【入門編】 NACにおけるホストポスチャ（Health Check）の評価項目とランサムウェア感染端末の隔離 – サイバーセキュリティとプライバシー保護実践ガイド

ネットワークの「門番」を極めろ！ランサムウェアを寄せ付けない「ホストポスチャ」の基礎知識

こんにちは！ネットワークセキュリティの世界へようこそ。
日々、見えない脅威と戦うエンジニアの皆さん、あるいはこれからインフラの道を志すルーキーの皆さん、今日もパケットは元気に流れていますか？

突然ですが、皆さんは「健康診断」を受けたことはありますか？
「最近、少し風邪気味かな？」「体温は正常かな？」とチェックしてから職場に行くことで、集団感染を防ぎますよね。実は、ネットワークの世界でも全く同じことが行われています。それが今回解説する「ホストポスチャ（Health Check）」です。

今日は、ランサムウェアのような凶悪なマルウェアをネットワークの入り口でシャットアウトする、NAC（Network Access Control）の仕組みを一緒に紐解いていきましょう。

—

1. そもそも「ホストポスチャ」って何？

ネットワークに接続しようとする端末が、「健康（安全）」な状態かどうかを診断する仕組みのことです。

たとえ話で考えてみましょう。あなたは厳重に守られた「社内という名のマンション」の管理員さんです。住人が帰ってきたとき、ただ鍵（パスワード）を開けるだけでなく、「手は洗っていますか？」「熱はありませんか？」とチェックする……これがホストポスチャです。

もし「熱がある（ウイルスに感染している可能性がある）」住人をそのままマンションに入れてしまったらどうなるでしょう？そう、瞬く間に他の部屋へ感染が広がってしまいますよね。

—

2. 何をチェックしているの？（評価項目のキホン）

NACのシステムは、主に以下の3つの項目を厳しくチェックします。

OSのパッチ適用状況: 窓の鍵は壊れていませんか？（脆弱性の放置は泥棒を招くのと同じです）
アンチウイルスソフトの稼働: 警備員はちゃんと立っていますか？
定義ファイルの鮮度: その警備員、最新の犯罪手口を知っていますか？（古い定義ファイルは、昨日の警備員に明日の泥棒を防がせるようなものです）

これらがひとつでも「NO」なら、その端末をメインのネットワークには入れません。これが「非準拠端末の隔離」の正体です。

—

3. 実践！NACで隔離する仕組みを覗いてみよう

多くの企業で導入されているCisco ISEやFortiNACのような製品では、端末がネットワークに繋がった瞬間に、エージェントソフトがサーバーへ「健康診断の結果」を送信します。

もし診断結果がNGであれば、ネットワーク機器（スイッチや無線AP）に対して、以下のような指示が飛びます。

# 例：隔離用VLAN（VLAN 666）へポートを強制的に移動させるコマンドのイメージ
# 正常でない端末を「隔離部屋」へ送り込む設定です
interface GigabitEthernet0/1
 description 隔離された問題端末用ポート
 switchport access vlan 666  # 隔離VLANへ移動
 shutdown                    # 一度切断して再接続を促す
 no shutdown

このように、ネットワーク機器の設定を書き換えることで、物理的に「社内の他のPCと通信できない場所」へ追いやるわけです。郵便物で例えるなら、「宛先不明の隔離ボックス」へ直行させ、中身を検査するようなものですね。

—

4. なぜ「隔離」がランサムウェア対策に効くのか？

ランサムウェアの恐ろしいところは、感染したPCがネットワーク内を徘徊し、他のPCへ「感染という名の病気」をバラ撒く（横展開する）点です。

隔離を行えば、たとえPCが感染していても、そのPCは「隔離された島」に閉じ込められます。他のサーバーやPCにはパケットが届かないため、被害を最小限に抑え込めるのです。

Pythonによる「簡易的なポスチャ評価ロジック」のイメージ

実際の現場では複雑な製品を使いますが、考え方はとてもシンプルです。Pythonで書くとこんな感じです。

def check_host_posture(os_patched, av_running, av_updated):
    # 3つの条件をすべてクリアしているか確認
    if os_patched and av_running and av_updated:
        return "許可：ネットワークへアクセスOK"
    else:
        # ひとつでも欠けていれば「隔離対象」
        return "隔離：安全基準を満たしていません。更新を適用してください。"

# 診断結果のシミュレーション
result = check_host_posture(os_patched=True, av_running=True, av_updated=False)
print(result) # 定義ファイルが古いので隔離されます

—

まとめ：ネットワークの健康を守る第一歩

「ホストポスチャ」は、単なる管理ツールの機能ではありません。それは、「信頼できないものは、まず疑う」というゼロトラストの精神そのものです。

初めてインフラに触れる皆さんは、まずは「自分のPCのアップデートが最新か？」「アンチウイルスは動いているか？」を確認するところから始めてみてください。それが、最強のネットワークセキュリティを守る最初のステップになります。

ネットワークの入り口でしっかりと目を光らせ、安全な通信環境を一緒に守っていきましょう！
次回は、隔離された端末をどうやって「治療（パッチ適用）」して元のネットワークに戻すかという、復旧フローについて深掘りしたいと思います。それでは、また！