HPE Aruba Networking ClearPass Policy Manager (CPPM) は、デバイスプロファイリングを使用してエンドポイントを分類します。そのプロファイリング方法の 1 つは、HTTP User-Agent 文字列を分析してデバイスの種類 (例: iPhone、Windows ノートパソコン) を識別することです。HTTP User-Agent 文字列は、クライアントが Web サイトにアクセスしたときに HTTP ヘッダーで送信されます。CPPM が HTTP User-Agent 文字列を使用してデバイスをプロファイリングするには、クライアントから HTTP トラフィックを受信する必要があります。このシナリオでは、企業はモビリティ コントローラ (MC)、キャンパス AP、および AOS-CX スイッチを使用しており、使用されている ClearPass ソリューションは CPPM のみです。
HTTPユーザーエージェントプロファイリング：CPPMはHTTPトラフィックを分析することでデバイスをパッシブにプロファイリングできますが、そのためにはこのトラフィックを受信する必要があります。AOS-8アーキテクチャでは、MCはプロファイリングのためにクライアントトラフィックをCPPMにミラーリングできます。HTTPトラフィックはデータプレーン（ユーザトラフィック）の一部であるため、MCはデータプレーントラフィック（制御プレーントラフィックではない）をCPPMにミラーリングする必要があります。
オプション A「宛先として CPPM の IP アドレスを使用するデータパス ミラーを作成する」が正解です。MC は、データパス ミラー (GRE ミラーとも呼ばれます) を使用して、クライアントの HTTP トラフィックを CPPM にミラーリングするように構成できます。これには、クライアントの HTTP トラフィックのコピーを CPPM の IP アドレスに送信するミラー セッションを MC 上に設定する必要があります。CPPM は、このトラフィック内の HTTP User-Agent 文字列を分析してエンドポイントをプロファイリングします。たとえば、コマンド mirror session 1 destination ip <CPPM-IP> source ip any protocol http を使用して、HTTP トラフィックを CPPM にミラーリングできます。
オプションBの「CPPM上のAPI管理者アカウントの認証情報を指定するIF-MAPプロファイルを作成する」は誤りです。IF-MAP（Interface for Metadata Access Points）は、ClearPassと他のシステム（Aruba Introspectなど）間でプロファイリングデータを共有するために使用されるプロトコルですが、プロファイリングのためにHTTPトラフィックをCPPMに送信するために使用されるものではありません。また、CPPMのみを使用している場合は、IF-MAPは関係ありません。
オプションC「クライアントからCPPMへのHTTPトラフィックをミラーリングするための制御パスミラーを作成する」は誤りです。制御パス（制御プレーン）トラフィックには、MCとAP間の管理トラフィック（AP登録、ハートビートなど）が含まれますが、クライアントのHTTPトラフィックは含まれません。HTTPトラフィックはデータプレーンの一部であるため、制御パスミラーではなく、データパスミラーが必要です。
オプションDの「HTTPとCPPMのIPアドレスを許可するファイアウォールホワイトリストルールを作成する」は誤りです。MC上でファイアウォールホワイトリストルールを作成してCPPMへのトラフィックを許可する必要がある場合もありますが、これはHTTPユーザーエージェントプロファイリングを有効にするための主要な手順ではありません。重要な要件はHTTPトラフィックをCPPMにミラーリングすることであり、これはファイアウォールルールではなくデータパスミラーリングによって実現されます。
HPE Aruba Networking AOS-8 8.11ユーザーガイドには次のように記載されています。
ClearPass Policy Manager (CPPM) が HTTP User-Agent 文字列を使用してデバイスをプロファイリングできるようにするには、モビリティコントローラ (MC) がクライアントの HTTP トラフィックを CPPM にミラーリングする必要があります。これは、クライアントの HTTP トラフィックのコピーを CPPM の IP アドレスに送信するデータパスミラーセッションを作成することによって行われます。たとえば、コマンド mirror session 1 destination ip <CPPM-IP> source ip any protocol http を使用して HTTP トラフィックを CPPM にミラーリングします。CPPM は、HTTP User-Agent 文字列を分析して、エンドポイントをタイプ (例: iPhone、Windows ラップトップ) で分類します。」(350 ページ、「CPPM を使用したデバイスプロファイリング」セクション) また、HPE Aruba Networking ClearPass Policy Manager 6.11 ユーザーガイドには、次の注記があります。
HTTP User-Agentプロファイリングでは、ClearPassがクライアントからHTTPトラフィックを受信する必要があります。Aruba Mobility Controller環境では、データパスミラーを設定してHTTPトラフィックをClearPassのIPアドレスに送信します。ClearPassはHTTP User-Agent文字列を解析してデバイスの種類とオペレーティングシステムを識別し、正確なプロファイリングを可能にします。（249ページ、HTTP User-Agentプロファイリングの項）
:
HPE Aruba Networking AOS-8 8.11 ユーザーガイド、CPPM を使用したデバイス プロファイリングのセクション、350 ページ。
HPE Aruba Networking ClearPass Policy Manager 6.11 ユーザーガイド、HTTP ユーザーエージェントプロファイリングのセクション、249 ページ。

HPE Aruba Networking ClearPass Policy Manager (CPPM) は、エンドポイント分類（プロファイリング）を使用してネットワーク上のデバイスを識別および分類し、デバイスの種類、OS、またはその他の属性に基づいてポリシーを適用できるようにします。CPPM は、パッシブ分類とアクティブ分類という 2 つの主要なプロファイリング方法をサポートしています。
パッシブ分類：この方法は、CPPMがデバイスにリクエストを送信することなく、エンドポイントが通常の動作の一環として送信するネットワークトラフィックを観測するものです。例としては、DHCPフィンガープリンティング（DHCPオプション55の分析）、HTTPユーザーエージェント文字列の分析、TCPフィンガープリンティング（TTLとウィンドウサイズの分析）などがあります。パッシブ分類は非侵襲的で、追加のネットワークトラフィックを生成しません。
アクティブ分類：この方法では、CPPMがエンドポイントにリクエストを送信して情報を収集します。例としては、SNMPスキャン（デバイスの詳細を照会するため）、WMIスキャン（Windowsデバイスの場合）、SSHスキャン（システム情報を収集するため）などがあります。アクティブ分類はより侵入的な方法であり、デバイスへの認証情報やネットワークアクセスが必要になる場合があります。
オプション A、「受動的分類は MAC OUI ベースの分類のみを指し、能動的分類はその他の分類方法を指す」は誤りです。受動的分類には、MAC OUI ベースの分類以外にも、DHCP フィンガープリンティングや TCP フィンガープリンティングなどが含まれます。MAC OUI (Organizationally Unique Identifier) 分析は受動的な方法の 1 つですが、唯一の方法ではありません。能動的分類は、単に「その他の方法」ではなく、リクエストの送信を伴います。オプション B、「受動的分類は辞書のエントリに基づいてエンドポイントを分類し、能動的分類は管理者定義のルールを使用してエンドポイントを分類する」は誤りです。受動的分類と能動的分類の両方で、デバイス属性の照合には CPPM のフィンガープリント データベース (「辞書」ではありません) が使用されます。管理者定義のルールは、分類ではなくポリシーの適用に使用され、両方の方法に適用されます。
選択肢C「受動的分類は小規模ビジネス環境におけるエンドポイントのプロファイリングにのみ適しており、大企業は能動的分類のみを使用すべきである」は誤りです。受動的分類は非侵襲的で拡張性が高いため、大企業でも広く使用されています。能動的分類は、より詳細な情報を収集するために受動的方法と併用されることが多いですが、大企業が能動的分類のみを使用するわけではありません。
選択肢Dの「受動的分類はエンドポイントが通常の機能の一部として送信するトラフィックを分析し、能動的分類はエンドポイントにリクエストを送信する」が正解です。これは、2つの方法の根本的な違いを正確に説明しています。受動的分類は既存のトラフィックを監視するのに対し、能動的分類はデバイスに積極的に問い合わせを行います。
HPE Aruba Networking ClearPass Policy Manager 6.11ユーザーガイドには次のように記載されています。
「パッシブ分類では、ClearPassがデバイスにリクエストを送信することなく、DHCPリクエスト、HTTPトラフィック、TCPパケットなど、エンドポイントが通常の機能の一部として送信するトラフィックを分析します。例としては、DHCPフィンガープリンティングやTCPフィンガープリンティングなどがあります。アクティブ分類では、ClearPassがエンドポイントにリクエストを送信して情報を収集します。これには、SNMPスキャン、WMIスキャン、SSHスキャンなどがあり、認証情報やネットワークアクセスが必要になる場合があります。」(246ページ、「パッシブプロファイリングとアクティブプロファイリング」セクション) さらに、ClearPass Device Insightデータシートには次のように記載されています。
「受動的分類は、DHCPやHTTPトラフィックなど、エンドポイントが通常動作中に生成するネットワークトラフィックを監視し、追加のトラフィックを生成することなくデバイスを識別します。一方、能動的分類は、エンドポイントにリクエスト（SNMPやWMIスキャンなど）を送信して詳細な情報を収集します。能動的分類は、より侵入的になる可能性がありますが、より深い洞察が得られます。」（3ページ、プロファイリング方法のセクション）
:
HPE Aruba Networking ClearPass Policy Manager 6.11 ユーザーガイド、「パッシブプロファイリングとアクティブプロファイリング」セクション、246ページ。
ClearPass Device Insightデータシート、プロファイリング方法のセクション、3ページ。

ChromeなどのブラウザがWebサーバーの証明書を検証する際、証明書の署名機関の公開鍵を使用して証明書のデジタル署名を検証します。この事例では、ブラウザはDigiCert SHA2 Secure Server CA証明書の公開鍵を使用して、Arubapedia Webサーバーの証明書の署名を確認します。このプロセスにより、証明書が主張されている認証局（CA）によって発行されたものであり、改ざんされていないことが保証されます。
:
ブラウザのセキュリティに関するドキュメントと、証明書の検証プロセスを説明するSSL/TLS規格。
公開鍵基盤（PKI）の原理と証明書の検証について解説したサイバーセキュリティ教育リソース。

ハッカーが無線ネットワークに対して中間者攻撃（MITM攻撃）を行う一般的な手法の一つに、ARPポイズニングがあります。攻撃者は被害者と同じネットワークに接続し、偽のARPメッセージをネットワーク経由で送信します。これにより、被害者のデバイスは正当な宛先ではなく攻撃者のマシンにトラフィックを送信してしまい、攻撃者はそのトラフィックを傍受できるようになります。

ClearPass Policy Manager (CPPM) ソリューションの一部としてネットワークスキャンをサポートするようにインフラストラクチャを構成するには、ArubaOS-CX スイッチ上に SNMPv3 ユーザーを作成する必要があります。これらの SNMPv3 ユーザーの認証情報が CPPM に設定されている認証情報と一致していることを確認することは、CPPM がネットワークスキャンを効果的に実行するために不可欠です。SNMPv3 は、認証と暗号化を提供することで、ネットワーク管理のための安全な方法を提供します。これらは、エンドポイントをタイプ別に分類するスキャンを安全に実行するために不可欠です。この構成により、CPPM はネットワークセキュリティを損なうことなく、スイッチと安全に通信し、必要なデータを収集できます。
参考文献：
SNMP設定について解説しているArubaOS-CXの設定マニュアル。
ネットワークスキャンと監視のための安全なSNMP設定の重要性を強調する、ネットワーク管理およびセキュリティに関するガイドライン。