スタンディング・プリビレージは、企業のIT環境において、最も根強く存在し、かつ過小評価されがちなリスクの一つです。 数ヶ月前に退職した契約社員、職務上必要とされる範囲を超えてアクセス権限を持つサポートエンジニア、そして適切に終了されなかったセッション――これらがセキュリティ上のリスクを生み出す要因となっています。
「Jump Gate」は、その問題に対するTaniumの解決策です。。 これにより、常時有効なアクセス権限が削除され、ジャストインタイムかつジャストイナフなアクセス権限に置き換えられます。これにより、組織は、誰が、いつ、どのような条件下でどのエンドポイントにアクセスできるかを、体系的かつ監査可能な方法で管理できるようになります。 この製品は、Tanium社自身のセキュアなアクセスニーズを満たすために開発された「Lockbox」という社内ツールから派生したもので、その存在を知った顧客から熱烈な需要が寄せられたことを受け、市場に投入されました。
Nat氏は、Jump Gateが実際にどのように機能するかについて、その全容を網羅して解説しています。アクセスポリシーの構築や優先順位の付け方から、承認リクエストがSlackやTeamsの通知を通じてどのように処理されるか、さらには監査目的で各セッションがどのように記録・保存されるかまで、幅広く解説しています。 また、彼女はJump Gate内で利用可能な3つの異なる役割について解説しています。さらに、この製品が新しいポートやインフラの変更を必要とせずに、既存のTaniumエージェント接続をどのように活用しているか、そして計画されている とScreenMeetの統合により、Jump Gateの機能 が拡張され、監査対象となる同一のフレームワーク内で画面共有やファイル転送が可能になることについても説明しています。
エンドポイントへのアクセス、サポートエンジニア、あるいは特権セッションの管理に何らかの形で携わっている方にとって、今回のエピソードでは、チームの日常業務に直接影響を与える機能について解説しています。 また、Nat氏は、既存の特権アクセスソリューションの代替としてJump Gateを評価した組織からの反応を含め、初期段階の顧客からのフィードバックを紹介するとともに、初期リリース以降に予定されている機能についても触れています。 「Jump Gate」の実際の動作をご覧になりたい方は、以下のフルエピソードをご覧ください。
キーポイント
- 社内ツールから開発された：Jump Gateは、Tanium社内の製品「Lockbox」から発展したものです。Lockboxは、Tanium社自身が安全なアクセスを必要として開発したものでしたが、顧客からその話を聞いた際に熱烈な反響があったことを受け、市場に投入されることになりました。
- アクセスポリシーはの基盤となるものです。アクセスポリシーが設定されていないとJump Gateは機能しません。これらのポリシーでは、アクセスを要求しているユーザーが誰か、どのようなアクセス権限を要求しているか、そしてその要求に追加の承認が必要かどうかが評価されます。
- 常時アクセス権限の置き換え: Jump Gateは、常時アクセス権限を廃止し、ジャストインタイムかつジャストイナフなアクセス権限に置き換えるという原則に基づいて設計されています。そのアクセスポリシーは、さまざまな業界や環境、そしてユーザーごとに異なるこれらの用語の定義に対応できるよう、十分な柔軟性を備えています。
「私たちは『常備』という慣行を廃止し、その代わりに『ジャスト・イン・タイム』と『ジャスト・イナフ』を導入します。」Taniumのリードプロダクトマネージャー、ナット・ダンラップ氏
- Slack および Teams への承認通知：アクセスリクエストに承認が必要な場合、Jump Gate では Slack および Teams のチャンネルへの外部通知に対応しています。これは、「もうメールは送らないでほしい」というお客様からのフィードバックを Tanium が反映した結果です。
- の監査用セッション記録：Jumpセッションは個別に記録・保存することができ、接続を介して行われたアクティビティを捕捉します。これにより、IT管理者、フォレンジックチーム、監査担当者は、管理者がそのプロセスを手動で管理する必要なく、何が、いつ、誰によって行われたかを確認することができます。
- 新しいポートやインフラストラクチャは不要です: Jump Gate は、既存 の Tanium エージェント接続を利用してエンドポイントへのリモートアクセスを提供します。つまり、ほとんどの環境において、お客様は新しいポートを開いたり、新しいインフラストラクチャを追加したり、ファイアウォールの設定を変更したり、ホワイトリストへの登録を行ったりすることなく、Jump Gate をご利用いただけます。
「いいえ、実際には既存のTaniumエージェント接続を確実に利用していますので、お客様の環境内で新たに何かを開くことはありません。新しいポートも、ファイアウォールも、ホワイトリスト登録も、新しいインフラも一切必要ありません。」 エンドポイント内にTaniumエージェントが存在する場合、実際にCX接続にはそのエージェントを活用しており、その仕組みによって、お客様がエンドポイントへのリモートアクセスを利用できるようになっているのです。”Taniumのリードプロダクトマネージャー、ナット・ダンラップ氏
- 3つの異なる役割: ジャンプゲートには、3つの役割が定義されています。具体的には、「ジャンプゲート監査担当者」（アクティビティの閲覧のみが可能）、「ジャンプゲートオペレーター」（管理設定およびアクセスポリシーの管理）、「ジャンプゲートユーザー」（エンドポイントへのアクセスをリクエストするための主要な役割）です。これらは、厳格に管理された権限のもとで、お客様が新しいユーザーをプラットフォームに追加できるように設計されています。
- ScreenMeetとの連携が計画されています：Taniumは、ScreenMeetをJump Gate内の「ジャンプターゲット」として実装する予定です。これにより、ヘルプデスクのエンジニアはScreenMeetセッションをリクエストできるようになり、承認されると、ScreenMeetの画面共有、ファイル転送、チャット機能に加え、Jump Gateの完全な監査機能も利用可能になります。まず、Jump Gateの一般提供（GA）版を利用しているクラウド顧客を対象とし、オンプレミス版への対応は今後のリリースで予定されています。
「現時点では、『Jump Gate』が本来持つ可能性のほんの一部を、いわば「前菜」としてお見せしているような気分です。」Taniumのリードプロダクトマネージャー、ナット・ダンラップ氏
その他の参考資料
- Tanium Jump Gate：重要なエンドポイントへの「必要な時に、必要な分だけ」のアクセス：Jump Gate が、既存の Tanium エージェントインフラストラクチャを活用して、組織が常時有効なアクセス権限を、管理・監査可能なアクセス権限に置き換えるのにどのように役立つかをご確認ください。
- Tanium における Jump Gate の概要とアクセスポリシーの設定：Jump Gate の仕組み、アクセスポリシーの設定方法、および Tanium コンソール内での承認ワークフローの評価方法について解説したドキュメントです。
- Tanium Jump Gateの管理と保守—ロール、セッション、および運用設定：セッション管理、ロールの割り当て、リクエストの有効期限やデータ保持期間に関する設定など、Jump Gateの日常的な管理に関する技術リファレンスです。
