企業規模での エンドポイントポリシーの管理 においては、これまで、複数の個別の設定を調整したり、グループポリシーを手作業で再作成したり、CISベンチマークの結果を適用可能な設定に変換するのに数週間を費やしたりすることが常でした。
Tanium Enforce は、こうした課題に対処するために開発されましたが、優れたツールであっても導入時の障壁はつきものです。特に、オンプレミスの Active Directory 環境からクラウドベースの Entra ID へ移行する組織や、長年にわたって蓄積されたグループポリシーを移行する必要があるチームにとっては、その障壁は顕著です。
今回のエピソードでは、Taniumのプロダクトマネジメント担当ディレクターであるティム・ミントナー氏が、組織によるエンドポイントポリシーの作成、インポート、管理の方法を根本的に変えることを目的とした一連の新機能について解説します。
ティム氏は、今回のリリースを推進する2つの主な目標について説明しています。それは、Enforceの新規および既存のお客様がシステムを立ち上げて運用を開始することを大幅に容易にすること、そして のCISベンチマークの指摘事項（）に対する是正プロセスを劇的に加速させることです。 彼は、以前は3～4週間の手作業を要していた作業（新しいCISベンチマークを実際に適用されるポリシーに変換すること）が、現在ではCISのウェブサイトから直接ダウンロードしたCISビルドキットをインポートするだけで完了できるようになったことを実演しています。 また、ティム氏は、Microsoftのセキュリティベースラインや、Google Chromeのセキュリティ強化設定などのアプリケーションレベルのCISベンチマークのインポートについても、すべて同じワークフロー内で扱っています。
インポート機能に加え、ティム氏は、IT運用チームとコンプライアンスチームの間で長年にわたり生じていたコンプライアンススキャンの不一致を解消するのに役立つ「デュアルアプリケーション方式」、ポリシーが廃止された際に継続的に適用され、かつきれいに削除される追加のレジストリ設定、そして管理者がエディタを開かずに設定をプレビューできる新しいポリシーのフライアウトビューなど、実用的な改善点について詳しく解説しています。
チームでエンドポイントポリシーをどのような規模であれ管理されている場合、このエピソードでは、ぜひ実際に動作を確認しておきたい機能についてご紹介しています。 以下の動画をご覧ください。
キーポイント
- ポリシーの統合作成：マシン管理テンプレート、ユーザー管理テンプレート、セキュリティ設定、 、BitLocker、およびファイアウォール用にそれぞれ個別のポリシー（ 5、 6、 7、 8 ）を作成する代わりに、お客様はこれらすべてを 1 つのポリシーに統合できるようになりました。組織の基準に応じて、これらを統合するか、個別に保持するかを選択できます。
- ポリシー作成時のキーワード検索：ポリシー作成ワークフロー内に新たに追加された検索機能により、管理者はキーワードやレジストリ値で検索して、さまざまなポリシータイプにわたる特定の設定を見つけることができます。これにより、利用可能なすべてのオプションを手作業で一通り確認する必要がなくなります。
「今回のリリースで私たちが特に実現したいと考えているもう一つの点は、お客様がCISベンチマークの検出項目を非常に簡単に是正できるようにすることです……これは多くのお客様にとって、実に厄介なプロセスなのです…… そこで、その時間を数週間から数秒に短縮したいと考えています。”Tanium プロダクトマネジメント・エンフォース部門 ディレクター、ティム・ミントナー氏
- 追加のレジストリ設定の強制適用：新たに追加されたレジストリ設定領域により、管理者はカスタムレジストリキーの値を定義できるようになりました。Enforceはエンドポイント上でこれらの値を継続的に再評価し、値が変更された場合にドリフトを修正しますが、ポリシーが削除された後は設定は保持されません。
「 これの素晴らしいところは、いわゆる『タトゥー』ではないという点です。つまり、この方針が廃止されても、その状態がずっと続くわけではないということです。」 このポリシーが廃止された場合、そのエンドポイントからもそのレジストリ設定を削除いたします。”Tanium プロダクトマネジメント・エンフォース部門 ディレクター、ティム・ミントナー氏
- コンプライアンスの正確性を高めるデュアル適用方法：新しいチェックボックスにより、管理者はCSPとLGPOの両方を通じて同時にポリシー設定を適用できるようになりました。これにより、どちらか一方の方法のみを確認するコンプライアンススキャンツールでも、エンドポイントのポリシー状態をより正確に反映できるようになり、これまでコンプライアンスチームとIT運用チームの間で生じていた責任のなすり合いが解消されます。
- のセキュリティ設定におけるサービス管理：管理者は、セキュリティ設定ポリシー内で直接 Windows サービスを管理できるようになりました。これには、デフォルトのリストにないカスタムサービスの追加や、CIS の推奨事項に沿うためにサービスを無効に設定することも含まれます。例えば、Windows 11 エンドポイント上で Xbox サービスを無効にするといった対応が可能です。
- CISビルドキットおよびグループポリシーバックアップの直接インポート: Enforceのインポート機能が拡張され、CISのウェブサイトから直接ダウンロードしたCISビルドキットに加え、Microsoftのセキュリティベースラインのバックアップや、Google Chromeのセキュリティ強化設定などのアプリケーションレベルのCISベンチマークも取り込めるようになりました。これにより、管理者は合理化されたインポートワークフローを通じて、設定済みのポリシーをより迅速に作成できるようになります。
「社内のIT部門によると、私たちがたった 15 秒でやったことを、彼らなら4週間もかかるそうです。」Tanium プロダクトマネジメント・エンフォース部門 ディレクター、ティム・ミントナー氏
- ポリシーのフライアウトプレビュー：ポリシー一覧に新たに追加されたフライアウトビューにより、管理者はポリシーを開いて編集することなく、任意のポリシーのルールや適用詳細を確認できるようになりました。これは、特に命名規則が統一されていない環境において、ポリシーの閲覧に費やす時間を削減する、利便性を向上させる機能です。
- 今後実装予定—カスタム ADMX のインポートおよびネストされたポリシー: 今後実装が予定されている機能として、 のサードパーティ製アプリケーションを管理するためのカスタム ADMX テンプレートのインポート機能、およびネストされたポリシーのサポートが挙げられます。ネストされたポリシーとは、ファイアウォールポリシー、アプリブロッカー、その他のポリシータイプを互いに重ね合わせて、単一のポリシー項目セットとして構成する機能です。
その他の参考資料
- エンドポイント構成管理をより効果的に行う10の方法：ポリシーの統合やドリフトの是正に関するベストプラクティスを含め、組織がエンドポイント構成管理を大規模に実施する方法について詳しく解説しています。
- Tanium Enforce ユーザーガイド — ポリシータイプ、設定、および対象設定：Tanium Enforce の公式技術ホームページです。エンドポイントポリシーの作成と展開、サポートされているポリシータイプ、構成設定、および対象設定オプションに関するドキュメントへのリンクが掲載されています。
