セキュリティ

Cisco ISE を使ったセキュリティの統合ポリシー管理

小林達哉
2014年1月14日

企業や組織におけるネットワークの利用形態は、ここ数年で大きく変化しています。エンドユーザがネットワークに接続する入口にフォーカスして考えてみると、次のようなことが望まれています。

有線 LAN はもちろん、無線 LAN の利用も標準になっている。
自席以外のオフィス内、あるいは支店や営業所などのブランチからもネットワークを利用することが当たり前であり、さらには VPN の普及により社外からも安全に社内ネットワークを利用できることが望まれている。
Windows PC だけでなく、PC であれば Macintosh や Linux も、あるいは iPhone / iPad / Android などのスマートデバイスも、積極的に利用したいという希望が出てきている。
その結果、従業員が私物の端末を持ち込む BYOD (Bring Your Own Devices) に対するポリシー制定も無視できない。
来客者向けのインターネット接続用ゲストアクセスの整備は必須。

総じて、「いつでも、どこでも、どのような端末でも安全に利用できるネットワーク」が求められていると言えます。

昔のように、自席に置かれたデスクトップの Windows PC を固定 IP アドレスで使うだけのネットワークが、もはや懐かしい時代のようにさえ思えます。先輩のおじさん社員が、若い社員と飲みに行ったときに「オレたちの若いころはこんなネットワークだったよ」と語るような、定番の昔話のネタになるまでもうすぐの段階に来ているかもしれませんね。

さて、そうなると気にしなければならないのが、セキュリティポリシーの管理と適用です。統一された PC を有線 LAN に接続して固定 IP アドレスで利用していた頃のセキュリティポリシーは、もう使い物になりません。次世代型ファイアウォールでの記事でも書きましたが

誰が（who）
何を (what)
どこで (where)
いつ（when）
どのように（how）

という様々な要素に応じて、ネットワーク利用時のセキュリティポリシーを柔軟に変えなくてはいけません。ネットワークの出口では、次世代型ファイアウォールと従来型のファイアウォールを合わせたソリューションで解決できますが、ネットワークの入口や途中のキャンパスコアスイッチでの制御はどのようにすれば良いのでしょうか。

また、広い意味ではセキュリティを守ることに繋がりますが、利便性という意味でも、インターネットへのゲストアクセス用アカウントを来客者向けに従業員自らが発行することや、BYOD を含む新規端末のネットワーク接続を従業員のセルフサービスとして行わせることも実現しないと、IT 管理者の業務負荷が増えるばかりです。

これらの要求を解決するシスコのソリューションは ISE （Identity Services Engine）です。ISE は、RADIUS サーバとして動作し、様々なセキュリティポリシーの管理・設定・適用・監視を行うサーバです。ISE の基本は RADIUS サーバであり、スイッチや WLAN コントローラなどの NAD （Network Access Device）からみた AAA（Authentication, Authorization, Accounting / 認証、認可、アカウンティング）を行うサーバとして利用する位置づけになります。