PFU Tech. Rev., 23, 2,pp.1-7 (11,2012) 1

iNetSec Inspection Center V7.0 開発 ～スマートデバイス検疫の実現～Development of iNetSec Inspection Center V7.0 - Achieving Smart Device Inspections -

久保田　旭 *Akira Kubota

福嶋　航 *Wataru Fukushima

奥田　裕 *Hiroshi Okuda

* ソリューション＆ソフトウェアグループ　アプライアンスソフトウェア事業部　モバイルアプライアンス開発部

1 まえがき

従来の携帯電話よりも便利になったスマートデバイ

スの利用は急速に広まっており，2011 年度のスマー

トデバイスの出荷台数は 2,600 万台余りに達してい

る参１）．大学生は就職活動にスマートフォンを利用する

ようになり，企業でも出張先でのメールのやりとりにス

マートデバイスを利用することも普通に見られるように

なった．スマートデバイスの利用形態は，社給端末を利

用する方法と，BYOD（Bring Your Own Device）

と言われる個人所有の端末を業務で利用する形態があ

る．社給端末は企業が端末を選定し，MDM（Mobile

Device Management） 注１）ツール等でその端末の管理

を行うことが一般的であるが，BYOD の場合は個人所

注１） 端末の一括設定，遠隔地からのデータ消去や端末操作を無効化するリモートワイプなどの機能を持つツールを意味する．

検疫ネットワークは，企業内ネットワークに接続するパソコンに対し企業のセキュリティポリシーを遵守させる

ための仕組みとして，広く導入されている．このような状況の中，近年のスマートデバイス（スマートフォン，タ

ブレット）の普及により，スマートデバイスを社内ネットワークに接続し業務の効率化を図る企業が急速に増加し

ている．PFU の検疫ネットワークソフトウェア「iNetSec Inspection Center V7.0」では，社内ネットワー

クへ接続するスマートデバイスに対しパソコン同様，企業のセキュリティポリシーを遵守させ，企業内ネットワー

クでの安全なスマートデバイス利用を実現した．

Inspection networks have been extensively introduced in the intranet for companies to keep

the personal computers that connect to the intranet in compliance with the security policy of

the company. With the spread of smart devices (such as smartphones and tablets), the number

of companies with smart devices that are connected to their intranet in order to increase work

efficiency is rapidly increasing. "iNetSec Inspection Center V7.0", PFU's inspection network

software, enables the safe use of smart devices in the intranet by making these smart devices

compliant with the same security policies as the personal computers in the company.

有の端末を利用するため，企業での統制は難しい．しか

しながら従業員にしてみれば操作の慣れた自分の端末で

業務効率化できる上，企業にとっても端末料金の負担が

軽減されるため BYOD のメリットは大きく，ニーズが

ある．

一方，スマートデバイスは，いつでもネットワークに

アクセスでき，ゲームなど娯楽アプリケーション（以降，

アプリ）の導入も容易である．アプリには端末に記録さ

れている情報を無断で収集するものがあるため，利用者

のセキュリティ意識次第で便利なデバイスにも危険なデ

バイスにもなりうる．そのため，スマートデバイスを社

内ネットワークへ接続するには，相応の安全性の担保が

必要不可欠である．

本稿では，スマートデバイスの安全性を担保する検疫

ソフトウェア製品iNetSec Inspection Center V7.0

2

iNetSecInspectionCenterV7.0 開発～スマートデバイス検疫の実現～

PFU Tech. Rev., 23, 2, (11,2012)

（以降，本製品）について，開発の背景と狙い，実現方式，

適用例を紹介する参２）．

2 開発の背景と狙い

2.1 開発の背景本製品は，スマートデバイスの安全性を担保するこ

とに加え，検疫市場で 2007 年より 5 年連続シェア

No.1注２）を獲得した原動力の一つである，簡単導入，簡

単運用のノウハウを継承した簡単操作を実現する．

2.2 本製品の開発の狙い（１） スマートデバイス利用で想定される脅威と OS 毎

の監査項目

スマートデバイス利用者のセキュリティ意識に欠如し

がちな観点，すなわち，想定される脅威には以下のもの

がある．

１） デバイスの OS パッチを適用していない

セキュリティ脆弱性を対策せずに放置している．

２） 改造端末による非正規な利用

ユーザーの好きなようにカスタマイズできる反面，

ウイルスやスパイウェアに容易に感染しかねない．

３） 第三者からの容易なアクセスを防止していない

毎回ロック解除するのが面倒だからと言って，デバ

イスをロックしない．

４） ウイルス対策アプリを導入していない

危険なアプリをインストールするとウイルスやスパ

イウェアが混入しかねないことは認識しているが，ウ

イルス対策ソフトウェア導入による端末動作の緩慢化

を嫌い，ウイルス対策ソフトウェアを導入しない．

こうした脅威の状況から，監査対象項目を抽出した．

スマートデバイスの市場シェアは，OS 毎に見ると

Android™注３）とApple社の携帯情報端末用独自OSで

ある iOS で 90% を占めていることから，対象スマー

トデバイスとして Android 端末と iOS 端末の二つを

優先することにした．

また，OS 仕様やセキュリティに対する OS コンセプ

トの違いから，OS 毎に監査すべき項目が若干異なる．

表 - １に本製品の監査項目を示す．

注２）出展元：(株 )富士キメラ総研 2008 ネットワークセキュリティビジネス調査総覧～ 2012 ネットワークセキュリティビジネス調査総覧

注３）Android は，Google Inc. の商標または登録商標である．

（２） 開発の狙い

社給端末の運用も，BYOD の運用も，以上の要素を

盛り込むことで，社内のセキュリティポリシーを満たし

ているデバイスだけが社内や学内ネットワークに接続可

能となり，安全性を担保した運用が徹底できる．具体的

には以下の二つのケースである．

１） 社給のスマートデバイスのケース

社給のスマートデバイスをリモートから VPN 接続

して社内に接続する際にセキュリティ上のチェックを

行う運用が考えられる．この時のチェックの内容は，

対象が社給デバイスであるため，決められた機種や決

められたウイルス対策ソフトウェアの導入など，規約

に従った要件を満たしていることを確認できた場合

に，社内ネットワークへの接続が許可できればよい．

２） 個人所有のスマートデバイス（BYOD）のケース

個人所有のスマートデバイスを社内や学内の Wi-Fi

アクセスポイントから各ネットワークに接続する際に

セキュリティのチェックを行う運用が考えられる．こ

の時のチェックの内容は，対象が個人所有の端末であ

り，ある程度各個人の好みが残されるため，全端末共

通となるチェック項目を抽出することが難しい．

そこで，非正規な改造デバイスの排除や，認められ

た数種の中からウイルス対策ソフトウェアの導入を必

須とする，など最低限の規約に従った要件を満たして

いることを確認できた場合に，社内や学内ネットワー

クへの接続が許可できればよい．

本製品では，これら二つのケースにおけるセキュリ

◆表 -１　OS毎の監査項目◆

監査項目 Android※１ iOS※２

OSバージョンチェック レ レ

root 化／ Jailbreak※３ レ レ

スクリーンロック設定 レ －

必須アプリ導入チェック レ －

※１ Android デバイスはカスタマイズの自由度が高い反面，セキュリティに対してより深い考慮が必要である．安全なセキュリティ設定がされているかを監査する．

※２ iOSデバイスはカスタマイズの自由度が低く，またApple 社審査を経たアプリだけが公開されていることから危険なアプリが排除されており，セキュリティ面で安全と言われている．それでも Jailbreak（脱獄）のような改造をした場合は危険性が生じるため，それを監査する．

※３ root 化や Jailbreak OS に掛けられている制約を解除し通常アクセスできないシステム領域へのアクセスなどを可能にした状態のこと．一般に，Android に関しては root 化，iOS に対しては Jailbreak と呼ばれる．

PFU Tech. Rev., 23, 2, (11,2012) 3

iNetSecInspectionCenterV7.0 開発～スマートデバイス検疫の実現～

ティの担保を保障することを狙いとした．

3 本製品の実現方式

スマートデバイスの詳細情報を監査しセキュリティを

担保（安心安全）するため，また簡単運用（操作性など）

の実現を可能にするために，ネイティブアプリを開発す

ることにした．

3.1 スマートデバイスならではの安心安全の確認本製品では，スマートデバイス固有のセキュリティ監

査項目選定基準を定め，それらの項目を監査できるよう

にした．

そのためには，まずスマートデバイスの設定画面で設

定できるセキュリティに関する設定値や設定状況を取得

し検疫サーバに送信することにした．また，スマートデ

バイスの場合，端末識別子に相当する MAC アドレスだ

けでなく，従来の PC 検疫には無かった機種（モデル）

情報， OS バージョン情報も取得し検疫サーバに送信す

ることにした．機種や OS バージョンに応じて監査基

準（ポリシー）が異なる場合を想定してのことである．

環境設定画面の例を図 - １に示す．

個々の監査項目について説明する．

（１） OS バージョンチェック

OS のアップデート通知は新しいアップデートが提供

されると自動的に更新通知が来るが，ユーザーがアップ

デートを適用するか否かを選択できるため，いつまでも

適用しないユーザーがいる．

また，Android デバイスの場合，何社ものメーカー

から多数の機種が提供されており，搭載する Android

OS バーション，およびファームウェアは各メーカーが

開発し更新している．このため，各デバイスの所有者に

更新通知は来るが，社内ネットワークシステムの管理者

がそれらの更新通知を全て把握し適用済みか否かを統制

管理することは難しい．さらに，機種によって適用でき

る OS バージョンが異なる．

このような状況を考慮し，機種に応じた OS バージョ

ンチェックとアップデート適用済みかの監査が行えるよ

うにした．

機種により適用可能な OS バージョンが相違する例

を表 - ２に示す．

（２） root 化や Jailbreak されたデバイスの排除

スマートデバイスは標準状態では幾つかの制約があ

り，ユーザーの好きなようにカスタマイズはできない．

一部のパワーユーザーは root 化または Jailbreak とい

う方法で OS の改造を行い，その制約を避けて使って

いる．

この改造によって標準よりもセキュリティレベルを下

げた設定への変更や非公式なアプリが導入できるように

なる．このような端末は，ウイルスから攻撃を受けたり，

ウイルスに感染したアプリが混入したりするなど，危険

なデバイスとなる．

このことからネットワークの安全性に特に脅威となり

うるこうした root 化や Jailbreak したデバイスの利用

を禁止できるようにした．

（３） スクリーンロックの設定有無と強度

Android デバイスはスクリーンロックの設定有無，

およびロック解除の強度（方式）をユーザーが自由に変

◆図 -１　スマートデバイスの環境設定画面の例◆

（Fig.1-Exampleofanenvironmentalsettingscreen

forsmartdevices）

◆表 -２　機種により適用可能なOSバージョンが相違する例◆

機種適用可能なOSバージョン

又はアップデート

iPad iOS3.2.x 系であり，3.2.2 が最新

iPad2 iOS4.x 系，または5.x 系．iOS4.3.5 および iOS5.1.1 の適用が必要

Android スマートフォンの大半

AndroidOS2.x 系であり2.3.7が最新

Android タブレット 3.x 系が提供されており3.2.2 が最新

Android の一部のスマートフォンやタブレット

4.x 系へのアップデートの提供有り

4

iNetSecInspectionCenterV7.0 開発～スマートデバイス検疫の実現～

PFU Tech. Rev., 23, 2, (11,2012)

更できる．スクリーンロックが無効に設定されている状

態で，デバイスを紛失した場合，情報漏えいや第三者に

よる悪用のリスクがある．

このことから，スクリーンロックが有効と設定されて

いるかチェックする機能を提供した．

（４） 必須アプリの導入チェック

Android デバイスは何社ものメーカーから提供され

ており，デバイス毎に標準搭載されているアプリが異な

る．標準搭載アプリでは業務が行えない場合，必要なア

プリをユーザーが個別に導入することになるが，導入は

端末利用者の判断に委ねられている．

このため，業務ルールとして導入必須アプリ（例えば

ウイルス対策ソフトウェア）が定められるが，導入して

いなかったり，導入してもアップデートせずに使い続け

ていたりするケースも想定できる．

このことから，必須アプリの導入とそのアプリのバー

ジョン値のチェック機能を提供した．

3.2 スマートデバイスならではの簡単操作の実現PC とは異なるスマートデバイス固有の利用シーンを

考慮し，本製品の簡単操作の実現に取り組んだ．

（１） ログイン認証スキップ

VPN 接続の場合，通常 VPN 接続時にユーザー認証

を行っている．そこで，VPN 接続時には従来の PC 検

疫処理では必要としていたログイン認証をスキップでき

るようにした．これによりユーザーの操作手順を減らし

た（図 - ２参照）．

また，Android デバイスの場合には，業務用 VPN

に接続されたことを検知し，自動的に本製品クライアン

トアプリを起動し検疫を開始できるようにした．

これら機能を提供することにより，利用者がより少な

い操作で業務を開始できるようになった．

（２） スマートデバイス固有のライフサイクル動作を考

慮

スマートデバイスは省電力のため比較的短時間でス

リープ状態になる．またユーザー操作やシステム操作か

らアプリが強制終了させられることがある．このような

スマートデバイス固有のライフサイクル動作を考慮し，

いつプログラムが強制終了されても処理中断時点から再

開できるように，随時処理の状態値を保存するように検

疫アプリを作成した．これにより不要な処理時間を減ら

し，快適に運用が行えるようになった．

（３） 端末認証・端末識別子に Wi-Fi の MAC アドレス

を採用

スマートデバイス機器を特定する情報として電話番号

や IMEI注４）などの個体識別情報の利用が考えられるが，

これらの情報は 3G や 4G 通信を搭載していない機種

では存在しない．タブレットなどでは Wi-Fi 接続だけ

をサポートする製品があり，スマートデバイス共通で存

在する Wi-Fi の MAC アドレスを個体識別情報として

採用し端末認証機能で利用することにした．

また，端末利用者が MAC アドレスを確認すること

が難しいため，検疫アプリの情報画面から参照できるよ

うにした．これにより，トラブル時にサポートを受ける

際，ユーザーが MAC アドレスを確認でき，その MAC

アドレスをキーに端末を特定し，トラブル解決を早める

ことが可能である．

（４） 保守情報の収集

スマートデバイスの場合，デバイス内に記録されたロ

グファイルなどのファイルを参照する行為はユーザーに

は許可されていない．このため，本製品のトラブルサポー

トに必要な保守情報ファイルを取り出すための機能を提

供した．ユーザーが「報告」ボタンを押下することで，

保守情報ファイルが集約，圧縮され検疫サーバへ送信さ

れる（図 - ３参照）．

これにより，トラブルサポートの手間を排除し，早期

解決が期待できる．

注４）International Mobile Equipment Identity の略．

携帯電話の製造元，機種，シリアル番号などの情報から生成された個体識別に使われる値．

◆図 -２　VPN接続時のログイン認証がスキップされる画面例◆

（Fig.2-Exampleofthescreenwhenalogin

authenticationisskippedwhileaVPN

connectionisestablished）

VPNログイン 検疫処理（ログイン認証はスキップされる）

PFU Tech. Rev., 23, 2, (11,2012) 5

iNetSecInspectionCenterV7.0 開発～スマートデバイス検疫の実現～

4 適用例

本製品では，第 1 章で述べたスマートデバイスの市

場環境から，スマートデバイス検疫の運用のターゲット

を，大きく分けて以下の二つとした．

１） 社給端末のみ業務ネットワークへの接続を許可

する運用

→ 4.1 節に記載

２） BYOD 端末の場合，セキュリティポリシーを遵

守している端末のみ業務ネットワークへの接続を許

可する運用

→ 4.2 節に記載

4.1 社給端末運用への適用社給端末の場合，社員に支給する前に予め MAC アド

レスのリストを入手することが可能である．そこで，本

製品では，MAC アドレスによる認証で，社給端末運用

を実現する．

あらかじめ本製品サーバに定義してある許可MACア

ドレスリストと端末のMACアドレスが一致するかどう

かをチェックする．一致した場合のみ業務ネットワーク

への接続を許可する．

MAC アドレスリストの作成方法は，例えば，社給

端末の導入時に社給端末の MAC アドレスリストを事

前に入手し，それを本製品サーバに移入する方法と，

PFU の IT 機器管理アプライアンス iNetSec Smart

Finder注５）やMDM製品が収集するMACアドレスリス

注５）オフィスなどのネットワーク環境において，ネットワークに接続されている様々な IT 機器をトータルに管理し，機器の台数，種別，稼働時間などを見える化する製品．

トを本製品サーバへ移入する方法がある．

いずれの方法でも，収集した MAC アドレスのリスト

が格納されたファイルを本製品サーバの Web 管理画面

（図 - ４参照）から指定するだけで運用を開始できる．

4.2 BYOD 運用への適用本製品は，以降で示すように，様々な BYOD 運用シー

ンに適用できる．

（１） 特定 OS バージョンだけを許可する運用への適用

Android 端末は，Version 2 系，3 系，4 系が同時

に出荷・更新されており，それぞれの製品世代毎に「最

新バージョン」が存在する（表-３参照）．単純にバージョ

ン番号の数字の大きさだけでは，新旧を判断することが

できない．そのため，表 - ３の網がけで示したバージョ

ンのみの接続を許可する，といった複雑な制御が求めら

れる．本製品では，Web 管理画面から世代ごとに許可

するバージョンを指定するだけで，このような運用が実

現できる．

（２） ソフトウェアの導入を強制する運用への適用

企業や大学では，セキュリティ対策の一環としてウ

イルス対策ソフトウェアを利用者にインストールするよ

う指導するのが一般的であるが，徹底させることは難し

い．本製品を導入することで，利用者にウイルス対策ソ

フトウェアのインストールを強制できる．端末にウイル

ス対策ソフトウェアが導入されている場合だけ業務ネッ

トワークへの接続を許可することで実現する．

また，大学のように，特定のセキュリティソフトウェ

アの導入を学生に指示することが難しい場合は，複数の

種類のウイルス対策ソフトウェアのうち，どれか一つで

もインストールされていれば許可する，といった柔軟な

運用も可能である．

（３） 特定機種限定で持ち込みを許可する運用への適用

企業が特定機種の端末の購入を推進している場合や，

特定機種に限って個人所有の端末持ち込みを許可してい

る場合，企業側が指定した特定機種のみ業務ネットワー

ク接続を許可する必要がある．本製品は，Web 管理画

面にて接続を許可する端末のモデル名やビルド番号注６）

などを指定するだけで，指定した特定機種からの接続だ

けを許可する運用が実現できる．

（４） 端末の検知～監査まで一元管理する運用への適用

iNetSec シリーズの IT 機器管理アプライアンス

「iNetSec Smart Finder」と本製品が連携することで，

注６）ソフトウェアを生成する際に，ソフトウェアを識別するためにつけられるユニークな番号．

◆図 -３　保守情報の収集◆

（Fig.3-Maintenanceinformationcollection）

情報画面を表示 情報画面から［報告］押下

6

iNetSecInspectionCenterV7.0 開発～スマートデバイス検疫の実現～

PFU Tech. Rev., 23, 2, (11,2012)

スマートデバイスに対する検知・遮断・認証・検疫・管

理の一元管理・実行が可能となる（図 - ５参照）．

iNetSec Smart Finder との連携の構成において，

iNetSec Smart Finder のセンサーが，社員や学生の

個人所有端末による業務ネットワークへの接続を自動的

に検知し，通信を遮断する．ネットワーク利用者は，ネッ

トワークへの初回接続時のみ，端末のブラウザに表示さ

れる利用申請画面からネットワークの利用申請を行う．

利用申請が許可された後，利用者は端末の検疫アプリ

のログイン画面から ID とパスワードを入力しログイン

ボタンを押下することで，パスワード認証処理が実施さ

れる．

また，ログイン端末のバージョン情報やアプリの導入

状況，スクリーンロックや root 化チェックなど端末に

対するセキュリティ監査（検疫処理）が実行される．セ

キュリティポリシーを満たしている端末だけが，業務

ネットワークを利用でき，業務ネットワークをセキュア

な状態に保つことができる．

一方，ネットワーク管理者は，iNetSec Smart

Finder のマネージャソフトウェアに，利用者の情報が

すべて格納されるため，利用者によって持ち込まれたス

マートデバイスを一元管理することができる．

◆図 -５　iNetSecSmartFinder 連携構成図◆

（Fig.5-iNetSecSmartFinder-integratedinstallation）

iNetSec Inspection Center検疫サーバ

業務サーバ

スマートフォン

iNetSec Smart Finderセンサー

iNetSec Inspection Center認証サーバ

無線LANアクセスポイント

タブレット

iNetSec Smart Finderマネージャ

遮断

検知

利用者情報管理

管理者

認証

検疫

ポリシー遵守

root化

ルータ

◆表 -３　Android のバージョン遷移◆

1.6

系 1.X系 3.X系 4.X系2.2系 2.3系

2.1

2.22.3

2.2.12.3.1

2.2.2 3.02.3.3

3.12.3.4

3.22.3.5 4.0

3.2.12.3.6 4.1

3.2.22.3.7

バージョン

◆図 -４　MACアドレス認証の設定画面◆

（Fig.4-SettingscreenforMACaddress

authentication）

PFU Tech. Rev., 23, 2, (11,2012) 7

iNetSecInspectionCenterV7.0 開発～スマートデバイス検疫の実現～

5 むすび

本製品では，スマートデバイスに対する検疫機能を提

供した．今後もスマートデバイスの利用者数は増加する

ことが見込まれており，新 OS や新プラットフォーム

の対応のほか，モバイル端末に適した快適な業務環境の

提供など，新しいニーズへの対応を積極的に行うことで，

顧客が安全，簡単に最新デバイスを利用できる製品を継

続的に提供していく．

参考文献参１）( 株 )ICT 総研 スマートデバイス需要動向調査

http://www.ictr.co.jp/topics_20120625.html

参２）iNetSec シリーズホームページ

http://www.pfu.fujitsu.com/inetsec/