集 SiteManager ネットワーク上のパケットを監視して情報収集します ( ホストへのソフトウェアの導入は必要ありません ) 新規ホストを見つけると そのホストにパケットを数個送信して情報収集します エージェントの一覧からホスト一覧を参照 ホスト一覧 取得できたホストの情報を一覧表形式に表示します InterSec/NQ30 CSV ファイルのインポート エクスポートが可能です Page 9 NEC Corporation 2014

不正接続監視機能 MAC アドレス IP アドレス コンピュータ名の任意の組み合わせ (MAC アドレスは必須 ) をキーとして 不正に接続された機器を監視し 発見時に管理者へ通知を行います 3 メールで通知 通知手段 ポップアップ 電子メール SNMP Trap 任意のコマンド起動 新規ホストが発見された場合 管理者にメール ポップアップなどで通知を行います 3 ポップアップで通知 SiteManager 不正に接続されたホストのアドレス情報 コンピュータ名などの情報を自動的に収集します 2 未知のホストを発見すると SiteManager に通知 1 新規 ( 不正 ) ホストの接続 InterSec/NQ30 Page 10 NEC Corporation 2014

不正接続防止機能 1/2 ホストの状態 ( 色 ) に基づきネットワークへの接続が許可されていないホストの接続を防止します 4 メールで通知 通知手段 ポップアップ 電子メール SNMP Trap 任意のコマンド起動 通信を防止した場合 管理者にメール ポップアップなどで通知可能です 4 ポップアップで通知 SiteManager 1 ホストの状態をチェックし 不正 PC と判定 3 接続防止すると SiteManager に通知 不正ホスト ホスト毎に状態 ( 色 ) を設定します また 新規にホストを発見したときの初期の状態 ( 色 ) を設定します InterSec/NQ30 青 ( ): ホストの接続が許可されます 黄 ( ): Windows マシンの連携 PC 管理製品導入有無に従ってネットワークへの接続可否を決定します 赤 ( ): ホストの接続を防止します 接続を防止 2 不正ホストの通信を検知し接続を防止 Page 11 NEC Corporation 2014

不正接続防止機能 2/2 ~ 防止の仕組み ~ サイト管理者 サーバー ( 正規端末 ) InterSec/NQ30 1 不正接続防止機能の有効化 / 無効化 不正ホスト 2 不正ホストからの ARP パケットを監視 3 不正ホストからの ARP パケットを検知 4 不正接続を防止するパケットを不正ホストとセグメント内の端末へ送信 防止には偽装 ARP パケットを使用します 不正ホストかどうかは 集中管理機能利用時は MAC アドレスや IP アドレスで 分散管理機能利用時は MAC アドレスのみで識別します Page 12 NEC Corporation 2014

機種別許可設定機能 V4.0 強化 判別した機器種別ごとに自動で接続許可 / 不許可の設定を行うことができます 自動でサポート切れ OS のネットワークへの接続防止や ルータやスイッチなどネットワーク機器の接続許可を行うことができます 端末一覧画面 状態 MAC アドレス IP アドレス機器種別 NG 00:00:00:00:00:01 192.168.0.1 Windows XP サポート切れ OS をネットワークから遮断 OK 00:00:00:00:00:02 192.168.0.2 Windows 7 SP1 OK 00:00:00:00:00:04 192.168.0.4 ios OK 00:00:00:00:00:05 192.168.0.5 ネットワーク機器 OK 00:00:00:00:00:06 192.168.0.6 Linux ネットワーク機器の接続を自動的に許可 Page 13 NEC Corporation 2014

IPv6 対応 IPv6 環境でも不正接続防止の機能が利用できます IPv4 と同様に IPv6 が有効になっている端末も管理が可能です IPv6 に対応していないと IPv6 に対応することで IPv4 で通信できなくても IPv6 で通信ができる! MAC アドレス IP アドレス IPv6 アドレス IPv6 IPv4? 0A:00:01:0A:00:01 1.1.1.1 2001:1234::1! IPv4 IPv6 IPv6 を使用して不正な通信が行われているかも Windows Vista 以降はデフォルトで IPv6 通信が有効になっています IPv6 の通信も把握可能! Page 14 NEC Corporation 2014

スマートデバイス対応 スマートフォン タブレット端末などのスマートデバイスも PC と同様に不正接続の監視 防止を行うことができます スマートデバイスの種別を判別して端末一覧に表示することができます 端末一覧 InterSec/NQ30 端末情報収集 SiteManager 接続を防止 MACアドレス IPアドレス コンピュータ名 機器種別 0A:00:01:0A:00:01 1.1.1.1 HOST001 0B:00:02:0B:00:02 1.1.1.2 IPad01 ipad 0C:00:03:0C:00:03 1.1.1.3 HOST002 0D:00:04:0D:00:04 1.1.1.4 iphone01 iphone 0E:00:05:0E:00:05 1.1.1.5 Android01 Android スマートデバイスの接続状況を見える化! 無許可タブレット端末 ウイルス感染スマートフォン 無線 LAN 環境における注意事項は以下をご覧ください http://jpn.nec.com/infocage/prevention/faq.html [1. 全体 ]-[Q13. 無線 LAN で接続されている端末 (PC 携帯端末 ) を管理することはできますか?] Page 15 NEC Corporation 2014

接続ポート検知機能 検知した不正 PC が接続されているスイッチの IP アドレスとポート番号を収集し 接続している場所の特定を容易にします 通常製品の場合 人手による調査が必要で不正な PC が接続された場所の特定に時間が掛かる InfoCage 不正接続防止の場合 PC が接続されているスイッチの IP アドレスとポート番号を自動で収集することで迅速な場所の特定が可能 不正 PC の利用形跡を発見! でもどのフロアで利用されたのか調査が大変... < 管理画面 - ホスト一覧 > MAC アドレス IP アドレス 接続ポート情報スイッチアドレス AA:AA:AA:AA:AA:AA 1.1.1.1 Fa0/1 1.1.1.254 人手による調査 スイッチへログインして調査? SNMP 通信で調査 現物確認 管理画面から PC の接続場所を確認 インテリジェントスイッチ Page 16 NEC Corporation 2014

接続ポート検知機能 ( 補足 ) 接続ポート検知機能が利用可能なスイッチの要件 種別 要件 SNMP SNMPv1 SNMPv2c MIB 標準 MIB ( 1) 評価済みスイッチ 1: 利用する MIB は以下の通りです ポート情報を取得するために 以下 3 つの MIB が必要 以下のどちらかひとつ dot1dtpfdbport(bridge-mib RFC1493) dot1qtpfdbport(q-bridge RFC2674) ifname(if-mib RFC2233) dot1dbaseportifindex(bridge-mib RFC1493) スイッチ構成情報 スイッチ MAC アドレス情報を収集するために ( 導入時 ) 以下 3 つの MIB が必要 sysobjectid(snmpv2-mib RFC3418) ifphysaddress(if-mib RFC2233) 以下のどちらかひとつ Cisco 製 (sysobjectid が "1.3.6.1.4.1.9.~") の場合は entlogicaldescr(entity-mib RFC2737) 非 Cisco 製の場合は ipadentifindex(ip-mib RFC4293) 機種 ソフトウェアバージョン Cisco Catalyst 2960-24TT-L C2960-LANBASEK9-M 12.2(46)SE Cisco Catalyst 3560-24PS-E C3560-IPSERVICES-M 12.2(25)SEE2 Cisco Catalyst 6503-E s72033_rp-ipservicesk9-wan-m 12.2(33)SXI4 Cisco Catalyst 6506-E s72033_rp-ipservicesk9-wan-m 12.2(33)SXI4 QX-S5124P 3.3.1 QX-S3628TP-BS 3.3.24 QX-S3528C-BS 2.3.17 Page 17 NEC Corporation 2014

資産管理製品との連携 V4.0 強化 資産管理製品エージェントの導入済み PC のみネットワークへの接続を許可し 未導入 PC は接続させません 遮断された PC に対してインストーラを配布することで エージェントの導入徹底と展開コストの削減が可能になります InfoCage サーバ 遮断された PC から Web ブラウザを起動するとインストーラダウンロード画面を自動表示します インストールが完了後 自動で接続許可となります InterSec/NQ30 遮断! Web ブラウザ 接続許可 資産管理製品エージェント未導入 PC 資産管理製品エージェント導入済 PC 資産管理製品サーバ 接続許可 資産管理製品エージェント導入済 PC 対応製品 : LanScope Cat(MOTEX 社 ) SKYSEA Client View(Sky 社 ) InfoCage PC 検疫 (NEC) Page 18 NEC Corporation 2014

承認申請機能 接続が防止された PC 上からネットワークへの接続許可申請を実施することができます ネットワークへの一時接続が管理者を介さず可能になり 承認手順が簡易化されます 管理者へ事前申請をすることでネットワークへの接続が許可される 機能を有効 接続したい時に利用者自身で申請を行うことでネットワークへの接続が許可される 承認作業で管理工数圧迫... MAC アドレスを確認するのも面倒... ネットワーク管理者 3 接続許可 接続不可のため紙や電話などで接続申請 接続できるようになるまで時間もかかる... 1 接続不可 出張などの一時利用者 ネットワーク管理者 管理画面から状況を確認 承認処理不要! 1 接続防止 自 PC の Web ブラウザを使ってスムーズに申請が可能! 出張などの一時利用者 2 承認申請 2 承認依頼 InterSec/NQ30 3 接続許可 Page 19 NEC Corporation 2014

承認申請機能 ( 補足 ) ネットワークへの接続許可申請の実施イメージ ユーザ ID/ パスワードにより承認 ユーザ ID/ パスワード OK WEB の承認申請画面から下記の情報の入力を受け付けると接続が許可されます ユーザ ID/ パスワード ( 事前に承認申請用のユーザ ID/ パスワードを作成 ) 接続許可 ユーザ ID/ パスワード NG 接続拒否 運用を簡易化したい場合は 利用者情報 ( 氏名等 カスタマイズ可 ) のみの入力で接続を許可することも可能です 必要情報 ( 氏名等 ) および ユーザ ID/ パスワードを入力 接続許可 必要情報 ( 氏名等 ) を入力 Page 20 NEC Corporation 2014

スイッチ連携機能 インテリジェントスイッチを利用することで 不正接続防止 検知を行うことできます これにより InterSec/NQ30 が不要になります 管理コンソールからスイッチと InterSec/NQ30 を一元管理できます InterSec/NQ30 スイッチ SiteManager 端末情報収集 SwitchManager InterSec/NQ30 NETCONF 対応スイッチ MAC 認証対応スイッチ SNMP 対応スイッチ 未許可端末の接続を防止 Page 21 NEC Corporation 2014

タグ VLAN 対応 タグ VLAN(IEEE802.1Q) を用いて 複数の VLAN(IP ブロードキャストドメイン ) を構成する環境でも 1 台の InterSec/NQ30 で管理可能です 1 台の InterSec/NQ30 で複数のセグメントを管理する場合 ( タグ VLAN 対応環境 ) 1 台の InterSec/NQ30 で 1 つのセグメントを管理する場合 ( 非タグ VLAN 環境 ) タグ付きの複数 VLAN のパケットを監視 InterSec/NQ30 InterSec/NQ30b セグメント L3SW VLAN-1 L2SW L2SW 基本は 1 セグメントに 1 台の InterSec/NQ30 を設置する必要があります VLAN-2 1 台の InterSec/NQ30c で最大 16 個の VLAN を管理可能です 複数の VLAN を管理する場合 VLAN の数 -1 の InterSec/NQ30 1VLAN 追加ライセンス が必要となります Page 22 NEC Corporation 2014

InterSec/NQ30 の冗長化機能 InterSec/NQ30 に障害が発生した場合に 自動でフェイルオーバーを行い不正接続 PC の監視 防止を継続します InterSec/NQ30 が故障してもセキュリティを維持でき 管理者は緊急対応が不要になります 冗長化に対応していないと InterSec/NQ30 が故障すると 不正接続を防止できない リプレースまでの期間セキュリティが低下 冗長化に対応することで InterSec/NQ30 の障害を検知すると自動で予備機へ切り替え DomainManager SiteManager 2 ハードウェア保守対応依頼 1 障害を発見 障害発生 1 現用系ダウンを検知 2 設定を配布し自動で切り替え 3 現地でリプレース 防止不可 現用系 障害発生 フェイルオーバー 待機系 接続防止 1 台の待機系で複数台の現用系をカバー可能 Page 23 NEC Corporation 2014

InterSec/NQ30 の冗長化機能 ( 補足 ) 1 台の待機系で複数台の現用系をカバー可能です タグ VLAN 環境では 異なる VLAN を監視している複数の InterSec/NQ30 に対し 待機系の InterSec/NQ30 を 1 台を追加するのみで冗長化構成にすることができます 現用系 1 監視 VLAN VLAN 1 VLAN 2 現用系 1 で障害発生 現用系 2 監視 VLAN VLAN 3 VLAN 4 フェイルオーバー 監視 VLAN VLAN 1 VLAN 2 VLAN 3 VLAN 4 待機系 待機系の InterSec/NQ30 にフェイルオーバー後に監視する可能性のある VLAN を設定しておく必要があります また 設定した VLAN で通信ができるトランクポートに InterSec/NQ30 を接続してください 運用系 1 を引き継いで VLAN 1 VLAN 2 を監視 VLAN 1 VLAN 2 VLAN 3 VLAN 4 登録できる VLAN 数 1 台の InterSec/NQ30c で最大 32 個 現用系のときに監視できる VLAN 数 1 台の InterSec/NQ30c で最大 16 個 Page 24 NEC Corporation 2014

管理機能紹介 管理者権限の設定 ホスト情報管理 ホスト情報の自動運用 管理情報出力機能 インポート / エクスポート機能 エージェントの自動バージョンアップ機能 Page 25 NEC Corporation 2014

管理者権限の設定 V4.0 強化 管理単位 (LAN グループ or コンポーネント ) ごとにホストの管理や管理権限の設定が可能です 部門の管理者に権限を委譲するなど 効率の良い運用をすることが可能です LAN グループ単位 コンポーネント単位 DomainManager SiteManager ドメイン管理者 / 参照者 DomainManager : 管理範囲 LAN グループ LAN グループ SiteManager SiteManager LAN LAN LAN LAN LAN LAN グループ管理者 / 参照者 LAN グループ管理者 / 参照者 InterSec/NQ30 InterSec/NQ30 管理者 : ホスト情報の参照 編集が可能参照者 : 参照のみ可能 サイト管理者 / 参照者 エージェント管理者 / 参照者 Page 26 NEC Corporation 2014

ホスト情報管理 管理コンソールからエージェントが収集 または手動登録した接続ホスト情報の一覧の閲覧 編集が可能です 接続可否の判定条件やその適用範囲を柔軟に設定することが可能です < 集中管理 WEB コンソール - ホスト管理画面 > 状態 : ホストの接続可否 ( ホストの状態 ( 色 )) を設定します MAC アドレス IP アドレス : 収集または登録したホストの MAC アドレス IP アドレス情報です 識別方式 ( ): 接続可否を判断する際のキーを設定します MAC(MAC アドレスをキーとする ) IP(IP アドレスをキーとする ) DHCP( 設定した DHCP スコープ内の IP アドレスであるかをキーとする ) および左記の組み合わせから選択できます サイト ID エージェント名 ( ): 収集または登録した 該当ホストの接続可否が適用されるサイトやエージェントです *( ワイルドカード ) を指定してサイトやエージェントを横断した一括設定も可能です Page 27 NEC Corporation 2014 LAN グループで管理単位を設定した場合は LAN グループ名となります 分散管理では設定できません 分散管理では ホストの接続可否判断は MAC アドレスのみをキーとします

ホスト情報の自動運用 ホスト情報を削除する日付を指定することで ホストの接続許可の停止日をあらかじめ設定することが可能です 最後にホストが検出された日付をもとに 接続許可を制御 ( ホスト情報を削除 または初期の状態へ設定 ) することができます 許可登録 時間 削除予定日経過 一定期間ネットワークに未接続 接続を防止 削除予定日を指定したホスト 状態 識別方式 MACアドレス IPアドレス サイトID エージェント名 最終検出日 削除対象 削除予定日 MAC 00:00:01 1.1.1.1 001 NA1 2010/04/05 YES 2010/04/08 MAC 00:00:02 1.1.2.1 002 NA2 2010/04/01 YES MAC 00:00:03 * * * 2010/04/01 No MAC 00:00:03 1.1.3.1 002 NA3 2010/04/07 YES 一定期間検出されていないホスト 一定期間検出されない場合に削除対象とするかを選択可能です 状態識別方式 MAC アドレス IP アドレスサイト ID エージェント名最終検出日削除対象削除予定日 日次で自動処理 MAC 00:00:03 * * * 2010/04/07 No *( ワイルドカード ) 指定のホスト情報に MAC 00:00:03 1.1.3.1 002 NA3 2010/04/07 も最終検出日が反映可能です YES Page 28 NEC Corporation 2014

管理情報出力機能 DomainManager で検知した 新規ホスト発見件数や不正ホストの接続防止件数などの情報を CSV ファイルとして定期的に出力することが可能です 不正接続ホスト数等の増加 減少傾向の把握や管理に役立てることができます DomainManager レポート管理画面 CSV ファイル Excel などの表計算ソフトを用いて データ分析 例 ) 各ネットワークの不正接続台数推移 Page 29 NEC Corporation 2014

インポート / エクスポート機能 ホスト情報を CSV ファイルを利用してインポート エクスポートすることが可能です 資産管理製品から既存資産の PC 固有情報を取り込み InfoCage 不正接続防止が使用する認証用のデータベースを作成することができます 資産管理製品 既存資産の PC 固有情報出力 MACアドレス, IPアドレス, 備考,,,,,,,, CSV ファイル OS のスケジューリング機能などを利用してコマンドの定期実行も可能 インポート 抽出箇所指定ファイル SiteManager 許可済み PC リストの配布 インポートコマンド 置換コマンドでインポートする CSV ファイルの読み取り方法を指定することができます 他製品から出力した CSV ファイルのフィールド ( 項目 ) の数や順序等に関わらずインポートすることが可能です InterSec/NQ30 許可済み PC ( 資産管理されている PC) 未許可 PC ( 資産管理されていない PC) Page 30 NEC Corporation 2014

エージェントの自動バージョンアップ機能 InterSec/NQ30 のバージョンアップを 運用形態に合わせて柔軟に実施できます ( 自動展開による一斉適用 手動による段階的な部分適用 ) 管理している InterSec/NQ30 の一斉自動バージョンアップが可能 Ver. UP! 1SiteManager をバージョンアップ バージョンアップ手順は SiteManager をバージョアップするのみです 2 バージョンアップ日時を指定したい場合は エージェント毎に指定 InterSec/NQ30 をそれぞれ指定した日時に自動バージョンアップさせることが可能 エージェント毎にバージョンアップさせる日時を指定して 段階的な部分適用が可能になります 4/10 0:30 Ver. UP! Agent1 SiteManager 4/12 21:30 Ver. UP! Agent2 バージョンアップ日時 Agent1: 2010/04/10 00:30 Agent2: 2010/04/12 21:30 保留 Agent3 3 一斉 (1 時間以内 ) またはスケジュールした日時にバージョンアップモジュールが配布され 自動バージョンアップ InterSec/NQ30 InterSec/NQ30 InterSec/NQ30 Page 31 NEC Corporation 2014

Page 32 NEC Corporation 2014 スイッチ連携機能紹介

スイッチ連携機能とは 各セグメントに InterSec/NQ30 を設置せずに インテリジェントスイッチとの連携によって端末情報の収集 不正接続端末の監視 防止を行うことができます スイッチ管理用エージェント SwitchManager を SiteManager に登録し 管理対象スイッチの機能を利用することで スイッチ配下のホストを検知し 不正接続防止します スイッチで収集した MAC アドレスを一元管理 SiteManager SwitchManager MAC 認証方式 スイッチの ARP テーブルから MAC アドレスを自動収集不正接続端末は RADIUS の認証ログで検出 L3 スイッチ NETCONF 方式 スイッチの学習 MAC テーブルから MAC アドレスを自動収集 L2 スイッチ Page 33 NEC Corporation 2014

スイッチ連携機能連携方式について ご利用のネットワークスイッチと 連携方式の関係は以下の通りです NETCONF( 1) 方式 NETCONF を利用した制御機能で端末が所属する VLAN を動的に切り替え 不正接続 PC をネットワークから隔離します MAC アドレスによる認証を行います 端末接続先スイッチが特定できます ( スイッチ IP アドレス 接続ポート情報を取得可能 ) 対応スイッチ :IP8800/S シリーズ 1 NETCONF(NETwork CONFiguration) : ネットワーク機器を制御するための通信プロトコル MAC 認証方式 スイッチなどが端末を認証する方式の一つで MAC アドレスをユーザアカウントとして使用することで 接続された端末の MAC アドレスごとに認証を行います 認証された MAC アドレスを持つ端末のみネットワークを使用することができます 対応スイッチ :MAC アドレス認証に対応したスイッチ (IP8800/S シリーズ QX シリーズ IX シリーズ ( 2) Catalyst シリーズなど ) 検知のみ ネットワーク制御は行いません ネットワーク接続機器の情報収集のみを行います 対応スイッチ :SNMP 通信に対応したスイッチ (IP8800/S シリーズ QX シリーズ IX シリーズ ( 2) Catalyst シリーズなど ) 2 IX1000 シリーズは対象外 Page 34 NEC Corporation 2014

スイッチ連携機能 (NETCONF 方式の隔離 ) ~ 隔離の仕組み ~ 管理者 5 ホスト情報を管理コンソールに表示 ホストがスイッチのどのポートに接続したかまで特定! SiteManager 1 不正接続防止機能の有効化 / 無効化 SwitchManager 3 スイッチから学習した MAC アドレス情報を取得 4 登録されていない MAC アドレスを見つけた場合 スイッチに MAC アドレスを登録し VLAN 隔離 不正ホスト 2 スイッチが接続された端末の MAC アドレスを学習 IP8800/S Page 35 NEC Corporation 2014

スイッチ連携機能 (MAC 認証方式の遮断 ) ~ 遮断の仕組み ~ 管理者 4 ホスト情報を管理コンソールに表示 MAC 認証に失敗したホストの情報も取得し 確認可能! SiteManager 1MAC 認証機能の有効化 / 無効化 SwitchManager 2MAC アドレスを認証 RADIUS サーバ ( ) Windows サーバ標準の RADIUS サーバ機能を利用します 不正ホスト MAC 認証対応スイッチ 3 承認されていないホストは認証失敗とし ポート遮断 Page 36 NEC Corporation 2014

スイッチ連携機能での柔軟な運用 スイッチを利用した従来運用 ( 1) に比べ 端末管理の運用性が向上します 従来 MACアドレス情報の手動入力 手動管理 導入後 MACアドレス情報を自動収集し 1つの管理コンソールで一元管理 NQの段階導入と同様 情報収集から始めて段階的な拡張をすることも可能です 1: インテリジェントスイッチと RADIUS を利用した MAC アドレス認証 スイッチのアイコン メリット 1: 運用コスト小 運用管理操作は管理コンソールのみ メリット 2: 段階導入可能 まずは収集だけ行い 一定期間後未承認端末を通信制御する運用に変更することが可能 メリット 3: スイッチ毎の権限付与可能 不正 PC 接続防止有効 IP8800/S であればスイッチ毎に MAC アドレス管理が可能 Page 37 NEC Corporation 2014

スイッチ連携機能要件 スイッチ別動作可能方式 スイッチ機種 IP8800/Sシリーズ Catalyst QXシリーズ IXシリーズ ( 2) 動作可能方式 NETCONF MAC 認証 検知のみ MAC 認証 ( 1) 検知のみ MAC 認証 検知のみ MAC 認証 検知のみ 1 旧 IOS では 1 ポートで認証できる端末数に上限がある場合があります IOS のバージョンが 12.2(52)SE 以前である場合は事前にお問合せ下さい 2 IX1000 シリーズは対象外 必須要件 ソフトウェア SNMP 必須 ( 方式共通 ) MAC 認証集中管理 SiteManager SwitchManager SNMPv1 および RFC1213_MIB NPS(NetworkPolicyServer) Active Directory ( 3 4) DomainManager 最大収容数 管理スイッチ数 /1SwitchManager 管理ホスト数 / 1SwitchManager Page 38 NEC Corporation 2014 100 台 10000 クライアント 3 MAC 認証には RADIUS 機能の利用が必要です Windows Server 標準の NPS(Network Policy Server) +AD を使用して下さい 4 1 サーバでスイッチを 50 台以上管理する場合 Windows Server 2008,2008 R2 を利用するには Enterprise Edition を選択する必要があります (OS の Radius クライアント制限 )

スイッチ連携機能 InterSec/NQ30 との要件比較 不正 PC の接続防止の手段は異なりますが 不正 PC 接続防止機能はどちらも持っています セグメント毎のエージェント配置 or インテリジェントスイッチ導入 の選択が必要になります 比較項目 NETCONF 方式 スイッチ連携 MAC 認証方式 NQ 構成 セグメント毎のエージェント配置不要要 ネットワーク環境 インテリジェントスイッチが必要スイッチに認証設定が必要 要件無し 主な収集情報 MAC アドレス IP アドレス接続スイッチ 接続ポート MAC アドレス IP アドレス MAC アドレス IP アドレスホスト名 機能 不正接続防止の識別キー MAC アドレス MAC アドレス IP アドレス 不正 PC の制御手段 特定 VLAN へ隔離 端末ごと ( 送信元 MAC アドレスで識別 ) に認証 偽装 ARP で通信妨害 管理権限割当て単位 ( 3) スイッチ単位 SwitchManager 単位 InterSec/NQ30 単位 状態変更時の動作 設定の反映 ( 青 赤 ) ( 赤 青 ) 遮断解除時 端末側の復旧操作 次回ポーリング ( 1) 後再認証時 ( 2) 即時 PC 再起動 ( もしくは IP アドレス再取得 ) ネットワーク再接続 即時 ( 1) ポーリング : スイッチに対して行う定期的な状態問い合わせ ( 2) スイッチによってタイミングは異なります ( 3)SiteManager が管理するエージェントの単位となります Page 39 NEC Corporation 2014

構成例 SOHO 小規模オフィス向け提案 中規模 大規模オフィス向け提案 全国に拠点を持つ企業向け提案 Page 40 NEC Corporation 2014

SOHO 小規模オフィス向け提案 SiteManager オフィス全体で 1 セグメントを使用 端末数は数台から数百台程度 HUB に 1 台の InterSec/NQ30 を接続して運用 intersec NQ30 見積もり概算 (1 セグメント ) 製品名 個数 単価 価格 ( 税別 ) InfoCage 不正接続防止 V4.0 メディアキット 1 20,000 20,000 InfoCage 不正接続防止 V4.0 SiteManager 1ライセンス 1 290,000 290,000 InterSec/NQ30c 1 178,000 178,000 合計 488,000 Page 41 NEC Corporation 2014

中規模 大規模オフィス向け提案 SiteManager intersec NQ30 intersec NQ30 intersec NQ30 端末数は数百台から数千台程度 ルータや L3 スイッチを使用して部署ごとにセグメントを設置 タグ VLAN 対応機能を利用し 1 台の InterSec/NQ30 で複数 VLAN を監視 見積もり概算 (10 セグメント + タグ VLAN 40) 製品名 個数 単価 価格 ( 税別 ) InfoCage 不正接続防止 V4.0 メディアキット 1 20,000 20,000 InfoCage 不正接続防止 V4.0 SiteManager 1ライセンス 1 290,000 290,000 InterSec/NQ30c 10 178,000 1,780,000 InfoCage 不正接続防止 V4.0 10VLAN 追加ライセンス 1 900,000 900,000 InfoCage 不正接続防止 V4.0 30VLAN 追加ライセンス 1 2,700,000 2,700,000 合計 5,690,000 Page 42 NEC Corporation 2014

中規模 大規模オフィス向け提案 ( スイッチ連携 ) NETCONF 方式 MAC 認証方式 検知のみ SiteManager SwitchManager スイッチのアイコン SwitchManager のアイコン スイッチ スイッチ 端末数は数百台から数千台程度 ルータや L3 スイッチを使用して 50 セグメントを設置 NETCONF 方式 検知のみの場合はスイッチが管理エージェント単位となります MAC 認証方式の場合は SwitchManager が管理エージェント単位となります 見積もり概算 (50 セグメント ) 製品名個数単価価格 ( 税別 ) InfoCage 不正接続防止 V4.0 メディアキット 1 20,000 20,000 InfoCage 不正接続防止 V4.0 SiteManager 1ライセンス 1 290,000 290,000 InfoCage 不正接続防止 V4.0 スイッチ連携オプション 10セグメントライセンス 2 900,000 1,800,000 InfoCage 不正接続防止 V4.0 スイッチ連携オプション 30セグメントライセンス 1 2,700,000 2,700,000 合計 4,810,000 Page 43 NEC Corporation 2014

Page 44 NEC Corporation 2014 付録

導入実績 官公庁 製造 流通業など業種 業態を問わず約 1000 社の導入実績があり NEC グループの全セグメント ( 約 7,000) で現在運用中です また 数セグメントの小規模環境から数百セグメントの大規模環境までのさまざまな環境に導入されています 小規模環境の導入事例 1~10 セグメント 100~7,000 ホスト 大規模環境の導入事例 A 社 ( サービス業 ) 435セグメント 49,000ホスト B 社 ( サービス業 ) 270セグメント 40,000ホスト C 社 ( 通信 ) 240セグメント 30,000ホスト Page 45 NEC Corporation 2014

導入事例 ~ 製造業 A 社様 ~ 課題 製品選定の決め手 業務委託をしている開発部門のフロアでは私物 PC を持ち込み 無断で社内 LAN を利用している恐れがあった 豊富な導入実績かつ開発部門からスタートし全社展開していく段階的な導入が可能だったことで安心して導入できた 導入前 どんな PC でも社内に接続できるため 機密情報の持ち出しなど セキュリティ上不安あり 導入後 許可されていない PC を遮断することで セキュリティレベルを向上させることができた 個人情報 社外秘 端末検知センサーを追加! InterSec/NQ30 どんな PC が接続されているか分からない 私物 PC を社内から排除できた 私物 PC への機密情報持ち出し ウイルス感染 PC( 私物 ) からのウイルスばらまき システム管理者 私物 PC ウイルス感染 PC システム管理者 Page 46 NEC Corporation 2014

InterSec/NQ30b NQ30c 比較表 InterSec/NQ30c InterSec/NQ30b 型番 N8100-1400Q N8100-1200Q N8100-1300Q 希望小売価格 ( 税別 ) 178,000 187,000 1 台の InterSec/NQ30 で管理可能なホスト数 ( 1) 4,000 件 (V3.8 以上 ) 2,000 件 (V3.6~V3.7) 1,000 件 (~V3.4) 2,000 件 (V3.6~) 1,000 件 (~V3.4) 1 台の InterSec/NQ30 に登録可能な承認ポリシーの数 100,000 件 60,000 件 タグ VLAN 対応機能 で監視可能な VLAN 数 16 個 8 個 NQ 冗長化機能 で待機系 NQ に設定できる VLAN インターフェースの数 ( 2) 32 個 16 個 電源スイッチ有り ( 電源スイッチ押下でシャットダウンが可能 ) 電源ケーブルを挿したときは自動起動 ( ボタン押下は不要 ) 無し ( 電源 OFF はシャットダウンコマンドまたは電源ケーブルの抜去 ) 使用可能な USB バージョン 2.0 1.1 2.0( 3) 工場出荷時のバージョン 2.2~3.8( 4) N8100-1200Q:2.2h N8100-1300Q:3.1g NQ30 の日時指定バージョンアップ機能 V3.8 より利用可能 ( 5) V3.7 より利用可能 ( 1) 一日に検出した MAC アドレス数 ( 目安としてホスト一覧の最終検出日がその日になっているものの件数 ) が該当します ( 2)NQ 冗長化機能は V3.8 で追加された機能です ( 3)USB2.0 の USB メモリを接続した場合 USB1.1 として動作します ( 4) バージョン 2.2 から 3.8 に対応するモジュールがプリインストールされています ダウングレードする初期化を実施するとバージョンは V2.2 となります ( 5) 工場出荷時の NQ30c を V2.2~V3.8 の SiteManager に接続するときは NQ30c はバージョンアップ機能は使われずに適切なバージョンが自動認識されます 基本的な運用方法 NQ のパラメータの設定方法につきましては差分はありません Page 47 NEC Corporation 2014

動作環境 1/2 OS DomainManager Windows Server 2003 Standard Edition(SP2) Windows Server 2003 R2 Standard Edition(SP2) Windows Server 2003 Enterprise Edition(SP2) Windows Server 2003 R2 Enterprise Edition(SP2) Windows Server 2003 R2 Standard x64 Edition (SP2) Windows Server 2003 R2 Enterprise x64 Edition (SP2) Windows Server 2008 Standard(SP1 SP2) Windows Server 2008 Enterprise(SP1 SP2) Windows Server 2008 Standard x64(sp1 SP2) Windows Server 2008 Enterprise x64(sp1 SP2) Windows Server 2008 R2 Standard(SP なし SP1) Windows Server 2008 R2 Enterprise(SP なし SP1) Windows Server 2012 Standard(SP なし ) Windows Server 2012 Datacenter(SP なし ) Windows Server 2012 R2 Standard(SP なし ) Windows Server 2012 R2 Datacenter(SP なし ) CPU Pentium 4 2.4GHz 相当以上 Pentium 4 3GHz 相当以上 メモリ 1GB 以上 1GB 以上 ディスク 40GB 以上 150MB 以上 備考.NET Framework 3.5 SP1 必須 Windows Installer 4.5 以降必須 (Windows Server 2008 以降は標準でインストール済 ) Web コンソールの対応ブラウザは Internet Explorer 7 8 9 10 11 SiteManager Windows Server 2003 Standard Edition(SP2) Windows Server 2003 R2 Standard Edition(SP2) Windows Server 2003 Enterprise Edition(SP2) Windows Server 2003 R2 Enterprise Edition(SP2) Windows Server 2003 R2 Standard x64 Edition (SP2) Windows Server 2003 R2 Enterprise x64 Edition (SP2) Windows Server 2008 Standard(SP1 SP2) Windows Server 2008 Enterprise(SP1 SP2) Windows Server 2008 Standard x64(sp1 SP2) Windows Server 2008 Enterprise x64(sp1 SP2) Windows Server 2008 R2 Standard(SP なし SP1) Windows Server 2008 R2 Enterprise(SP なし SP1) Windows 7 Professional(SP なし SP1) Windows 7 Professional x64(sp なし SP1) Windows 7 Ultimate(SP なし SP1) Windows 7 Ultimate x64(sp なし SP1) Windows 7 Enterprise (SP なし SP1) Windows 7 Enterprise x64(sp なし SP1) Windows Server 2012 Standard(SP なし ) Windows Server 2012 Datacenter(SP なし ) Windows Server 2012 R2 Standard(SP なし ) Windows Server 2012 R2 Datacenter(SP なし ) Page 48 NEC Corporation 2014

動作環境 ( スイッチ連携オプション ) SwitchManager OS CPU メモリディスク備考 Windows Server 2003 Standard Edition SP2 Windows Server 2003 Enterprise Edition SP2 Windows Server 2003 R2 Standard Edition SP2 Windows Server 2003 R2 Enterprise Edition SP2 Windows Server 2008 Standard SP2 Windows Server 2008 Enterprise SP2 Windows Server 2008 Standard x64 SP2 Windows Server 2008 Enterprise x64 SP2 Windows Server 2008 R2 Standard SP1 Windows Server 2008 R2 Enterprise SP1 Windows Server 2012 Standard(SP なし ) Windows Server 2012 Datacenter(SP なし ) Windows Server 2012 R2 Standard(SP なし ) Windows Server 2012 R2 Datacenter(SP なし ) 日本語版 OS のみ対応 Pentium 4 2.8GHz 相当以上 2GB 以上 1.1GB 以上の空き 下記のいずれかがインストールされていること Java Runtime Environment Version 6 Java Runtime Environment Version 7 Page 49 NEC Corporation 2014

価格 1/2 製品名希望小売価格 ( 税別 ) 概要 InfoCage 不正接続防止 V4.0 メディアキット 20,000 DomainManager SiteManager SwitchManager の媒体を含む 製品名希望小売価格 ( 税別 ) 月額保守料 InterSec/NQ30c 178,000 ハードウェア保守 800 ソフトウェア保守 1,700 ライセンス製品 製品名希望小売価格 ( 税別 ) 月間保守料 ( 税別 ) InfoCage 不正接続防止 V4.0 DomainManager 1 ライセンス 500,000 18,800 InfoCage 不正接続防止 V4.0 SiteManager 1 ライセンス 290,000 3,700 補足説明 InterSec/NQ30c が 30 台を超える環境で DomainManager ライセンスが必要となります 1 台の SiteManager で InterSec/NQ30c を 400 台まで管理可能です Page 50 NEC Corporation 2014

価格 2/2 VLAN 追加ライセンス 製品 希望小売価格 ( 税別 ) 月間保守料 ( 税別 ) InfoCage 不正接続防止 V4.0 1VLAN 追加ライセンス 90,000 1,700 InfoCage 不正接続防止 V4.0 3VLAN 追加ライセンス 270,000 5,100 InfoCage 不正接続防止 V4.0 10VLAN 追加ライセンス 900,000 17,000 InfoCage 不正接続防止 V4.0 30VLAN 追加ライセンス 2,700,000 51,000 InfoCage 不正接続防止 V4.0 100VLAN 追加ライセンス 9,000,000 170,000 補足説明 タグ VLAN 環境では 1 台の InterSec/NQ30 で複数の VLAN を監視することができます その場合 監視する VLAN 数 -1 の VLAN 追加ライセンス が必要です InterSec/NQ30c は 1 台で 16VLAN まで管理可能です ( 例 )1 台の NQ で 7 つのタグ VLAN 環境を監視する場合 以下の製品が必要です InterSec/NQ30 :1 台 InterSec/NQ30 3VLAN 追加ライセンス : 2 つ Page 51 NEC Corporation 2014

価格 ( スイッチ連携オプション ) スイッチ連携オプションライセンス 製品希望小売価格 ( 税別 ) 月間保守料 ( 税別 ) InfoCage 不正接続防止 V4.0 スイッチ連携オプション 1 セグメントライセンス InfoCage 不正接続防止 V4.0 スイッチ連携オプション 3 セグメントライセンス InfoCage 不正接続防止 V4.0 スイッチ連携オプション 10 セグメントライセンス InfoCage 不正接続防止 V4.0 スイッチ連携オプション 30 セグメントライセンス InfoCage 不正接続防止 V4.0 スイッチ連携オプション 100 セグメントライセンス 90,000 1,200 270,000 3,400 900,000 11,300 2,700,000 33,800 9,000,000 112,500 補足説明 スイッチ連携機能で管理するセグメント数分のスイッチ連携オプションライセンスが必要です 監視するクライアント台数分の購入が必要なクライアントライセンスもございます スイッチ連携を利用する際の SwitchManager の構成については ご利用になる環境の情報を添えてご相談ください 1 台の SwitchManager に 100 台までのスイッチを登録できます 目安として 1 台の SwitchManager で 10,000 件程度のホストを管理可能です Page 52 NEC Corporation 2014

製品ご紹介サイト / お問い合わせ先 製品ご紹介サイト / お問い合わせ先 http://jpn.nec.com/infocage/prevention/index.html お問い合わせ 資料請求はこちらから受け付けております Page 53 NEC Corporation 2014