ユナイテッドアクセスコントロール(UAC)

利点

• ユーザーID、デバイスのセキュリティ状態、位置情報に基づいて、エンドユーザーのアクセスをきめ細かく動的に制御します。

• オープンなスタンダードベースのアーキテクチャを通じて、ユーザー認証からアクセスポイントやスイッチ、ジュニパーファイアウォール、IDPシリーズアプライアンスに至るまで、既存のネットワークインフラストラクチャを活用します。

UAC は Junos OS 環境でどのように機能しますか?

ICシリーズUACアプライアンスを搭載したJunos OS Enforcerとは何ですか?

統合型アクセスコントロール(UAC)ネットワークでは、SRXシリーズファイアウォールがUAC環境に導入されると、Junos OS Enforcerと呼ばれます。SRXシリーズファイアウォールは、ICシリーズUACアプライアンスが提出する証明書を検証します。SRXシリーズファイアウォールとICシリーズUACアプライアンスは、相互認証を実行します。認証後、ICシリーズUACアプライアンスは、ユーザーとリソースアクセスポリシー情報をSRXシリーズファイアウォールに送信し、Junos OS Enforcerとして機能します。

ICシリーズUACアプライアンスを搭載したJunos OS Enforcerの仕組みは?

ICシリーズUACアプライアンスに接続するようにSRXシリーズファイアウォールを設定すると、SRXシリーズファイアウォールとICシリーズUACアプライアンスは、次のようにセキュアな通信を確立します。

1. SRXシリーズファイアウォールで複数のICシリーズデバイスがインフラネットコントローラとして設定されている場合、ラウンドロビンアルゴリズムにより、設定されたICシリーズデバイスのうち、アクティブなインフラネットコントローラが決定されます。その他はフェイルオーバーデバイスです。アクティブなインフラネットコントローラが動作しなくなった場合、アルゴリズムは、新しいアクティブなインフラネットコントローラを確立するように設定されている残りのICシリーズデバイスに再適用されます。

2. アクティブなICシリーズアプライアンスは、そのサーバー証明書をSRXシリーズファイアウォールに提示します。そのように設定されている場合、SRXシリーズファイアウォールは証明書を検証します。(サーバー証明書の検証は必須ではありませんが、追加のセキュリティ対策として、証明書を検証して追加の信頼層を実装できます)。

3. SRXシリーズファイアウォールとICシリーズアプライアンスは、独自のチャレンジ/レスポンス認証を使用して相互認証を実行します。セキュリティ上の理由から、パスワードはICシリーズアプライアンスに送信されるメッセージに含まれていません。

4. SRXシリーズファイアウォールによる認証に成功すると、ICシリーズアプライアンスはユーザー認証とリソースアクセスポリシー情報を送信します。SRXシリーズファイアウォールは、この情報を使用して、UACネットワークでJunos OS Enforcerとして機能します。

5. その後は、ICシリーズアプライアンスとJunos OS Enforcerは、SSL接続を介して相互に自由に通信できます。通信は、 Junos UAC Enforcer Protocol(JUEP)と呼ばれる独自のプロトコルによって制御されます。

ICシリーズUACアプライアンスのクラスターを搭載したJunos OS Enforcerとは何ですか?

Junos OS Enforcerは、ICシリーズアプライアンスクラスターと呼ばれる高可用性構成で、複数のICシリーズUACアプライアンスと連携するように設定することができます。Junos OS Enforcerは、一度に1つのICシリーズアプライアンスとのみ通信します。他のICシリーズアプライアンスは、フェイルオーバーに使用されます。Junos OS Enforcerは、クラスタに追加した最初のICシリーズアプライアンスに接続できない場合、障害が発生したICシリーズアプライアンスへの接続を再試行します。その後、クラスタ内の他のICシリーズアプライアンスにフェイルオーバーします。接続が発生するまで、クラスタ内のICシリーズアプライアンスへの接続を試行し続けます。

Junos OS Enforcerは、Infranet Enforcerへの接続を確立できない場合、既存の認証テーブルのエントリーと統合アクセス制御(UAC)ポリシーをすべて保持し、指定したタイムアウトアクションを実行します。タイムアウトアクションには次のものが含まれます。

• close- 既存のセッションを閉じ、それ以上のトラフィックをブロックします。これはデフォルトのオプションです。

• no-change- 既存のセッションを保持し、新しいセッションには認証を要求します。

• open- 既存のセッションを保持し、新しいセッションへのアクセスを許可します。

Junos OS EnforcerがICシリーズアプライアンスへの接続を再確立できるようになると、ICシリーズアプライアンスはJunos OS Enforcerに保存されている認証テーブルのエントリーとUACポリシーを、ICシリーズアプライアンスに保存されている認証テーブルのエントリーとポリシーと比較し、必要に応じて2つを調整します。

Junos OS Enforcerで設定されたICシリーズアプライアンスは、すべて同じICシリーズアプライアンスクラスターのメンバーである必要があります。

Junos OS Enforcerによるポリシーの適用

SRXシリーズファイアウォールがJunos OS Enforcerとしての地位を確立すると、トラフィックを次のように保護します。

1. まず、Junos OS Enforcerは、適切なJunos OSセキュリティポリシーを使用してトラフィックを処理します。 セキュリティ ポリシー は、トラフィックの送信元 IP アドレスやトラフィックを受信した時刻などの基準を使用して、トラフィックの通過を許可するかどうかを決定します。

2. Junos OSセキュリティポリシーに基づいてトラフィックが通過できると判断すると、Junos OS Enforcerはトラフィックフローを認証テーブルのエントリーにマッピングします。Junos OS Enforcer は、フローの最初のパケットの送信元 IP アドレスを使用してマッピングを作成します。

   1. 認証テーブルのエントリには、UAC セッションを既に正常に確立しているユーザーの送信元 IP アドレスとユーザー ロールが含まれています。ユーザー ロールは、種類 ("エンジニアリング" や "マーケティング" など) や状態 ("ウイルス対策実行中" など) などの条件に基づいてユーザーのグループを識別します。Junos OS Enforcerは、適切な認証テーブルエントリに保存されている認証結果に基づいて、トラフィックの通過を許可するか拒否するかを決定します。

   2. ICシリーズUACアプライアンスは、デバイスが最初に相互に接続されたとき、および必要に応じてセッション中に、認証テーブルエントリーをJunos OS Enforcerにプッシュします。たとえば、ネットワーク上のウイルスなどのセキュリティ問題に対応して、ユーザーのコンピューターがエンドポイントセキュリティポリシーに準拠しなくなった場合、ユーザーの役割の構成を変更した場合、またはICシリーズアプライアンス上のすべてのユーザーアカウントを無効にした場合など、ICシリーズアプライアンスは更新された認証テーブルエントリーをJunos OS Enforcerにプッシュすることがあります。

   3. 認証テーブルのエントリがないためにJunos OS Enforcerがパケットをドロップした場合、デバイスはICシリーズアプライアンスにメッセージを送信し、ICシリーズアプライアンスは新しい認証テーブルエントリをプロビジョニングしてJunos OS Enforcerに送信します。このプロセスは、動的認証テーブルのプロビジョニングと呼ばれます。

3. 認証テーブルのエントリーに基づいてトラフィックが通過すると、Junos OS Enforcerはフローをリソースにマッピングします。Junos OS Enforcer は、フローで指定された宛先 IP アドレスを使用してマッピングを作成します。次に、デバイスはそのリソースと、認証テーブルのエントリで指定されたユーザーロールを使用して、フローをリソースアクセスポリシーにマッピングします。

   1. リソースアクセスポリシーは、ユーザーロールに基づいてアクセスを制御する特定のリソースを指定します。たとえば、エンジニアリングおよびウイルス対策の実行ユーザー ロールのメンバーであるユーザーのみがエンジニアリング専用サーバーにアクセスできるようにするリソース アクセス ポリシーを作成できます。または、ウイルス対策ソフトウェアをダウンロードできる修復サーバーへの [ウイルス対策を実行しない] ユーザー ロールのメンバーにアクセスを許可するリソース アクセス ポリシーを作成することもできます。

   2. ICシリーズアプライアンスは、デバイスが初めて相互に接続するとき、およびICシリーズアプライアンスでリソースアクセスポリシーの設定を変更するときに、リソースアクセスポリシーをJunos OS Enforcerにプッシュします。

   3. 「拒否」ポリシーが原因でJunos OSエンフォーサーがパケットをドロップした場合、Junos OS EnforcerはICシリーズアプライアンスにメッセージを送信し、ICシリーズアプライアンスはエンドポイントのOdysseyアクセスクライアント(利用可能な場合)にメッセージを送信します。(ICシリーズアプライアンスは、エージェントレスクライアントに「拒否」メッセージを送信しません。)

4. リソースアクセスポリシーに基づいてトラフィックが通過できると判断されたJunos OS Enforcerは、Junos OSポリシーで定義された残りのアプリケーションサービスを使用してトラフィックを処理します。Junos OS Enforcerは、残りのサービスを、侵入検出および防止(IDP)、URLフィルタリング、およびアプリケーション層ゲートウェイ(ALG)の順に実行します。

Junos OS EnforcerでInfranet Agentを使用したエンドポイントセキュリティ

Infranetエージェントは、次のように通信を開始するエンドポイントから始まるネットワーク上のトラフィックを保護するのに役立ちます。

1. エンドポイントで直接実行されるInfranetエージェントは、エンドポイントが統合アクセス制御(UAC)ホストチェッカーポリシーに準拠していることを確認します。

2. UAC ホスト チェッカー ポリシー内でさまざまな条件を使用して、コンプライアンスを判断できます。たとえば、Host Checker ポリシーを構成して、エンドポイントでウイルス対策ソフトウェアまたはファイアウォールが実行されていること、またはエンドポイントで特定の種類のマルウェアやプロセスが実行されていないことを確認できます。

3. インフラネットエージェントは、コンプライアンス情報をJunos OS Enforcerに送信します。

4. Junos OS Enforcerは、ホストチェッカーのコンプライアンス結果に基づいて、ネットワーク上のリソースへのエンドポイントアクセスを許可または拒否します。

Infranetエージェントはエンドポイント上で直接実行されるため、Infranetエージェントを使用して、エンドポイントのセキュリティコンプライアンスをいつでもチェックできます。たとえば、ユーザが IC シリーズ UAC アプライアンスにサインインしようとすると、Infranet エージェントにコンプライアンス結果をすぐに送信するように要求できます。Infranet エージェントが IC シリーズ アプライアンスに肯定的なコンプライアンス結果を返すまで、ユーザにはサインイン ページも表示されません。また、ユーザのサインイン後またはユーザ セッション中に定期的にコンプライアンスをチェックするように Infranet エージェントを設定することもできます。

インフラネットエージェントを実行しているエンドポイントに適切なアクセス権がある場合、コンプライアンス結果は自動的にICシリーズアプライアンスに送信され、ICシリーズアプライアンスはそれに応じて認証テーブルのエントリを更新してJunos OS Enforcerにプッシュします。Junos OS Enforcerは、Odysseyアクセスクライアントおよび「エージェントレス」インフラネットエージェントとの接続をサポートします。