セキュリティ対策を強化したいが、今のネットワークは問題なく動いているので大規模な入れ替えは避けたい。高機能な機器を入れても、設定や運用を管理できるか不安がある。専任の情報システム担当者がいない、またはネットワークの構築・保守を外部に任せている中小企業では、よく聞く悩みです。対策を強化するために、必ずしもネットワーク全体を入れ替える必要はありません。この記事では、既存の構成をできるだけ保ったまま、通信を制御・監視する仕組みを追加する方法と、その前に確認しておく点を整理します。

この記事の要点

  • 端末の対策（ウイルス対策ソフト・EDR）、ネットワークの通信制御、状況の把握は役割が違い、組み合わせて使う
  • 透過型の機器は、IPアドレスやルーティングを大きく変えずに既存の配線へ追加できる場合がある。ただし、故障や停電のときに通信がどうなるかは必ず確認する
  • 機能の多さより、遮断や検知の結果を誰が見て、どう直すかを先に決めておくほうが効く

端末の対策だけで足りるか

多くの企業のパソコンには、ウイルス対策ソフトやEDRが入っています。重要な対策ですが、守っているのは主にその端末の中です。オフィス全体を見ると、次の3つは役割が分かれます。

  • 端末を守る: ウイルス対策ソフトやEDRで、不審なファイルやプログラムの実行、端末上の不審な動きに対応する
  • 通信を制御する: ファイアウォールなどで、許可していない通信や、ポリシーで制限した宛先への通信を止める
  • 状況を把握する: 通信の記録や検知の結果を確認し、不審な兆候や、今の対策で足りない部分に気づく

どれか1つの製品ですべてのリスクを防げるわけではありません。大切なのは、自社でどの役割が手薄になっているかを把握することです。

ネットワーク全体を入れ替えなくてよい場合がある

セキュリティ機器の導入で担当者の負担になりやすいのが、既存ネットワークへの影響です。構成を変える場合、次のような作業が発生します。

  • IPアドレスやルーティングの設定変更
  • 既存のルーターやスイッチとの接続確認
  • 社内システムや業務アプリケーションへの影響確認
  • 通信テストと切り替え作業
  • 障害が起きたときの戻し方の準備

こうした作業を、業務を止めずに進めるのは簡単ではありません。そこで選択肢になるのが、透過型のセキュリティ機器です。

透過型の機器は、たとえばルーターとスイッチの間の配線に挟んで設置し、そこを通る通信に、あらかじめ決めたルールで制御をかけます。機器自体が通信の宛先にならないため、構成によっては、既存のIPアドレス体系やルーティングを大きく変えずに導入できます。

ただし、透過型であれば必ず無変更で入るわけではありません。VLANの使い方、冗長構成の方式、通信量によっては、設置位置や設定の見直しが必要です。

透過型の機器を選ぶときに確認する3つの点

1. 既存ネットワークへの影響を抑えられるか

  • どこに設置するか（ルーターとスイッチの間など）、既存機器と接続できる条件を満たすか
  • VLAN、冗長構成、回線の速度と通信量に対応できるか
  • 機器が故障したとき、電源が切れたとき、再起動するときに通信がどうなるか。通信の経路上に置く機器なので、止まると通信も止まる製品があります。保守や更新を計画停止で行う必要があるかも確認します

2. 何を止められて、何を止められないか

  • ファイアウォールでの通信制御に加えて、ドメイン名（接続先のサイト名）で制御できるか
  • 暗号化された通信（HTTPS）の中身を検査するか。検査しない製品では、ファイルの検査はパソコン側の対策が担います
  • 不審な通信を見つけたときに、自動で遮断するのか、検知して報告するのか。自動遮断は誤検知で業務の通信を止めることがあり、どちらを選ぶかは運用の考え方によります

3. 導入後の状況を把握できるか

セキュリティ機器は、設置すれば終わりではありません。どんな通信が発生し、何を止め、何を検知したのかを確認して、設定を見直していきます。専任の担当者がいない企業では、結果を日本語で読めるレポートや、まとめて確認できる管理画面があると、状況の把握や社内への報告に役立ちます。

運用の取り決めを先に決める

機器を比べるときは、機能や性能に目が向きがちです。実際に困るのは、導入後の次のような場面です。

  • 設定の変更を誰が担当するか
  • 業務に必要な通信を誤って止めたとき、誰に連絡して、どう戻すか
  • 検知の結果を誰が、どのくらいの頻度で確認するか
  • 経営者や社内への報告をどう行うか
  • 機器が故障したとき、誰がどう復旧するか

高機能な製品でも、社内で設定や運用を回せなければ活かせません。必要な機能を見極めるとともに、運用の負担と、サポートを受けられる範囲まで含めて比べることをおすすめします。

当社の透過型UTM「ForceUTM」

当社のForceUTMは、既存のネットワークへ追加することを前提にした、中小企業向けの透過型UTMです。IPアドレスを持たない透過ブリッジとして設置し、多くの環境で既存のIPアドレス体系を変えずに導入できます。機器は設定済みでお届けします。現在は先行導入として、個別のご相談とPoCを承っています。

ForceUTMが担当するのは、ネットワークを通る通信の制御と監視です。

  • ファイアウォール: ポリシーにもとづいて通信を制御する（ステートフル型）
  • ドメイン単位のWebアクセス制御: DNSに加え、TLS SNI・HTTP Hostのドメイン情報にもとづいて制御する
  • 不審な通信の検知と、指定ドメインの遮断: 不正指令サーバー（C2）との通信などの兆候を検知・報告し、指定したドメインへの接続を止める。検知した端末は管理画面から隔離できる
  • 国・地域単位の通信制御: 業務に不要な国・地域との通信をポリシーで制御する
  • 通信挙動の検知（IDS）: 受動的に検知してレポートで報告する。誤検知で業務の通信を止めないよう、自動遮断はしない
  • LAN内の端末の確認: 新しい端末や未承認の機器を観測し、明示的に指定した端末だけを一時的に隔離する
  • 月次の日本語レポート: 稼働状況と遮断・検知の結果を、クラウドの管理画面が毎月まとめて配信する

一方で、すべての機能を1台にまとめた高機能UTMとは考え方が違い、次の機能は搭載していません。

  • ファイル検査（アンチウイルス）: HTTPSを復号しないため、ファイルの検査はパソコン側の対策（Windows DefenderやEDRなど）と組み合わせる
  • 迷惑メール対策: Microsoft 365やGoogle Workspaceのメールはオフィスの回線を通らずに受信されるため、メールサービス側の機能を使う
  • インラインIPS（自動遮断）: 通信挙動は検知・報告で提供する
  • ハードウェアバイパス: 故障・電源断・再起動のときは通信が止まる。更新や交換は計画停止として行う

役割分担の考え方は、ForceUTMのサイトの「機能範囲と役割分担」で詳しく説明しています。

検討の進め方

  1. 今のネットワーク構成を確認する: 使っているルーター、スイッチ、ファイアウォールと、すでに入っているセキュリティ対策を書き出す
  2. 足りない対策を決める: 通信の制御を強めたいのか、状況を把握したいのか、運用の負担を減らしたいのか、目的をはっきりさせる
  3. 既存の環境に追加できるかを確かめる: 設置位置、VLAN、冗長構成、通信量を確認する。故障時に通信が止まる機器なら、その間の対応も決める
  4. 運用まで含めて判断する: 機器の価格だけでなく、設置、保守、レポートの確認、障害時の対応まで含めて、続けられるかを判断する

「何を導入すればよいか分からない」「今の構成のまま対策を強化できるか知りたい」という段階でも構いません。当社は、ネットワークの構築・保守から自社開発のセキュリティ製品まで扱っています。ForceUTMの導入可否や設置構成の確認だけでなく、今の機器やセキュリティ対策の見直しも、まずは現状のお話からお聞かせください。

ネットワークを変えずにセキュリティを見直す

ForceUTMの導入可否や設置構成の確認、今のネットワーク機器・セキュリティ対策の見直しについてご相談ください。

製品の詳細はForceUTMのサイトでご覧いただけます。

まずは相談する

相談無料・オンライン可・検討前でも大丈夫です