情報セキュリティツールは豊富に揃っています
125 社のベンダーから提供される200 種類以上の製品が、トップ20 のセキュリティ対策（ひと息）に対応しており、市場には情報セキュリティツールが豊富に揃っています。 組織はこれらのツールを用いて防御体制を構築していますが、侵入者は依然として、組織が開け放たれたまま、施錠されていないデジタルの「ドアや窓」からすり抜けています。
この問題を「外から内へ」という視点（つまり、「攻撃者はどこから、どのようにネットワークに侵入するのか？」）で捉えるのではなく、私たちはかねてより「内から外へ」というアプローチを提唱してまいりました。 問題の根本原因に自信を持って対処できるのなら、なぜ次の脅威を予測する必要があるのでしょうか？ まず、環境内で管理および保護が必要な対象を特定し、その後、適切なパッチとセキュリティ設定の制御を用いて、すべての資産を積極的に保護するように努めてください。 これは、私たちがお客様に対してまずお伝えすることですが、「管理できないものは守れませんし、把握していないものは管理できません」ということです。
セキュリティ・ハイジーン評価におけるTaniumの活用
Taniumの導入を検討されているお客様と最初に行う取り組みの一つとして、「 セキュリティ衛生状態評価」 があります。 Taniumを活用することで、組織の現在のセキュリティ態勢を可視化し、「現状」のベースラインを確立することができます。 このプロセスにより、組織が保有するマシンの台数、そこで稼働しているソフトウェア、設定ミスの可能性、および脆弱性がどこにあるかを測定・把握することができます。その膨大な数に、ITチームはたいていの場合、大きな衝撃を受けることになります。 Taniumプラットフォームの処理速度と、大規模なデータに対する網羅性のおかげで、 に掲載されているサイバーセキュリティ・ハイジーンに関する情報 を、わずか数秒で費用対効果の高い形で入手できるようになりました。これは、これまでこのアプローチを採用する上での大きな障壁となっていました。
Tanium社は、2,000カ所以上の遠隔拠点を擁する小売企業やソフトウェア企業を対象に、このような評価を実施しましたが、その結果は他の多くの企業の経験と一致しています。 本日は、同社の衛生評価の結果について、内部関係者ならではの視点からお伝えいたします。
これらの企業が、現在のソフトウェア導入プロセスであるWindows SCCMを通じてTaniumを初めて導入した際、組織全体の 40％にしかカバーできませんでした。 従来のソフトウェア配布ツールであれば、同様の結果、あるいはそれ以下の結果になるでしょう。 ソフトウェア導入ツールにおいて、カバレッジが 75-80％を超える企業に出会うことは極めて稀です。_ 高校の試験なら「C+」が精一杯の成績でも、ソフトウェアの導入となると、「校長表彰リスト」に名を連ねることになるのです！
なぜこれが重要なのでしょうか？
攻撃者は、システムを適時に更新できないことを承知しています。そのため、 攻撃の99.9％は、1年以上前に特定されていた脆弱性を悪用したものであり、中には 1999 ほど前に特定されていたものもあります。
これらの企業にとって、これは、 セキュリティツールやウイルス対策製品、その更新プログラムを含め、以前導入していたあらゆる ソフトウェアが、ネットワーク上の5台のうち2台にしか効果的に届いていなかったことを意味します。 McAfee ePO（旧称：Intel Security）を活用した第2弾の取り組みにより、さらに 20％の成果を上げることができました。
今日の多くの組織では、チームはエンドポイントにソフトウェアを配信するために複数のツールを活用しています。しかし、これまで信頼性に欠けていたのと同じツールや技術を使ってソフトウェアを展開していると、ネットワークの一部を見落としてしまい、結果として企業全体にわたり、管理対象外で保護されていないネットワークセグメントが存在することになりかねません。 最終的に、Taniumは残りの 40％のエンドポイントに対して1日以内に導入を完了し、対象となるエンドポイントの 100％すべてに到達することができました。
ネットワーク全体を評価できるようになると、管理対象外であり、かつ企業側もその存在を全く把握していなかったエンドポイントが、さらに 12 ～20％も見つかることは珍しくありません。 その結果、エンドポイントの 23％が管理対象外であることが判明しました。
さあ、明かりをつけて、実際に何が起きているのか見てみましょう……。
Adobe、Google、Microsoft、Oracleなどの主要なソフトウェアアプリケーションのパッチを最新の状態に保つことを考えてみると、いくつかの共通点が見て取れます。具体的には、複数ある異なるバージョンや古いバージョンが存在すること、そしてコンピュータごとにパッチの適用状況に大きなばらつきがあることです。 重大な脆弱性の数は、手に負えなくなる可能性があります。 CISOは、自社の環境内に存在するさまざまな種類のソフトウェアや、バージョン間の不統一について大まかな把握はしていますが、その実態がどれほど深刻なのかを正確に把握していることはめったにありません。
セキュリティ対策において、多くのCISOは、セキュリティ管理の不備の主な要因となっている旧式のツールが原因で、知らず知らずのうちに「無知の幸福」という状態に置かれています。
総じて、以下のことがわかりました：
Adobe： には2,771 件の重大な脆弱性（CVSS 5 以上）があり、エンドポイントの98.9％が脆弱なバージョンのShockwaveを実行していました。また、 91％が脆弱なバージョンのFlashを実行していました。
Javaの「」： 106 種類の異なるJavaバージョンが検出され、エンドポイントの97.8％が脆弱性の影響を受けています
Windows Patches: 77% of machines were missing six or more critical updates, with 1.6 million missing patches in all, and 2007 being the oldest reported missing critical patch — a nearly 10-year-old missing critical patch
SCCM：SCCM クライアントの状態が「不健全」なマシンが 20% に達しています
アセスメント終了後、単にパッチを適用して脆弱性を解消するだけでは、話は終わりではありません。 評価報告書とは、単に今日の状況を写し取ったものに過ぎません。 もしそれが一連の行動の結末であるならば、ツールやワークフローを是正しなければ、すぐにまたまったく同じ状況に陥ることになるでしょう。 したがって、環境やツールの改善も行う必要があります。これらは通常、ネットワークのセキュリティ対策と同様に、問題を抱えていることが多いのです。 セキュリティの衛生管理に取り組むことは、魅力的でもなければ簡単でもありませんが、継続的に取り組むことで、デジタル上のあらゆる「扉」や「窓」をしっかりと閉めることができるようになります。
脅威を注意深く探し出し、調査し続けることは今後も変わりませんが、それに費やす時間は減るでしょう。 以前は、 2007 の欠落した重要なパッチに関するその脆弱性を追跡するのに費やしていた時間を、これからは他のことに充てることができます。
根本的な問題を解決できるのに、次の攻撃がどこで発生するかを推測して時間を無駄にしないでください。
衛生状態が向上すれば、セキュリティ体制も強化されます。 もっと良い方法があります。 「Tanium for Security Hygiene」が、こうした課題の解決にどのように役立つかについては、 、https://www.tanium.com/it-hygiene/、 をご覧ください。
著者について：チーフ・カスタマー・オフィサーとして、チャールズ・ロス氏は、Taniumのビジョン、すなわち、お客様のビジネスを確実かつ迅速に運用・保護するためのスケーラブルなエンドポイント管理を、お客様に提供することを担当するチームを率いています。 Tanium入社以前、チャールズはMcAfeeに勤務し、プリセールス・エンジニアリング、ソリューション・アーキテクチャ、ITセキュリティの各分野で、さまざまな管理職を歴任しました。 マカフィー入社以前、チャールズはデロイト・トウシュでエンタープライズ・リスク・コンサルタントとして勤務していました。 チャールズ氏は、フロリダ大学で理学士号を取得しています。
