EIPとは何ですか？

エンドポイント情報プロファイル（EIP）は、Versa SASE の構成要素であり、ネットワークへのアクセスを許可する前に、接続するデバイスの識別情報やセキュリティ状態（ウイルス対策ソフトの状態、ディスクの暗号化、OSのバージョンなど）を収集・評価するものです。EIPオブジェクトは照合条件を定義し、EIPプロファイルはオブジェクトをポリシーごとにグループ化し、EIPエージェントプロファイルはSASE クライアントに対して収集すべき情報を指定します。

主なポイント

• EIPは、ネットワークへのアクセスを許可する前に、デバイスのセキュリティ状態を確認します。
• EIPオブジェクトは照合条件を定義し、プロファイルはオブジェクトをポリシーごとにグループ化します。
• エージェントプロファイルは、SASE クライアントに対して、どのエンドポイントのデータを収集すべきかを指示します。
• カテゴリーには、ウイルス対策、ディスク暗号化、OSのバージョンなどが含まれます。
• EIPプロファイルは、保護ルール、アクセスルール、および復号ルールに関連付けられます。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ EIP およびVersa · よくある質問

EIPはなぜ重要なのでしょうか？

企業のユーザーは、ノートパソコン、スマートフォン、タブレット、IoTデバイスなどから、組織が管理していないネットワークを経由して接続しますが、こうしたエンドポイントのいずれもが、攻撃者にとっての潜在的な侵入経路となり得ます。ユーザー本人であることを確認するだけでは、もはや不十分です。たとえ正当な認証情報であっても、セキュリティ侵害を受け、パッチが適用されていないノートパソコンで使用されれば、その接続は依然として危険な状態にあると言えます。ゼロトラストモデルは、ログイン時だけでなく継続的に、ユーザーだけでなくデバイスも併せて評価することで、このギャップを埋めます。

EIPは、Versaが提供する、デバイス側のチェックを行う仕組みです。これにより、ポリシーは、エンドポイントが機密性の高いアプリケーションにアクセスする前に、実際にコンプライアンスを満たしているか（パッチが適用されているか、暗号化されているか、必要なセキュリティソフトウェアが実行されているか）を確認できるようになります。また、1回限りのチェックを鵜呑みにするのではなく、セッションを通じてセキュリティ状態を再評価することも可能です。これにより、アクセス制御は単なる「身元確認のゲート」から、強制力のあるコンプライアンス要件へと変化します。

EIPとは何ですか？

まず、名称に関する注記です。一部のVersa のドキュメントタイトルでは、EIPが「Endpoint Identity Profile」と表記されています。どちらの名称も同一の設定オブジェクトを指していますが、本用語集では、Versaの設定関連記事の本文全体で一貫して使用されている「Endpoint Information Profile」という表記を採用しています。

EIPは3つのコンポーネントで構成されています。EIPオブジェクトは一致条件（「ウイルス対策ソフトがインストールされ、実行中である」や「ディスクが暗号化されている」といったルール）であり、エンドポイントが報告する生のポスチャーデータをフィルタリングします。EIPプロファイルは、オブジェクトをポリシー単位にグループ化します。これは、デバイスがコンプライアンスを満たしているかどうかを判断するために、一連のルールをまとめて評価するものです。EIPエージェントプロファイルはEIPプロファイルとは別のものであり、SASE クライアントがエンドポイントから実際に収集・報告するデータを定義するものです。エージェントは、そのデータをゲートウェイに送信し、プロファイルに基づいて評価が行われます。

評価は決まったロジックに従います。1つのルール内の異なるカテゴリに属するオブジェクトについては「AND」（すべて一致する必要がある）が適用され、同じカテゴリに属するオブジェクトについては「OR」（いずれか1つでも一致すればよい）が適用されます。また、複数のルールはトップダウン方式で評価され、最初に一致したルールが優先されます。さらに、1つのポリシーに複数のプロファイルが設定されている場合は、それらが「OR」で結合されます。

EIPの種類

Versa 約19のカテゴリにわたり、あらかじめ定義された約156のEIPオブジェクトが提供されており、管理者はカスタムオブジェクトを定義することも可能です。ほとんどのカテゴリでは、セキュリティソフトウェアの導入状況が評価されます。具体的には、マルウェア対策、フィッシング対策、エンドポイントセキュリティスイート（CrowdStrike FalconおよびSentinelOneへの明示的な対応を含む）、ファイアウォール、ディスク暗号化、ディスクバックアップ、データ漏洩防止、パッチ管理、および関連するエージェントベースの保護機能などです。 「一般」カテゴリでは、ホスト名、ホストID、Windowsドメイン、ユーザー名、OSのベンダー／製品／バージョンといったデバイスの識別情報を確認します。「モバイル」カテゴリでは、パスコード、生体認証のサポート、脱獄（ジェイルブレイク）の状態、モバイルディスクの暗号化といった、スマートフォン特有のチェックが追加されます。「管理状態」では、デバイスが企業管理に登録されているかどうかを確認し、「カスタム」カテゴリでは、事前定義されたカテゴリではカバーできないケースに対して、任意のプロセス名、ファイルパス、またはWindowsレジストリ値に基づいて照合を行います。

EIP &Versa

EIPは、Concertoの「Configure」＞「Security Service Edge」＞「Profiles and Connectors」＞「Endpoint Information Profile (EIP)」でテナントごとに設定されます。ここでは、管理者が事前定義されたビルディングブロックまたはカスタムビルディングブロックを使用して、EIPオブジェクト、プロファイル、およびエージェントプロファイルを作成します。 EIPプロファイルは、インターネット保護ルール、セキュアなクライアントベースのアクセスルール、およびTLS復号ルールに関連付けられます。これにより、同じポスチャーチェックに基づいて、WebアクセスやVPN形式の接続の許可・拒否、あるいはトラフィックを復号して検査するかどうかを制御できます。EIPエージェントプロファイルは、セキュアアクセスポリシーに個別に紐付けられ、SASE クライアントがエンドポイントからどのようなデータを抽出するかを制御します。データの更新頻度は、セキュアアクセスポリファイルで設定されたポスチャーチェックの間隔によって管理されます。

Versaの段階的な設定ガイドでは、EIPをより広範なゼロトラストの枠組みの一部として位置付けています。EIPは、Versa Secure Private Access（VSPA）と連携して、単発のログイン認証ではなく、管理対象および非管理対象のデバイス双方に対して、最小権限の原則に基づき、継続的に評価されるアクセス制御を実施します。

よくある質問

EIPオブジェクト、EIPプロファイル、およびEIPエージェントプロファイルの違いは何ですか？

EIPオブジェクトとは、「ウイルス対策ソフトがインストールされている」といった、1つの照合条件のことです。EIPプロファイルは、接続時に評価されるポリシールールのセットとしてオブジェクトをグループ化します。EIPエージェントプロファイルはこれとは別のもので、SASE クライアントがエンドポイントから実際に収集し、評価に用いるデータを定義するものです。

EIPルールの評価ロジックはどのように機能するのでしょうか？

1つのルール内では、異なるカテゴリに属するオブジェクトは「AND」論理が適用され、すべてが一致する必要があります。同じカテゴリ内のオブジェクトは「OR」論理が適用され、いずれか1つでも一致すれば十分です。プロファイル内の複数のルールはトップダウン方式で評価され、最初に一致したルールが優先されます。また、1つのポリシーに複数のプロファイルが設定されている場合、それらは「OR」で結合されます。

EIPでは、どのようなエンドポイントの状態を確認できますか？

EIPは、おおよそ19のカテゴリにまたがっています。これには、マルウェア対策ソフト、ファイアウォール、ディスク暗号化などのセキュリティソフトウェア、ホスト名やOSのバージョンといった一般的なデバイス識別情報、脱獄（ジェイルブレイク）や生体認証の状態といったモバイル端末特有のチェック項目、管理登録、および任意のプロセス、ファイル、レジストリの一致を確認するためのカスタムカテゴリが含まれます。

EIPプロファイルはどこで適用されるのでしょうか？

EIPプロファイルは、Concerto内のインターネット保護ルール、セキュアなクライアントベースのアクセスルール、およびTLS復号ルールに関連付けられます。これにより、同じポスチャー評価に基づいて、一般的なWebアクセス、クライアントベースのリモートアクセス、およびセッションのトラフィックがTLS復号の対象となるかどうかを管理できます。

エンドポイントのポスチャーデータはどのくらいの頻度で更新されますか？

SASE クライアントは、接続時に1回だけではなく、セキュアアクセスプロファイルで設定されたポスチャーチェック間隔に基づいて、エンドポイントデータを収集・報告します。これにより、セッションの途中でデバイスのコンプライアンス状態が変化した場合でも、EIPはアクセスを無効化または制限することができます。

EIPに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

EIPについてお読みの方は、次にこれらもぜひチェックしてみてください。