ユナイテッド・アクセス・コントロール(UAC)

利点

• ユーザーのアイデンティティ、デバイスのセキュリティ状態、位置情報に基づいて、エンドユーザーのアクセスをきめ細かく動的に制御します。

• オープンなスタンダードベースのアーキテクチャを通じて、ユーザー認証からアクセスポイントとスイッチ、ジュニパーファイアウォール、IDPシリーズアプライアンスまで、既存のネットワークインフラストラクチャを活用します。

UAC は Junos OS 環境でどのように機能しますか?

Junos OS EnforcerとICシリーズUACアプライアンスとは何ですか?

統合型アクセスコントロール(UAC)ネットワークでは、ファイアウォールをUAC環境に導入すると、Junos OS Enforcerと呼ばれます。ファイアウォールは、ICシリーズUACアプライアンスが提出する証明書を確認します。ファイアウォールとICシリーズUACアプライアンスは相互認証を実行します。認証後、ICシリーズUACアプライアンスは、ユーザーとリソースのアクセスポリシー情報をファイアウォールに送信し、Junos OS Enforcerとして機能します。

Junos OS EnforcerとICシリーズUACアプライアンスの仕組み

IC シリーズ UAC アプライアンスに接続するようにファイアウォールを構成すると、ファイアウォールと IC シリーズ UAC アプライアンスは、次のようにセキュリティで保護された通信を確立します。

1. ファイアウォール上で複数の IC シリーズ デバイスがインフラストラクチャ コントローラとして設定されている場合、ラウンドロビン アルゴリズムにより、設定された IC シリーズ デバイスのどれがアクティブな Infranet コントローラであるかが決定されます。その他はフェイルオーバー デバイスです。アクティブなインフラネットコントローラが動作しなくなった場合、アルゴリズムは、新しいアクティブなインフラネットコントローラを確立するように設定されている残りのICシリーズデバイスに再適用されます。

2. アクティブなICシリーズアプライアンスは、そのサーバー証明書をファイアウォールに提示します。そのように構成されている場合、ファイアウォールは証明書を検証します。(サーバー証明書の検証は必要ありませんが、追加のセキュリティ対策として、証明書を検証して追加の信頼レイヤーを実装できます)。

3. ファイアウォールとICシリーズアプライアンスは、独自のチャレンジ/レスポンス認証を使用して相互認証を実行します。セキュリティ上の理由から、ICシリーズアプライアンスに送信されるメッセージにパスワードは含まれていません。

4. ファイアウォールでの認証に成功すると、ICシリーズアプライアンスはユーザー認証とリソースアクセスポリシー情報を送信します。ファイアウォールはこの情報を使用して、UACネットワークでJunos OS Enforcerとして機能します。

5. その後、ICシリーズアプライアンスとJunos OS Enforcerは、SSL 接続を介して互いに自由に通信できます。通信は、 Junos UAC Enforcer Protocol(JUEP)と呼ばれる独自のプロトコルによって制御されます。

ICシリーズUACアプライアンスのクラスターを備えたJunos OS Enforcerとは何ですか?

Junos OS Enforcerは、ICシリーズアプライアンスクラスターと呼ばれる高可用性構成で、複数のICシリーズUACアプライアンスと連携するように設定できます。Junos OS Enforcerは、一度に1つのICシリーズアプライアンスとのみ通信します。他のICシリーズアプライアンスはフェイルオーバーに使用されます。Junos OS Enforcerが、クラスタに追加した最初のICシリーズアプライアンスに接続できない場合、障害が発生したICシリーズアプライアンスへの接続を再試行します。その後、クラスタ内の他のICシリーズアプライアンスにフェイルオーバーします。接続が発生するまで、クラスタ内のICシリーズアプライアンスへの接続を試行し続けます。

Junos OS Enforcer が Infranet Enforcer への接続を確立できない場合、既存の認証テーブル エントリーと UAC(Unified Access Control)ポリシーをすべて保持し、指定されたタイムアウト アクションを実行します。タイムアウト アクションには、次のものが含まれます。

• close- 既存のセッションを閉じ、それ以上のトラフィックをブロックします。これはデフォルトのオプションです。

• no-change- 既存のセッションを保持し、新しいセッションには認証を要求します。

• open- 既存のセッションを保持し、新しいセッションへのアクセスを許可します。

Junos OS EnforcerがICシリーズアプライアンスへの接続を再確立できるようになると、ICシリーズアプライアンスは、Junos OS Enforcerに保存された認証テーブルエントリーとUACポリシーを、ICシリーズアプライアンスに保存された認証テーブルエントリーとポリシーと比較し、必要に応じて2つを照合します。

Junos OS Enforcerで設定されたICシリーズアプライアンスは、すべて同じICシリーズアプライアンスクラスターのメンバーである必要があります。

Junos OS Enforcerによるポリシーの適用

ファイアウォールがJunos OS Enforcerとしての地位を確立すると、ファイアウォールは次のようにトラフィックを保護します。

1. まず、Junos OS Enforcerは、適切なJunos OSセキュリティポリシーを使用してトラフィックを処理します。 セキュリティ ポリシー では、トラフィックの送信元 IP アドレスやトラフィックを受信した時刻などの基準を使用して、トラフィックの通過を許可するかどうかを決定します。

2. Junos OSセキュリティポリシーに基づいてトラフィックが通過する可能性があると判断すると、Junos OS Enforcerはトラフィックフローを認証テーブルのエントリーにマッピングします。Junos OS Enforcer は、フロー内の最初のパケットの送信元 IP アドレスを使用してマッピングを作成します。

   1. 認証テーブル エントリには、UAC セッションを既に正常に確立しているユーザーの送信元 IP アドレスとユーザー ロールが含まれます。ユーザーロールは、タイプ(「エンジニアリング」や「マーケティング」など)やステータス(「ウイルス対策実行中」など)などの基準に基づいてユーザーのグループを識別します。Junos OS Enforcerは、適切な認証テーブルエントリーに保存された認証結果に基づいて、トラフィックの通過を許可するか拒否するかを決定します。

   2. ICシリーズUACアプライアンスは、デバイスが最初に相互に接続したとき、および必要に応じてセッション全体を通して、認証テーブルエントリーをJunos OS Enforcerにプッシュします。たとえば、ユーザーのコンピューターがエンドポイントセキュリティポリシーに準拠しなくなった場合、ユーザーの役割の構成を変更した場合、またはネットワーク上のウイルスなどのセキュリティ問題に対応してICシリーズアプライアンス上のすべてのユーザーアカウントを無効にした場合、ICシリーズアプライアンスは、更新された認証テーブルエントリーをJunos OS Enforcerにプッシュする場合があります。

   3. 認証テーブルエントリーがないためにJunos OS Enforcerがパケットをドロップした場合、デバイスはICシリーズアプライアンスにメッセージを送信します。これにより、新しい認証テーブルエントリーがプロビジョニングされてJunos OS Enforcerに送信されます。このプロセスは、ダイナミック認証テーブルプロビジョニングと呼ばれます。

3. 認証テーブルのエントリーに基づいてトラフィックが通過する可能性があると判断すると、Junos OS Enforcerはフローをリソースにマッピングします。Junos OS Enforcer は、フローで指定されたIP アドレスを使用してマッピングを作成します。次に、デバイスはそのリソースと、認証テーブルのエントリーで指定されたユーザーロールを使用して、フローをリソースアクセスポリシーにマッピングします。

   1. リソース・アクセス・ポリシーは、ユーザー・ロールに基づいてアクセスを制御する特定のリソースを指定します。たとえば、Engineering and Antivirus Running ユーザー ロールのメンバーであるユーザーのみにエンジニアリング専用サーバーへのアクセスを許可するリソース アクセス ポリシーを作成できます。または、ウイルス対策ソフトウェアをダウンロードできる修復サーバーへの No Antivirus Running ユーザー ロールのメンバーへのアクセスを許可するリソース アクセス ポリシーを作成することもできます。

   2. ICシリーズアプライアンスは、デバイスが初めて相互に接続したとき、およびICシリーズアプライアンスでリソースアクセスデバイスからも削除されますときに、リソースアクセスポリシーをJunos OS Enforcerにプッシュします。

   3. Junos OS Enforcerが「拒否」ポリシーのためにパケットをドロップした場合、Junos OS EnforcerはICシリーズアプライアンスにメッセージを送信し、次にエンドポイントのOdysseyアクセスクライアント(利用可能な場合)にメッセージを送信します。(IC シリーズ アプライアンスは、エージェントレス クライアントに「拒否」メッセージを送信しません)。

4. リソースアクセスポリシーに基づいてトラフィックが通過する可能性があると判断すると、Junos OS Enforcerは、Junos OSポリシーで定義された残りのアプリケーションサービスを使用してトラフィックを処理します。Junos OS Enforcerは、残りのサービスをIDP(侵入検出および防御)、URLフィルタリング、ALG(アプリケーション層ゲートウェイ)の順で実行します。

Infranet Agent と Junos OS Enforcer を使用したエンドポイント セキュリティ

Infranetエージェントは、以下のように、通信を開始するエンドポイントから始まるネットワーク上のトラフィックを保護するのに役立ちます。

1. エンドポイントで直接実行される Infranet エージェントは、エンドポイントが統合アクセス制御 (UAC) ホストチェッカー ポリシーに準拠していることを確認します。

2. UAC ホストチェッカー ポリシー内のさまざまな条件を使用して、コンプライアンスを判断できます。たとえば、ホストチェッカーポリシーを構成して、エンドポイントがウイルス対策ソフトウェアまたはファイアウォールを実行していること、またはエンドポイントが特定のタイプのマルウェアまたはプロセスを実行していないことを確認できます。

3. Infranet エージェントは、コンプライアンス情報を Junos OS Enforcer に送信します。

4. Junos OS Enforcerは、ホストチェッカーのコンプライアンス結果に基づいて、ネットワーク上のリソースへのエンドポイントのアクセスを許可または拒否します。

Infranet エージェントはエンドポイント上で直接実行されるため、Infranet エージェントを使用して、エンドポイントのセキュリティコンプライアンスをいつでもチェックできます。たとえば、ユーザーが IC シリーズ UAC アプライアンスにサインインしようとしたときに、Infranet エージェントにコンプライアンス結果をすぐに送信するように要求できます (Infranet エージェントが IC シリーズ アプライアンスに肯定的なコンプライアンス結果を返すまで、ユーザーにサインイン ページは表示されません)。また、Infranet エージェントを構成して、ユーザーのサインイン後、またはユーザー セッション中に定期的にコンプライアンスを確認することもできます。

Infranetエージェントを実行しているエンドポイントが適切なアクセス権を持っている場合、コンプライアンス結果が自動的にICシリーズアプライアンスに送信され、ICシリーズアプライアンスはそれに応じて認証テーブルのエントリーを更新して、Junos OS Enforcerにプッシュします。Junos OS Enforcerは、Odysseyアクセスクライアントおよび「エージェントレス」インフラネットエージェントとの接続をサポートします。