Product
製品と仕組み
ForceUTMは、既存のネットワークに「線の一部」として加わる透過型のセキュリティアプライアンスです。 透過設置の仕組み、通信制御、クラウドポータル、機能範囲をご案内します。
既存ネットワークへ追加する透過設置
ForceUTMは、ルーターとスイッチの間の配線に設置する透過型の機器です。 装置自体は通信用のIPアドレスを持たず、既存ネットワークの配線上に追加します。
- 多くの環境で、既存のIPアドレス体系を変更せずに追加可能
- 導入前に回線・ルーター・配線構成を確認
- 設置方法と必要な作業を事前に案内
通信への影響を抑える構成
機器の故障やクラウドとの通信障害が、業務通信へ影響しにくい構成を採用しています。
| ハードウェアバイパス | 装置の故障や電源断のときは、内部の回路が物理的に配線を直結し、 通信を継続します。 |
|---|---|
| クラウド障害時の動作 | クラウドポータルとの通信が切れても、本体は最後に受け取ったポリシーで動作を継続します。 ポータルは業務通信の経路には入りません。 |
| 名指し遮断の原則 | 遮断する対象はポリシーで指定します。通信挙動の検知結果はレポートで確認できます。 |
DNS・ドメイン単位の通信制御
ForceUTMは、DNSや通信時に確認できるドメイン情報にもとづいてアクセスを制御します。
名前解決の段階で確認できる情報を利用し、危険なドメインへの通信を遮断します。 暗号化されたDNSなど、本体で確認できない経路は制御の対象外です。許可しないDNS経路は ポリシーで制御し、必要に応じて既知の暗号化DNSサービスへの接続もドメイン単位で制限できます。
- フィッシング・不正指令サーバーなど危険ドメインへの接続をDNS・ドメインのレイヤで遮断
- 業務で使わないサービスのドメイン単位の制御
- 国・地域単位の通信制御（業務に不要な地域との通信を制御）
通信挙動の検知と報告
通信挙動の検知（IDS）やLAN内端末の変化は、受動的に観測し、結果をポータルと月次レポートで確認できます。 検知結果だけを根拠に自動遮断せず、業務通信への影響を抑えます。 気になる兆候は、ポータルとレポートで確認できます。
端末を隔離する必要がある場合も、未知の端末を自動で止めることはありません。 ポータルで確認したMACアドレスだけを明示的に指定して、一時的にネットワークから隔離できます。 隔離の開始と解除は、運用者が対象を確認して行います。
本体の管理機能を外部へ公開しない構成
ForceUTM本体には、お客様がインターネット経由で操作するWeb管理画面を設けていません。
- 外部公開なし: 本体の管理機能をインターネットへ公開しません
- 暗号化通信: 本体から指定されたクラウドポータルへ接続します
- 設定の取得: 本体がクラウドポータルへ接続し、必要な設定を取得します
- 保守対応: 必要な場合に限り、時間を制限した保守接続を行います
機能一覧
非搭載の機能も含めて記載しています。それぞれの理由は 機能範囲と役割分担をご覧ください。
| 機能 | 提供 | 内容 |
|---|---|---|
| ファイアウォール | 搭載 | ステートフル型。プロトコル・ポート・IPバージョン・送信元国などに基づく通信制御 |
| Webアクセス制御（DNS・ドメイン単位） | 搭載 | DNSに加え、TLS SNI・HTTP Hostのドメイン情報にもとづきポリシーで制御 |
| 危険ドメイン・C2通信対策 | 搭載 | フィッシング・不正指令サーバー等への接続を遮断し、通信挙動は受動的に検知・報告。ファイルスキャン方式ではありません |
| 国・地域単位の制御 | 搭載 | ポリシーにもとづく国・地域単位の通信制御 |
| 通信挙動の検知（IDS） | 観測+報告 | 受動検知。自動遮断はしない |
| 端末の確認・指定隔離 | 搭載 | ARPで新規端末・未承認MAC・IP重複を観測。運用者が明示指定した端末だけを一時隔離 |
| クラウドポータル | 搭載 | 複数機器の状態を見える化し、ポリシーを配布。閲覧専用を含む権限管理に対応 |
| 月次日本語レポート | 搭載 | ポータルが毎月生成し、設定した宛先へ配信。国内の運用基盤で処理 |
| ハードウェアバイパス | 搭載 | 故障・電源断時も通信を継続 |
| ファイルスキャン型アンチウイルス | 非搭載 | 暗号化通信では経路上から中身が見えないため（理由） |
| アンチスパム | 非搭載 | メールはクラウドサービス側の対策が確実なため（理由） |
| インラインIPS（自動遮断） | 非搭載 | 誤検知で通信を止めないため（理由） |
| SSLインスペクション（通信の復号） | 非搭載 | 通信を復号・改変しない設計のため |
| VPN・ルーター機能 | 非搭載 | 透過型専用。既存ルーターの置き換えではありません（リモートアクセスは ForceLink など専用サービスとの組み合わせをご案内できます） |
設置に必要なもの
| 設置場所 | ルーター（またはONU一体型ルーター）とスイッチの間の配線上 |
|---|---|
| 配線 | LANケーブル2本（透過用）＋管理用のインターネット接続＋電源 |
| 既存機器の変更 | 構成確認後に、必要な変更や作業をご案内します |
| ハードウェア諸元 | 導入環境に適した機器をご案内します |