ArubaOSスイッチが稼働するネットワーク上で、ユーザーがアドレス解決プロトコル（ARP）を悪用するのを防ぐには、オプションCで説明されているように、ARP保護を有効にする前に、グローバルおよびVLAN 201でDHCPスヌーピングを有効にするのが正しい方法です。DHCPスヌーピングは、IPアドレスとMACアドレスの関連付けを追跡および保護することで、基盤となる役割を果たします。これにより、有効なARP要求と応答のみが処理されるようにすることで、ARP保護が効果的に機能し、ARPスプーフィング攻撃を防ぐことができます。
従業員のデバイスに直接接続するポートを信頼すると、それらのデバイスが侵害された場合にARP保護が回避される可能性があります。
同社の目標は、社内ユーザーがArubaOSスイッチネットワーク内でARPを悪用することを防止することである。
選択肢を詳しく見ていきましょう。
オプションA（誤り）：スイッチ1とすべてのVLANでARP保護をグローバルに有効にするのは最善策ではありません。ARP保護は必要な箇所に選択的に適用すべきであり、グローバルに適用すべきではありません。また、図表がスイッチ2に焦点を当てているにもかかわらず、スイッチ1が言及されている理由も不明です。
選択肢B（誤り）：従業員のデバイスに接続されているポートをARP保護のために信頼済みポートにすることは良い方法ですが、それだけでは十分ではありません。信頼済みポートはARPトラフィックを許可しますが、追加のセキュリティ層が必要です。
選択肢C（正解）：これが推奨される方法です。理由は以下のとおりです。
DHCPスヌーピング：まず、DHCPスヌーピングをグローバルに有効にします。DHCPスヌーピングは、DHCPメッセージの検証とIP-MACバインディングテーブルの構築に役立ちます。このテーブルは、ARP保護を効果的に機能させるために不可欠です。
VLAN 201：VLAN 201でDHCPスヌーピングを有効にします（図を参照）。これにより、このVLAN内のDHCPメッセージが検証されることが保証されます。
ARP保護：DHCPスヌーピングが有効になったら、ARP保護を有効にしてください。信頼できないポートからの無効なIPアドレスとMACアドレスの関連付けを持つARP要求/応答は破棄されます。これにより、内部ユーザーがARPを悪用して中間者攻撃などを行うことを防ぎます。
選択肢D（誤り）：静的ARPバインディングはセキュリティを強化できますが、管理が煩雑で、ネットワークの変化に動的に対応できません。
参考文献：
ArubaOS-スイッチ管理および設定ガイド（WB_16_10） - 第15章：IPルーティング機能 Arubaセキュリティガイド

クライアントトラフィックをAruba Mobility Controller（MC）にトンネル接続するArubaOS-CXスイッチを導入する場合、通常、ライセンス要件にはポリシー強制ファイアウォール（PEF）ライセンスが含まれます。これらのライセンスにより、MCはファイアウォールポリシーを適用し、ディープパケットインスペクション（DPI）を実行できます。したがって、MCにトラフィックをトンネル接続する各スイッチには、PEFライセンスが必要になります。

HPE Aruba Networking ClearPass Policy Manager (CPPM) におけるエンドポイント分類とは、ネットワーク上のデバイスを識別して分類し、アクセス ポリシーを適用することです。CPPM は、パッシブとアクティブの 2 種類のプロファイリング方法をサポートしています。
パッシブプロファイリング：CPPMがデバイスにリクエストを送信することなく、デバイスが通常の動作の一環として送信するネットワークトラフィックを監視する手法です。例としては、DHCPフィンガープリンティング、HTTPユーザーエージェント分析、TCPフィンガープリンティングなどがあります。
アクティブプロファイリング：CPPMがデバイスに要求を送信して、SNMPスキャン、WMIスキャン、SSHプローブなどの情報を収集します。
選択肢Aの「TCPフィンガープリンティング」が正解です。TCPフィンガープリンティングは、CPPMがデバイスの通常のネットワークトラフィック内のTCPパケットヘッダー（TTL、ウィンドウサイズなど）を分析してオペレーティングシステムを識別する、受動的なプロファイリング手法です。この手法では、CPPMがデバイスにリクエストを送信する必要がないため、受動的な方法と言えます。
選択肢Bの「SSHスキャン」は誤りです。SSHスキャンとは、SSH経由でデバイスにアクティブに接続し、情報（システムの詳細など）を収集する行為であり、アクティブなプロファイリング手法です。
選択肢Cの「WMIスキャン」は誤りです。Windows Management Instrumentation（WMI）スキャンは、CPPMがWindowsデバイスに問い合わせて情報（OSバージョン、インストールされているソフトウェアなど）を収集するものであり、アクティブなプロファイリング手法です。
選択肢Dの「SNMPスキャン」は誤りです。SNMPスキャンとは、CPPMがデバイスにSNMPリクエストを送信して情報（システムの説明、インターフェースなど）を収集するものであり、アクティブなプロファイリング手法です。
HPE Aruba Networking ClearPass Policy Manager 6.11ユーザーガイドには次のように記載されています。
「パッシブプロファイリング方式では、ClearPassがデバイスにリクエストを送信することなく、エンドポイントが通常の動作の一環として送信するネットワークトラフィックを監視します。パッシブプロファイリングの例としてはTCPフィンガープリンティングがあり、ClearPassはTCPパケットヘッダー（TTL、ウィンドウサイズなど）を分析してデバイスのオペレーティングシステムを識別します。SNMPスキャン、WMIスキャン、SSHスキャンなどのアクティブプロファイリング方式では、ClearPassがデバイスにリクエストを送信して情報を収集します。」（246ページ、「パッシブプロファイリングとアクティブプロファイリング」のセクション）さらに、ClearPass Device Insightデータシートには次のように記載されています。
「TCPフィンガープリンティングなどのパッシブプロファイリング技術により、ClearPassは追加のネットワークトラフィックを発生させることなくデバイスを識別できます。デバイスの通常のトラフィックにおけるTCP属性を分析することで、ClearPassはOSのフィンガープリントを取得でき、エンドポイント分類のための非侵襲的な方法となります。」（3ページ、プロファイリング方法のセクション）
:
HPE Aruba Networking ClearPass Policy Manager 6.11 ユーザーガイド、「パッシブプロファイリングとアクティブプロファイリング」セクション、246ページ。
ClearPass Device Insightデータシート、プロファイリング方法のセクション、3ページ。

Aruba Mobility Controllerを不正アクセスから保護するには、複数のセキュリティ層が必要です。推奨事項の1つは、パスワード回復パスワードを変更することです。これは、管理者パスワードを紛失した場合にデバイスへのアクセスを回復するために使用される特別なパスワードです。これを複雑で固有のものに変更することで、デバイスの物理的なセキュリティが侵害された場合に、セキュリティ層をさらに強化できます。