特集デジタルワークプレースの“そこが知りたい”をエンジニアが試して解説!IIJでは、デジタルワークプレース実現の様々なベストプラクティスを公開しています。中でもご要望の多いパターンを、エンジニアが実際に試してみる本企画。今回はゼロトラストの課題を解決する「ウイルス検知や脅威検知後の自動遮断」を取り上げます。詳しい解説も聞きました。設定してみる動作を確認まとめと解説テレワークによる端末の移動がセキュリティリスクに今回やってみるのは「ウイルス検知や脅威検知後の自動遮断」ですね。テレワークやハイブリッドワークが一般的になり、業務PCを会社から自宅へ、自宅から会社へと持ち運ぶ機会も増えました。した端末の移動に伴って、増加しているのがセキュリティインシデントです。端末を社外へ持ち出すことで、どんなセキュリティリスクがあるのでしょうか?社内ネットワークは、企業の定めるセキュリティポリシーに従った強固なゲートウェイを通じてインターネットとつながります。ところが、自宅にはそのような環境はありません。セキュリティ対策は端末自体に委ねなければならないため、マルウェアなどによる端末汚染のリスクはより高い状態にあるのです。管理者としては、リスクの高い端末はできるだけ社内へ接続させたくないですね。安全性を確保した上で社内へアクセスさせるには、端末の状態や権限などを都度評価し動的にアクセス制御を行うことが望まれます。そこで今回は「VPNを利用して業務を行っている時にアンチウイルスソフトが脅威を検知した場合、VPNを自動で遮断させる」という方法を試してみます。今回は、IIJの2つのサービスを利用します。IIJフレックスモビリティサービス/ZTNA(以下、フレックスモビリティ)は、PCにクライアントソフトをインストールして利用するVPNサービスです。このクライアントソフトはPCのセキュリティ情報を収集でき、それらを利用してVPN接続の制御を行うこともできます。アンチウイルスソフトには、IIJセキュアエンドポイントサービスに含まれるBlackBerryを利用します。以下の導入や設定が終わっていることが前提となります。端末はVPN接続が行えること端末にアンチウイルスソフト(今回はBlackBerry)がインストール済みであること設定してみるいよいよ設定です。フレックスモビリティの管理コンソールから、ネットワークアクセスコントロール(以下、NAC)の設定を開きます。「正常性チェック」から、「カテゴリ」「チェックの種類」「比較」をそれぞれ選択します。ここでは、端末が「正常である」状態を示す必要があります。「脅威がない状態」が正常になりますので、以下のように値を選択します。続いて、上記の「正常性チェック」に失敗した場合のアクションを設定します。「失敗した場合のアクション」は「クライアントを切断」を選択します。「エラーメッセージ」には「クライアント端末で脅威を検知しました。クライアントを切断します。」と入力し登録しました。エラーメッセージは、VPNクライアントソフト側に出力するメッセージです。VPNが強制切断された際、利用者にも理由が分かるよう易しい表現で入力します。以上のNACルールをユーザまたはデバイスと紐づけたら、設定は完了です。実際に動作させてみます。端末のウイルスを検知すると、自動的にVPNが遮断されました。この時、クライアントソフトには下のようにメッセージが出力されました。設定画面で登録したエラーメッセージが表示されていますね。まとめと解説ウイルス検知の状態を利用して、簡単にアクセス制御をすることができましたね。ウイルス検知以外にも、クライアントソフトから得られるセキュリティ情報を使うことができますか?はい。今回はウイルス検知をトリガーとしたアクションを試しましたが、他にもこのような情報を動的なアクセス制御に利用することができます。OSのバージョン評価アンチウイルスソフトの導入有無の評価アンチウイルスソフトのパターンファイル更新状況の評価BlackBerry以外のアンチウイルスソフトも利用できるのでしょうか?代表的なアンチウイルスソフトで同様の動作は可能です。注意が必要な点があります。アンチウイルスソフトが不正なプログラムを検出した場合、OSのWindowsセキュリティへ脅威情報を出力します。VPNクライアントソフトは、その出力された脅威情報を参照します。OSを介して情報を入手するので、アンチウイルスソフトとVPNクライアントソフトはお互いに関知していません。このため、アンチウイルスソフトの動作仕様に依存するところがありますので、ご利用の際には事前に確認されることを推奨します。VPNを強制遮断された場合、利用者はどうやって業務を再開させるのでしょうか?VPNを遮断するだけではなく、「WSUSサーバのみ接続を許可する」など状態を改善させるためのアクセス制御も必要になります。ゴールデンウイークなどの長期休暇中に持ち出された業務用PCも休眠状態になります。休み明けで起動してきたPCに対して、VPN遮断ではなく、適切にパッチ適用やアップデートを済ませてから業務を再開させるという制御も考えられますね。「ゼロトラスト」と共に読み解く次世代リモートアクセスのガイドブックを差し上げます「クラウド型リモートアクセス」サービス無料ガイドブック(PDF:36ページ)気になるパフォーマンスや快適性など解説。メールとは?その見分け方と有効な対策を徹底解説このカテゴリの注目用語EDREmotetインシデント対応メールセキュリティMDR資料ダウンロード「クラウド型リモートアクセス」サービス無料ガイドブック(PDF:36ページ)ダウンロード(無料)この記事の関連サービスゼロトラストを実現するリモートアクセスIIJフレックスモビリティサービス/ZTNAIIJの法人向けサービス・ソリューションについては、お気軽にお問い合わせください。Blogこのサイトは株式会社インターネットイニシアティブが運営しています。