社内実践「エンドポイントセキュリティ対策として検疫システムを導入」

導入を実施した事業所（富士通ソリューションスクエア）では、検疫システムにより、セキュリティパッチ更新率を向上させることができた。

課題

以前よりICカードによる入退室管理や、MACアドレス管理による不正接続防止などのセキュリティ対策を実施し効果を上げていたが、ソフトウェアの管理においては以下の課題があった。

Windowsのセキュリティ更新プログラム適用や、ウイルスパターンファイルの更新を怠っている利用者がおり、ウイルス感染による社内ネットワーク停止などの危険性がある。
セキュリティパッチ更新作業を怠っている利用者に更新指示を通達しているが、管理する台数が多いため、徹底されておらず、管理者の運用負荷が増大している。

新システムの効果

クライアントのセキュリティパッチ適用率が向上～セキュリティと利便性の両面を維持した運用の実現～

検疫システムを導入した結果、セキュリティパッチの更新率を99％以上に高めることが可能となった。

弊社では、検疫不合格の場合、メールサーバへのアクセスを制限する運用としているが、Webサーバやファイルサーバへのアクセスは許可している。近年の一般業務ではメール利用は必然であるため、緊急事態の業務優先を考慮した運用としている。メール利用にターゲットを絞った検疫を行うことにより、セキュリティと利便性の両面を維持した運用を実現した。

ページの先頭へ

システム構成

検疫サーバ（Systemwalker Desktop Inspection、以下DTI）はクライアントの検査ポリシーを一括管理し、認証ゲートウェイ装置（ネットワークサーバ IPCOM L、以下IPCOM L）を経由して社内ネットワークに接続してきたクライアントのセキュリティ状態のチェックを行う。

このセキュリティチェック結果に基づき、IPCOM LはDTIと連携し、各クライアントについてのアクセス制御を行う。

ページの先頭へ

運用イメージ

端末環境に依存しないWEBブラウザによる自動検疫処理

利用者はブラウザを起動させるだけでシステムが自動的にセキュリティチェックを行う。起動後、3～5秒程度でセキュリティチェック結果が表示され、検疫合格の場合は、そのまま業務サーバ等への通信が通常通り許可される。

また、検疫不合格の場合には、セキュリティパッチのアップデートに必要な最低限の通信のみは許可されているため、最新状態へのアップデート処理を行うことができる。

拡大イメージ

WEB画面による柔軟なセキュリティポリシーの管理

システム管理者は、DTIの管理画面で、クライアントに対してどのセキュリティパッチを適用させるかを設定する。

また、セキュリティパッチ毎に強制または猶予期間を設けることも可能である。クライアントに対する通信範囲については、IPCOM Lにて設定を行うことが可能。

拡大イメージ

ページの先頭へ

システム導入ポイント

Windowsセキュリティ更新プログラムの適用や、ウイルスパターンファイルの更新を怠っているクライアントを自動的に検出し、社内ネットワークへの接続を制限することが可能となった。
不適格なクライアントに対しては、アクセス制限を実施し、Windows Updateサイトやウイルスパターンアップデートサイトで最新の状態へ更新が可能となった。
クライアントには特別なソフトのインストールや設定が不要であり、また、最新のセキュリティ状態を検疫するための情報は、検疫サーバが自動的に取得することが可能となった。