Sanctuary デバイスコントロール/アプリケーションコントロール

「Sanctuary デバイスコントロール」は先にも述べたように米国国務省、ロンドン警視庁など世界でもトップレベルのセキュリティが求められる機関に評価され、導入されている。日本国内でもすでに地方自治体、ライフライン系企業、外資金融系企業、コンサルティング企業など、情報漏洩やウイルス感染などには一際敏感な機関、企業に導入されており、その評価は高まる一方だ。ここではそんな中から国内警察関連団体の事例を紹介する。

■導入企業・団体
国内警察関連団体
■本製品選定のポイント
既にホワイトリスト方式によるセキュリティの優位性はよく知っていたため、ホワイトリスト方式に則ったデバイスアクセス制御ができる製品を探していた。複数ある製品の中から、利便性、安全性ともに最も優れていると感じた「Sanctuary デバイスコントロール」を選定した。
■導入の効果
1．まず、導入テストの段階で、庁舎内では禁止されていたはずのiPodをはじめとする様々なデバイスが検出された。そこで、従業員に対する「イントラネット内で使用してはいけないデバイス」について、再教育の徹底ができた。

2．ホワイトリスト方式により、特定のシリアルナンバーを持ったUSBメモリのみを登録し、それ以外のデバイスは一切使用禁止という状態で運用開始。これにより情報漏洩、マルウェアの持ち込みなどに対して非常にセキュアな環境を構築することができた。また、デバイスの使用に関してはすべてのログが記録されるように設定されているため、ユーザのセキュリティ意識を常に高く保つことにも成功している。

ブラックリスト方式と比べた場合、ホワイトリスト方式は「デフォルトの状態では何のデバイス、アプリケーションも使えない」ということであるため、ポリシー設定の前から非常にセキュアである。

本当に必要なデバイス、アプリケーションのみをとりあえずは登録すればシステムの使用開始が可能。さらに、Active DirectoryやeDirectoryの内容に基づいたユーザ、ユーザグループに対してアクセス権を付与可能なため、ユーザがPCにログインするだけでアクセス制限を適用できる。これらの理由により、テストからポリシー設定、ロールアウトまでが非常に短期間で済むのが大きなメリット。ネットワークの規模にもよるが2ヵ月程度での導入も可能であるという。

■きめ細かいデバイスアクセス権限の設定が可能
読み込みのみ、もしくは読み込み・書き込み両方OK、スケジュールに応じたアクセス権、一時的なアクセス権、オンライン/オフライン時別アクセス権、インターフェースタイプ別アクセス権、ディスクタイプ/ノンディスクタイプ別アクセス権など、きめ細かいデバイスのアクセス権設定が可能。

■シャドーイングによる持ち込み/持ち出しの監視
リムーバブルデバイスを介して持ち込み/持ち出しされたデータのファイル名またはファイルそのもののバックアップを記録。これにより、ユーザのセキュリティ意識を高め、情報漏洩のリスクを抑える。

■ログ・レポート機能
テンプレート保存も可能なログ・レポート機能により、詳細なデバイス使用の解析が可能。内部統制での監査時などに役立つのはもちろん、管理上の疑問点、不審点を徹底的に追求できる。

■サイレントインストールに対応
SMS、Group Policies、WinInstallなどMSI（Microsoft Windows Installer）を使用したツールでのクライアントへのサイレントインストールに対応。これによりクライアントへの展開を迅速に行える。

■その他の特長
・特定リムーバブルデバイス、CD/DVDメディアの個別管理
・プラグ＆プレイデバイスを素早く検知
・コピー量制限
・リムーバブルメディアの暗号化
・ファイルのフィルタリング
・オフラインでのポリシー配布に対応
・暗号化USBメモリにも対応
・多言語対応

■未知のプログラムはまとめてシャットアウト
ホワイトリスト方式により、登録していないアプリケーション/プログラムはすべてシャットアウト。これにより、未知のウイルスやスパイウェア、ゼロデイ攻撃に対しても非常にセキュア。WinnyをはじめとするPtoPソフトウェア、ゲームなど不要ソフトの排除に対しても効果大だ。

■ログ・レポート機能
テンプレート保存も可能なログ・レポート機能により、詳細なアプリケーション使用の解析が可能。内部統制での監査時などに役立つのはもちろん、管理上の疑問点、不審点を徹底的に追求できる。

■大規模ネットワークにも対応
データベース、複数設置可能なアプリケーションサーバ、クライアント、という三層構造によって、大規模ネットワークや複雑な構成のネットワークにも柔軟に対応可能。

■オフラインPCの保護
PCがネットワークから切り離された場合でも、最終接続時のポリシーが維持される。

■その他の特長
・アプリケーションの自動検知
・ロケーションやパスルールに基づくアプリケーション実行許可
・ポリシー作成・施行の前にアプリケーション使用状況を検討・分析可能
・信頼できるユーザに対して、ローカルでの実行ファイル使用許可付与が可能
・マクロ・スクリプトにも対応
・オフラインでのポリシー配布に対応
・多言語対応