モバイルワーカーのためのSONICWALL
CLEAN VPNという提案
Clean VPNは事業用通信におけるもっとも重要な要素を、多層防御によって重層的に保護します。
要旨

ITの普及や「bring your own device」（BYOD）方針を取り入れる動きの広まりによって、ノートパソコンやスマートフォン、タブレットなどのモバイルデバイスから行うネットワークアクセスの安全を確保することは、かつてなく困難になっています。SonicWall™ Clean VPN™では、SSL VPNによる安全なリモートアクセスと次世代のファイアウォール技術を融合させることで、事業用通信の中核をなす以下の要素を多層防御によって保護する手法を採用しています。

• エンドポイントとユーザー• データとアプリケーションのリソース• それらをつなぐトラフィック

はじめに個人用モバイルデバイスのネットワーク

今や仕事をする場所や時間は従業員が選べる時代になりました。米国内だ

けを見ても、インフォメーションワーカーの半数はオフィスと自宅、そしてそれ以外の場所を使い分け、それぞれの場所で仕事に費やす時間を持っています。モバイルワーカーにとって必要なのは、ネットワーク上にある会社の重要な情報にいつでもアクセスできることです。IT部門から支給される機器だけを使い、従来のネットワーク境界の内側に留まって業務を行うという考え方は過去のものです。従業員が勤務時間を広げ業務効率を高めるために頼りとしている技術には、ノートパソコンやスマートフォン、タブレットデバイスなど普段の生活で使用しているのと同じ技術が使われています。

事実、大企業で採用される新技術の大半は、一般の消費者向けの製品がベースになっています。このようにIT の普及が進んだことで、オフィスであれ自宅であれ、あるいは出先であれ、場所に左右されることなくエンドユーザー自身が仕事で使用するコンピューティングプラットフォームを選択できるようになりました。その結果、ネットワークに接続できるエンドポイントデバイスを制御する力はITから失われつつあります。

このような考え方を受け入れ、従業員個人の所有物であるモバイルデバイスの業務利用を許容するBYODの方針を定める企業の数はますます増えています。個人で購入したモバイル端末の業務利用を許容することで、ハードウェアの在庫を確保するために必要な初期費用をなくすことができるという予算面での動機も、こうした動きに拍車をかけています。

デバイスごとに異なるセキュリティ要件「Clean VPN」はSSL VPNに次世代のファイアウォールを組み合わせるこ重大な違いが存在します。たとえば、ノートパソコンはスマートフォンやタSonicWall Clean VPNに採用されている手法

消費者向けモバイルデバイスの各プラットフォームには、微妙でありながらブレットに比べて、エンドポイントでの制御をより必要とするのが一般的です。その理由は、通常後者のデバイスでダウンロード可能なアプリケーションは、ホワイトリストに登録されるための厳しい審査を潜り抜けたものに限られていることにあります。
（もちろんホワイトリストに登録されていないアプリのダウンロードが可能な脱獄デバイスやルート化されたデバイスにはあてはまりません）。特に、管理されていないノートパソコンにおけるリモー

トアクセスのセキュリティを確保するには、エンドポイントでの制御と併せてリバースプロキシのポータルへのアクセスや仮想プライベートネットワーク（VPN）トンネルの利用が必須です。そうすることで、適切なセキュリティアプリケーションがデバイス上で実行されているかを判断したうえで、定義されているセキュリティポリシーに従ってアクセスを許可するか、あるいは隔離や拒否を行うかを適用することができます。

モバイルプラットフォームではアプリケーションの大半がホワイトリストを利用しているストアを介してのみ配布されるため、比較的安全であると一般には受け取られています。それでも、そのような方法で配布されているアプリケーションや、モバイルデバイスを媒介するデータを簡単に信用するのは誤りです。脅威は厳然として存在します。セキュリティが実装されていないモバ
イルプラットフォームであればなおのこと、デバイスを悪用する手口は一つではないのです。

モバイルデバイスを信用すべきではないこと、そして企業ネットワークの外側からのすべてのアクセスをIT部門が制御するのは現実的ではないという事実を認識せずして企業ネットワークを守ることはできません。

エンドポイント、そして脅威も至る場所にあるモバイルデバイスを信用すべきではないこと、そして企業ネットワークの外側からのすべてのアクセスをIT 部門が制御するのは現実的ではないという事
実を認識せずして企業ネットワークを守ることはできません。

データの窃取や不正なデータ送信、不正アクセスによってデータの消失や漏えいが起きる可能性もあります。
「ハッキングは不可能」と思えるスマートフォンのプラットフォームでさえ例外ではありません。モバイルデバイスを利用すれば、企業の無線ネットワークに接続して機密情報や特定の企業だけが知りうるデータを取得し、そのデータをセキュリティで保護されていない無線通信を利用して添付メールやFTPへのアップロードによってWeb上に流出させることが可能です。

企業が保有するリソースを今ある脅威から、そして進化し続ける脅威から守るには包括的な対策が必要になります。ネットワークを移動中のデータは中間者攻撃や盗聴による攻撃に弱く、したがって暗号化を施すことが不可欠です。ネットワークを移動するすべてのデータをスキャンしてマルウェアに感染していないことを確認し、社内から外部に向けたボットネット攻撃が行われる事態を防止しなければなりません。社内のシステムが悪用されれば会社の評判が損なわれるだけでなく、ビジネスに不可欠なメールサーバーがブラックリストに登録されてしまうおそれがあります。そうした対策を行うのと同時に、外部に向けて送信されるトラフィックを検査してデータ漏えいがないかを確認できるソリューションを導入する必要があります。トラフィックが暗号化されていたとしても、その必要性は変わりません。

2とで、必要とされる以上の防御機能を提供することができます。

SonicWall Clean VPNは、VPNアクセスおよびVPNトラフィックの両方を保護するのに欠かせない、SSL VPNと高性能な次世代のファイアウォールという非常に重要な2つの防御手段を提供します。Clean VPNの多層的な防御を取り入れれば、承認されたすべてのSSL VPNトラフィックを復号しスキャンすることで、マルウェアがネットワーク環境に入り込むのを未然に防ぐことが可能です。

• Clean VPNの構成要素であるSSL VPN は、SonicWall Secure
Mobile Access（SMA ）と Advanced End Point Control ™
（EPC ）の機能を利用することで VPNアクセスの整合性を保護します。EPCは認証、データの暗号化、アプリケーション層でのアクセスポリシーの適用によって、リモートユーザーおよびそのエンドポイントデバイスと信頼関係を確立します。EPCではiOSデバイスが脱獄していないか、あるいは Androidデバイスがルート化されていないかを判断して、それらのシステムからの接続を拒否したり隔離したりすることができます。

• 同時に、Clean VPNの構成要素である次世代のファイアウォールではVPNトラフィックの整合性を保護します。このファイアウォールはVPNトラフィックを承認し、インバウンドトラフィックからマルウェアや脆弱性を排除し、さらにはすべてのアウトバウンドVPNトラフィックをリアルタイムで検証する役割を担います。これによりネットワークを移動中のユーザーデータは、企業ネットワークの内外どちらから送信されたものであっても、確実に同じセキュリティスキャンを受けることになります。SonicWall Application Intelligence and Control

はきめ細かな制御とリアルタイムでのアプリケーションの可視化機能を提供します。この機能を利用することでビジネスに不可欠なアプリが優先して帯域幅を利用できるようになり、ネットワークのセキュリティと生産性を最大まで高めることができます。

導入オプション

Clean VPNの導入にあたって、SonicWallには管理者に柔軟性と拡張性を提供する方法として次の2つのオプションが用意されています。
• 統合型Clean VPNの導入 – SonicWall SuperMassiveシリーズ、NSAシリーズおよび TZシリーズのファイアウォールに統合されている
SSL VPN機能を利用することでClean VPNを構築できます。
• 複合型Clean VPNの導入 – もう1つの方法として、SonicWallの次世代ファイアウォールをSonicWall Secure Mobile Access（SMA）と組み合わせることでClean VPNを構築することもできます。

統合型Clean VPNの導入

統合型Clean VPNでは、Reassembly-Free Deep Packet Inspection®

（RFDPI ）技術を特徴とするSonicWall の次世代ファイアウォールが、侵入検知、マルウェア防御、アプリケーションインテリジェンスおよびノートパ

ソコンやスマートフォン、タブレットからのSSL VPNトラフィックの制御とリアルタイムでの可視化といった機能と緊密に統合されています。SonicWallの次世代ファイアウォールはインバウンドとアウトバウンドすべてのトラフィックをスキャンします。拡張することで、最高水準の性能が求められるネットワークにも対応可能です。緊密に統合されたアプリケーションインテ
リジェンスおよび制御、可視化機能でビジネス関連のアプリケーションもそれ以外のアプリケーションも制御と管理が容易になり、ネットワークの品質とユーザーの生産性向上に寄与します。

サプライヤ排除された脅威X

インターネット

クリーンなトラフィック
次世代のファイアウォールエンジン

通信を利用した勤務者

内部ネットワーク

モバイルユーザー

図1. SonicWallの次世代ファイアウォールに統合されたSSL VPNを使用する統合型のClean VPN
統合型 Clean VPN では、SSL VPN で利用可能な帯域幅をビジネスに不 可欠なアプリケーションのために優 先 的に割り当てることが 可 能 です。Windows、Windows Phone、Mac OS、Linuxベースシステムの各機器でSonicWall の次世代ファイアウォールを介した SSL VPN アクセスを行うにあたっては、シンクライアントを利用したアクセスが SonicWall

NetExtenderから提供されます。

スマートフォンやタブレットのユーザーの場合はiOS 、OS X 、Android 、Chrome OS 、Kindle Fire 、Windows 10向けのSonicWall Mobile
Connect™モバイルアプリケーションを利用することで、暗号化されたSSL
VPN を介して企業のリソースや学術組織、政府機関のリソースなどに高速かつ容易にネットワークレベルでのアクセスを行えます。

統合型Clean VPNでは、SSL VPNで利用可能な帯域幅をビジネスに不可欠なアプリケーションのために優先的に割り当てることが可能です。

SonicWall SMAを使用する複合型Clean VPNSonicWall EPC（Windows、Macintosh、Linuxベースのデバイスに対応）は管理されていないエンドポイントの保護とSecure Virtual Desktop、包括的なキャッシュコントロールの機能を統合します。EPCはエンドポイントデバイスを検査し、McAfee®やSymantec®、Computer Associates®、
Sophos®、Kaspersky Lab®などの代表的なベンダーが提供する、サポート対象となるすべてのアンチウィルス機能やパーソナルファイアウォール、アンチスパイウェアソリューションがあることを確認することで、エンドポイントでの高度な検出機能と大企業向けのデータ保護を提供します。SonicWall

Mobile Connectと組み合わせることで、ポリシーベースによる識別および適用をすべての主要モバイルプラットフォームに拡大することができます。

これによってDeviceID の徹底とユーザーがログイン可能なデバイスの制限が可能になり、必ずクライアント証明書がある状態にすることができるた
め、iOSデバイスが脱獄していないか、あるいは Androidデバイスがルート化されていないかを見極められるようになります。

Clean VPNにSonicWallの次世代ファイアウォールを組み合わせる場合、SMAの機能で一元的なアクセスポリシー制御とマルウェア防御が可能になります。

SonicWall SMAはアプライアンス単独で同時に最大 20,000のモバイル
SSL VPN を介する主要なモバイルプラットフォームのトラフィックを対象に、トラフィックの承認、復号、トラフィックからの脅威の排除をネットワー
ク境界の外側で実現できるのは、SonicWallのClean VPN（SonicWallの次世代ファイアウォールと併用した場合）の他にはありません。さらに

SonicWall Application Intelligence and Controlも利用すれば、アプリケーションや帯域幅というアセットの使用方法を定義し、強制的に適用することができます。

複合型Clean VPNの導入

複合型のClean VPNでは、統合型Clean VPNの導入におけるすべてのセキュリティ要素とSSL VPNの要素、およびデバイスに問題がないかを検査するSonicWall SMAの追加機能を提供し、ポリシーベースによるエンドポイント制御を行います。

3

企業ユーザーに対してクライアントレスまたはシンクライアントを利用した「インオフィス型」の接続サービスを提供でき、豊富な機能と管理のしやすさも兼ね備えています。SMAの導入によって、WindowsやApple Mac

OS、iOS、LinuxおよびAndroidデバイスからネットワークリソースへのリモートアクセスの際にポリシーの適用が徹底され、生産性と事業継続性の向上効果を得られます。

最高峰の高性能な SonicWall SSL VPN プラットフォームで構築されたSMAは、承認されたユーザーだけが承認されたリソースにのみ接続できる仕組みを実現します。また、SMAのソリューションはVasco、RSA、Active
Directory、LDAP、RADIUS、SAML、2要素認証のための統合型のワンタイムパスワード（OTP）生成に対応しています。

検知

移動する従業員

リモートアクセス

無線ホットスポットを利用する従業員

在宅勤務可能な従業員

スマートフォンを利用する従業員保護

接続
企業のデータセンター

キオスク端末を利用する従業員

ディレクトリ

SonicWall SMA
アプライアンス

インターネット

LDAP

ACE

任意のブラウザを利用する
ビジネスパートナー

エクストラネットからのアクセス

Webアプリクライアント／サーバーアプリファイル共有AD
ファイルウォールを介してアクセスするお客様／サプライヤ

アプリケーション

内部ユーザー

エクストラネットからのアクセス

データベースVoIPRADIUS

検知

SonicWall SMA End Point Controlはエンドデバイスの身元とセキュリティの状態を常時把握保護

SonicWall SMA Unified Policyによってデバイスにアクセス制御を適用し、ユーザーが承認を与えられてるアプリケーションにしかアクセスできないよう制限

接続

SonicWall SMA Smart AccessとSmart Tunnelingによってすべてのネットワークリソースに簡単かつ安全なユーザーアクセスを保証

図2. SonicWallの次世代ファイアウォールとSonicWall SMAアプライアンスを組み合わせた複合型のClean VPN

SonicWall SMAソリューションが組み込まれた複合型Clean VPNでは以下のことが可能です。

• 従来のネットワーク境界を挟んでユーザー、エンドポイント、トラフィックの同一性・整合性を検出。

• 承認されていないアクセスやマルウェアの攻撃からアプリケーションやリソースを保護。

• 承認されたユーザーを適切なリソースにシームレスかつ容易に、リアルタイムで接続。

中小企業向けのSonicWall SMAソリューションを使用した複合型

Clean VPN

中小企業の管理者であればSonicWallの次世代ファイアウォールを人気の中小企業向けSonicWall SMAに接続し、複合型のClean VPNを構築するという方法を選べます。

このSMAはWindows、Windows Phone、Mac OS、iOS、LinuxおよびAndroidの各プラットフォームでトンネリングを利用したクライアントレが、WindowsだけでなくMac OSやLinuxデバイスをリモートからサポートするのに役立つSonicWall Secure Virtual Assistというツールもあります。

複合型Clean VPNの管理

さらに、複合型のClean VPNの実装を単一の管理インターフェイスから設定・管理できるSonicWal Global Management System（GMS）というツールも用意しています。SonicWall GMSは柔軟性、機能性、復元力に優れたプラットフォームとして、SonicWallアプライアンスやセキュリティ設定の一元管理と迅速な導入を実現します。さらに、監査の実施や規制遵守に関して極めて厳格な要件を求められる環境にも、一元化されたリアルタイムの監視機能と、ポリシーおよびコンプライアンスの包括的なレポート機能を活用することで対応できます。

その他、SonicWall Analyzerでは扱いやすいWebベースのトラフィックフロー分析やレポート作成用のツールを備えています。この機能を駆使すればネットワークの正常性やパフォーマンス、セキュリティの実態をリアルタイムでも時系列からでも把握することが可能です。Analyzerは SonicWall

スのアクセスを実現します。オプションで、Web Application Firewallやのファイアウォールやセキュアリモートアクセス用デバイスに対応しており、め細かい統合ポリシー、2 要素認証、ロードバランシング、高可用性などのに活用できます。こうした様々な機能・特長によって、事業規模を問わずあらマルチプラットフォームのリモートサポートも提供されます。SMA にはき機能も用意されています。SMA を利用すれば、承認を与えたモバイルワー
カーや請負業者にMobile Connectアプリケーションや標準的なWebブラウザを使用させ、SSLVPNに接続することができます。事前にクライアントをインストールしておく必要もなく、実質的にあらゆるネットワークに簡単かつ柔軟に導入できるSMAは、従来型のIPSec VPNを導入し維持するための費用の削減にも寄与します。また、Windows を使用する技術者

4アプリケーションのトラフィックフロー分析をセキュリティイベントレポート
ゆる企業が従業員の生産性の改善、ネットワーク帯域幅の利用状況の最適化、セキュリティ意識の向上というメリットを享受できます。SonicWallは、オフボックスアプリケーションのトラフィック分析と、SonicWall ファイアウォールが生成する精細なIPFIX データを組み合わせた総合的なソリューションを提供する唯一のファイアウォールベンダーです。

統合型Clean VPN

技術

SonicWallソリューション

ディープパケットインスペクション

ゲートウェイ設置型アンチウィルス、アンチスパイウェア、侵入検知サービス

次世代ファイアウォール

アプリケーションインテリジェンス、制御、可視化

SSL VPN

技術

SSL VPN
次世代ファイアウォール

ディープパケットインスペクション

アプリケーションインテリジェンス、制御、可視化SuperMassiveシリーズ、NSAシリーズ、TZシリーズ
アプリケーションインテリジェンスと制御サービス

Mobile Connect、Net Extender

複合型Clean VPN

SonicWallソリューション

Advanced End Point Control、Connect Tunnel、Mobile ConnectとSMAの組み合わせ
SuperMassiveおよびNSAシリーズ

ゲートウェイ設置型アンチウィルス、アンチスパイウェア、侵入検知サービス
アプリケーションインテリジェンスと制御サービス図3. Clean VPN導入オプション2種類の比較

まとめ

SonicWallは、Clean VPN技術によるソリューションの分野で自らを業界をけん引する立場として戦略的に位置付け、あらゆる規模の企業を対象に事業を展開しています。それが可能なの、受賞歴もあるセキュアなリモートアクセス機能や次世代のファイアウォール、管理用およびレポート作成用の製品群をマネージド型の統合として実現していることによります。統合型や複合型の手法によって導入可能なこれらのソリューションのおかげで、企業は多層防御が可能なセキュリティをただ1つのソリューションで手に入れることができます。

5

ユーザーの身元の特定、エンドポイントデバイスのセキュリティ状 態の把握、アクセスを承認する前に精細なポリシーによる確 認を介すことでマルウェアや不正アクセスを防止する防 御機能、許可されたユーザーがミッションクリティカルなネットワークリソースに簡単に接続できる仕組みなど、SonicWall Clean VPN が提供する機能は多岐にわたります。

SonicWallを除いては、本当の意味で現実的なClean VPNを実現するソリューションを提供できる企業は存在しません。なぜならエンドポイントでのきめ細かな制御も、動的なアクセスポリシーを可能にする統合型のポリシーモデルも、マルチコアプロセッサを搭載したプラットフォームで機能する、

Reassembly-Free Deep Packet Inspection®による画期的で卓越したセキュリティも、SonicWallだからこそ実現できたものであるからです。

© 2017 SonicWall Inc. ALL RIGHTS RESERVED.

定されない）に関して、明示的、黙示的、もしくは法定上の責任を一切負わな

SonicWallは、SonicWall Inc. および／またはその関連会社の米国および／たは不使用に起因して発生した、いかなる直接的、間接的、派生的、懲罰的、またはその他の国における登録商標です。その他すべての商標および登録商標は、それぞれの所有者に帰属します。

本文書の情報は、SonicWall Inc.および／または提携会社の製品に関して提供されたものです。本文書または SonicWall製品の販売に関しては、明示または黙示を問わず、禁反言あるいはその他の方法で知的財産権を許諾するものではありません。本製品について、使用許諾契約で指定された条件に記載されている場合を除き、SonicWallおよび／またはその提携会社は製品いものとします。SonicWallおよび/またはその提携会社は、本文書の使用ま特殊、または偶発的な損害（利益の損失、営業停止、情報消失を含む）について一切責任を負いません。また、SonicWallおよび/またはその提携会社がかかる損害の可能性を助言していた場合でも同様とします。SonicWallおよび/またはその提携会社は、本文書の内容の正確性や完全性に関していかなる主張や保証も行わず、また予告なしにいつでも仕様、製品の説明を変更する権利を有します。SonicWall Inc.および／またはその提携会社は、本文書に含まれる情報の更新について一切責任を負いません。

（商品性や特定目的に対する適合性、非侵害の黙示保証を含むがそれに限

会社概要

SonicWallは25年以上にわたってサイバー犯罪と戦っており、世界中の中小企業と大企業を守り続けています。当社はパートナーの協力を得ることでリアルタイムのサイバー防御ソリューションを実現し、150カ国以上の50万を超えるグローバル企業の固有のニーズに応える、信頼の製品を提供しています。
本資料を使用される際のご質問は、以下までお問い合わせください。

SonicWall Inc.
5455 Great America Parkway
Santa Clara, CA 95054
その他の情報については、当社Webサイトをご覧ください。

www.sonicwall.com

6© 2017 SonicWall Inc. ALL RIGHTS RESERVED. SonicWallは、SonicWall Inc. および／またはその関連会社の米国および／またはその他の国における登録商標です。その他すべての商標および登録商標は、それぞれの所有者に帰属します。

WhitePaper-TheSonicWallCleanVPNApproach-US-VG-MKTG424