ユーザーズガイド KYOSHO PURE TEN EP ALPHA 2 4WD EXPLODED VIEW

[. . . ] 「Exemption Type」(除外の種類) リストボックスをクリックして、「DHCP Criteria」(DHCP の条件) を選択します。 5. 「Exemption Criteria」(除外の条件) の下に表示されている、「MAC Address」(MAC アドレス)、「User Class」(ユーザークラス)、または 「Vendor Class」(ベンダークラス) オプションボタンを選択して除外の条 件を指定し、該当する MAC アドレス (またはプレフィックス)、ユーザー 8 Sophos NAC for Endpoint Security and Control Microsoft DHCP 施行ガイド クラス、またはベンダークラスを入力欄に記入し、「Add」(追加) をク リックします。 追加する除外の条件の数に応じて、この操作を繰り返します。 注: 「*」や「%」などのワイルドカード文字を除外の条件に使用すること もできます。たとえば、MAC アドレスとして「AA*」と入力すると、 「AA」で始まるすべての MAC アドレスが除外されます。同様に、「*」 や「%」記号なしで「AA」と入力すると、「AA」という名称の MAC アド レスだけが除外されます。 6. 「Select」(選択) をクリックし、DHCP エンフォーサ アクセステンプレー トを除外に追加します。「Default - DHCP Permit (NULL User Class)」(デ フォルト - DHCP 許可 (NULL ユーザークラス)) アクセステンプレートを 選択して「OK」をクリックします。 注: 「Default - DHCP Permit (NULL User Class)」は、Sophos NAC であらか じめ定義されているアクセステンプレートで、ネットワークアクセスを許 可します。この除外では、Sophos NAC によるポリシー準拠評価なしでネッ トワークにアクセスするできるように設定しました。 7. 「Save」(保存) をクリックします。 重要: 除外の作成後、Exemptions (除外) ページの一覧で優先順位を設定で きます。特定のエンドポイントに複数の除外が適用可能な場合は、エンド ポイントに適用可能な最初の除外が使用されます。ソフォスでは、より特 化した、条件の厳しい除外を優先することをお勧めしています。 4. 2 DHCP スコープによる除外の作成 対象から除外する必要のあるエンドポイントは、DHCP で IP アドレスを自 動的に取得しているエンドポイントだけです。 NAC Manager の「Exemptions」 (除外) ページで、DHCP Scope (DHCP スコープ) による除外を作成します。 DHCP スコープによる除外では、適用の対象から除外するネットワークセグ メントを設定します。この除外では、組織全体でポリシーを段階的に施行す る場合など、段階ごとにポリシーの施行を必要としないネットワークセグメ ントを対象から除外することができるため便利です。 9 Sophos NAC for Endpoint Security and Control Microsoft DHCP 施行ガイド 操作方法 1. [. . . ] 「フレンドリ名」フィールドに「DHCP」と入力し、「クライアントのア ドレス」フィールドにご使用の DHCP サーバーの IP アドレス、または DNS 名を入力します。「次へ」をクリックして続行します。 注: RADIUS クライアントの名前を DHCP にして DHCP が適切に動作する ようにします。この名前は、前の章で作成した接続要求ポリシー名に一致 します。 4. 「共有シークレット」フィールドに「DHCP」と入力し、ご使用の DHCP サーバーの共有シークレットを指定します。DHCP 共有シークレットは、 NAC と 連動するように DHCP サーバーを設定する際に使用します。 注: デフォルトで、「クライアント ベンダ」が「RADIUS Standard」に選 択されているのでそのままにします。 17 Sophos NAC for Endpoint Security and Control Microsoft DHCP 施行ガイド 5. 「要求はメッセージ認証属性を含んでいる必要がある」チェックボックス が選択されていないことを確認します。 6. 「完了」をクリックします。 18 Sophos NAC for Endpoint Security and Control Microsoft DHCP 施行ガイド 6 DHCP エンフォーサ ソフトのインストール DHCP Enforcer (DHCP エンフォーサ) のソフトウェアをご使用の Microsoft DHCP サーバーにインストールします。DHCP エンフォーサ ソフトには、 DHCP Enforcer と DHCP Enforcer Configuration Tool (設定ツール) が含まれて います。 1. nacmd31sfx. exe というファイルをソフォス Web サイトからダウンロードし ます。 2. nacmd31sfx. exe をダブルクリックし、DHCP エンフォーサ ソフトのインス トーラを起動します。 3. 「Next」(次へ) をクリックします。 4. 「Next」(次へ) をクリックします。 5. 「Complete」(すべて) オプションを選択します。 注: Microsoft DHCP サーバーが検索され、適切な DHCP エンフォーサ ソ フトのコンポーネントがインストールされます。 19 Sophos NAC for Endpoint Security and Control Microsoft DHCP 施行ガイド 6. 「Install」(インストール) をクリックしてソフトウェアをインストールし ます。 7. 必要に応じて、ダイアログボックスに表示される「OK」をクリックしま す。 注: このダイアログボックスは、インストールを開始する際に停止された 関連サービスを再起動する場合のみに表示されます。 8. 「表示名」フィールドに「NACDeny」、「説明」フィールドに「Sophos NAC Deny User Class」と入力します。 4. 「ASCII」欄にカーソルを置いてクリックし、ユーザークラスとして 「NACDeny」と入力します。 注: このユーザークラスでは、大文字と小文字が区別されます。Sophos NAC で事前定義済みのユーザークラスと一致するように、この手順で示 されるユーザークラスと全く同じように入力する必要があります。NACDeny ユーザークラスは、「Default - DHCP Permit (NULL User Class)」(デフォル 27 Sophos NAC for Endpoint Security and Control Microsoft DHCP 施行ガイド ト - DHCP 許可 (NULL ユーザークラス)) アクセステンプレートであらか じめ定義されています。 5. 「OK」をクリックして NACDeny ユーザークラスを作成します。 注: NULL ユーザークラスは、Microsoft DHCP サーバーであらかじめ定義 されているため、NULL のユーザークラスを定義する必要はありません。 6. 「閉じる」をクリックして「DHCP ユーザークラス」ウィンドウを閉じま す。 7. 2 スコープオプションの編集によるユーザークラスの指定 DHCP Enforcer (DHCP エンフォーサ) は、各 DHCP 要求にユーザークラスを 照合させることにより機能します。ポリシーに準拠しておらず、対象から除 外されていないエンドポイント (NAC エージェントがインストールされてい ない場合を含む) は、Sophos NAC で事前定義され、かつ DHCP サーバーで設 定される NACDeny ユーザークラスと照合されます。ポリシーに準拠、ある いは一部準拠しているエンドポイントは、Sophos NAC と DHCP サーバーで 28 Sophos NAC for Endpoint Security and Control Microsoft DHCP 施行ガイド 設定されている NULL ユーザークラスと照合されます。NULL ユーザクラス は、組織内部のネットワークとインターネットへのフルアクセスを許可しま す。NACDeny ユーザークラスは、ポリシーに準拠していないエンドポイン トを検疫します。DNS サーバー、Remediation (修復) サーバー、あるいはそ の他のネットワークリソースに対して静的ルートを設定すると、ポリシーに 準拠していないエンドポイントに、制限付きでネットワークアクセスを許可 することができます。 重要: ここでの手順では 1つのスコープを編集しています。複数のスコープ を編集するには、同じ手順を繰り返す必要があります。通常、1つのスコー プはネットワークセグメント 1つに対応しています。 1. Microsoft DHCP サーバーで、DHCP 管理コンソールを開きます。適切なス コープのフォルダを展開し、「スコープオプション」を右クリックして、 「オプションの構成」を選択します。 2. 「詳細設定」タブを選択し、 「ユーザークラス」リストボックスから 「NACDeny」を選択します。 NACDeny ユーザークラスは、DHCP サーバーで定義しました。詳細は、 Microsoft DHCP ユーザークラスの定義 (p. 「利用可能なオプション」の一覧から「003 ルーター」チェックボックス を選択します。 注: ここでは、ポリシーに準拠していない、対象から除外されていない、 あるいは NAC エージェントがインストールされていないエンドポイント に対する検疫を設定しています。この設定では、ネットワークアクセスを 拒否するために、エンドポイントに空のゲートウェイが適用されます。 DNS サーバー、Remediation (修復) サーバー、インターネットアクセス用 のプロキシサーバー、あるいはその他のネットワークリソースに対して静 的ルートを設定すると、ポリシーに準拠していない検疫されているエンド ポイントに、制限付きでネットワークアクセスを許可することができま す。 29 Sophos NAC for Endpoint Security and Control Microsoft DHCP 施行ガイド 4. 「適用」をクリックしてオプションを設定します。 ルータユーザークラスには、IP アドレスを追加しないでください。この 手順では、ネットワークアクセスを拒否するために、エンドポイントに空 のゲートウェイを適用します。 5. 「ユーザークラス」リストボックスから、「NACDeny」を選択します。 注: ユーザーを検疫するために、DHCP サーバーで NACDeny ユーザーク ラスを定義しました。詳細は、Microsoft DHCP ユーザークラスの定義 (p. 「利用可能なオプション」の一覧から「033 静的ルートオプション」チェッ クボックスを選択します。 ポリシーに準拠していない、対象から除外されていない、あるいは NAC エージェントがインストールされていないエンドポイントに対してはゲー トウェイを通過させません。ここでは、ポリシーに準拠していないエンド ポイントが NAC サーバーと通信できるよう NAC サーバーへの静的ルート を設定しています。 30 Sophos NAC for Endpoint Security and Control Microsoft DHCP 施行ガイド 7. Sophos NAC サーバーの名前を「サーバー名」フィールドに入力し、「解 決」をクリックするか、あるいは Sophos NAC サーバーの IP アドレスを 「IP アドレス」フィールドに入力します。次に、「追加」をクリックし ます。 注: DHCP の静的ルートオプションでは、各静的ルートにつき一組の IP ア ドレス (送信先とルータ) を指定する必要があります。エンドポイントと 同じセグメントにあるアドレスについては、IP アドレスの一覧に 2度表示 されるように、同じアドレスを再度追加してください。異なるセグメント にあるアドレスは、エンドポイントが経由するルータのアドレスを追加し てください。 8. [. . . ] 該当する場合、「Report Criteria」(レポートの基準) の横にあるプラス記 号 をクリックし、適切な検索オプションを入力または選択します。ま た、「Custom Sort」(並び替えのカスタマイズ) リンクをクリックして、 並び替えオプションを詳細設定することができます。ここで指定した並び 替えの設定は、レポートが表示されている間のみ有効です。 各フィールドに関する詳細は、表「フィールドおよびその説明」をご覧く ださい。 注: ほとんどのフィールドで、「*」や「%」記号を使用して、ワイルド カード検索を実行できます。たとえば、「Returned User Class」(返された ユーザークラス) フィールドに「M*」や「M%」を入力すると、「M」で はじまるすべてのユーザークラスが表示されます。同様に、「Returned User Class」(返されたユーザークラス) フィールドに「*」や「%」なしで 「M」と入力すると、「M」というユーザークラスのみが表示されます。 5. 「Run」(実行) をクリックします。 フィールドおよびその説明 フィールド 説明 サマリーレポートのエントリ Date/Time ネットワークアクセスを試みた日時。 注: 日時は、NAC Manager にアクセスしている Web ブラ ウザのタイムゾーンに従って表示されます。 35 Sophos NAC for Endpoint Security and Control Microsoft DHCP 施行ガイド フィールド MAC Address 説明 ネットワーク接続を試みているデバイスの MAC アドレ ス。表示されている MAC アドレスは、DHCP クライアン ト要求に関連する NIC (ネットワーク インターフェース カード) に割り当てられています。 ネットワーク接続を試みているデバイスの名前。コン ピュータ名には、クライアント要求で指定されたものが 使用されます。 ポリシー準拠評価時に指定されたエンドポイントのポリ シー準拠ステート。指定されるポリシー準拠ステートは、 次のとおりです。 ■ Computer Name Compliance State Compliant (ポリシー準拠): 評価の結果、エンドポイン トがポリシーに準拠していると判断された状態。ポリ シーに関連付けされている、ポリシー準拠の DHCP エ ンフォーサ アクセステンプレートによってネットワー クアクセスが決定されます。 ■ Partially Compliant (ポリシーに一部準拠): 評価の結果、 エンドポイントがポリシーに一部準拠していると判断 された状態。ポリシーに関連付けされている、ポリシー に一部準拠している DHCP エンフォーサ アクセステン プレートによってネットワークアクセスが決定されま す。 ■ Non-Compliant (ポリシーに準拠していない): 評価の結 果、エンドポイントがポリシーに準拠していないと判 断された状態。ポリシーに関連付けされている、ポリ シーに準拠していない DHCP エンフォーサ アクセステ ンプレートによってネットワークアクセスが決定され ます。 重要: エンドポイントのポリシー準拠ステートは、エンド ポイントのプロファイルの条件の評価結果と、各プロファ イル タイプに適用されているポリシーの動作とを合わせ て決定されます。各条件の準拠ステートは、その上に位 置するプロファイルに反映され、複数のプロファイルの 36 Sophos NAC for Endpoint Security and Control Microsoft DHCP 施行ガイド フィールド 説明 準拠ステートは、その上に位置するポリシーに反映され、 このようにして、全般のポリシー準拠ステートが決定さ れます。ポリシー準拠が最低のステートが、全般のポリ シー準拠ステートに反映されます。ポリシー準拠ステー ト決定後は、それに基づいたネットワークアクセスを、 ポリシー内で指定されているアクセステンプレートを使 用して施行することができます。 Template Name (Version) DHCP エンフォーサによるアクションを決定するアクセ ステンプレートの名前とバージョン。特定のアクセステ ンプレートが使用された理由は、「Reason」(理由) に表 示されます。使用可能なアクセステンプレートは、次の デフォルトのテンプレート、および組織特有のテンプレー トです。 ■ Default - DHCP Permit (NULL User Class) (デフォルト DHCP 許可 (NULL ユーザークラス)): ネットワークアク セスを許可する目的で、NULL ユーザークラスを返す ために使用される DHCP エンフォーサ アクセステンプ レート。 ■ Default - DHCP Deny (NACDeny User Class) (デフォルト - DHCP 拒否 (NACDeny ユーザークラス)): ネットワー クアクセスを拒否する目的で、NACDeny ユーザークラ スを返すために使用される DHCP エンフォーサ アクセ ステンプレート。 Reason 特定のアクセステンプレートが DHCP エンフォーサによっ て適用された理由。次のような理由があります。 ■ Assessment (評価): エージェントが実行した評価によっ てポリシー準拠ステートが決定された場合。ポリシー 準拠ステートに関連付けされている、DHCP エンフォー サ アクセステンプレートによってネットワークアクセ スが決定されます。 37 Sophos NAC for Endpoint Security and Control Microsoft DHCP 施行ガイド フィールド 説明 ■ Default Template (デフォルトのテンプレート): エンドポ イントにポリシーが関連付けされている、またはエン ドポイントが除外に指定されているが、関連付けされ ているアクセステンプレートが見つからなかった場合。 「 Configure System | Enforcer Settings 」(システムの設 定 - エンフォーサ設定) エリアで指定されたデフォルト のアクセステンプレートによって、 ネットワークアク セスが指定されます。 ■ Enforcer Override (エンフォーサ オーバーライド): 施行 がチェックされなかった場合。「 Configure System | Enforcer Settings 」(システムの設定 - エンフォーサ設 定) エリアで、「Override DHCP Enforcer」(DHCP エン フォーサの設定をオーバーライドする) チェックボック スを選択した場合、同じエリアで指定されている Maintenance Mode/Enforcer Override (メンテナンス モー ド/エンフォーサ オーバーライド) アクセステンプレー トによってネットワークアクセスが指定されます。 ■ Exempted (除外済み): エンドポイントが「 Enforce | Exemptions 」(施行 - 除外) エリアで指定されている条 件に基づいて除外された場合。「Exemption Criteria」 (除外の条件) で関連付けされているアクセステンプレー トによってネットワークアクセスが指定されます。括 弧書きで表示される、除外の理由は次のとおりです。 ■ User Class (ユーザークラス): ユーザークラスが除外 に指定されている ■ Vendor Class (ベンダークラス): ベンダークラスが除 外に指定されている ■ MAC: MAC アドレスが除外に指定されている 38 Sophos NAC for Endpoint Security and Control Microsoft DHCP 施行ガイド フィールド 説明 ■ IP Scope (IP スコープ): IP スコープが除外に指定され ている ■ Maintenance Mode (メンテナンスモード): ソフトウェア がメンテナンスモードにある場合。「 Configure System | Enforcer Settings 」(システムの設定 - エンフォーサ設 定) で指定された「Maintenance Mode/Enforcer Override」 (メンテナンス モード/エンフォーサ オーバーライド) アクセステンプレートによって、 ネットワークアクセ スが指定されます。 ■ Policy Retrieval Error (ポリシー取得エラー): エンドポイ ントのポリシー準拠ステートが、「 Configure System | Enforcer Settings 」(システムの設定 - エンフォーサ設 定) エリアで設定される「DHCP Policy Update Threshold」(DHCP ポリシー アップデートのしきい値) フィールドに最新でない場合。「Policy Retrieval Error」 (ポリシー取得エラー) ステートに関連付けされている、 ポリシーの DHCP エンフォーサ アクセステンプレート によってネットワークアクセスが指定されます。 ■ Remediate (修復): ポリシーが「Remediate」(修復) モー ドにある場合。「Remediate」(修復) モードに関連付け されている、DHCP エンフォーサ アクセステンプレー トによってネットワークアクセスが指定されます。 ■ Report Only (レポートのみ): ポリシーが「Report Only」 (レポートのみ) モードにある場合。「Report Only」(レ ポートのみ) モードに関連付けされている、DHCP エン フォーサ アクセステンプレートによってネットワーク アクセスが指定されます。 39 Sophos NAC for Endpoint Security and Control Microsoft DHCP 施行ガイド フィールド 説明 ■ Reserved (予約済み): ネットワークアクセスを要求して いるデバイスの MAC アドレスは、DHCP サーバーで特 殊デバイスとして予約されている場合。 ■ System Error (システムエラー): 操作の完了を妨げるエ ラーがエンフォーサで発生した場合。 Sophos NAC サー バーの SystemErrors レジストリ設定は、ネットワーク アクセスを拒否するようデフォルト設定されています。 ■ Template Error (テンプレートエラー): 関連付けされて いるアクセステンプレートが存在せず、「 Configure System | Enforcer Settings 」(システムの設定 - エンフォー サ設定) エリアで指定したデフォルトのアクセステンプ レートを使用できなかった場合。このエラーが発生し た場合、ネットワークアクセスは DHCP サーバーに よって指定され、ユーザークラスが返されず、ユーザー のアクセスが拒否されます。 ■ Unknown Endpoint (不明なエンドポイント): ポリシー準 拠に関するレコートが存在しない場合。「 Configure System | Enforcer Settings 」(システムの設定 - エンフォー サ設定) エリアで指定した Unknown Endpoint (不明なエ ンドポイント) アクセステンプレートによってネット ワークアクセスが指定されます。 Returned User Class DHCP Server 施行を実行するため、DHCP エンフォーサによって DHCP サーバーに返された DHCP ユーザークラス。 DHCP エンフォーサにネットワークアクセスを要求して いる DHCP サーバーの IP アドレス。同サーバーは、DHCP エンフォーサがインストール済みの DHCP サーバーです。 「Exemptions」(除外) ページを表示するアイコン。この ページを表示して、レポートの項目にある DHCP 条件に 基づき、除外を作成します。このアイコンは、理由が 「Exempted」(除外済み) でない場合のみに表示されます。 Exempt 40 Sophos NAC for Endpoint Security and Control Microsoft DHCP 施行ガイド フィールド 説明 詳細は、DHCP 条件による除外を作成する (p. 8) または DHCP スコープによる除外を作成する (p. 9) をご覧くだ さい。 詳細なレポートのエントリ Endpoint Action エンドポイントが実行したアクション。エンドポイント は、ポリシーで指定されている Agent Enforcement Action (エージェント施行アクション) に基づいて IP アドレスを 解放、更新します。エージェントが新しい IP アドレスを 取得する状況は、次の 3つです。一つ目は、エージェント がポリシー準拠の評価を起動/開始した場合です。二つ目 は、エンドポイントのポリシー準拠ステートに変更があっ た場合、三つ目がユーザーのポリシーで指定されている DHCP エンフォーサ アクセステンプレートに変更があっ た場合です。次のような内容を設定できます。 ■ None (なし):エンドポイントの IP アドレスを解放・更 新しない ■ Release Renew (解放、更新): エンドポイントの IP アド レスを解放する。また、解放後に DHCP サーバーを使 用して IP アドレスを更新する。新しい IP アドレスを 取得する前に、現在の IP アドレスは破棄されます。 ■ Triple Dash (ハイフン 3つ) (---): エージェントによって アクションが報告されなかった場合。これには、次の ような理由が考えられます。 ■ エージェントはポリシー準拠評価を実行したが、エ ンドポイントのポリシー準拠ステートに変更はな く、また、ポリシー内の DHCP エンフォーサアクセ ステンプレートにも変更が なかったため、エージェ ントはアクションを実行または報告しなかった。 ■ エージェントはアクションを実行したが、ポリシー で指定されているレポート作成対象の期間が終了し ていないため、アクションがまだ報告されていな 41 Sophos NAC for Endpoint Security and Control Microsoft DHCP 施行ガイド フィールド 説明 い。したがって、エージェントの次回のレポート作 成時まで、このデータは不完全となることがありま す。 ■ 当該のレコードがエージェントを実行していない DHCP クライアントからの要求であるため Vendor Class DHCP Relay DHCP クライアントのベンダークラス DHCP エンフォーサ アクセステンプレートを選択するた め、DHCP エンフォーサによって使用された DHCP リレー エージェントの IP アドレス (元の DHCP リクエスト内に 存在する場合)。DHCP リレーエージェントが使用されて いない場合、0. 0. 0. 0 が表示されます。 DHCP サーバーから返されたトランザクション ID。トラ ンザクション ID は、DHCP クライアントのメッセージを サーバーからの返答に関連付けします。 Transaction ID 8. 3 アクセステンプレートの検証と、DHCP 施行の有効設定 DHCP 施行を有効にするには、該当するポリシー内で、「Policy Mode」(ポ リシーモード) を「Report Only」(レポートのみ) から「Enforce」(施行) に変 更してください。施行を有効にする際、適用されている事前定義済みのアク セステンプレートが、使用する DHCP 実装環境において適切であることを確 認してください。 重要: すべてのポリシーおよびポリシーの変更内容は直ちに有効ですが、エー ジェントが取得するまで、エンドポイントには適用されません。 操作方法 1. [. . . ]