組織内に、外部のインターネットに接続されたエンドポイント端末がある場合、セキュリティ侵害は避けられません。 最高情報セキュリティ責任者（CISO）は、 検知までの平均時間（MTTD） および 復旧までの平均時間（MTTR） を短縮するソリューションや戦略を、ますます重視するようになっています。 現在、インシデント対応チームやフォレンジックチームは、オンプレミスおよびリモートのエンドポイントが適切に構成・管理・保護されるよう、より効果的な連携が必要であることを認識しています。
アナリストのアリッサ・ナイト氏による新たな調査報告書『Isolated Castles: Incident Response in the New Work-From-Home Economy』では、CISOは、資産管理やパッチ管理、アーティファクトの追跡、資産の隔離、フォレンジックデータの収集を迅速かつ大規模に実施できる、 と最も統合されたエンドポイント管理ソリューション およびセキュリティプラットフォームの選定に注力すべきであると強く推奨しています。
パンデミックの影響
昨年、パンデミックの影響で世界中の人々が自宅待機を余儀なくされた際、サイバー攻撃者は、悪用できる新たなセキュリティ上の脆弱性をいち早く見つけ出しました。 多くの在宅勤務者は、VPNを利用するためのライセンスも帯域幅もすぐに不足してしまい、その結果、リモートデスクトッププロトコル（RDP）サーバーに頼らざるを得なくなりました。 在宅勤務（WFH）におけるその他のセキュリティ上の課題としては、次のようなものがあります：
- 家庭用ルーターやWi-Fiアクセスポイントのデフォルトの管理者パスワード
- ネットワーク侵入検知（IDS）の欠如
- ドライブバイダウンロードを検知するためのWebフィルタリング機能がないこと
- のエンドポイント検出・対応（EDR） エージェントが不足しています
- セキュリティ対策が不十分な個人所有のノートパソコンの広範な利用
在宅勤務が主流となった時代におけるインシデント対応
フォレンジックチームにとって、高品質でリアルタイムのデータは不可欠です。 何らかのトラブルが発生した後、遠隔地のユーザーのホームオフィスにある 1TB ハードドライブから、クラウドベースのストレージドライブへデータをどのように転送すればよいでしょうか？ DSLやケーブル接続を介して画像をリモートでアップロードすると、時間がかかりすぎてしまいます。
一つの選択肢として、ノートパソコンの電源を切り、フォレンジック調査員に送付する方法があります。 しかし、これにより次のようなさらなる問題が生じる可能性があります：
- 電源を切った後、揮発性メモリに残っている、重要な可能性のある法医学的データの喪失
- ホームネットワークも侵害されていたかどうかについて、明確な情報が得られていない
- 在宅勤務者は、セキュリティ上のリスクがある可能性のある個人所有の端末に頼らざるを得なくなったり、生産性に悪影響を及ぼす代替端末の到着を待たざるを得なくなったりすることになります
Knight Inkによると、クラウド上のワークロードやドライブに関連するインシデントは、さらなる問題を引き起こす可能性があります。 一部の小規模なクラウドサービスプロバイダー（CSP）の方針や、そのマルチテナント環境の性質上、フォレンジックチームはログやアラート、その他の重要なデータへのアクセスを許可されない場合もあります。 利用しているクラウドサーバーの種類によっては、CSPがフォレンジックチームに対し、分析が必要なドライブの取得を禁止する場合もあります。
インシデント対応を改善するための2つのヒント
によると、現在の在宅勤務（WFH）やクラウドファーストの環境下において、インシデント対応 を改善するためには、CISOは次の2つの重要な措置を講じるべきだとKnight Inkは述べています：
- 重大なセキュリティインシデントが発生した場合、CSPがどの程度のデータの取得を許可しているかを、必ず確認してください。 また、その手続きに関する詳細をすべてしっかりと理解しておくようにしてください。 （CSPの評価や選定を行う際にも、これらの取り組みを考慮に入れる必要があります。）
- エンドポイント管理およびセキュリティプラットフォームを選定する際は、以下の機能を備えたものをお選びください：
- の資産運用：見えないものは守れません。 また、資産管理機能とパッチ管理を組み合わせることで、エンドポイントのリスクをさらに低減することができます。
- アーティファクトの検索：オンプレミス、従業員の自宅、クラウドのいずれであっても、資産の中から悪意のあるアーティファクトを検索する機能が必要です。 これは、攻撃による横方向の拡散がどこまで広がっているかを把握する上で極めて重要です。
- フォレンジックデータの収集：これには、*nixベースのシステムにおけるSyslogのログ、Windowsのイベントログ、およびルーターやスイッチなどのネットワーク機器からのログが含まれる必要があります。
- 資産の隔離：IT資産が侵害された場合、さらなる横方向の拡散を防ぐために、その資産を隔離するか、マイクロセグメンテーションを施す必要があります。 要するに、インターネットに接続された企業の資産をお持ちであれば、必ずセキュリティ侵害に遭うことになります。 「どこからでも働ける」という現代において、あらゆる組織は、今後どのような事態が発生しても対応できるよう、確立されたインシデント対応計画と一連のプレイブックを整備しておく必要があります。 結局のところ、エンドポイントを保護することが何よりも重要であり、予期せぬ事態はいつ起こってもおかしくないため、今こそ、そのような事態に備えてより万全の態勢を整えるべき時です。
Taniumは、 のアセット検出およびインベントリ機能 （新しいタブで開きます）、 のパッチ管理機能 （新しいタブで開きます） 、およびのインシデント対応モジュール （新しいタブで開きます） を提供しており、これらすべての要件に対応しています。 Taniumの単一プラットフォームにより、資産がどこにあっても、インシデントに迅速に対応できるだけでなく、迅速かつ大規模な包括的なフォレンジック調査を実施することが可能になります。
