検疫ネットワークとは
検疫ネットワークとは、外部から持ち込まれたパソコンやスマートフォンなどを組織の内部ネットワーク（社内LANなど）に接続する前に、安全性をチェックし、安全が確認されるまで隔離・検査するための専用ネットワークのことです。医療における「検疫（感染症の拡大を防ぐために検査・隔離する仕組み）」をネットワークに応用したものです。
ウイルス対策ソフトが最新になっていない端末や、重要なセキュリティ修正プログラム（パッチ）が適用されていないパソコンを社内ネットワークに繋ぐと、ネットワーク全体にウイルスが蔓延する恐れがあります。そこで、接続した直後の端末をまず「検疫ネットワーク」と呼ばれる隔離された領域に自動的に誘導します。そこで端末のセキュリティ状態を自動検査し、問題があれば最新のウイルス定義ファイルの適用やOSのアップデートを行わせ、安全になって初めて通常の社内ネットワークへの接続を許可します。
具体例
社員が自宅で使っていたノートパソコンを会社に持ち込み、社内のLANケーブルを挿した際の動作例です。
- ステップ1：パソコンが検疫ネットワークに強制的に接続される。
- ステップ2：自動検査ツールが走り、「ウイルス対策ソフトの定義ファイルが古い」ことを検知する。
- ステップ3：検疫用サーバーから最新の定義ファイルをダウンロードして更新する。
- ステップ4：再検査で合格し、社内の本番ネットワークに接続が切り替わる。
もう少し詳しく
検疫ネットワークのシステムは、一般的に「検査」「隔離・治療」「許可」の3つのフェーズで動作します。
ユーザーが端末（PCやスマートフォン）を物理的なLANケーブルや社内Wi-Fiに接続した際、認証スイッチやIEEE 802.1X認証を用いたネットワーク制御によって、最初は通常の社内LANから遮断され、通信先が検疫ネットワークに限定されます。
次に、端末に導入された検疫エージェントやWebブラウザ経由のモジュール（ActiveXやJava等、あるいはポリシーサーバーによるスキャン）により、セキュリティ状態の検査（検疫）が行われます。検査項目には、OSのセキュリティパッチの適用状況、ウイルス対策ソフトのシグネチャ（定義ファイル）の更新日、許可されていない危険なソフトウェア（ファイル共有ソフトなど）の有無が含まれます。
検査でポリシーを満たしていないと判定された場合、端末は検疫ネットワーク内の「治療用セグメント（リメディエーションサーバー）」にのみ接続が許可され、そこで最新のセキュリティ修正パッチの適用や定義ファイルの更新を実行します（治療）。すべての問題が解消されたことが確認されると、認証スイッチやVLANの動的切り替え技術によって、通常の社内業務ネットワークへのアクセス権が与えられます。
試験でのポイント
試験では、検疫ネットワークの目的や仕組み、およびそれを構成する技術要素について問われます。特に、ネットワークへの接続を一時的に制限・隔離するために使われる技術として「IEEE 802.1X（検疫スイッチを用いたポート認証）」「DHCP（検疫用のIPアドレスを一時的に配布する）」「パーソナルファイアウォールやポリシーサーバーとの連携」などが選択肢としてよく登場します。
また、私物のモバイル端末を持ち込んで業務に利用する「BYOD（Bring Your Own Device）」のセキュリティ対策として、検疫ネットワークが非常に有効であるという背景問題も出題されます。
関連する用語
関連する用語には、ネットワークへの接続時に認証と端末状態のチェックを行う「ネットワークアクセス制御（NAC: Network Access Control）」、ネットワークを論理的に分割する「VLAN（Virtual LAN）」、および私物端末の業務利用を示す「BYOD」があります。