日本語フォーラム

これまで「実践すべきシン・ネットワーク構築メソッド」と題して「これからのネットワークはどうなるのか、どうあるべきか、HPE Arubaとして何がご提案できるか」を一部の方に定期的に配信させて頂いておりました。

今後はぜひ多くの皆様に見て頂きたく、こちらで投稿をさせて頂きます。

製品を知り尽くした・多くのお客様の悩みを解決してきた・HPE Arubaエンジニアが・
カタログにも、マニュアルにも無い・自身の考察を発表する、"シンメソ"をお楽しみください。

最新号はこちら

＜ハイタッチサービス＞

https://youtu.be/drJWD-ue8-c

過去のコンテンツも共有させて頂きます。ぜひご一読ください！

＜ゼロトラスト（3回）＞
クラウドセキュリティ であればゼロトラストは 万全でしょ？の誤解 　ゼロトラストにおける ネットワークアプローチの必要
https://youtu.be/bhCNbbspcjs

セキュリティベンダでないArubaだからこそ語れるんです！ ネットワークレイヤから⾒るゼロトラストアプローチの極意
https://youtu.be/kA7Aygsg51E

"何も信頼しない"ことを前提としたネットワークの作り方 　3つの活⽤例から学ぶゼロトラスト実現アプローチ
https://youtu.be/IJL5fZQYS8Q

＜SD-WAN（3回）＞

選択しがちな安価なSD-WAN、でもちょっと待って！！オフィス回帰に備えるWAN 最適化に向けた SD-WAN 選びhttps://youtu.be/1WKwht4aCsA

ローカルブレイクアウトのセキュリティ対策がUTM では不⼗分なワケとは？注目の SASE フレームワークに最適な SD-WAN、教えます。https://youtu.be/vZztbgME7Gk

クラウド時代だからこそWAN 運⽤の重要度が 増すワケとは？GUI で集中管理、運⽤負担を軽減する「SD-WAN」の実⼒https://youtu.be/PdJMjc8x37A

＜Web会議に最適な無線LAN設計（2回）＞

Microsoft Teamsに最適な無線 LAN 設計、考慮すべきポイントまとめ
<本コンテンツに関してはHPE Aruba担当者までお問い合わせください>

Teams会議通話を快適に使うための無線LAN設計
<本コンテンツに関してはHPE Aruba担当者までお問い合わせください>

＜ネットワーク快適度可視化ツール（2回）＞

「うわ、使いづらい」顧客も従業員も離脱する事態を回避せよ！最適なデジタル体験を生み出す無線快適度センサーの実⼒とは︖https://youtu.be/vhlAqhlUtJ0

現場にはびこる"結局ネットワークが悪い"説を解消　クレームを黙らせる切り分けツール 「Aruba UXI 」がスゴい件https://youtu.be/cOQc8ItZCR0 

＜Wi-Fiの6GHz帯とその効果（3回）＞

既存Wi-FiでのAR/VR活用は絶望的か？ただの拡張規格と侮るなかれ！「Wi-Fi 6E」
https://youtu.be/kwY5loPWRbo

単なる規格対応では終わらない5つの特長って？一味違うAruba Wi-Fi 6E対応アクセスポイントの魅力
https://youtu.be/socDtNzbBmI

穢れてしまった2.4・5GHZ 帯には頼らない！Wi-Fiの主戦場となる6ghz 帯クリーニング大作戦！
https://youtu.be/gTVc-539GMA

＜SD-WANその2（2回）＞

テレワーク対象外の部門の不満どう解消する？ハイブリットワークの最適解Edge Connect Micro branch
https://youtu.be/bvGIEw7YFEk

Edge connect Micro branchってどう管理するの？エンジニアがリモートワーク環境で試してみた！
https://youtu.be/gQ2yPPMd9ss

＜AIによる運用（2回）＞

無線LANの可視化、でもどう読み解くの？AIOpsで実現するネットワーク運用の夜明け
https://youtu.be/9YQYfdSBi98

ネットワーク運用×AI、答えはここにある！3つの実例から学ぶ AIOpsの実⼒とは？
https://youtu.be/G5OuIj08Wd8

＜データセンターネットワーク（2回）＞

"データセンター仕様"という理由だけで大丈夫！？3つの視点で考える、最新ネットワークインフラの作り方
https://youtu.be/mkCpC8JXSaY

100台のスイッチだってあっという間に設定完了！Aruba Fabric Composer ってどんなもの？
https://youtu.be/vf3Wgrb7Ths

＜2024年ネットワークはこう変わる＞

2024年　AI、ゼロトラスト対応でネットワークはこう変わる
https://youtu.be/6VrTjMYSw-k

＜SASE（2回）＞

セキュアなリモートアクセスの新定番 ″ZTNA″のススメ

https://youtu.be/Ly9Y_7Ryijc

サプライチェーンリスク低減の答えはエージェントレスのZTNAにあった！

https://youtu.be/QMWvpt56yGQ

 [実践すべきシン・ネットワーク構築メソッド]　2024年3月号

動画はこちらからご覧下さい。https://youtu.be/Ly9Y_7Ryijc

解説ドキュメントは以下をご覧下さい。

■セキュアなリモートアクセスの新定番 ″ZTNA″のススメ

ランサムウェアをはじめとしたマルウェア被害が増加するなか、感染経路として大きな課題となっているリモートアクセス時に利用するVPN機器の脆弱性。ハイブリッドワークに取り組む企業にとって、社外から企業内の情報資産にアクセスする環境は必要で、VPNに代わる何からの代替え手段に置き換えたいと考えていることでしょう。そんな選択肢の1つとなるのが、HPE Aruba Networkingが提供するZTNAです。Unified SASEのコンポーネントであるZTNA（Zero-Trust Network Access）、その魅力について迫ります。

ランサムウェア被害、侵入経路はVPN機器にあり

いまだにランサムウェアによる被害は後を絶ちません。2024年1月に公開された最新の「情報セキュリティ10大脅威 2024」では、組織向けの脅威としてランサムウェアによる被害が1位となっており、これは9年連続という不名誉な記録を達成しています。

そんなランサムウェアの被害が減らないなか、その大きな原因の1つがVPN機器からの侵入です。警察庁が2023年3月に発表した資料からも、62％がVPN機器からの侵入という結果が出ているほどです。

注：図中の割合は小数点第１位以下を四捨五入しているため、統計が必ずしも100にはならない

https://www.npa.go.jp/publications/statistics/cybersecurity/data/R04_cyber_jousei.pdf

ランサムウェアの被害から自社を守るためにも、VPNに代わる何らかの方法が求められますが、有効な策の1つとなるのが、ZTNAと呼ばれるソリューションです。ZTNAは、Secure Access Service Edge（SASE）ソリューションが持つコンポーネントの1つとして機能するもので、セキュアなリモートアクセスを実現するゼロトラストに欠かせないもの。特に一度接続するとネットワーク全体へのアクセスが可能になってしまうVPNと違い、ZTNAは特定のリソースへのアクセスのみが許可されるため、マルウェア感染後のラテラルムーブを防ぐことが可能になります。

HPE Aruba Networkingが提供するゼロトラストソリューション「Unified SASE」

HPE Aruba Networkingでは、ゼロトラストを実現するためのソリューションであるUnified SASEにおいて、ZTNAを提供しています。HPE Aruba Networkingは、業界をリードするEdgeConnect SD-WANと次世代SSEをUnified SASEとして提供しており、シングルベンダーで高度なSASE環境が実装できるソリューションです。

このHPE Aruba Networking SSEには、ZTNAとともに、全てのWebトラフィックを監視・検査するSWG（Secure Web Gateway）やSaaSアプリケーションへのユーザアクセスの管理・制御、監視するCASB（Cloud Access Security Broker）、ユーザエクスペリエンスをエンド・ツー・エンドで可視化し生産性向上を支援するDEM（Digital Experience Monitoring）が備わっています。

このHPE Aruba Networking SSEが持つ特長の1つに挙げられるのが、エージェントおよびエージェントレスをサポートし、ユーザがセキュアにリソースにアクセス可能なZTNAの存在です。

VPNの完全撤廃に欠かせないZTNA

HPE Aruba Networking SSEにて提供されるZTNAは、Connectorと呼ばれる小さなアプリケーションをインターナルに立ち上げ、このConnectorを経由して社内外の通信を可能にします。このConnectorは、HPE Aruba Networking SSEに向けた外向けの通信のみを内側から行うことでセキュアトンネルを形成するため、外部からの通信は一切受け付けません。VPN装置のようにIPアドレスなどが社外に晒されることがなく、攻撃対象領域となるAttack Surfaceを激減させることができるのです。またConnectorがアプリケーション単位でアクセス制御を行うため、VPNのようにアクセス後にすべての通信を許可するような環境から脱却できるようになります。

さらに、大きな特徴となるのが、サーバから発生するような通信をきちんとリモートユーザに届けることが可能になる点です。システム管理ツールによるパッチ配信やトラブルシューティングの際の画面へのリモートログインなど、サーバ起点となる通信についてもHPE Aruba Networking SSEのZTNAであればサポートしています。このサーバ起点の通信が必要なためにVPNを残さざるを得ない企業も多いなか、HPE Aruba Networking SSEであればVPNの完全撤廃を実現することができるのです。

ネットワークやセキュリティ観点でさまざまな環境に対応できるUnified SASE、ぜひ一度検討してみてはいかがでしょうか。

 [実践すべきシン・ネットワーク構築メソッド]　2024年4月号

動画はこちらからご覧下さい。https://youtu.be/QMWvpt56yGQ

解説ドキュメントは以下をご覧下さい。

踏み台となり得る関連・協力会社の脆弱性、どう対策する？

サプライチェーンリスク低減の答えはエージェントレスのZTNAにあった！

　どれだけ自社のセキュリティを強化しても、関連会社や協力会社、買収先企業の環境が脆弱な場合、外部企業を踏み台にして自社を狙うサプライチェーン攻撃へのリスクを低減することができません。脆弱性が問題となっているVPNを利用せずに安全なリモートアクセスを実現するための手段として注目されるZTNA（Zero-Trust Network Access）ソリューションについて、その仕組みについて見ていきます。

■蔓延するサプライチェーン攻撃のリスク

　サプライチェーンのセキュリティについては、独立行政法人 情報処理推進機構（IPA）が出す情報セキュリティ10大脅威2024では昨年に引き続き第２位にランキングされるなど、注目度の高いセキュリティリスクといえます。

サプライチェーンといえば製造業を思い浮かべる方も少なくありませんが、実際には関係会社、協力会社、委託先、買収先企業と仕事をすることはどの企業でも行われています。その意味でも、サプライチェーンは製造業だけに閉じた話ではありません。

　そんなサプライチェーンのセキュリティについては、自社で対策を実施する場合と比べて難易度が高いのが実態です。なぜなら、それら関係する企業や組織に対してセキュリティを強要するのが非常に難しいためです。自社の組織であれば、セキュリティポリシーに基づいて端末の環境を用意でき、違反があればネットワークにつながせないといった制御も容易でしょう。しかし、自社とは異なるポリシーや環境で運用している企業に対して、強制的にセキュリティソフトを導入することができないことが一般的です。

　サプライチェーン攻撃は、全体の中で弱いところを狙い、そこから本丸を攻めていくことになりますが、強制的に対策が実施できないため、なかなか防ぎ切ることが難しいのです。

■サプライチェーンリスクが低減できない事情

　サプライチェーン全体で情報を円滑にやり取りするためには、買収先企業や関連会社および協力会社に対して、自社が用意したアプリケーションを利用してもらうといったケースは多いことでしょう。この場合、買収先企業とIPアドレスレンジが重なってしまい、ネットワーク統合が難しいことはあるはずです。また、企業が異なればセキュリティポリシーが異なるのが通例で、接続が簡単に許可できないといった課題も散見されます。

もちろん、関連企業であっても自社が管理する端末ではないため、VPNソフトの導入は厳しいところ。もしVPNで接続できた場合でも、自社内にある情報に不用意にアクセスできてしまう懸念があります。結果として情報漏えいのリスクを高めることになってしまう可能性を孕んでいます。

■エージェントレスのZTNAで安全かつ利便性の高いアクセスを実現

　そんな課題に応えるべく、HPE Aruba NetworkingではSSE（Security Service Edge）と呼ばれるソリューションで、エージェントレスのZTNAを提供しています。2023年にZTNAに強みを持つSSEを提供していたAxis Securityを買収し、現在はHPE Aruba Networking SSEとしてソリューションを展開しています。ZTNAは、事前に定義されたポリシーに則ってアクセス制御を行うソリューションで、社内LANへの全般的アクセスが可能になるVPNとは異なり、ユーザーごとに接続が許可されたサービスへのアクセス権だけを付与します。

　HPE Aruba Networkingが提供するZTNAでは、クラウドサービス上にポータルを提供しています。導入する企業側では、ZTNAのポータルに向けた外向けの通信のみを許可するトンネルを張るConnectorと呼ばれる小さなアプリケーションを利用することで、安全なアクセスを実現します。

　例えば買収先や関連・協力先の企業がアクセスする場合、ブラウザベースでZTNAのポータルにアクセスし、トンネルを通って許可されたアプリケーションのみにアクセスすることが可能になり、ユーザー側ではアクセスできるアプリケーションのみが見えている状態となります。ブラウザでのアクセスが可能なため、VPNのように拠点間でVPNトンネルを張るといったネットワーク接続は不要です。

また、ブラウザベースでポリシー制御が可能になり、例えばダウンロード禁止といった細かな制御を実現します。当然ブラウザベースのため、VPNクライアントのような特別なソフトウェアを用意する必要がありません。さらに、RDP（Remote Desktop Protocol）やSSH（Secure Shell）などのプロトコルをサポートしており、VDIやRDPサーバなどを個別に用意すれば、Webアプリではなくクライアントサーバーで利用するアプリもZTNA経由で利用してもらうことが可能です。

　自社の環境が適用できない買収先企業や関連・協力会社からのセキュアなアクセスを実現するZTNAソリューションによって、脆弱性が指摘されるVPNから脱却しながらサプライチェーンリスクを低減することができるようになるのです。

 [実践すべきシン・ネットワーク構築メソッド]　ハイタッチサービス

動画はこちらからご覧下さい。https://youtu.be/drJWD-ue8-c

解説ドキュメントは以下をご覧下さい。

「え、たった4か月で移行！？」「ゼロトラスト、やったことない…」

課題に応える"Arubaハイタッチサービス"のインパクト

　クラウド移行やDX施策の強力な推進によって、情報システム部門のリソースが割かれてしまうことはよくあること。そんな状況下でも、快適なネットワーク環境がなければ業務システムを快適に利用することは難しいところです。そんな時に役立つのが、HPE Aruba Networkingが提供するArubaハイタッチサービスです。納期がわずかであっても、基本設計からネットワーク構築を支援し、検証テストも含めて短期間で安定したネットワーク構築を支援。そんな支援内容の一部を詳しくご紹介します。

■変化の激しいビジネス環境に戸惑う情報システム部門の実情

　AIをはじめとした技術革新が進むなか、多くの企業がDX推進を加速させています。また業務基盤のクラウド移行が推進され、それに伴って従来の境界防御とは違うアプローチで新たなセキュリティ対策の検討が求められていることは、多くの方がご存知の通りでしょう。

　しかし、それらに対応すべき情報システム部門に所属するエンジニアのリソースは不足しているのが現実です。より高度な技術や管理が求められるネットワーク領域では、常に新たな技術やノウハウの習得が不可欠で、キャッチアップしていくのは大変な労力が伴います。

　そもそも構築や運用にかかる費用が増加傾向にあり、複雑化した環境だけに万一のトラブル解析や対応にも時間を要してしまうもの。それでも、ネットワークが安定せずして業務システムを快適に利用することはできません。環境変化の激しい今の時代だからこそ、これまで以上に快適なネットワーク環境を、最小限のリソースで構築、運用していく必要があるのです。

■ユースケースにおける課題

　ここで、実際のユースケースを見てみましょう。とある企業では、長年自社で無線LANを運用しながら、顧客向けにも無線LAN環境を提供してきましたが、過去のプロジェクトにおいては構築や設定時にスムーズに立ち上がらないケースが多発するなど、障害とは違う、初期の構築段階での課題に直面する事態を招き、プロジェクトが遅延する経験を何度も繰り返してきました。

　そんな折、10年以上前に導入した顧客ネットワークの見直しが必要になり、新たに無線LAN環境の整備を余儀なくされたのです。見直しの主な目的は、ランサムウェアをはじめとした高度化した外部脅威への対策を強化することです。具体的には、ゼロトラストを意識したクラウドシフトを加速させながら、認証サーバーとしてのAruba ClearPassやSASE環境に必要なAruba EdgeConnect SD-WAN、そして有線スイッチであるAruba OS-CXシリーズをエッジからコアまで配置することでマルウェアのラテラルムーブメントを防ぐ環境を整備することでした。

　従来の環境とは大きく様変わりするなか、ゼロトラストネットワーク実現に向けた環境整備とともに、既存の他社認証サーバーからHPE Aruba Networkingが提供するAruba ClearPassへの安全かつ迅速な移行を実施すること、そしてオンプレミスで運用してきたAruba AirWaveからクラウド管理ソリューションのAruba Centralへの移行、そしてOSバージョンアップ時の影響度確認などが大きな懸念事項として挙げられていました。

　ユーザー企業側では、新たにDXプロジェクト推進が大きなテーマとなっており、ネットワーク領域に割けるリソースがない状況で、インテグレーターの立場である同社に大きな期待が寄せられていました。しかし、有線スイッチから認証基盤を含めた全体の移行については構築実績がないばかりか、ゼロトラスト環境の早期実現に向けた環境移行の納期はわずか4か月足らず。なかでも、認証環境については他のインテグレーターが導入した基盤だけに、標準的な移行支援を受けることができない状況だったのです。

　AP自体も全拠点で1000台を超えていることから、登録作業だけでも膨大な時間を要することに。Aruba OSの最新バージョンへのアップグレードによる影響範囲調査などは、既存環境を運用し続けながらではとても4か月では達成できない状況にあったのです。

　こんな状況は、何もインテグレーターの立場である企業だけでなく、自社でネットワーク環境の構築や運用を行っているユーザー企業でも起こりうることでしょう。

■救世主となるArubaハイタッチサービス、何してくれるの？

　そんな状況下で大きな効果を発揮するのが、HPE Aruba Networkingがグローバルで提供しているArubaグローバル・サービスです。Arubaグローバル・サービスは、ネットワークライフサイクルの価値向上を支援するサービスで、通常の支援よりも初期段階から構築運用に至るあらゆるプロセスにおいてHPE Aruba Networkingが持つ知見やノウハウを生かすことができるようになります。その1つにあるのが、プロフェッショナルサービスとして位置づけられている「Arubaハイタッチサービス」です。

　Arubaハイタッチサービスは、大きく「Quick start service」と「Network Health Check」「Proactive Engineering service」に分かれています。Quick start serviceは、Day0およびDay01と呼ばれる設計・構築フェーズで活用いただけるもので、Network Health CheckやProactive Engineering serviceは、運用フェーズに提供されるもの。HPE Aruba Networkingが持つ製品技術や経験、そしてベストプラクティスをベースに、エキスパートエンジニアが顧客のネットワーク環境に最適な支援を行うプロフェッショナルサービスとなっています。

前述したユースケースでは、新たなネットワーク環境の設計・構築や既存ネットワークのAOSバージョンアップ、そしてAirWaveからAruba Centralへの移行が課題解決の糸口となってくるもので、設計・構築フェーズの支援を行うQuick start serviceが有効になってきます。

このQuick start serviceは、HPE Aruba Networkingが提供するネットワーク環境導入やデプロイに必要な計画・デザイン・設定および既存テクノロジーのアップグレード、さらには移行のベストプラクティスを活用し、お客様に適切なサービスを提供します。

■具体的に行った支援、その支援の結果得られたこと

　前述のユースケースでは、最新Arubaテクノロジーの迅速なデプロイ支援（Product Quick Starts）を行うとともに、AirWaveからCentralへのWLAN機能移行支援（AirWave to Central Migration）、最新のArubaOSへのマイグレーション支援（ArubaOS X to Y Migration）、そして個別カスタム（要件・スコープ）を定義した技術支援（SOW-based Project）をQuick start serviceとして提供しました。

このユースケースでQuick start serviceを採用したことで、過去の無線ネットワーク導入プロジェクトと比較して、想定の約半分の期間短縮が可能になり、いち早く最新のネットワーク環境を整備することに成功。導入プロジェクトで発生したトラブル調査においても、エキスパートエンジニアと製品部門の解析＆アドバイザリーにより、数日で解決に至ることができたのです。