HPE Quarantine System Version 3
企業ネットワークのセキュリティを飛躍的に向上させる
クライアント機器の認証・検疫・情報漏えい防止ソリューション

ユーザー負担を増やさずに高度な検疫ネットワークを実現
既存ネットワークの機器/構成の変更も必要ありません

2.検疫n||2-1 検査（コンプライアンステスト）
次にQuControllerは、MAC アドレスでの認証がOK であったクライアントに対して、セキュリティ対策状況とポリシーを参照し、セキュリティいまやほとんどの企業で当たり前になっている、1人1台のクライアのコンプライアンステストを行います。

ント環境。個人所有のクライアントや関連企業からの常駐者が持ち込むクライアントが、企業内ネットワークに接続されるケースも珍2-2 接続

しくありません。しかしきちんと管理されていないクライアントを認証と、コンプライアンステストの結果が両方ともOK であったクラ無条件に社内ネットワークに接続することは、多くのセキュリティ上 イアントには、ユーザーネットワークへアクセスが可能なIPアドレスの脅威をもたらすことになります。たとえば社外から持ち込まれたクライアントが“トロイの木馬” や悪質なワームに感染していたらどうなるでしょうか。社内に不正に持ち込まれたクライアントによって、個人情報が漏洩する可能性もあります。企業のセキュリティポリシーに合致しないクライアントでも接続できるネットワークでは、安全性の確保など不可能だといえます。しかしクライアントの接続管理を人手で行っていたのでは、膨大な管理負担が発生します。またユーザーの利便性も損なわれてしまうでしょう。ネットワー
クに接続されるクライアントの“認証” と、セキュリティポリシーにが配布されます。
2-3 隔離セキュリティのコンプライアンステストの結果がNG であれば、感染等の疑いのあるクライアントとして、隔離ネットワーク用のIPアドレスが付与され、治療が終了するまでユーザーネットワークからは隔離されます。この隔離セグメントへの移行は、物理的に接続ポートを変更することなく行われます。
2-4 治療合致しないクライアントの“検疫” を、管理者やユーザーの負担を最 必要なセキュリティパッチの適応や、ウイルス対策ソフトウェアの導入、小限に抑えながら行える仕組みが必要です。これを可能にするのがパターンファイルの更新など、セキュリティポリシーに合致させるた「HPE Quarantine System」です。ネットワークに接続されるすべての めの対策を実施します。
クライアントの認証はもちろんのこと、セキュリティポリシーに合致※この処理はウイルス対策ソフトや、パッチサーバーとの連携によって実施されます。

しないクライアントの隔離や治療、再接続、さらには不正アクセスを試みるクライアントの通信妨害までが、このソリューションによって実現できるのです。

2-5 復帰/ 再接続
治療が完了したクライアントには、再びセキュリティのコンプライアンステストが行われます。このテストでセキュリティポリシーに合致認証から隔離、検査、治療、再接続まで自動的に実施するHPE Quarantine Systemしていると見なされた場合には、ユーザーネットワーク用のIPアドレスが付与され、ユーザーネットワークへの接続が許可されます。

「HPE Quarantine System」は、セキュリティ情報を集中管理する「Qu Manager」と、クライアントの認証や検疫をネットワークセグ 3.不正アクセスへの通信妨害メント毎に実施する「QuController」、クライアント上でセキュリ固定IPアドレスを設定した「なりすまし」クライアントなど、クライアティインベントリ情報を管理/ 通知する「QuAgent」によって構成さントが不正なIPアドレスでネットワーク接続を行おうとした場合には、れています。これらが次のように働くことで、検疫ネットワークをARPで自動検知し、通信妨害を実施し、IPレベルでの通信を不可能に実現しています。

します。

1.認証
クライアントがネットワークに接続されると、まずQuControllerはク
ライアントから通知されたMAC アドレスをもとに、そのクライアントが接続認可されているか否かを判断します。認可されているクライ
アントであれば、次の検疫のステップに進みます。認可されない場合は、IPアドレスが付与されず接続不可となります。

HPE Quarantine Systemによる検疫ネットワーク
QuManager
サーバー

QuManager

治療サーバー群

2-4 治療（パッチシステム、ウイルス対策システムなど）

治療終了

認証

QuControllerサーバー

ユーザー
ネットワーク

認証機能
検疫機能
セキュリティ・ゲートウェイ機能●不正クライアント接続遮断機能
●
●

検査

●

2-2 接続2-5 復帰／再接続

認証OK ／検査NG

2-3 隔離QuController
検査OK

隔離

QuManager
管理画面

認証OK

IPアドレス付与

検疫

認証NG

認証NG

2-1 検査
1 認証

治療

接続不可
3.通信妨害QuAgent

復帰QuAgent

通常クライアント

検疫対象クライアント

認証OK／検査OK

認証OK／検査NG

HPE Quarantine Systemの特長とメリット

不正クライアント（システム未登録）

不正クライアント（IPなりすまし）

認証NG

認証NGもあります。しかしこのような場合でも、HPE Quarantine System■厳密性の高い認証なら問題ありません。次に示すように、拠点やネットワークセグメ

クライアントの認証はMAC アドレスに基づいて実施されます。事前ント毎のステップバイステップの導入も可能だからです。に登録されていないクライアントはネットワークに接続できないため、 1）まずセンターにQuManagerを導入します。QuManagerはネッ
不正アクセスを容易に防止できます。

ト ワーク全体のセキュリティ情報を集中管理するためのものであり、ネットワーク全体に対して1台（冗長構成を取る場合には1セット）■クライアントのセキュリティ状況を集中管理
OS のホットフィックスやパッチ、ウイルス対策ソフトウェアの定義ファイルなど、多岐にわたるセキュリティ要素を、QuManagerが管理する設置すればOK です。
2）検疫ネットワークとして機能させたい拠点もしくはセグメントに、QuControllerを導入します。QuControllerはセグメント毎の認証

セキュリティポリシーによってコントロールできます。

を行うため、セグメント毎に1台（冗長構成の場合には2台/1 セット）■管理者やユーザーの負担を最小化
認証と検疫に必要なオペレーションは、すべて自動的に実施されます。
また隔離セグメントへの移行や検疫も、最初に接続した物理ポート設置します。
3）必要に応じて、QuControllerを設置する拠点/ セグメントを増やしていきます。QuController for Remoteを設置することで、リモートのままで行われます。

アクセスを行うクライアントも認証/ 検疫可能になります。

■高い投資保護効果

既存のネットワーク機器やネットワーク構成の変更は必要ありません。 4）最初は認証DHCP機能だけを導入し、DHCP運用が安定してからネットワーク全体を管理するQuManagerと、セグメント毎のQuクライアントの検疫機能を稼動させることも可能です。

Controllerを配置するだけで、既存のネットワークが検疫ネットワークになります。また、既存DHCPサーバーとの連携、DHCP Relay対応などにより、柔軟な構成をとることもできます。

小規模拠点への導入がさらに容易に
QuController Live OSはデスクトップ型PC上でCDより起動して動作す■多様なクライアントに対応

る、小規模拠点向けの軽量QuControllerです。不正クライアント隔離

Windows® 2000 やWindows® XP、Windows Vista® はもちろんのこと、 処理とDHCPリレーは拠点のQuController Live OSで行い、検疫検査
Windows® 98 などのクライアントOS も認証/ 検疫を行えます。とDHCP払い出し処理はセンターのQuController（QuController Central）
でまとめて行うことにより、小規模拠点ごとにQuControllerを置いた

複数拠点で構成される大規模ネットワークには ス
テップバイステップの段階的な導入も可能
数多くの拠点で構成される大規模ネットワークをお持ちの企業では、場合と同等レベルの認証・検疫サービスを提供します。各種設定情報の管理はセンターのQuController Centralで集中して行うので、拠点での設定作業、運用管理は不要です。

新たなセキュリティシステムを一気に導入することが難しいケース

HPE Quarantine Systemの検疫ネットワーク構成例
リモートアクセス

海外拠点Internet
QuController

本社

QuController
for Remote

国内IP-VPN

QuController
国内拠点QuManager

QuController

国内主要拠点ゲートウェイ

QuController

HPE Quarantine System 情報漏えい防止機能[1 ] 検疫ポリシーと一緒に管理[2 ] 検疫受検時にポリシーをダウンロード

DLP ポリシーの定義
QuController
for LANorLive OS

企業ネットワーク

QuManager

DLP ポリシー 1
DLP ポリシー 2

・外部記憶装置への情報コピー禁止
・禁止アプリの起動不可[3 ] 個々のQuAgent が制御を実行

・機密ファイルの暗号化監視[3 ] 個々のQuAgent が制御を実行

既存DHCPシステムとの連携●セグメント毎のコンプライアンステスト

HPE Quarantine Systemは、すでにDHCPシステムを構築運用され●隔離セグメントへのセキュアゲートウェイている環境にも適用できます。HPE Quarantine Systemで認証と検●IPアドレスをなりすました不正クライアントの接続妨害疫に合格したクライアントは、既存DHCPサーバーから払い出すIP構成情報を取得します。一方、認証検疫に不合格のクライアント■QuController Central/Live OS●

QuController for LANの機能を分割し、現場 L AN セグメントににはHPE Quarantine Systemが独自の一時的な隔離用IP構成情報（アはPl u g &P l a y 方式の小型コントローラー（ Live OSと呼ぶ）をドレス等）をクライアントに払い出します。

配備することで、システム構築･運用をより容易にできます。特に、I T 管理者不在の小規模拠点に対してセキュリティ対策を情報漏えい防止オプション施したいときに威力を発揮します。

機密情報や顧客情報の流出事故は後を絶ちません。
HPE Quarantine Systemの情報漏えい防止（追加オプション）では以下の機能を提供します。
1）外部記憶装置制御
USBメモリー、CD/DVD-R、SDカードなどの使用可否をクライアン
トごとのポリシーで定義し、制御します。
2）実行禁止アプリ制御
ファイル共有ソフトなどの実行を制限します。
3）ファイルシステム暗号化の監査
クライアントPCの紛失や盗難の際の情報流出を防ぐため、マイドキュメントやデスクトップ、メールフォルダなどが暗号化されているかどうかのチェックを行います。
これらの制御機能を検疫ポリシーの枠組みで運用、管理します。

■QuAgent●

クライアントのセキュリティインベントリの管理●

QuControllerに対する管理情報の通知■QuController for Remote
HPE Quarantine Systemにより提供される認証・検疫の機能は、社内LANに接続されるクライアントだけではなく、インターネットVPNやWAN 経由でアクセスするクライアントにも適用可能です。
（リモートアクセスを行うクライアントの認証/ 検疫機能は「QuController for Remote 」によって提供されます。）■他システムとの連携
主要なウィルス対策ソフトウェアやパッチサーバーとの連携をサポートしています。

QuAgentはダウンロードされたポリシーに従って制御を実施します。

システム要件専用の情報漏えい防止ソフトに比べて、安定した運用、容易な導入■QuManager/QuControllerが可能です。

●■QuManager

HP ProLiantサーバーにて使用できるソフトウェアパッケージとしてご提供。

HPE Quarantine Systemの基本機能■QuController Live OS●

認証情報（MAC アドレス）の集中管理●

クライアントセキュリティ機能の集中管理

イアンス形態でご提供。詳細につきましては、弊社営業担当者●

検疫ポリシーの管理へお問い合わせください。

■QuController for LAN●

MAC アドレスベースの認証●

DHCPによるIPアドレスの提供●

HP Compaq Business Desktop PCベースのソフトウェアアプラ

■QuAgent●, :LQGRZVⓀ‫؛‬
0120-268-186 または 03-5749-8279(携帯電話・PHSから)
HPE Quarantine Systemに関する情報は http://www.hpe.com/jp/quarantine&RS\ULJKW+HZOHWW3DFNDUG(QWHUSULVH'HYHORSPHQW/3

JCI08157-03