Product
製品と仕組み
ForceUTMは、既存のネットワークに「線の一部」として加わる透過型のセキュリティアプライアンスです。 透過設置の仕組み、通信制御、クラウドポータル、機能範囲をご案内します。
既存ネットワークへ追加する透過設置
ForceUTMは、ルーターとスイッチの間の配線に設置する透過型の機器です。 装置自体は通信用のIPアドレスを持たず、既存ネットワークの配線上に追加します。
- 多くの環境で、既存のIPアドレス体系を変更せずに追加可能
- 導入前に回線・ルーター・配線構成を確認
- 設置方法と必要な作業を事前に案内
誤遮断とクラウド障害の影響を抑える構成
遮断する対象をポリシーで指定し、本体が稼働している間はクラウド障害の影響を 業務通信へ波及させない構成です。ハードウェア障害時の制約も明記します。
| ハードウェアバイパス | ForceUTM 100には搭載していません。装置の故障・電源断・再起動時は インライン回線の通信が停止します。更新や保守は計画停止として実施します。 |
|---|---|
| クラウド障害時の動作 | クラウドポータルとの通信が切れても、本体は最後に受け取ったポリシーで動作を継続します。 本体と回線が正常に稼働している間は、ポータル障害だけを理由に通信は停止しません。 |
| 名指し遮断の原則 | 遮断する対象はポリシーで指定します。通信挙動の検知結果はレポートで確認できます。 |
DNS・ドメイン単位の通信制御
ForceUTMは、DNSや通信時に確認できるドメイン情報にもとづいてアクセスを制御します。
名前解決の段階で確認できる情報を利用し、危険なドメインへの通信を遮断します。 暗号化されたDNSなど、本体で確認できない経路は制御の対象外です。許可しないDNS経路は ポリシーで制御し、必要に応じて既知の暗号化DNSサービスへの接続もドメイン単位で制限できます。
- 指定した危険ドメインへの接続をDNS・ドメインのレイヤで遮断（脅威情報による自動遮断リストは搭載していません）
- 業務で使わないサービスのドメイン単位の制御
- 国・地域単位の通信制御（業務に不要な地域との通信を制御）
AIエージェントの外向き通信の制御
社内で動かすAIエージェントが、外部からの不正な指示に乗っ取られても、許可していない宛先へは通信を届けません。 はじめは通信を観測して業務に必要な宛先を確かめ、そのうえで、許可した宛先以外への外向き通信を段階的に絞ります。
- AIエージェントが通信する宛先を、ポータルとレポートで確認
- 許可した宛先（ドメイン）以外への外向き通信を、ポリシーで遮断
- 通信の中身は復号しません。許可した宛先そのものが悪用された場合は、ネットワーク側だけでは止められません
通信挙動の検知と報告
通信挙動の検知（IDS）やLAN内端末の変化は、受動的に観測し、結果をポータルと月次レポートで確認できます。 IDS 単体では検知結果だけを根拠に通信を止めず、業務通信への影響を抑えます。 気になる兆候は、ポータルとレポートで確認できます。
端末を隔離する必要がある場合も、未知の端末を自動で止めることはありません。 ポータルで確認したMACアドレスだけを明示的に指定して、一時的にネットワークから隔離できます。 隔離の開始と解除は、運用者が対象を確認して行います。
IPS（検知連動型）
ForceUTMのIPSは、侵入検知（IDS）の検知をきっかけに、通信先を名指しした期限付きの遮断ルールを作り、すべてのUTMに配る方式です。 止めるのはファイアウォールとDNSのレイヤです。通信をその場で検査して止めるインライン方式ではないため、 検知のきっかけになった最初の通信は止まらず、遮断が効くのは次の通信からです。
遮断の提案は、管理者が内容を確認し、承認したものだけを止めます。延長と解除は管理画面から行えます。 脅威情報フィードや他社が公開するアドレスの一覧は使いません。くわしい条件は、機能一覧の下の注記をご覧ください。
ランサムウェアへの備え（見える化と通知）
社内のファイルサーバーの使われ方を見える化し、被害の前によく見られる動きや、いつもと違う使われ方をお知らせします。 これらは観測と通知の機能で、自動では通信を止めません。止めるのは、お客様が作ったルールと、人が操作する端末隔離・緊急遮断です。
- ファイルサーバーの利用の見える化: どの端末が、いつ、どのファイルサーバーのどのフォルダ（上位2階層）を使ったかを、画面と月次レポートで確認。夜間・休日の利用、変更の要求がいつもより多いこと、登録したバックアップなど定期的な通信が観測されていないことをお知らせします
- ファイル名のパターンの観測: ランサムウェアによく使われる拡張子や脅迫文書の名前に一致したファイル名の作成・付け替えの要求を観測してお知らせします
- おとりファイル・おとりフォルダ: 共有フォルダに置いたおとりへのアクセスを検知し、アクセスした端末をお知らせします
- 被害の前によく見られる動きの検知: 社内の偵察、遠隔操作ツール、トンネル、ファイル転送サービスの利用を、初めて観測した時点でお知らせします
- 対策ルールのひな形: 横の広がり・共有・バックアップの保護のための遮断ルールを、下書きから作れます
ファイルサーバーの量は要求の件数・量で、実際に読み書きされた量や成否ではありません。バックアップやウイルス対策ソフトの巡回など、正規のソフトにも反応することがあります。 ForceUTMを通らない通信（同じスイッチにつながった端末とファイルサーバーの間など）、SMB3 で暗号化された通信、SMB1、VLAN のタグ付きの通信は見えません。 ファイルサーバーの見える化には、端末とファイルサーバーの間の通信がForceUTMを通る配線が必要です（導入の流れ）。
端末と通信の見える化
社内の端末と、その接続先を一覧で確認できます。観測と表示の機能で、通信を止めるものではありません。
- 機器台帳: LANの端末に名前・持ち主・確認状態を付けて管理。CSVでの台帳の取り込みや、DHCPのホスト名からの名前の候補表示にも対応します
- 端末ごとの接続先: どの端末が、どのドメイン・クラウドサービス・外部のDNSを使っているか。クラウドサービスには、利用状況を見て「承認済み」などの印を付けられます
- 遠隔操作サービスの見える化: どの端末が、いつ、どれだけ遠隔操作サービスと通信したか。正規の利用は、目的と期限を付けて端末ごとに承認できます
- 新しく見かけたドメイン: 他社の脅威情報ではなく、ForceUTM 自身の観測で初めて見たドメインをお知らせします（お客様ごとに有効にする機能です）
暗号化DNS（DoHなど）、IPアドレスを直接指定した通信、ForceUTMを通らない通信は見えません。社内のDNSサーバーを使う環境では、端末の欄がDNSサーバーになることがあります。
気づきと通知
観測した内容から、確認したほうがよいことを「次にすること」と一緒にお知らせします。
- 気づき: 古い暗号方式（TLS）や暗号化しない古いプロトコルの利用、新しい待ち受けポート、周期的な外向きの通信、営業時間外の活動、観測が途絶えた端末など
- 通知: 重要度の高いものはすぐにメールで、それ以外は1日1回のまとめメールでお知らせします
- 侵入検知（IDS）の運用: 検知ごとに「この検知の意味」を日本語で表示。誤検知の除外、同じ検知のまとめ、導入直後の学習期間に対応します
検知や気づきは、攻撃かどうか、問題がないかを断定するものではありません。IDS 単体では通信を止めません。
外部公開状況の点検
お客様の同意を得た公開アドレスを、インターネット側から点検します。リモートデスクトップやファイル共有、VPN 機器や管理画面と推定したものが外から接続できる状態になっていれば、お知らせします。
- 点検は、お客様の同意と当社の承認のあとに始めます
- 結果は、点検した時点で外から接続できたポート（TCP）に限ります。UDP を使うサービスは点検しません
- リモートデスクトップなど重要度の高いものが新しく外から接続できるようになったときは、すぐにメールでお知らせします。それ以外は1日1回のまとめメールに入ります
- 接続できたことを確かめるもので、サービスの種類や脆弱性の有無を確かめるものではありません。脅威情報は使いません
緊急遮断ボタン
大きなインシデントのときに、管理画面からUTM 1台ごとに、社内と外の間の通信を止められます。期限付きで、期限が来ると元の動作に戻ります。管理用の通信（MGMT）は止めません。
- 期限は既定で24時間です。手動で解除するまで続ける設定でも、最長7日で元に戻ります
- 操作は2回の確認と理由の入力を経て行い、操作は記録されます
- 非常時用に、データポートのリンク自体を期限付きで落とす方式も選べます。期限が来ると、リンクを上げたまま通信を止めた状態に戻ります
- リンクを落とす方式は、隣の機器からは故障に見えることがあります。配線によっては事前の確認が必要です
止めるのは通信までです。別の経路がある環境では、通信がそちらを流れることがあります。
月次レポートで確認できること
月次レポートには、遮断と観測の内訳に加えて、今月見つかったこと（前月との比較）、機器台帳との差分、クラウドサービスの利用、DNS の利用、ファイルサーバーの利用、緊急遮断の記録、遠隔操作の承認、外部公開状況の点検の章があります（月次レポート）。
ログは、お客様のAIで分析できます
ポータルから書き出したログを、お客様が契約しているAIで分析できます。 たとえば、お客様のIPアドレス台帳と照合すれば、どのPCからの通信かを特定できます。 台帳がない場合は、ポータルの機器台帳で端末に名前と持ち主を付けて、照合に使えます。社内LANを観測して端末台帳を育てるForceJOSYSを使うこともできます。
分析に使うAIはお客様の契約・管理のもとにあるため、ログを渡す先と分析の責任の範囲がはっきりし、 フォースネットとの責任分界点が明快です。分析の進め方や照合の手順づくりは、フォースネットがお手伝いすることもできます。
本体の管理機能を外部へ公開しない構成
ForceUTM本体には、お客様がインターネット経由で操作するWeb管理画面を設けていません。
- 外部公開なし: 本体の管理機能をインターネットへ公開しません
- 暗号化通信: 本体から指定されたクラウドポータルへ接続します
- 設定の取得: 本体がクラウドポータルへ接続し、必要な設定を取得します
- 保守対応: 必要な場合に限り、時間を制限した保守接続を行います
機能一覧
非搭載の機能も含めて記載しています。それぞれの理由は機能範囲と役割分担をご覧ください。
| 機能 | 提供 | 内容 |
|---|---|---|
| ファイアウォール | 搭載 | ステートフル型。プロトコル・ポート・IPバージョン・送信元国などに基づく通信制御 |
| Webアクセス制御（DNS・ドメイン単位） | 搭載 | DNSに加え、TLS SNI・HTTP Hostのドメイン情報にもとづきポリシーで制御 |
| C2通信の検知・指定ドメインの遮断 | 搭載 | 不正指令サーバー（C2）との通信などの兆候を受動的に検知・報告し、指定したドメインへの接続を遮断。検知した端末は管理画面から隔離できます。脅威情報による自動遮断リストとファイルスキャンは搭載していません |
| AIエージェントの外向き通信の制御 | 搭載 | 観測から始め、許可した宛先以外への外向き通信を段階的に絞る。通信の中身は復号しない |
| 国・地域単位の制御 | 搭載 | ポリシーにもとづく国・地域単位の通信制御 |
| 通信挙動の検知（IDS） | 観測+報告 | 受動検知。IDS 単体では通信を止めない |
| IPS | ✓（検知連動型・注記参照） | 検知をきっかけに通信先を名指しし、期限付きで止める。管理者が承認した提案だけを止める。上位プランのみ |
| 端末の確認・指定隔離 | 搭載 | ARPで新規端末・未承認MAC・IP重複を観測。運用者が明示指定した端末だけを一時隔離 |
| ログの書き出し | 搭載 | ポータルから書き出したログを、お客様が契約しているAIでも分析できる |
| クラウドポータル | 搭載 | 複数機器の状態を見える化し、ポリシーを配布。閲覧専用を含む権限管理に対応 |
| ランサムウェアへの備え（ファイルサーバーの見える化・おとり） | 観測+通知 | ファイルサーバーの利用、パターンに一致したファイル名、おとりへのアクセス、被害の前によく見られる動きを観測してお知らせ。自動では止めません |
| 端末と通信の見える化（機器台帳・端末ごとの接続先） | 搭載 | 端末に名前・持ち主を付けて管理し、端末ごとの接続先・クラウドサービス・遠隔操作サービスの利用を確認 |
| 気づきと通知 | 搭載 | 古い暗号方式や新しい待ち受けポートなどを「次にすること」と一緒にお知らせ。重要度の高いものはすぐにメール、それ以外は1日1回のまとめ |
| 外部公開状況の点検 | 搭載 | お客様の同意を得た公開アドレスを外から点検し、リモートデスクトップなどの公開をお知らせ |
| 緊急遮断ボタン | 搭載 | 管理画面からUTM 1台ごとに、社内と外の間の通信を期限付きで止める。管理用の通信は止めません |
| 月次日本語レポート | 搭載 | ポータルが毎月生成し、設定した宛先へ配信。国内の運用基盤で処理 |
| ハードウェアバイパス | 非搭載 | 故障・電源断・再起動時は通信停止。保守時は計画停止が必要 |
| ファイルスキャン型アンチウイルス | 非搭載 | 暗号化通信では経路上から中身が見えないため（理由） |
| アンチスパム | 非搭載 | メールはクラウドサービス側の対策が確実なため（理由） |
| SSLインスペクション（通信の復号） | 非搭載 | 通信を復号・改変しない設計のため |
| VPN・ルーター機能 | 非搭載 | 透過型専用。既存ルーターの置き換えではありません（リモートアクセスは ForceLink など専用サービスとの組み合わせをご案内できます） |
IPS（検知連動型）についての注記: ForceUTM の IPS は、通信をその場で検査して止めるインライン方式ではありません。侵入検知（IDS）の検知をきっかけに、通信先を名指しした期限付きの遮断ルールを作り、すべての UTM に配る方式です。検知のきっかけになった最初の通信は止まりません。遮断が効くまでの時間は、通常時の目安で十数秒〜1分程度です（通信の状態や名前解決のタイミングで遅くなります）。止めるのは接続を始めた側から送る通信が中心で、相手からの返信はしばらく届くことがあります。誤検知や共有のアドレスのため、業務の通信が止まることがあります。管理画面から解除できますが、UTM がクラウドと通信できない間は、通信が戻るまで解除されない場合があります。監視モードでは記録だけで、通信は止まりません。 現在の版では、検知から自動で止める設定はなく、遮断の提案を管理者が確認し、承認したものだけを止めます。IPS は上位プランでご利用いただけます。
設置に必要なもの
| 設置場所 | ルーター（またはONU一体型ルーター）とスイッチの間の配線上 |
|---|---|
| 配線 | LANケーブル2本（透過用）＋管理用のインターネット接続＋電源 |
| 既存機器の変更 | 構成確認後に、必要な変更や作業をご案内します |
| ハードウェア諸元 | 導入環境に適した機器をご案内します |