Experimental Implementation of Network Access Control with Dynamic VLAN Assignment Using Active Directory, Windows NPS, RADIUS, and IEEE 802.1X

大規模な組織のデジタル世界において、ネットワークはあらゆるメール、ファイル転送、ビデオ通話が運ばれる目に見えない高速道路です。何十年もの間、この高速道路の管理方法は驚くほど単純で静的なものでした。物理的なケーブルが壁のポートに差し込まれていることが、そのコンピュータがどこへ行けるかを正確に決定していたのです。もしそのポートがネットワークの特定のセクションに配線されていれば、そこにデバイスを接続した人は誰であっても、そのセクション全体へのアクセス権を得てしまいました。この手法は完全に物理的なセキュリティに依存しており、もし権限のない人物が壁のジャックに手が届いてしまえば、その人は会社のプライベートなデータへと直ちに足を踏み入れることができたのです。従業員、学生、ゲストがそれぞれ異なるレベルのアクセスを必要とするようになり、組織がより複雑化するにつれ、この「プラグ・アンド・プレイ」方式は重大な弱点となりました。解決策は、ゲートを開く前に「あなたは誰ですか？」と問いかけ、その人を許可された特定の部屋へと誘導するような、スマートなネットワークを作ることです。誰にでも鍵が開いている状態にするのではなく、その人に対して適切な部屋への案内を行うのです。

これは、ジブチのアカデミー・デ・サイエンス・エ・テクロノジー・インドゥストリエル（科学技術産業アカデミー）のアブドゥルラヒーム・ハムード・モハメド・アルマウェリによる最近の研究で取り組まれた課題です。研究者は、古い静的な手法に代わる動的なシステムを構築し、テストすることを目的としました。この新しいアプローチでは、コンピュータがネットワークに接続されると、ネットワークは即座に身元証明を求めます。ユーザーが有効な資格情報を提供すれば、システムは組織内でのその人の役割を確認し、自動的に正しいデジタルゾーンに割り当てます。ユーザーが職員であれば職員用ネットワークへ、学生であれば学生用ネットワークへと送られます。もしユーザーが身元を証明できなかったり、あるいは身元を確認するシステムがオフラインになったりした場合、ネットワークは単にアクセスを許可したり、ユーザーを立ち往生させたりすることはありません。その代わりに、システムを危険にさらすことなく、修正や検査ができる「デジタル待合室」である保留エリアへと、ユーザーを穏やかに移動させるのです。

この複雑な一連のイベントが確実に機能するかどうかをテストするために、研究者は完全な仮想ラボを構築しました。これは単一のコンピュータを用いた小さな実験ではなく、企業ネットワークのフルスケールのシミュレーションでした。セットアップには、身元の保持者として機能する中央サーバー、ルールを作成するポリシーサーバー、そして物理ポートを制御するネットワークスイッチが含まれていました。研究者は、職員を代表するグループと学生を代表するグループという、2つの明確なユーザーグループを作成しました。各グループには、同じ建物内にある別々の見えない部屋のような役割を果たす「VLAN」と呼ばれる異なるデジタルゾーンが割り当てられました。職員グループはある部屋に、学生グループは別の部屋にマッピングされました。システムは、データの通過が許可される前に、コンピュータとサーバーが暗号化されたメッセージを交換して身元を検証する、セキュアなハンドシェイク・プロトコルを使用するように設計されました。

次に、研究者はシステムが異なる条件下でどのように動作するかを確認するために、一連の25回のテストを実施しました。最初のテストセットでは、職員と学生の両方のグループから、有効なユーザーが正しいパスワードでログインしました。すべてのケースにおいて、システムは彼らを正しく識別し、それぞれの正しいデジタルルームへと配置することに成功しました。職員は一貫して職員ゾーンへと誘導され、学生は学生ゾーンへと誘導されました。このプロセスの速度も測定されました。ユーザーがケーブルを接続した瞬間からアクセスが許可されるまで、プロセス全体にわずか1.5秒強しかかかりませんでした。これは人間が遅延を感じないほど十分に速く、セキュリティが日常業務の中で目立たないレベルであることを意味します。

研究は成功したログインだけで終わりませんでした。具体的には、物事がうまくいかない場合に何が起こるかをテストしました。あるシナリオでは、ユーザーが正しいユーザー名を入力したがパスワードが間違っていたケースがありました。また別のシナリオでは、どの承認済みグループにも属さないアカウントでログインを試みたケースもありました。どちらの場合も、システムは試行を正しく拒否しました。ユーザーにアクセス権を与えない、あるいは誤って間違ったエリアに入れてしまうのではなく、ネットワークは自動的にその接続を「隔離ゾーン」へと移動させました。これは、ユーザーが調査や救済を受けるための安全で隔離されたエリアであり、機密性の高い部分に触れることはできません。パスワードが間違っている場合やアカウントが未承認である場合、システムは毎回完璧にこの封じ込めを実行しました。

おそらく最も重要なテストは、中央の権威自体の故障をシミュレートすることでした。研究者は、身元確認を担当するサーバーの電源を切り、ネットワークスイッチが許可を求める相手がいない状態にしました。設計の悪いシステムであれば、これによってスイッチがパニックを起こしてすべてのドアを開けてしまうか、あるいは全員を完全に締め出してしまうかもしれません。この実験において、スイッチにはセーフティネットが設定されていました。サーバーに到達できないことを認識すると、スイッチは数秒間待機した後、すべての新しい接続を同じ隔離ゾーンへと自動的に移動させました。これにより、システムの「脳」が眠っているときでも、ネットワークの「体」は安全に保たれ、修復のためのドアを開けたまま、不正アクセスを防ぐことができました。

25回の試行の結果は、一貫しており明確でした。システムは、承認されたユーザーを正しいゾーンへと誘導し、未承認のユーザーを拒否し、失敗時には安全に封じ込めることに、すべての試行において成功しました。研究者は、この制御された環境下ではシステムが完璧に機能したものの、テストの数が少ないため、大規模な実世界のネットワークにおける長期的な信頼性についてはさらなる研究が必要であると指摘しました。この研究は、考えうるすべてのセキュリティ問題を解決したと主張しているわけでも、あらゆる種類の認証方法をテストしたわけでもありません。研究の焦点は、標準的な既製品のコンポーネントを用いて、ユーザーの身元とネットワーク上の位置を動的に結びつけることができるということを証明することにありました。

これらの知見は、組織がネットワークアクセスを管理する従来の硬直的な方法から脱却するための実用的なブループリント（設計図）を提示しています。ユーザーのデジタル的な場所が、物理的な接続箇所ではなく、その人の身元に従うことができると証明することで、この研究は、より安全で柔軟なネットワークへの道を提示しています。システムは、ユーザーが背後で動いている複雑な仕組みを理解する必要なく、「誰であるかを知り、役割に応じて扱い、問題が発生した際には自らを守る」ネットワークを構築できることを示しました。好奇心旺盛な観察者にとって、この実験は、ユーザーに適応するのではなく、ユーザーに合わせて適応するネットワークという夢が、単なる理論的なアイデアではなく、今日構築可能な動作する現実であることを裏付けています。