Extreme Defender for IoT のソリューション概要

1. https://jp.extremenetworks.com/ 1
ソリューション概要
Extreme Defender for loT
重要なエンドポイントのシンプルなセキュリティ
モノのインターネット (IoT) は、各業界に大きな影
響を及ぼしています。調査データによると、ネットワ
ークに接続されているエンドポイントの数が 50%
増加している IT 組織は全体の 63% をしめ1 、
Gartner は、2020 年までに 204 億のモノがつなが
り、世界中の組織で使用されると見積もっています。
IoT の成長を実際に牽引しているのは、主にスマー
ト シティ (26%)、工業用 IoT (24%)、コネクテッド
ヘルス (20%)2 の 3 つのサブセクターですが、実際
のところ、ネットワークに接続されているエンド ポ
イントの数が増えていない業界はありません。
loT には効率化、コスト削減、顧客サービスの向上に
ついて大きな期待が寄せられていますが、こうした
デバイスはネットワーク攻撃を受けやすく、ハッカ
ーの侵入経路が増えることにもなります。
統計情報に関する考慮事項:
• 組織の約 20% が過去 3 年間に少なくとも
1 回は IoT ベースの攻撃に遭遇しています3。
• loT 攻撃は 2016 年から 2017 年までに 600%
増加しました4
1 「Internet of Things. Preventing the next wave of Ransomware Attacks」 (記事) 2018 年 3 月
2 「A round up of 2018 Enterprise Internet of Things forecasts and market estimates」 (Enterprise CIO の記事)。2018 年 1 月
3 Gartner 調査報告書: 「loT Solutions can't be trusted and must be separated from the enterprise networks to reduce risk」。2018 年 5 月
4 「As Internet of Things attacks increase 600% in one year, businesses need to rethink their security」 (TechRepublic の記事)。2018 年 3 月
IoT セキュリティを実装するための
課題
攻撃の脅威は大きな現実ですが、特定の IoT デバイス
を保護する場合、課題となる多くの要因があります。ま
ず、エンドポイントの数は非常に多く、多様性に富んで
います。それだけの理由で、エンドポイントの多くが
IT 部門の管理対象になっていない可能性があります。
エンドポイントの所有者が、病院内の施設管理チーム、
運営チーム、臨床医スタッフなど、それぞれ異なる場合
もあります。さらに、デバイスの多くは、もともとイン
ターネット接続を念頭において設計されていないた
め、セキュリティ機能が不十分です。
接続デバイスのセキュリティに関する課題:
• Windows 95/98 など、サポートされていない古い
オペレーティング システムが搭載されている可
能性があり、修正プログラムを適用できません。
• パーソナル ファイアウォール、ウイルス対策ソ
フト、暗号化機能を持たないデバイスが多数存在
します。

2. https://jp.extremenetworks.com/ 2
• 一部の業界では (医療業界など)、デバイスに変更
を加えるときに (セキュリティ パッチの適用な
ど)、準拠性を維持するためにコストと時間がかか
る再認定プロセスを実施する必要があります。
• 多くの場合、有線ネットワークに接続しているデ
バイスはより無防備です。具体的には、ネットワー
クに存在する機能が異なる古いエッジ スイッチ
などが問題になります。
「IoT セキュリティは、組織の主要な関心事に
なっています。同時に、非常に多くのデバイス
を保護することは、その性質から複雑で高価
に な る こ と が 懸 念 さ れ ま す 。 Extreme
Defender for IoT ソリューションは、複雑さを
高めることなく IoT セキュリティ ツールセ
ットを拡張します。」
Promedica、IT 担当取締役、Ben Vickers
Extreme Defender for IoT による
デバイスの保護
Extreme Defender for IoT は、ユニークな受賞歴のある
ソリューションで、制限のあるエンド ポイント、さら
にはセキュリティ機能を内蔵しないエンド ポイント
に対しても、セキュリティを提供するものです。これ
は、特に経年劣化した有線デバイスで、室内、建物、さ
らにはキャンパスなどで動かす必要があるものを対象
としています。
IoT デバイス自体でインライン防御を直接追加して、
顧客の既存のセキュリティ インフラストラクチャを
補完します。また、大幅にネットワークを変更すること
なく、ネットワーク インフラストラクチャに導入し、
安全な IoT 管理を実現できます。
Extreme Defender のコンポーネント
Extreme Defender は、次のコンポーネントから構成さ
れています。
• Defender アプリケーション: IoT デバイス グルー
プ用のセキュリティ プロファイルを一元的に作成
できるユーザ フレンドリなアプリケーション。プ
ロファイルが作成されたら、技術スタッフ以外が安
全にオンボードし、デバイスを移動できるほか、直
観的なダッシュボードと一元的なインベントリを
使用して、自身の資産を監視および追跡できます。
• Defender Adapter (SA201) および ExtremeWireless
3912i 屋内アクセス ポイント: Defender アプリケー
ションにプロキシ サービスを提供することで、IoT
デバイスの管理と保護の両方を実現します。具体的
には、レイヤー 2～7 の全可視性によってトラフィ
ック フローを監視し、デバイスが想定される動作に
従って確実に動作するようにします。Defender
Adapter はネットワークと IoT デバイスの間にある
シングル ポート デバイスで、インライン防御を提
供します。AP3912 は、1 つの部屋で複数のデバイス
をサポートする複数ポート ユニットです。
• ExtremeCloud™ アプライアンス: ハードウェアベ
ースまたは仮想アプライアンスとして利用可能な
ExtremeCloud アプライアンスは、クラウドのよう
な管理機能とコントローラ機能を、Extreme Smart
OmniEdge™ (有線および無線) ソリューションに
提供するプレミス・ベースのソリューションです。
アプリケーションをカスタマイズするための豊富
な全 API スイートを備え、Defender アプリケー
ション用にサポートされたプラットフォームです。
Defender がデバイスを保護する
方法
Defender for IoT は、複数の方法で接続デバイスを保
護します。
図 1. Extreme Defender for IoT
Defender
アダプタ
3912 ウォール
ジャック AP
Defender アプ
リケーション
ExtremeCloud アプライアンス

3. https://jp.extremenetworks.com/ 3
• IoT デバイスにプロファイルを直接適用し、
デバイスが想定される動作に従って確実に動
作するようにします
• IoT デバイスの接続およびネットワークへの
アクセスを制御します
• IoT デバイス グループを安全領域またはネ
ットワーク セグメントに切り離します
Gartner Research によれば、「IoT デバイスは信頼で
きず、リスクの低減のためにネットワークから分離す
る必要があります」。Defender for IoT は、デバイスに
対する分離セグメントを作成するためのシンプルで自
動化されたアプローチに加えて、デバイスに対するト
ラフィック フローをフィルター化することにより高
度な防御機能も提供します。次の 4 つのセクションで
は、Defender for IoT のセキュリティ機能について説明
します。
一元的なプロファイルの適用
IoT デバイスを保護するには、まずホワイトリスト プ
ロファイルを作成します。このプロファイルは、
Defender アプリケーションで作成、管理、カタログ化
されます。通常、デバイス タイプ (IP セキュリティ カ
メラなど) ごとに 1 つのプロファイルが作成され、作
成されたプロファイルは、そのカテゴリに属するすべ
てのデバイスに適用されます。プロファイルには、IoT
デバイスが送受信可能な内容や、デバイスの通信の対
象と内容を制限するために、認可済みデバイスおよび
トラフィック フローのリストが示されています。完成
済みのプロファイルには、セキュリティ ルールおよび
ネットワーク接続設定を含むグループ アクセス プロ
ファイルがあります。
その後、このプロファイルは、レイヤー 2~7 の全可視
性 に よ り ト ラ フ ィ ッ ク を 管 理 お よ び 監 視 す る
Defender Adapter や AP3912 にプッシュされます。
これにより、IoT デバイスに対する送受信の両方向の
トラフィックが、プロファイルに含まれるルールだけ
に制限されるようになります。この間、IoT デバイスは
保護され、また攻撃自体の誘因も防止します。
容易なプロファイルの作成
トラフィック プロファイルの作成作業は手動で行う
には複雑です。そこで、Defender for IoT ソリューショ
ンは、「自動ポリシー ジェネレータ」を使ってこのプ
ロセスを自動化します。この Defender for IoT ソリュ
ーションにより、アダプタが、Defender アプリケーシ
ョンへのトラフィックをミラーリングできるようにな
ります。自動ポリシー ジェネレータは、ここで IoT デ
5 Gartner 調査報告書: 「loT Solutions Can't Be Trusted and Must Be Separated from the Enterprise Network to Reduce Risk」 - 2018 年 5 月。
バイス用のトラフィック プロファイルを作成できま
す。ソリューションがそのデバイスの想定される通常
の動作を把握できるように、IoT デバイスは、通常、ト
ラフィックをカタログ化する Defender アプリケーシ
ョンと連携します。(IoT デバイスの動作に応じて) こ
のモードで十分な時間が経過すると、ミラーリングが
停止し、その結果として得られたトラフィック プロフ
ァイルを、ネットワーク通信の保護のために IoT デバ
イスに適用できます。
IT の関与しないデバイス モビリティの保護
Defender を使用すると、ネットワーク ポート間で有
線デバイスが自動的に移動します。デバイスを再配置
する必要がある場合は、技術者が室内壁面のジャック
ポートから Adapter を外し、新しい場所にデバイスと
Adapter を移動して、新しいポートに Adapter を装着
するだけです。Adapter を外すと、プロファイルが失わ
れ、以前のスイッチ ポートでネットワーク サービス
が無効になります。
Adapter が再接続されると、その Adapter はプロファ
イルを取得するために ExtremeCloud アプライアンス
に問い合わせて、新しいポートでのサービスのプロビジ
ョニングをリクエストします。2、3 分以内に、IoT デバ
イスは新しい場所で動作します。移動はネットワーク
IT の関与なしで迅速かつ安全に完了しています。
ネットワーク セグメント/安全領域
ポリシーに加えて、Defender はまた、独自の分離され
た安全領域または医療用セグメントにデバイスなどを
配置できます。Gartner の調査によれば、現在、事実上
セグメント化されている IoT デバイスは、導入された
IoT デバイスのわずか 5% ですが、この数値は 2021
年までに 60% に達する見込みです5。安全領域を作る
ことで、攻撃領域が狭くなり、ネットワークの機密領域
に対する悪意ある横方向の移動が難しくなります。
Defender で安全領域を作成するには、Fabric Connect
ネットワークまたはサード パーティの IP ネットワ
ークを使用します。
Fabric Connect による安全領域
Extreme Defender は、Extreme のキャンパス ファブ
リ ッ ク ソ リ ュ ー シ ョ ン で あ る Extreme Fabric
Connect 用に最適化されています。Fabric Connect の
主なメリットの 1 つが、規模に応じて安全領域を迅速
かつ簡単に作成できることです。こうした安全領域は、
複雑な構成ではなく、ネットワーク エッジで非常に迅
速かつ簡単に導入できます。

4. https://jp.extremenetworks.com/ 4
さらに、Fabric Connect インフラストラクチャでは、
Fabric Attach と 呼 ば れ る 自 動 接 続 プ ロ ト コ ル が
Defender Adapter および AP3912 でサポートされま
す。これによって、エンド ポイントの動的な自動接続、
全ネットワーク サービスの自動化が可能になり、その
結果としてデバイスのオンボード時にエンド ツー エ
ンドの安全領域が動的に作成されます。
図 2: Defender for IoT による医療セグメントと安全領域
サード パーティ ネットワークの安
全領域
また Extreme Defender は従来の IP ベースのネット
ワーク (Extreme およびサード パーティ) 上で導入で
き、お客様は大幅なネットワークの変更を加えなくて
も、安全に IoT を導入できます。安全領域またはネット
ワーク セグメントは、インフラストラクチャ全体でデ
バ イ ス か ら ExtremeCloud ア プ ラ イ ア ン ス 上 の
Defender アプリケーションへの IoT トラフィックを
セグメント化する安全な IPSec トンネルを使用してセ
ットアップされます。
自動オンボードおよびインベントリ
管理
各 IoT デバイスを保護するほかに、膨大な数の IoT
デバイスをオンボードし、それを一元的に追跡すると
なると、既に負担を抱えている IT チームにさらなる
重荷を背負わせることになりかねません。Extreme
Defender を使用すると、デバイスの保護、オンボード、
移動が簡素化され、企業にとって貴重な運用コストを
節約することができます。
6 TechRepublic の記事: 97% of risk pros say loT cyberattack would be catastrophic for their business - 2018 年 3 月
具体的には、Defender アプリケーションにより次が実
現します。
• 一般的なワークフローをサポートするために作成
された効率的なユーザ インターフェイスを備えて
います。これにより、技術スタッフ以外や IT 組織
以外のスタッフが、プロファイルをオンボードし
て、デバイスに容易に適用できるようになります。
• QR コードによるシンプルなデバイスのオンボー
ド、および一元的な在庫追跡システムにデバイス
を登録するアップロード機能。
• 単一のインターフェイスにすべての IoT デバイ
スのステータスが示されます。その際、すべての部
門間で割り当てられた AP/Adapter が使用されま
す。これには、資産追跡を目的とした位置およびロ
ーミング情報も含まれます。
• デバイスの統計を示すカスタマイズ可能なダッシ
ュボード ビューがあります。このビューは、IoT
デバイスの使用率や可用性に関するデータを確認
するうえで役立ちます。
Ponemon Institute および Shared Assessments の調
査は、ネットワークに接続しているすべてのデバイスの
一元的インベントリを保持しているのは、わずか 12%
の組織であることを示しています6。Defender アプリケ
ーションを使用すると、IoT デバイスが存在する場所
や、所有および管理する部門 (施設、臨床、IT など) に
かかわらず、この一元的な表示が可能になります。
要 約 : Extreme Networks に よ る
IoT のビジョンの実現
組織が引き続き新しいデバイスを接続し、IoT を導入
していくと、Extreme Networks Defender for IoT ソリ
ューションによって次を実現できます。
複数階層のアプローチで IoT デバイスを保護する:
安全なオンボードと接続、トラフィック監視とフィル
タリング、およびデバイス グループを分離および保護
するためのエンド ツー エンドの安全領域の作成で構
成される複数階層のアプローチでデバイスを保護し、
攻撃領域を大幅に減らします。
効率性の向上とコスト削減: これは (学習モードによっ
て) ポリシーを作成する自動アプローチと、シンプル
なユーザ インターフェイスとび小さなインライン デ
バイスにより実現します。この UI とデバイスを使用
することで、プロファイルの作成後に技術スタッフ以
外が自身のデバイスをオンボードおよび移動できま
す。ソリューションはあらゆるネットワーク インフラ
HVAC
ゾーン
財務トラン
ザクション
ゾーン
監視カメラ
ゾーン
アプリケーショ
ン サーバ

5. https://jp.extremenetworks.com/ 5
ストラクチャで動作できます。つまり、時間とコストの
かかるネットワーク更新を行わずに IoT セキュリテ
ィのニーズに対応できます。
Extreme Defender for IoT の詳細については、Extreme
営業担当者までお問い合わせください。
発注情報
Defender for loT ソリューションの注文の概要:
• Defender アプリケーションをアクティブ化する
には、サポートされている保護デバイス数に対す
るライセンスと、必要なサービスおよびサブスク
リプション オファーを注文する必要があります。
• ExtremeCloud Appliance は 、 事 前 に 、 ま た は
Extreme Defender for loT ソリューションと一緒
に注文する必要があります。
• ソリューションとともに適切なアクセス ハード
ウェア (Defender Adapter (SA201) または the
AP3912) を注文する必要があります

6. https://jp.extremenetworks.com/ 6
Defender for loT ハードウェアの発注情報
部品番号 製品の説明
39505
Defender Adapter SA201 (注文の前に対象となる国を確認してください)、2 個 の 10/100/1000 BASE-T ポート付き (1 × ネットワ
ーク ポート、1 × デバイス ポート)、POE/POE+ からの給電、オプションの電源アダプタ (別売り)。
31025
WS-AP3912i-FCC (米国、プエルトリコ、コロンビア) ウォール・プレート デュアル ラジオ 802.11ac/abgn、Wave 2、2x2:2 MIMO
屋内アクセス ポイント、4 基の内部アンテナ アレイおよび統合 BTLE/802.15.4 無線付き。
31026
WS-AP3912i-ROW (注文の前に対象となる国を確認してください) ウォール・プレート デュアル ラジオ 802.11ac/abgn Wave 2、
2x2:2 MIMO 屋内アクセス ポイント、4 基の内部アンテナ アレイおよび統合 BTLE/802.15.4 無線付き。
詳細については、Defender Adapter と AP3912 データ シートを参照してください。
Defender アプリケーションの発注の詳細
部品番号 製品の説明
39521 10 の保護されたエンド システム用 Defender ライセンス
39522 100 の保護されたエンド システム用 Defender ライセンス
39523 1,000 の保護されたエンド システム用 Defender ライセンス
39524 5,000 の保護されたエンド システム用 Defender ライセンス
39525 10,000 の保護されたエンド システム用 Defender ライセンス
ソフトウェア サブスクリプションとサービスの発注の詳細
サービス部品番号 サービス名
97003-39521 10 の保護されたエンド システム用 ExtremeWorks サブスクリプション サービス
95603-39521 10 の保護されたエンド システム用 PartnerWorks Plus サブスクリプション サービス
97003-39522 100 の保護されたエンド システム用 ExtremeWorks サブスクリプション サービス
95603-39522 100 の保護されたエンド システム用 PartnerWorks Plus サブスクリプション サービス
97003-39523 1,000 の保護されたエンド システム用 ExtremeWorks サブスクリプション サービス
95603-39523 1,000 の保護されたエンド システム用 PartnerWorks Plus サブスクリプション サービス
97003-39524 5,000 の保護されたエンド システム用 ExtremeWorks サブスクリプション サービス
95603-39524 5,000 の保護されたエンド システム用 PartnerWorks Plus サブスクリプション サービス
97003-39525 10,000 の保護されたエンド システム用 ExtremeWorks サブスクリプション サービス
95603-39525 10,000 の保護されたエンド システム用 PartnerWorks Plus サブスクリプション サービス
98000-39505 Defender Adapter (SA201) 用 ExtremeWorks プレミア TAC および OS
98001-39505 Defender Adapter (SA201) 用 ExtremeWorks プレミア保証延長
98004-39505 Defender Adapter (SA201) 用 ExtremeWorks プレミア翌営業日先出しハードウェア交換
98007-39505 Defender Adapter (SA201) 用 ExtremeWorks プレミア 4 時間先出しハードウェア交換
98008-39505 Defender Adapter (SA201) 用 ExtremeWorks プレミア 4 時間オン・サイト配送
98011-39505 Defender Adapter (SA201) 用 ExtremeWorks プレミア翌営業日オン・サイト配送
98003-39521 10 の保護されたエンド システム用 ExtremeWorks プレミア サブスクリプション サービス
98003-39522 100 の保護されたエンド システム用 ExtremeWorks プレミア サブスクリプション サービス
98003-39523 1,000 の保護されたエンド システム用 ExtremeWorks プレミア サブスクリプション サービス
98003-39524 5,000 の保護されたエンド システム用 ExtremeWorks プレミア サブスクリプション サービス
98003-39525 10,000 の保護されたエンド システム用 ExtremeWorks プレミア サブスクリプション サービス
http://www.extremenetworks.com/contact
©2019 Extreme Networks, Inc. All rights reserved.Extreme Networks および Extreme Networks のロゴは、米国およびその他の国における Extreme Networks, Inc. の商標または登
録商標です。その他のすべての名称は、該当する所有者の資産です。Extreme Networks の商標の詳細については、http://www.extremenetworks.com/company/legal/trademarks をご
覧ください。製品の仕様や提供状況は予告なく変更される場合があります。20089-0119-28