複雑なセキュリティ運用を解消し、資産・脆弱性統合管理をするために必要なこととは？

3行でわかる本記事のサマリ

• IT資産管理は、リモートワークやクラウドサービスの普及に伴い新たに管理対象が増え続けている
• 脆弱性件数年々増加し、特に高リスク脆弱性への対処が困難になっているため、効率的な資産管理とリスクマネジメントが求められている
• 効率的な資産管理・リスクマネジメントのためには、データの重複排除や正規化機能を持つ統合管理ツールが必要となる

はじめに

一般的に、IT資産というとPCやサーバーといったエンドポイントが想起されます。
しかし、昨今のIT資産管理は「リモートワークの導入」と「クラウドサービスの普及」によって、VPN機器やクラウド基盤の管理など、新たに管理対象となる情報資産も出てきました。
今や、IT資産管理において、我々が管理すべき機器や環境は拡大し続けています。

更に、脆弱性対策にも同じことが言えます。
2024年度に報告された脆弱性件数は急増しており、CVSS7.0以上の「高リスク」にあたる脆弱性であっても件数が多すぎて対処が間に合わないような状態です。
以前と比べ脆弱性が増えたことで、より我々のリスクに対する考え方そのものが変わりつつあります。

本記事 では、端末管理ツールをいくつか入れたものの「自社のネットワーク環境内に野良端末がないか確認できない」、「脆弱性の数が多すぎてどこから対応すべきかわからない」といった悩みに対して、効率的な資産管理・リスクマネジメントの方法をご紹介します。

 目次

1. 資産脆弱性管理におけるよくある課題
2. 課題が発生する原因
3. 今、資産脆弱性管理に求められるものとは？
   3-1.すべてのデータを集めきるために必要な機能
   3-2.正確なデータを保持し続けるために必要な機能
4. マクニカが提供する統合管理プラットフォーム
5. まとめ

1．資産脆弱性管理におけるよくある課題

資産脆弱性管理において、お客様からよく以下のような課題をお伺いします。

【資産管理】

• 自社のネットワーク環境内に野良端末がないか確認できない
• エージェント展開できないネットワーク機器の把握ができない
• 各拠点・個社で独自ツールを導入し、資産管理を行っている
• EDRを導入したが、全台に導入できているか確認したい

【脆弱性管理】

• 脆弱性の数が多すぎて、どれから対応すべきか分からない
• 発見した脆弱性の対応を追跡できていない
• ツールとプロセスの統合ができておらず、情報のサイロ化が進み、全体把握ができない

2．課題が発生する原因

複数のツールを入れてもなお、資産脆弱性管理に関する悩みが解消しないのは、何故でしょうか？
それは、「ツール間」「部門間」で連携が取れていないことが原因にあるからです。 

例えば、野良端末を発見するために、セグメントに対しネットワークスキャンをかけ、端末の探索を行った場合、ネットワークスキャンが検知できるものは「オンラインの資産のみ」となります。また、ネットワークスキャンがすべてのセグメントに到達しないため、スキャンだけで、野良端末を完全に撲滅することは極めて困難です。

そこで、野良端末を完全に撲滅するためには、既に導入しているIT管理/セキュリティツールが把握している端末情報とスイッチ、ルーター、FW（ファイヤーウォール）などのネットワーク機器に蓄積された端末情報を一つにまとめることが重要です。
そうすることで、ネットワーク上に存在している端末を確実に把握することができます。

「EDRを全台導入できているか確認したい」という端末管理の課題においても、展開しきれているか確認するためには、「社内ネットワークへ接続している端末資産を全て洗い出すこと」➡「EDRがすでに導入されている端末とそのリストを比べること」の２つの手順が必要になります。

しかし、資産管理台帳は情報システム部門が持ち合わせており、ツールごとの差分を確認するためにはすべての情報を集約した統合管理ツールが必要となります。
このように、ハイジーン対策や端末運用に関する課題を解決するためには、特定の領域に特化したツールを導入するのではなく、部門間で管理しているツールやネットワーク機器を連携し、全社規模で情報を共有できる統合管理ツールが必要となります。 

3．今、資産脆弱性管理に求められるものとは？

今、皆様の頭の中には、統合管理できるプラットフォームとして"CMDB"が浮かんでいるのではないでしょうか？
CMDB（Configuration Management Database）とは、すべてのIT資産やリソース（サーバー、ネットワーク機器、ソフトウェア、サービスなど）を構成アイテム（CI）として登録し、組織内のIT資産やサービスに関する情報を体系的に管理するためのデータベースです。

CMDBは、「データを集める」ことに関して幅広い機能を持ち合わせています。
しかし、1章で挙げた課題を解決するためには、下記２点の管理ができて、はじめて「データを活用する」ことができます。

• すべてのデータを集めきること
• 正確なデータを保持し続けること

では、どういった機能を持ち合わせていれば、「すべてのデータを集約し、正確なデータを保持し続ける統合的な管理」が叶うのでしょうか？

3-1.　すべてのデータを集めきるために必要な機能

　スイッチ、ルーター、FWといったネットワーク機器と連携できること

企業のネットワーク上には、クラウド/外部公開/リモート/など様々な環境が存在します。外部公開やクラウド環境など、特に対策を強化したい箇所にはセキュリティツールを導入していることが多いです。
しかし、エージェントを展開できずにいる開発環境などは、ツールを一切導入していない場合もあります。
そういったブラックボックス状態の環境は、まずIPアドレスなどの必要最低限の情報を取得し、端末の存在把握を行うことが第一歩です。
そのためにも、スイッチ、ルーター、FWなどのネットワーク機器と情報連携できることが重要となります。 

3-2.　正確なデータを保持し続けるために必要な機能

　データ連携後、重複排除/表記揺れの排除/相関関係の紐づけを自動的に精査できること

よく統合管理ツールの課題として、ツール連携後にデータ重複や表記揺れが生じ、集約したデータを精査するのにかなり工数がかかっているという課題があります。
ソフトウェアを例に挙げると、ソフトウェア名称には規格がなく各ツールによってソフトウェアの表記に違いがあります。この状態でツール連携をすると、統合管理ツール側で表記揺れをそれぞれ異なる情報として認識してしまい、正確なデータを保持することができません。
そのため、データ集約の際に自動的に重複除外、表記揺れの排除、相関関係の紐づけを行う機能を持つ統合管理ツールが、今後必要となります。

4．マクニカが提供する統合管理プラットフォーム

ここまで、ハイジーン対策と端末運用に関わる課題を挙げ、解決のために必要なこととして統合管理ツールの必要性を解説してきました。
マクニカでは、この次世代の統合管理ツールとして"Axonius"という製品を取り扱っています。本章では、Axoniusの主な機能を3つご紹介します。 

①既存のセキュリティ製品やITツール、ネットワーク機器と連携し、自社ネットワーク環境内にある資産全体を可視化

レコードベースのNAC/ネットワーク機器/FWや、エージェントベースのEPP/EDR、ネットワークスキャンベースの脆弱性検知ツール、インベントリベースのCMDBなど、現時点で連携数が多いことが特徴です。これによって、今まで検知するのが難しかった一時的に接続されたデバイスや非管理端末、オフラインになったデバイスなどIT資産の種類や環境、状態を問わず発見・可視化します。

②連携したツールやネットワーク機器からのデータを自動で重複除外、正規化

統合管理ツールのよくある課題として、それぞれのツールから取得したデータの重複除外に膨大な工数がかかることを前述で挙げました。
Axoniusでは、このようなデータの重複除外や相関関係の紐づけ、表記揺れの排除を自動的に行うことで、データ加工の手間を削減し、集約した正確なデータを活用することができます。

3.コンソール画面からサードパーティ製品に対してアクションの実行

データ集約・可視化だけではなく、発見した高リスクな脆弱性の通知、対応確認などを各ツールに対して連携が可能です。この機能により、資産脆弱性管理の一連のプロセスを1つのコンソール画面から可視化・対応・確認することで、組織全体のセキュリティ状態を把握します。

5．まとめ

特定の課題に特化したツールを導入することで部分的な問題は解決されます。
しかし、「資産脆弱性の効率的な運用」という大きな枠組みで考えた際に、根本的な原因となる「組織、ツールごとの情報のサイロ化」は解決されません。

マクニカでは、貴社のセキュリティ運用に沿ったご提案をさせていただきます。
本記事に関するご不明点などございましたら、お気軽にお問い合わせください。

本記事を動画で視聴したい方は下記からお申込みください

▼Axonius 資料請求