機能範囲と役割分担

ForceUTMが担当する範囲

• ポリシーにもとづくファイアウォール制御
• 指定したドメインへの接続制御
• 国・地域単位の通信制御
• 通信挙動やLAN内端末の変化の検知・報告
• 稼働状況と検知結果の月次レポート

ファイル検査は非搭載。PC側で行います

ForceUTMはHTTPS通信を復号しないため、通信中のファイル内容を検査する ファイルスキャン型アンチウイルスは搭載していません。 ファイルの検査には、Windows DefenderやEDRなどの端末向け対策を使用します。

ForceUTMはネットワーク側で、指定したドメインへの接続制御と、不正指令サーバー（C2）との 通信などの兆候の検知・報告を行い、端末側の対策を補完します。脅威情報による自動遮断リストは搭載していません。

アンチスパム（迷惑メール対策）は非搭載。メールサービス側で行います

Microsoft 365やGoogle Workspaceなどのメールは、ForceUTMを設置するオフィスの回線を経由せずに受信されます。 迷惑メール、なりすまし、添付ファイルの検査には、メールサービス側のセキュリティ機能を使用します。

IPSは検知連動型。インライン方式は採用していません

インライン IPS（通信をその場で検査して止める方式）は採用していません。誤検知が起きたときに業務の通信までその場で止めてしまうおそれがあるためです。ForceUTM の IPS は検知連動型で、検知のあとに通信先を名指しして期限付きで止めます。止める前に管理者が内容を確認でき、止めたあとも画面から解除できます。そのかわり、検知のきっかけになった最初の通信は止まりません。

あわせて、次のことは行いません。また、次の制約があります。

• 検知から自動で止めることは、現在の版では行いません。止めるのは、管理者が承認した遮断の提案だけです。
• 社内の端末を、検知から自動で止めることはしません。止める必要があるときは、管理者が端末の隔離を使います。
• 止めるのは接続を始めた側から送る通信が中心で、相手からの返信がしばらく届くことがあります。
• 誤検知や共有のアドレスのため、業務の通信が止まることがあります。止まったときは管理画面から解除できます。
• UTM がクラウドと通信できない間は、期限を過ぎても遮断が残ることがあります。
• 監視モードでは記録だけで、通信は止まりません。
• 脅威情報フィードや、他社が公開するアドレスの一覧は使いません。

IPS（検知連動型）についての注記: ForceUTM の IPS は、通信をその場で検査して止めるインライン方式ではありません。侵入検知（IDS）の検知をきっかけに、通信先を名指しした期限付きの遮断ルールを作り、すべての UTM に配る方式です。検知のきっかけになった最初の通信は止まりません。遮断が効くまでの時間は、通常時の目安で十数秒〜1分程度です（通信の状態や名前解決のタイミングで遅くなります）。止めるのは接続を始めた側から送る通信が中心で、相手からの返信はしばらく届くことがあります。誤検知や共有のアドレスのため、業務の通信が止まることがあります。管理画面から解除できますが、UTM がクラウドと通信できない間は、通信が戻るまで解除されない場合があります。監視モードでは記録だけで、通信は止まりません。 現在の版では、検知から自動で止める設定はなく、遮断の提案を管理者が確認し、承認したものだけを止めます。IPS は上位プランでご利用いただけます。

ハードウェアバイパスは非搭載。保守は計画停止で行います

ForceUTM 100は、故障や電源断のときに物理回路で通信を迂回させる ハードウェアバイパスを搭載していません。故障・電源断・再起動時は インライン回線の通信が停止します。更新や交換は計画停止として実施し、 障害時は交換または配線を元へ戻す作業が必要です。

通信の本文は送りません。送るものと送らないもの

ForceUTMは通信を復号・改変せず、ファイル、メール本文、Webページの内容を収集しません。 クラウドポータルへ送信するのは、機器の稼働情報、遮断・検知のイベント、集計情報に加えて、端末ごとの接続先のドメイン名、端末のホスト名（DHCP）、ファイルサーバーの共有名と上位2階層までのフォルダ名、SMB の要求の件数です。

通信の本文、URL のパスやクエリ、パスワードなどの認証情報やユーザー名、ファイル名は送りません（ファイル名がランサムウェアによく使われるパターンに一致した場合は、一致したパターンだけを送ります）。 端末の欄やホスト名は端末の識別であり、利用者本人の特定ではありません（機器台帳に持ち主を登録した場合は、画面上で端末と持ち主が結び付きます）。

導入の条件として、通信を記録・確認することを従業員の皆さまへ周知していただくこと（就業規則・社内規程への記載など）をお願いしています。

見える化と通知の機能は、自動では止めません

ファイルサーバーの見える化、ファイル名のパターンの観測、おとりファイル、被害の前によく見られる動きの検知、気づき、外部公開状況の点検は、観測と通知の機能です。 通信を止めるのは、お客様が作ったルール（IPS で承認した遮断を含む）と、人が操作する端末隔離・緊急遮断です。

• バックアップやウイルス対策ソフトの巡回など、正規のソフトにも反応することがあります。
• ForceUTMを通らない通信（同じスイッチにつながった端末とファイルサーバーの間など）、SMB3 で暗号化された通信、SMB1、VLAN のタグ付きの通信は見えません。
• ファイルサーバーの量は要求の件数・量で、実際に読み書きされた量や、その成否ではありません。
• 暗号化DNS（DoHなど）やIPアドレスを直接指定した通信では、接続先のドメイン名が分かりません。社内のDNSサーバーを使う環境では、端末の欄がDNSサーバーになることがあります。
• 検知や気づきは、攻撃かどうか、問題がないかを断定するものではありません。
• 外部公開状況の点検は、点検した時点で外から接続できたポート（TCP）を知らせるもので、脆弱性の有無は確かめません。

自社環境に合う構成を相談する