大学ICT推進協議会
2011年度年次大会 論文集

D10-3
検疫システムの導入とその効果
内海 太祐, 岡原 武, 福井 宗明、色川雄樹
湘北短期大学 ICT 教育センター
utsumi@shohoku.ac.jp
概要：大規模大学では検疫システムの導入は各部署の独立性が高いため全学への導入は難しい。しかし、中小規模の大学や短期大学であれば必要なセキュリティ要件を満たしたＰＣのみを学内ＬＡＮへ接続許可する検疫システムは大学のセキュリティを確保する上で有効な手段の一つとなりうる。
しかし、検疫システムの導入には細心の注意を払わなければ混乱を招くと考えられる。導入までに配慮すべきポイントや必要な調査など、検疫システム導入までの過程を本学の事例を基に報告する。
また、導入して  年経った時点での効果についても報告する。

1

的にポリシーの遵守を求める場合もある。

導入の背景
湘北短期大学は学生数 1150 名程度、教職員数

このような検疫を行う場合、最も問題になるのは常勤 80 名程度、総端末数は 600 台程度の規模はポリシーの策定である。ウィルスに感染し、異の短期大学である。学内 LAN は早くから整備さ常なパケットパターンを出力している端末を「問れていたが、2009 年度にネットワークの全面再構題あり」としてポリシーに違反すると考える場合築事業を行った。その際に問題になっていた点のがある。これはエージェントレス型と呼ばれるタ一つとして、十分なセキュリティ設定がされていイプのものである。大学などで導入されるのは主ない PC がネットワークに接続されることによるにこのエージェントレス型である。なぜなら、多危険性が挙げられていた。

くの大規模大学では接続される端末がどのような実際に導入準備を進めていた 2008 年 12 月 8ものであるか仮定することは難しいためである。

日に USB フラッシュメモリを介してクライアン

このようなエージェントレス型にはもちろんトおよびサーバが大規模感染した。この感染が拡一定の効果があり、何も対策を施さない場合と比大した理由は学校に常設されている PC とは異なべると、危険な端末を接続させない点で優れてい

り、ICT 教育センターの管理下にない一部の PCる。

で Windows Update やウィルス対策ソフトの更新

しかし、エージェントレス型の場合基本的にポ処理が適切に実行されていないことにあった。そリシーの守られていない端末にポリシーを守らせの後、パッチなどのあたっていなかったサーバやるという動作にはなっていない。ウィルス感染の教員 PC などに感染が拡大し、事態の収束を見たために学内 LAN へ接続できなくなったモバイルのは 12 月下旬であった。あと数か月でシステム入端末でも検疫のかかっていない外部ネットワークれ換えというタイミングでの大規模感染は担当者へは依然接続できるままになっている。
したがって、より厳密な検疫を行うには端末にに対する大きな負担となった。
この時点で検疫システムの導入はすでに決定

エージェントを導入し、端末がポリシーに抵触ししていたが、学内のセキュリティに対する意識はていないかを検査できるようにする必要がある。

かなり高まり、導入への障壁はそれ以前より低く

しかし、一般的には大学ではエージェント方式のなったといえる。

運用は難しい。エージェントの導入作業や接続できなくなった時の対応に追われるため管理者の負2担は非常に大きなものとなるからである。

検疫システムの特徴と選定
検疫システムは OS のアップデートやセキュリ

中小規模の大学では大規模大学に比べてよりティ対策ソフトの更新など、組織が決めたポリシ

肌理の細かい管理が可能なはずだが、一方で企業ーを遵守していない端末を組織内のネットワークほど接続端末の種類を仮定することは難しく、どに直接接続させないシステムである。ポリシーにのような運用形態が最適であるかはかなり慎重に違反した端末は検疫ネットワークに接続し、強制決めなくてはならない。

― 252 ―

大学ICT推進協議会
2011年度年次大会 論文集

4 学内への導入の経過

3 湘北短期大学内 LAN への導入

湘北短期大学では学内の OA 教室の PC 約 480台、職員用 PC 約 40 台、及び教員 PC の約半数の20 台程度は Windows ドメインに所属させることができる。これらの PC にはエージェントを導入し、802.1X 認証と MAC 認証を合わせた強いポリCounterACT の導入を決めたとはいっても、すぐに運用を開始したわけではなかった。まずは全学的な更新を行ったネットワーク環境を安定化させる作業を優先し、CounterACT の運用を 1 年間ほど見合わせていた。

シーの適用をおこなう（タイプ 1）。一部の貸し出検疫システムについてはそれほど多くの情報しノート PC、ネットカフェ用 PC は Windows ドがあったわけではないのと、その時点では優先メインには参加しない Windows 端末であり、MAC 認証とエージェントレス検疫を行っている（タイプ 2）。また、一部 Mac 端末や Linux などの端末、外部から持ち込まれる端末などについては Web 認証とエージェントレス検疫を併用する順位が高かったためである。実際の導入への検討は 2010 年 5 月に学内ネットワーク運用スタッフの教育からはじめ、2010 年 7 月にログの取得を開始した（図 1）。

ようになっている（タイプ 3）。タイプ 3 の端末に対しては認証を通過した後も HTTP のみを通す。
このため Web インターフェースのシステムを除き、学内の重要なリソースにはアクセスできないようになっている。（表 1）

表 1 学内 LAN にへのアクセス制御
タイプ

主な対象

制御内容

タイプ 1

学内常設 PC・802.1X 認証（Windows ドメ・MAC 認証

イン参加の OA・エージェントレス検疫教室、教職員 PC

図 1 CounterACT のログ画面など）
タイプ 2

マルチブート端・MAC 認証

末、研究室 PC な ・エージェントレス検疫
どタイプ 3

外部持込み PC

これらのログの解析をもとに、2010 年 10 月に湘北短期大学で必要とされる検疫について検・Web 認証（ID/パスワード認証）討を重ねた。その結果、当面は隔離という強い・エージェントレス検疫制御は行わず、学内のポリシーに抵触した場合・アクセスセグメントとポートの制限には警告を出し、確認ボタンを押した後、2 日間は通信できる、という制御にした。

これを実現するための製品としては ForeScout

ログの結果から当初学内ポリシーに違反する社の CounterACT を使用している。この製品は強端末は 40 以上だったが、検疫の事前周知で 10いポリシー制御からエージェントレス検疫まで対程度に減った。これらの周知の下で運用を開始

応しているだけでなく、ポリシーに抵触した端末したのは 2010 年 12 月 10 日からである。

に対するアクションも「隔離」という強い制御以外に、警告を出すだけ、ログをとるだけ、などい

実際に運用後から 2011 年 10 月 12 日前後でくつかのレベルに応じて柔軟な制御ができるための状況を示す。これは Windows Update を適切であった。

にかけていない端末を検出し、警告を出した端末を表す。

― 253 ―

大学ICT推進協議会
2011年度年次大会 論文集

図 2 CounterACT 運用開始後のポリシーに抵触した端末数の推移
これを見ても分かる通り、運用開始時では5 今後の課題

Windows Update が実行されていない端末数は最近ではスマートフォンやタブレットなどの10 を切っており、実行開始後 1 台にまで減って新しいタイプのモバイル端末も増えてきている。

いる。その後もそれほど多くない数で推移し、これらの端末を教育や業務で使用することを推2011 年度に入ってからは多くても 4 台程度とな進しようとすると、現在のポリシーや端末の分っている。

類では不足してくる。

ここまで少なくなっている場合にはそれほどこれらの新しいモバイル端末に対する検疫シ問題にせずに静観するか、長い間 Windowsステムは、ようやく製品が出始めたところと言Update を実行していない端末については個別っても良いだろう。
学内への新しいタイプのモバイル端末の使用に対応することもできる。
また、導入後大きなセキュリティ上の問題は推進とセキュリティの確保のバランスは今後の大きな課題の 1 つである。

起こっていない。

4 導入に対する考察
 検疫システムの導入はセキュリティの確保に

5 参考文献大きな効果をもたらす一方、安易に導入すると参考文献

運用上のひずみをもたらす可能性がある。

[1] 佐藤 聡 , 横山 憲彦 , 真中 剛司 , 中井 央 ,しかし、端末の種類を

片岸 一起 , 板野 肯三、「学生宿舎への認証・検疫ネットワークシステムの導入」、情1.
2.

情報システム管理部門の直接の管理下にあ

報処理学会研究報告. IOT, [インターネットとる端末

運用技術] 2008、72、41-46、2008

デュアルブートしたり、OS を特定できな[2] 「日経コミュニケーション」、515、30-39、

かったりするが、ほぼ設置場所の決まっている端末
3.

外部から持ち込まれたりする端末などのいくつかに分類することにより、中小規模の大学では細かい制御ができると考えられる。
また、運用スタッフの検疫に対する知識やスキルの向上も重要な点として挙げられる。

― 254 ―

日経 BP、2008