SYNパケットに認証IDを埋め込んで接続を制御するセキュリティ製品

　米BlackRidge Technologyの「BlackRidge TAC（Transport Access Control）」は、TCPのネットワークセッションを確立するためにクライアントがサーバーに対して送信する最初のパケット（SYNパケット）を認証できるようにするセキュリティ製品である。アクセス権が無い攻撃者や第三者のアクセスから情報資産を守ることができる。

BlackRidge TACの概要。TCPヘッダーのシーケンス番号フィールドに独自のIDトークンを埋め込んで認証する

（出所：NTTアドバンステクノロジ）

[画像のクリックで拡大表示]

　アクセス先のホストの手前にゲートウエイ型で設置して使う。アクセス元のコンピュータに専用のエンドポイントソフトを導入することで、SYNパケットに認証用のIDを埋め込み、これを認証する。これにより、ゲートウエイとエンドポイントを介してSYNパケットを認証できる。

　この仕組みは、既存のネットワーク通信の仕組み上で実現している。TCPヘッダーのシーケンス番号フィールドに、ハッシュ関数で生成した独自のIDトークンを埋め込む。IDトークンは、アクセス元のユーザーIDまたはデバイスIDに関連付けて生成する。

　これにより、既存の仕組みや使い勝手を変えることなく、業務アプリケーションへのアクセス可否をBlackRidgeで制御する「マイクロセグメンテーション」として使うことができる。部署ごと、端末ごと、ユーザーごとにセグメントを分離できる。マルウエアに端末が感染しても、アクセス権がない業務アプリケーションに影響を与えずに済む。