新シリーズ「ClearPassによる安全対策のイロハ」
スタート！
皆様、HPE Arubaの重村リーナです。
先週に引き続き、リーナ通信をお届けしております。
いよいよ花粉の季節が到来したようです。
花粉症に苦しむ人は社内にも多く、マスクをつけた男女がHPE Arubaオフィス内を我が物顔で闊歩しております。
中にはインフルエンザ予防でマスクをつけている人もいるようで、先日行われた会議では10人中8人がマスクマンというありさま。
確かにウイルスの拡散を防ぐことには効果があるのですが、相手の表情が読み取れないのが大きな問題でして。
会議で発言した私のコメントですが、その内容が的を射ているのかどうか、判別できない…

ズレてないですよね？

ま、そういう私もマスクしているんですけど。
話は変わりますが、普段は名古屋に在籍している私の尊敬すべき“パイセン”が東京に出張するという情報を聞きつけ、強引にあいさつに伺いました。
そう、心優しき我らがパイセン、エンジニアの安原です！

なかなかの爽やかナイスガイだと思いませんか！？
私が安原を知ったのは、昨年発売された「Aruba無線LAN設定ガイド」がきっかけです。
私も自社製品ながら勉強させてもらっているのがこの本で、とても分かりやすく設定方法などがまとまっている良著だと思います。
いつもお世話になりっぱなしでせっかくなら2ショットで写真を撮らせてとお願いし、快く応じていただきました！
本当にいつもありがとうございます。
でも、実際にお会いしたのはまだ3回目。
もっと私を知っていただきたいので、安原の耳に私の活躍が自然に届くよう日々の仕事に邁進してまいります！
そうそう、写真をよく見たら、安原のポケットにもマスクの名残が…
マスクマン、ここにもいたんですね。
さて、今回からは新シリーズ「認証ソリューション「ClearPass」による安全対策のイロハ」がスタート！
メンバーはいつもの大輔と美咲、そして時々美咲の父、導小紅（ドミニク）が登場します。今回は、実は大輔に転職の話があり、先方からセキュリティ対策について問われていることがあるようです。
無線LANにおけるセキュリティ対策を学ぶ新シリーズ、ぜひお楽しみください！

認証ソリューション「ClearPass」による安全対策のイロハ

の無線LANソリューションのメリットをお伝えしていく新シリーズ「認証ソリューション「ClearPass」による安全対策のイロハ」の第1回目。
10月に入りいよいよ下期に突入した矢先、大輔に驚きの急展開が。新たな課題を突き付けられた大輔に、美咲からの的確なアドバイスが飛ぶ。
新シリーズへの序章が、今始まります。
HPE Aruba

大輔（だいすけ）

A市役所に努めているIT推進室の大輔は、20年あまりにわたって有線ネットワークの面倒を見てきたネットワークエンジニア。今回は5階建屋の市役所庁舎で無線LANの展開を担当することに。

美咲（みさき）大輔と同じIT推進室所属で、入庁2年目の若手である美咲。スマートデバイスをいつも複数台持ち歩く、平成生まれのデジタルネイティブ世代。

美咲くん、おはよう！
おはようございまーす。
あれ？大輔さん、ずいぶん元気ですね。どうしたんですか。
いや、実はね。いろいろ人生の岐路に立たされていてね。
いま向き合っているところなんだ。
まさか転職でも考えているんですか？
ギクッ！
な、なんで、そ、そんなこと、お、思うの？
慌てふためくさまが半端ないですね。図星ですか。
そうなんだ、美咲くんだけには伝えておこうと。
またなんで大輔さんが？何かお誘いがあったんですか。
そうなんだよ！この前相談に乗っていたD＆W社の幹部から、ぜひ情報子会社に来て欲しいってヘッドハンティングされているんだよね。

転職ですか。まあ35歳の大輔さんなら、これがラストチャンスでしょうね。
そうなんだ、でもそこで条件があってさ。今D＆W社全体で標的型攻撃ってのにあっていて、この前も意図せずに情報漏えいが起こりかけたようなんだ。
最近だと大手旅行代理店が大規模な情報漏えい事件を起こしましたし、確か年金機構でも情報漏えい事件がありましたよね。あれって悪意のある内部犯行者ではなく、外部からの標的型攻撃が原因って聞きましたよ。
まさに先方もそういった事件を気にしていてね。
で、何かしら対策したいっていうんだ。その対策が良ければ、そのままプロジェクトリーダーとして転職しないかってさ。
最近はいろんな企業で標的型攻撃に遭っているようですしね。世界的に有名なお菓子メーカーであるD＆W社だけに、早急な対策が必要なんでしょう。
で、何か策はあるんですか？
美咲くんならよく知っているでしょ。
あるわけないじゃない、僕に。
なんで逆ギレするんですか。
まあ、そうだろうと思いましたよ。いい方法がないことはないんですけど。
そうこなくっちゃ！でも、どうすれば？
この前相談を受けたとき、D＆W社のインフラにArubaの無線LANをおススメしてましたよね。あのインフラをうまく使うんですよ。
ええっ？無線LANなのに標的型攻撃を防ぐセキュリティ対策になるの？
そうですね。でもまず大前提として「標的型攻撃を防ぐのは難しい」ということを知っておくべきです。
つまり“完全には防げない”ってこと？
そうです。標的型攻撃はいろいろな方法で攻撃対象の企業や団体にアプローチしてきますので、気づかぬうちに不正なファイルをダウンロードさせられて、そのプログラムが社内の情報を抜き取ったりするわけです。
最初から攻撃を仕掛けるのではなく、あくまで正規の方法を装ってくるため、なかなか入口での対応は難しいんです。

じゃあ社内には不正なものが入ってきてしまうわけね。
ではそれを前提に対策しないといけないんだね。
そう考えると、情報を持ち出す出口でそれを捕まえないと。
お、冴えてますね！まさにそこを検知するんです。
最近では単なるファイアウォールではなく、アプリケーションそのものを識別し制御できる「次世代ファイアウォール（FW）」というのが登場しています。
それを使うんです。
じゃあ次世代FWさえあればいいんだ！
そこが難しいんですが、次世代FWはあくまで検知するだけで、実際に通信を遮断したり隔離したりすることが難しい部分も。でも、Arubaのソリューションを使えば、無線LANのAPはもちろん、有線スイッチに対しても制御を行い、怪しい動きがあれば通信を遮断したり隔離したりすることが即座に行えます。
まさに水際で情報漏えいを防ぐことができるというわけです。
じゃあ検知をするための次世代FWと、ネットワークを制御するソリューションが組み合わされば、万一標的型攻撃で感染しても一時的な対処ができるわけね。
そうなんです。ちなみに、ネットワークを制御するのは「ClearPass」というツールで行います。ちょうどD＆W社ではArubaの無線LANを導入してましたよね。であれば、ClearPassを使って有線も無線も制御できますよ。

それはいいこと聞いたなー。ちょうどArubaの無線LANも導入したって聞いてる
し、投資したものが無駄にならない。
ほかにも、次世代FWと直接連携するだけでなく、SIEM（Security Informationand Event Management）と呼ばれるログ分析のツールと連携すれば、FWをはじめ様々な機器からのログを収集し、標的型攻撃をイベントとして検知、その情報をClearPassが受けて同様にネットワーク制御が行えるようになります。
シーム？
次世代FWだけでも混乱しているのに、また新しいワードを持ってきたね。
シームと連携すると何がうれしいの？
最近IoTが話題になっていますが、あらゆる機器がインターネットに直接つながるIoTの世界が広がると、次世代FWだけでは検知できないイベントも発生するはずです。その際には、様々なログ解析からインシデントが検知できるSIEMと連携できることが強みになるんです。
まあ、将来的にもセキュリティ対策として役立つ、ということでいいわけね？
そうですね。
なるほどね、本当に勉強になるなー。
じゃあ、このネタで人生かけてみようかな。
まあ大輔さんの人生なんで、それはそれでよいのでは。
とにかく元気でやってくださいよ。
あれ、意外とドライだね。
直属の上司が転職すると、悲しいとか、残念とか、そういう気分にならない？
特には。まあようやく風通しもよくなるのかなとは思いますけど。
まあ、縁なんてそうそう切れるもんじゃないですからね。
特に大輔さんには誰かのサポートが必要ですから。
お、それは僕と一緒に転職するって…
いや、大輔さんと同じ会社は嫌ですね、絶対。
で、早々に申し訳ないですが、送別会の日程はすでに決めてありますし、すでに後任の上司も決まっているみたいなので。
え？なんでそんなに段取りいいの？まだ転職するって決めてないのに？

それはね、いろいろとね。まあ私にも情報網がありますから。
いや、それってどこからか情報漏えいしているとしか…
は！？まさか僕に標的型攻撃を仕掛けて…
大輔さん、転職活動の様子をスケジューラに記載しちゃダメでしょ。
「D＆W社面談」とか「最終面接」とか。それを見てれば誰でもわかりますよ。
えっ？バレバレ。
じゃあ何で誰も慰留しないの？
いや、それは…まあ…
局長！ちゃんと建前だけでも慰留してくださいよ。
建前だけ”って、美咲くん、ひどいじゃない…

“

文責：日本ヒューレット・パッカード ネットワーク事業統括本部 重村リーナマリー
監修：日本ヒューレット・パッカード ネットワーク事業統括本部 天野重敏

が内部情報漏洩対策に？
アクセス制御の極意を学ぶ！

ClearPass

皆様、HPE Arubaの重村リーナです。
先週に引き続き、リーナ通信をお届けしております。
プレミアムフライデーに乗り遅れたクチです。
皆様はプレミアムなひと時を過ごされましたか？
周りを見たうえでの印象ですが、お題目通りにはいかなった方が多いようで。
プレミアムを存分に体感したのは、ほんの一握りかなと。
でも、せっかく就業時間が短いのであれば、明るいうちに行ってみたいところも。
来月はもう少し計画をしっかり立てて行動してみるつもりです。
でも、たぶん計画倒れするんだろうな、と今のうちから予防線を張っておきます。
そうそう、最近リーナ自身がプレミアムな体験をしたのは、先日国立新美術館で開催されていた、世界的な芸術家で昨年文化勲章も授与された草間彌生さんの展覧会。
御年80歳を超えてもなお、その創作意欲は衰えることなく、生命や死、愛などをテーマにさまざまな作品に取り組んでいらっしゃいます。
いやー、水玉（ドット）に圧倒された展覧会でした！！

写真は水玉のステッカーを壁に貼り付けるイベントに参加したときのもの。
草間作品に自分も参加できたような気持ちになれる、素敵な企画でした！
自分も草間さんのような、バイタリティあふれる女性になりたい！
なぜか制作意欲がむくむくと湧き上がっている自分を見るにつけ、やっぱり草間さんの作品には人に訴えかける何かがあるんだろうなとしみじみ。
うぉっしゃー！これから素敵な作品を制作してみよう！！
なんてことを言っていたら「明日の提案書、もう出来上がった？」と先輩から。
そうか、作るのはまずはそこからか…
さて、前回からお届けしている「認証ソリューション「ClearPass」による安全対策のイロハ」。転職を決意した大輔ですが、送別会でもため息ばかり。
そんな中で美咲から衝撃の報告が！ 内部からの情報漏洩対策を学びつつ、新たな章に突入する気配を見せるストーリー展開、ぜひご期待ください！

認証ソリューション「ClearPass」による安全対策のイロハの無線LANソリューションのメリットをお伝えしていく新シリーズ「認証ソリューション「ClearPass」による安全対策のイロハ」の第2回目。
HPE Aruba誰からも慰留されず、いよいよ転職を決断した大輔。送別会でもため息ばかりの大輔に、美咲からも驚きの報告が。今週は内部からの情報漏えいを防ぐための方策について美咲がアドバイスします。

大輔（だいすけ）

A市役所に努めているIT推進室の大輔は、20年あまりにわたって有線ネットワークの面倒を見てきたネットワークエンジニア。今回は5階建屋の市役所庁舎で無線LANの展開を担当することに。

美咲（みさき）大輔と同じIT推進室所属で、入庁年目の若手である美咲。スマートデバイスをいつも複数台持ち歩く、平成生まれのデジタルネイテ
ィブ世代。

2

導小紅（ドミニク）

美咲の父。ITの知識に長けており、美咲の良きアドバイザーでもある。突然現れ、去っていくという神出鬼没のアメリカン。

は～、美咲くん。一言いいかな？なんでこんな状況なの？
何がですか？
そうデスよ。何が不満なんデスか？
僕の送別会なのに、なんで美咲くんと導小紅さんだけなの？
局長とかも呼んだんでしょ？
みんなに声はかけたんですけどね。いや、まあ、そういうことですよ。
そういうことって…
トホホ、所詮僕のお役所勤めはそんなもんだったのか。
まア、私と美咲が門出をお祝いしマスよ。飲みまショウよ、今日ハ。
まあ、しょうがない。じゃあとりあえず3人で僕の新たな門出をお祝いしてよ。
で、話は変わるんだけど。
もっとこれまでの人生を反芻して、しっかり反省してくださいよ。
で、なんです？

またねー、言われちゃったんだよね。
あ、すみません。レモンサワー1杯追加で。
また新しいことを提案しないといけないんですか。
そうなんだよね。この前は外部からの標的型攻撃への対策だったけど、最近は内部犯行もよく聞く話なので、社内からの情報持ち出しについても対策を練るようにという話があってね。
某大手通信教育事業者の情報漏えいなんて、派遣社員の人が個人情報を不正転売していたなんて話でしたもんね。事件のインパクトはやっぱり大きいですし。
そうなんだ。D＆W社でもECサイトを運営しているので、個人情報は結構持っているみたいなんだよね。だから悪意のある内部犯行者から情報を守りたいらしくて。あ、店員さん、レモンサワー濃いめで追加。
酒のつまみにナル話ではないデスね。
そうね。でもせっかくだから。
まずは社内にある情報がきちんと管理されていることが重要ですね。
情報がどこに格納されていて、その重要度がしっかり定義されていることが大事ということはわかりますよね。
えーと、守る情報が何で、どこにあるのかまずはわからないとどうしようもないと。あ、すみません。レモンサワーもう一杯。
そうですね。でそれがきちんと整理した時点で、誰がどの情報にアクセスできるのかという情報管理のポリシーを策定すると。

ふむふむ。仕事をする上で自分なりのポリシーはあるんだけど。
それは興味がないので大丈夫です。
で、ポリシーが策定できれば、あとは簡単ですよ。
アクセスポイント（AP）の識別子であるSSIDをそれぞれ社内用とゲスト用に振り分け、それぞれアクセスしてきた役割（ロール）に応じてアクセスできるポリシーを設定しておけばいいわけです。
でも、D＆W社はグローバルに数万人規模の会社なので、全員のアカウントを登録するだけでも大変そう。そういうの苦手なんだよなー。
あ、すみません。レモンサワーまた追加で。
すでに業務システムは入っているわけですし、おそらくActive Directory（AD）などのディレクトリサービスは展開しているはずです。そこにあるユーザー情報と連携し、そこのポリシーを利用してしまったほうがいいですよ。あとからメンテナンスするときも、AD側の変更がきちんとネットワーク側に反映されますから。
無線LANを経由したアクセスはいいけど、有線LANに接続したデスクトップとかはどうするの？
それもClearPassでコントロールできますから。
無線LANだけに使うイメージの強いClearPassですが、ネットワーク全体のアクセス制御が可能なので、応用範囲も広いんですよ。
それはとても助かるな。いずれにせよ、ロールごとに設定したポリシーを適用すれば、情報に対してアクセス制御を行うことができると。
そうですね。もちろん重要度の高い情報には暗号化などの対策が必要ですし、そもそも必要な情報を端末にダウンロードさせないような制限など、情報漏えいを防ぐための対策はたくさんあります。
それでも、まずはその情報に対する制限をしっかり行うことですね。
やれることはいっぱいあるね。
あ、すみません。レモンサワーお願いします。
ちょっと大輔さん！さっきからお代わりしまくって結構飲んでますよ。
大丈夫です？
初めて酒宴をご一緒しまシタが、結構飲めるんデスね。
みんなに気を使わせずに飲んでもらうために、まずは自分がたくさん飲むというロール（役割）だからさ。あ、串焼きの盛り合わせを追加で。

きれいにまとめようとしてますけど、結果は割り勘負けしたくないということでしょ。それはロールというよりも大輔さんの人生哲学、ポリシーに近い気がします。
うへへ、それは褒めてないよね。
登庁最後の日ぐらいは褒めたかったですけどね。
あ、そうそう、お伝えしてなかったですけど、私も転職するんです。
あ、そう、僕が去った後も市役所を盛り立て…って、ええーー！！？
美咲、伝えテなかったンダね。
そうよ、パパ。まあ別に大輔さんに伝えてもメリットないし。
え、じゃあ、美咲くんの送別会は？
私は先週、盛大にやってもらいましたよ。
大勢の方が送別会に来てくれましたしね。写真見ます？
いや、だ、大丈夫…。とほほ、まあそういう役回り、ロールなんだな…
元気出してくださいよ。私も頑張りますから。
またよろしくお願いしますね。
そうね、頑張るよ。って、“また”ってどういう意味？

文責：日本ヒューレット・パッカード ネットワーク事業統括本部 重村リーナマリー
監修：日本ヒューレット・パッカード ネットワーク事業統括本部 天野重敏

APHPE Aruba

NGͧĚĚ NG       



  
    !…"##  OK $%& $% '&"
  SNS ()* +$,& % '&  &  !  -.
 /  01(21  "345 6#  7*7* +(89:5 + 9;2< ""+= >  ?"#@  ,A?+   % !

ClearPass

ClearPass
HPE Aruba

LAN
ClearPass
3ITA

ITA
DW
DITITW

3ITDW

D

“W”

…

LAN

…

SF…

AP

PC
AP
PC

AirMonitor
AirMonitor
AP“”

AP

IT…

…
AP

※
ClearPass

“”

HPE Aruba

2…

1

A
ClearPass

ClearPass…
4

HPE Aruba

LAN
ClearPass
4A

IT
DA

ITW
DW

ITIT

3IT…

PC

PC
LAN…

…

PC

ClearPass

ClearPass
PC

SSID

SSID

SSID

LAN“ClearPass”…
…

…