第 3 章 - 問題点と要件
最終更新日: 2006年7月18日
ダウンロード
.gif){kind=icon}
Microsoft 仮想プライベート ネットワークでの検疫サービスの実装計画ガイド (英語情報)
トピック
はじめに
Woodgrove National Bank シナリオ
在宅勤務者のための VPN アクセスの実装
Microsoft Operations Framework の使用
はじめに
安全なリモート アクセスを実現するために仮想プライベート ネットワーク (VPN) 検疫を使用するには、いくつかのテクノロジをスムーズに統合し、1 つのユニットとして確実に運用する必要があります。成果を得るには、各テクノロジが抱える問題点と要件、さらには各テクノロジが他のテクノロジといかに相互作用するかを、明確に理解する必要があります。
この章では、Woodgrove National Bank のソリューション シナリオを分析し、Woodgrove National Bank ソリューションが抱える問題点を探ります。第 4 章「ソリューションの設計」では、この詳細な計画をその要件を満たすソリューションに組み込みます。
Woodgrove National Bank シナリオ
Woodgrove National Bank は架空のグローバルな投資銀行で、金融仲介機関としての役割から、公共機関、企業、行政機関、および個人を顧客としています。Woodgrove Bank の業務は、証券引受、証券販売および取引、投資相談、投資リサーチ、ベンチャー キャピタル、および金融機関向けの仲介業務です。
Woodgrove National Bank は、WG ホールディング カンパニーの完全な子会社です。WG ホールディング カンパニーは、世界をリードするグローバルな金融サービス会社であり、本社はイギリスのロンドンにあります。WG は、Woodgrove National Bank、NorthWind Trading、Contoso, Ltd.、Litware Financials、Humongous Insurance の 5 社を所有しています。これらの会社はすべて大企業であり、それぞれ 5,000 人以上の従業員を抱えています。
地理的プロファイル
Woodgrove National Bank では、15,000 人以上の社員が世界各地の 60 以上のオフィスで働いています。この会社には、多数の社員を抱える企業本部 (拠点オフィス) が、ニューヨーク (社員 5,000 人)、ロンドン (社員 5,200 人)、東京 (社員 500 人) にあります。それぞれの拠点オフィスが複数のオフィスをサポートしています。
企業本部の管轄にある地域ごとに、いくつかの小規模なセカンダリ サイトがあります (たとえば、北米のボストンやアトランタ)。拠点オフィスのほかにさらに 2 つの主要拠点がシドニーとヨハネスブルグにあり、それぞれに、専用のファイル サーバー、プリント サーバー、アプリケーション サーバーが設置されています。
IT 組織のプロファイル
Woodgrove National Bank の環境は、Microsoft® Windows® と UNIX を使用する混合サーバー環境ですが、インフラストラクチャは Windows Server のバックボーンで稼動しています。これらのサーバーの大半は、3 つの企業本部 (ニューヨーク、ロンドン、東京) にあります。次の図は、これらの企業の拠点の配置とそれらをつなぐリンクを示しています。
.gif)
図 3.1: Woodgrove National Bank のネットワーク環境 画像を画面全体に表示
.gif){kind=link}
現在、Woodgrove National Bank では、さまざまなマイクロソフト製品およびテクノロジを使用して、イントラネットおよびエクストラネット サービスを提供しています。Woodgrove National Bank では、Windows 2000 Active Directory® ディレクトリ サービス インフラストラクチャを使用し、すべてのドメイン コントローラを Microsoft Windows Server™ 2003 へとアップグレードしている最中です。Woodgrove ではレガシー クライアント コンピュータを所有せず、すべてのデスクトップおよびラップトップ コンピュータでは、Windows 2000 Professional Service Pack 4 (SP4) またはそれ以降、または Windows XP Professional SP2 またはそれ以降のオペレーティング システムを実行しています。Woodgrove National Bank の IT 部門では、Windows Server 2003 を広範囲に採用しています。
規制要件の対処
Woodgrove National Bank は、進出先の各国/地域の関連金融規制の枠組の中で操業する必要があります。また、適用されるすべてのデータ保護規制を遵守し、運営上効率的にセキュリティが確保されていることを示す必要があります。
リモート ワーカーへの安全なアクセスの提供
Woodgrove National Bank では、営業スタッフ、IT サポート スタッフ、および上級管理者が会社のネットワークにリモート アクセスできるようになっています。現在のリモート アクセス ソリューションでは、専用のリモート アクセス サーバーへの専用回線を経由したダイヤルアップ ネットワーク接続が採用されています。これらのサーバーには、モデムまたは ISDN (統合サービス デジタル通信網) 用アダプタが装備されています。この接続は、ブロードバンド接続と比べて速度が遅く、また費用もかかります。特に、海外に出張しているリモート ユーザーが使用する場合に、この欠点は顕著です。
ブロードバンド インターネット アクセスがますます利用しやすくなってきているため、組織も VPN を使用してリモート アクセスを行うことができるようになっています。この方法を採用すると、ダイヤルアップ アクセスが不要になるためコストが削減され、ユーザーの操作性も向上しますが、その一方で、特許データがインターネット上を移動する際に悪意のある攻撃を受ける可能性も高くなります。
規制要件の遵守
Woodgrove Bank は金融機関として、さまざまな国または地域の厳格な法的要件を遵守する必要があります。銀行は、企業および顧客の資産を保護することで顧客の信頼を維持する必要があります。Woodgrove Bank は、コンピュータのセキュリティ保護イニシアチブを導入し、LAN 接続およびリモート接続のどちらでも、会社のネットワークにアクセスするすべてのコンピュータに対して厳しいセキュリティ ポリシーを設定しました。
ソフトウェア更新プログラムの確認
既存のリモート アクセス ソリューションでは、リモート コンピュータに最新のセキュリティ更新プログラムや、アプリケーションおよびオペレーティング システムの更新プログラムが設定されているかどうかを確認するのは困難です。Woodgrove National Bank の IT 部門では今まで、古いウイルス対策プログラムを使用している承認されていないコンピュータや、ウイルスに感染していて、ネットワークにウイルスを蔓延させる可能性のあるコンピュータからのアクセスを防止することができませんでした。このような弱点は、会社のネットワークを危険にさらす可能性があるため、Woodgrove National Bank への接続はこれまで少数のユーザーに制限されてきました。
Woodgrove の IT 部門では、これらの課題を克服し、リモート ワーカーに利益を与えながらも、会社のネットワークを危険にさらすことがない、安全で信頼性の高いサービスを提供する必要があります。これ以降のセクションでは、VPN 検疫の実装における問題に対処する際に Woodgrove National Bank が直面する計画要素と選択方法について説明します。
在宅勤務者のための VPN アクセスの実装
多くの組織と同様に、Woodgrove National Bank では、多くの管理職およびアカウント マネージャにとって、一週間に最低 1 日は自宅で仕事をした方が、より生産的であることを既に認識しています。たとえば、アカウント マネージャは、提案書の作成、会議の立案、および顧客連絡先情報の修正などの作業を社外で行うことができます。Woodgrove National Bank では、在宅勤務という勤務形態を他の部署および部門にも拡大したいと考えています。ただし、Woodgrove の IT 部門の会社の準拠基準を満たさないコンピュータが、会社のネットワークに接続可能になるという危険性に対して懸念を抱いています。そこで、Woodgrove の IT 部門では、ドメインに参加するコンピュータを使用する社員だけに、離れた場所からの接続を許可しています。
ビジネス上の問題点
在宅勤務者のための VPN アクセスの実装を計画するチームでは、次のような問題点を認識しています。
一貫性。安全で信頼性の高いリモート アクセス サービスを開発し、企業全体に展開するには、Woodgrove National Bank の組織および子会社すべてが、明確に定義され一貫したセキュリティの枠組に準拠する必要があります。
役割と責任を詳細に定義する。Woodgrove National Bank の IT チーム内のさまざまなグループは、安全なサービスの配信における役割と責任の所在が不明瞭であったため、悪戦苦闘してきました。セキュリティ戦略が明らかになるにつれ、組織はリモート アクセス ネットワークの責任者を決定することの必要性を認識しました。安全なサービスの配信プロセスの論議が、IT 管理チームの責任の評価に結びつきました。
技術的な問題点
計画と初期のパイロット フェーズでは、次の技術的な問題を特定しました。
セキュリティ更新プログラムと修正プログラムのストレージ。Woodgrove の IT 部門では、Windows Update を使用して、リモート アクセス コンピュータに最新のセキュリティ更新プログラムが設定されているかどうかを確認するようにしています。Software Update Services (SUS) は バックグラウンド インテリジェント転送サービス (BITS) を使用しているため、インターネットに接続している SUS サーバーの処理スピードが非常に遅く、リモート アクセス コンピュータの更新を的確に実行できないことを Woodgrove では認識しています。リモート アクセス コンピュータの更新には、Internet Explorer を起動して、ユーザーを Windows Update に導いた方が迅速に更新処理が完了し、追加でサーバーを使用するための管理費用もかからないということを、Woodgrove の IT 部門では既に認識しています。
詳細なアラート、監視、基準の欠如。Woodgrove National Bank でソリューションのセキュリティ、質、コスト、ユーザーの操作性を効率よく管理するために、Woodgrove の IT サポート チームでは、リモート アクセス ソリューションのサービスの品質を正確に測る必要があると考えています。Woodgrove National Bank では、リモート アクセス サーバーのパフォーマンスと一般的なリモート アクセス システムの健全性の主な特徴を監視できますが、VPN 接続の健全性や質を監視することはできません。
検疫モードでのアプリケーションの遅延。検疫スクリプトを実行すると、最初に接続してからクライアント コンピュータの検疫を解除するまでの間で、遅延が発生します。発生する遅延の長さは、検疫スクリプトを実行し通知を送信するためにどのぐらいの時間がかかるか、さらにリモート アクセス サーバーが検疫の制限を削除するためにどのぐらいの時間がかかるかによって異なります。ただし、一部のアプリケーションでは、クライアント コンピュータが最初にネットワーク接続を確立した直後に、接続を試みます。VPN 検疫フィルタがそのアプリケーションのトラフィックを許可しない場合、リモート アクセス サーバーはアプリケーションの起動トラフィックを破棄し、アプリケーションの起動に失敗します。リモート アクセス ユーザーは、接続が完了するまでアプリケーションを起動しないよう、トレーニングを受ける必要があります。
セキュリティの問題点
Woodgrove National Bank が VPN 検疫を実装する際のセキュリティ戦略には、次の問題点があります。
リモート クライアントの管理能力の不足。Woodgrove National Bank には、現在クライアント コンピュータに対して確立された基準または実施されている基準がなく、ログオン プロセスで Windows ファイアウォールを有効にするなどの、リモート クライアントのソフトウェア設定を実行する手段がありません。
ソフトウェア更新プログラムの確認。Woodgrove National Bank では、クライアント コンピュータが企業のネットワークに接続する前に、そのコンピュータ上に設定されているウイルス対策およびその他のセキュリティ関連ソフトウェアの更新プログラムの状態を確認する方法がありません。このような状況は、ウイルスに感染したリモート クライアント コンピュータが会社の資産を攻撃する事態を招き、ダウンタイムやリスク対策コストが発生する可能性があります。
ソリューション要件
Woodgrove National Bank が VPN 検疫を実装するためのソリューションは、次の要件を満たす必要があります。
企業のネットワークへの制限のないリモート アクセス接続を許可する前に、すべてのリモート アクセスのセキュリティ要件が、事前に定義された時間枠を満たしていることを確認します。
デバイスが企業ネットワークに接続する際には、ネットワーク上の他のコンピュータからアクセスできないことを確認します。
企業ネットワークに接続する各コンピュータは、標準化されたネットワーク セキュリティ ポリシーに準拠する必要があります。これらのポリシーには、指定されたウイルス対策プログラムが含まれており、さらに最新のウイルス対策シグネチャおよび承認されたセキュリティ更新プログラムに完全に準拠しています。
侵入不可能で処理速度が速く、使いやすいユーザー操作性を提供しています。
シンプルで対費用効果が高いクライアント ソフトウェアの展開が可能です。
リモート アクセスのすべての活動を監視および記録します。
信頼性および可用性の高いサービスを提供します。
これらの目標を掲げ、Woodgrove National Bank では、設計オプションを幅広く調査および研究してきました。第 4 章「ソリューションの設計」では、この調査の結果を報告します。
Microsoft Operations Framework の使用
Woodgrove National Bank では、会社のネットワークの変更を管理および実装するために、Microsoft Operations Framework (MOF) の原則を活用します。MOF には、高い可用性および信頼性を備え、強力なセキュリティを確保するためのガイドを提供するベストプラクティス、原則、およびモデルが用意されています。MOF の影響を受けるのは、主に変更管理と運用の、2 つの領域です。
MOF の詳細については、Microsoft Operations Framework の Web サイト www.microsoft.com/japan/technet/itsolutions/techguide/mof/default.mspx を参照してください。
変更管理の実装
Woodgrove National Bank のシステム設計者は、このような規模のプロジェクトには、効果的な計画および管理が必要であることを十分に理解しています。管理運営委員会は、予算、スケジュール、ソリューション コンポーネントの開発を監視し、プロジェクトの各フェーズの最終的な承認を行う必要があります。
Woodgrove National Bank の IT 部門では、ソリューションをテストし、運用環境で展開する前に試験的な展開を行うことの必要性を認識しています。Woodgrove は、グローバルに活動している企業であり、変更を計画し、管理、ユーザー、およびヘルプ デスク担当者との明確な情報交換を行うためには、決められたプロセスに従う必要があることを認識しています。
VPN 検疫を確実にスムーズにロールアウトするために、Woodgrove National Bank は、世界中に仮想チームを構築する予定です。これらのチームは密接に連携し、VPN 検疫の実装のためのデザインとテクノロジを設計および開発し、さまざまなシナリオでテストする必要があります。また、チームでは、展開中にリモート アクセス環境への変更のスケジュール、打ち合わせ、および管理を行います。
さらに、Woodgrove の IT 部門では、運用サポート チームと連携し、一般的にユーザーまたはビジネス ユニットへの影響が最小限で済むと考えられる現地時間に基づいて、変更を計画する必要があります。ほとんどのリモート アクセス シナリオを想定すると、大きな変更を行う最適な時間帯は、月曜日から金曜日までの午前 9 時から午後 5 時です。これは、リモート アクセス接続はこれらの時間帯以外で行われることが多いためです。ただし、リモート アクセスを使用するユーザーが増加しつつある現在、Woodgrove National Bank の主要な営業時間中にビジネス戦略をサポートするには、このケースが常に当てはまるとは限りません。したがって、リモート アクセス環境への変更による運用への影響を最小限に抑えるには、地域ごとに効果的な分析を実施する必要があります。
運用の監視
Woodgrove National Bank では、Microsoft Operations Manager (MOM) 2005 を使用する会社のネットワーク全体に監視およびアラート通知のフレームワークを設定しています。Woodgrove の IT 部門は、リモート アクセス ソリューションの展開を網羅するようにこのフレームワークを拡張させる必要があります。VPN 検疫を監視可能にするには、事前に Routing and Remote Access Service Management Pack for MOM www.microsoft.com/downloads/details.aspx?FamilyId=D1005486-2EEB-44A5-8196-5D4EB24F6EA0&displaylang=en (英語情報) をインストールする必要があります。
展開時に問題を特定するために、Woodgrove National Bank では、データ収集および分析方法を採用しています。Woodgrove National Bank の IT 部門では、サービスの健全性を管理するのに有効な主要プロセス要素を使用します。このプロセス要素は、有効なデータを監視するリモート アクセス ダッシュボード (視覚的な判断基準の集まり) で構成されています。ダッシュボードでは、接続問題を示す 1 人のユーザーのインシデントの取得、プロット、および強調表示が可能です。
データ収集と分析は、何らかの主要な変更が行われたときのサービス管理、さらにサービス管理機能でのサービス管理に不可欠です。収集データおよびレポートをヘルプ デスクに寄せられるデータと組み合わせることで、Woodgrove National Bank の IT 部門は、機密性の高いサービスの全体的な健全性を常時確認できます。運用チームでは、このデータを使用して、サービスに影響するイベントを検証し、サービスにその効果を関連付けて、積極的な対応計画とサービスに対する今後の見通しを立てます。
日常の使用を調査する場合も長期間にわたる傾向を把握する場合も、このデータを記録することはきわめて価値のあることです。Woodgrove の IT 部門の運用サポート チームでは、Microsoft SQL Server™ 2000 とオンライン分析処理 (OLAP) を使用して、以下を追跡、測定し、迅速に分析するためのレポートを生成します。
サービスの全体的な健全性。特定の分野に焦点を当てることができます。
サーバーの健全性とパフォーマンスを表すインフラストラクチャ データ。
接続時間、最初の成功、失敗の可能性のある特定の動作、ユーザーの場所、および ISP アクセス番号などの特定のユーザー操作を表すクライアント データ。
サービスとユーザーの生産性に影響する問題点。
予算および計画の立案にかかる最も高額な運用コストの詳細。
プロセスまたはドキュメントの改善を目的とした内部サービス レベル契約 (SLA) へのヘルプ デスクのチケット解決。
この監視および運営フレームワークによって、VPN 検疫ソリューションを実装するのにふさわしい環境が Woodgrove National Bank に提供されます。本ガイドの最終章では、Woodgrove National Bank が VPN 検疫の実装をどのように計画し、ロールアウト プロセス前にどのような意思決定を行ったかについて説明します。