【解説】
Windows Server 2008「NAP」大解剖

クライアント検疫機能「Network Access Protection」を検証する

（2008年05月20日）

Windows Vista/Server 2008ならば
OSの標準機能だけで実現可能

　Windows Vistaは「NAPクライアントエージェント（Network Access Protection Agentサービス）」と「セキュリティセンター」コントロールパネルのチェック項目を対象としたSHAである「Windowsセキュリティ正常性エージェント」を標準搭載し、Windows Server 2008はNPS、およびWindowsセキュリティ正常性エージェントに対応するSHV「Windowsセキュリティ正常性検証ツール」を標準搭載する。

　したがって、Windows VistaおよびWindows Server 2008はOSの標準機能だけで、セキュリティセンターの監視対象であるWindowsファイアウォールの状態、自動更新の状態、マルウェア対策（ウイルス対策およびスパイウェア対策）、および重要なセキュリティ更新のインストール状況を対象にクライアント検疫を実施できる。

　また、NAPでは拡張のためのAPI（Application Programming Interface）も提供されているので、サードベンダーが開発したSHAおよびSHVによる拡張も可能だ。

　NAPはアクセスを制限したり、禁止したりするだけでなく、正常性ポリシーに準拠しないクライアントを準拠するように修復する手段も提供する。

　修復手段としては、修復のための手順を掲載したWebサイトに誘導したり、「Windows Server Update Services（WSUS）」や「Systems Management Server（SMS）2003 R2」、SCCM 2007を使用してソフトウェアを更新させたりすることが可能だ。

　Windowsファイアウォールと自動更新については、自動的に設定を切り替える（自動修復する）ように構成することもできる。SoHはその都度評価されるので、正常性ポリシーに準拠した時点で、検疫されていたクライアントは自動的にセキュアゾーンへのアクセスが許可される（画面3）。

画面3●　Windows VistaのNAPクライアント。Windows Vistaのセキュリティセンターの監視項目を対象に正常性をチェックし、ポリシーに準拠する場合のみセキュアゾーンへのアクセスが可能となる

　NAP対応クライアントとしてはWindows Vista（ドメインをサポートするBusiness/Enterprise/Ultimate）およびWindows XP Professional SP3をサポートする。Windows XP SP3には、Windows XP向けのNAPクライアントエージェントとWindowsセキュリティ正常性エージェントが含まれ、Windows XPのセキュリティセンターがサポートする項目でクライアント検疫を実施できる。

クライアント検疫実施オプションは
DHCP、IPSec、IEEE 802.1x、VPN、TSゲートウェイの5つ

　NAPのアクセスポリシーをクライアントに強制する方法としては「DHCP（Dynamic Host Configuration Protocol）」「IPSec（Internet Protocol Security）」「IEEE 802.1x（有線／無線）」「VPN」「ターミナルサービス（TS）ゲートウェイ」の5つのオプションが用意されている。実施オプションは少なくとも1つ選択する必要があり、複数のオプションを組み合わせることも可能である。

　IEEE 802.1x実施オプション以外は、Windows Server 2008の役割や機能がアクセスデバイスとして機能する。例えば、DHCP実施オプションにはWindows Server 2008のDHCPサーバを用い、IPSec実施オプションにはWindows Server 2008の「Active Directory証明書サービス」が提供する「エンタープライズルートCA（認証機関）」と、同じくWindows Server 2008の役割の1つである「正常性登録機関」を用いる。

　IEEE 802.1x実施オプションは、VLAN（Virtual Local Area Network）を利用してスイッチのポート単位でアクセス制御を行うもので、IEEE 802.1xに対応した物理的なアクセスデバイス、L2（レイヤ2）スイッチやスイッチングハブを必要とする。IEEE 802.1xは、IEEE 802.11bなど無線LANでのユーザー認証方式がよく知られているが、有線LANにも対応している。

前のページへ < ｜1｜2｜3｜4｜5｜ > 次のページへ