 |
≫ |
|
|
|
|
|
|
|
|
根本的な問題として、クライアントの実態把握ができていない、そもそも不正端末が容易につなげられる環境自体の整備が必要と考えた同社では、無線LAN技術IEEE802.1xの有線LANでの使用を検討を開始した。IEEE802.1xとは、端末にデジタル証明書をインストールし、その証明書により端末が接続されているLANポートをOpen・Closeするシステムである。このシステムは、不正規機器が社内ネットワークに接続することを防ぎ、証明書のインストールが不可能な場合には直接端末のMACアドレスでフィルタリングを実施する。
これらクライアント環境の散在・複雑化の問題を解決するために、同社ではIEEE802.1xを使用した認証セキ
ュリティ・ネットワークの導入にいたった。
|
|
|
- 管理されたクライアント以外、社内LANに接続させない
- 持ち込みクライアントの接続を拒否し、その行為を検出する
- どのクライアントがいつ、どこから接続したか接続情報収集する
|
|
まず同社はシステムの構築と運用にあたり、 IEEE802.1x対応機器（スイッチ）は本当に動くか、サプリカントは機能するかなど、3ヶ月に渡って100項目以上に渡るIEEE802.1xの事前検証を実施した。結果、IEEE802.1xとMACフィルタリングの認証技術のインテグレートマネジメントシステムを構築することを決定した。 |
|
- 長期未接続端末の確認が可能なこと
- 証明書の不正インストール防止可能なこと（エクスポートも不可）
- 大規模レイアウト変更時に一括設定が可能なこと
- エッジスイッチのカスケード接続が監視可能なこと
- 証明書の期限が自由に設定可能なこと
- エッジスイッチ機器の拡張性に富むこと
|
|
特に重要な要件として、1、2、3があげられている。1つめの重要項目として、長期未接続端末の失効機能がある。ゴースト端末（登録はしてあるが、実際は使っていない端末）の撲滅を図るために、長期未接続端末は、証明書証明書を失効し、社内ネットワークから排除する機能を具備した。加えて重要なのが、証明書の不正インストールの禁止だが、正規証明書を発行しても、コピーできてしまえば何の意味も持たないので、今回はコンピューター名をと突合し、証明書を一回のみインストールできる機能を具備。これは、副次効果として証明書を入れ間違えるというヒューマンエラー回避の他、インストールがスピーディに出来る様にWEBインターフェースも備えているので、利便性も向上している。三つ目は、大規模移転、レイアウト変更時のポートセキュリティの一括設定だ。スイッチからの端末情報取得はもとより、ポートの設定も管理システムより可能となっている。
システム導入に際しての業者選考ではHPを含む3社にRFPを提出。IEEE802.1x認証とMAC認証（IPフォン含む）を統合し社内全体の端末管理、エッジスイッチができるシステム構築を依頼した。最終選考にてHPに決定。HPの製品力や提案はもとより、KDDIからの熱意・要望をくみとろうという姿勢が選考の理由だった。 |
|
|
| |
本ページに記載されている情報は取材時におけるものであり閲覧される時点で、変更されている可能性があります。予めご了承下さい。 |
|
|
|
印刷用画面へ
