ネットワーク上に何が存在しているかを把握することは、セキュリティと運用の両方の基礎となりますが、多くの組織では、何か問題が発生して初めて、その把握がどれほど不完全であるかに気づくのです。 「Tanium Discover 」は、環境全体のインターフェースをネットワークベースで検出することで、そのギャップを埋めるように設計されており、ITチームやセキュリティチームが、これまでTaniumクライアントがインストールされたことがない可能性のあるデバイスについても可視化できるようになります。
この区別は重要です： エンドポイントだけでなく、インターフェースも検出されます。つまり、有線および無線のネットワークカードの両方を搭載した1台のノートパソコンでも、2つの別々のインターフェースとして表示されます。 その違いを理解し、Discoverが発見した内容に基づいてどのように行動すべきかを知ることが、単なる生データと実用的な知見とを分けるのです。
ナッシュ氏は、ネットワークエンジニアとしての経歴を活かし、 のTanium米国公共部門プラクティス（）において、シニア・アドバンスト・コンサルティング・エンジニアを務めています。その実践的なネットワークの専門知識が、Discoverの設定、スキャン戦略、およびデータ解釈へのアプローチを形作っています。
今回のエピソードでは、Discoverで利用可能な4つのスキャンレベルについて解説します。追加のネットワークトラフィックを発生させないよう設計されたパッシブなARPキャッシュ検索から、Nmapベースの完全なポートスキャンまでを順を追って説明し、各レベルにおけるデータの豊富さとネットワークへの影響のトレードオフについて解説します。 また、集中型サブネット管理のための新しいネットワークインターフェースページや、最大で /16 のネットワーク範囲のスキャンに対応したサテライト機能、そして生のインターフェースデータを整理された実用的なカテゴリに変換するラベルシステムについても解説しています。
貴組織がDiscoverを初めて導入する場合、1～2年間更新されていない導入環境を見直す場合、あるいはクラウド環境でインターフェースが重複して返される原因を突き止めようとしている場合、このエピソードでは、まさにそのようなシナリオと必要な手順について詳しく解説しています。
また、ナッシュ氏は、一貫性があり適切に設定された検出がなぜ重要なのかを説明するために、実際の事例（デフォルトの認証情報で保護されていないウェブカメラや、データセンター内に無許可で設置されたゲーム機など）も紹介しています。 以下のリンクから、エピソードの全編をご覧ください。
キーポイント
- エンドポイントではなくインターフェース： Tanium Discover は、環境内のインターフェースをネットワークベースで検出します。特定のエンドポイントには複数のネットワークインターフェースが存在する可能性があるため、インターフェースとエンドポイントは同じものではありません。例えば、有線および無線のネットワークカードの両方を搭載したノートパソコンなどが挙げられます。
- クラウド環境では、代わりに「Asset」が必要です： DiscoverではMACアドレスを主キーとして使用していますが、Azureのようなクラウド環境では、ソフトウェア定義ネットワーク（SDN）によりすべてのインターフェースが同じMACアドレスを共有することになり、問題が生じます。つまり、完全なインベントリではなく、1つのインターフェースしか表示されない可能性があります。 代わりに、クラウドのインベントリには「Asset」をご利用ください。
「Tanium Discoverは、お客様の環境内のインターフェースをネットワークベースで検出することを目的としています。」Tanium シニア・アドバンスト・コンサルティング・エンジニア、ナッシュ・キング氏
- 4つのスキャンレベル、表現の豊かさが段階的に高まります： Discoverでは、 IPv4向けに4つのスキャンレベルをご用意しています。 レベル1はARPキャッシュに依存しており、追加のスキャントラフィックを発生させないよう設計されています。レベル 2 はpingおよびICMPベースのフィンガープリント検出を使用します。レベル3 はアクティブなARPスキャンです。また、レベル4 はNmapを使用してポートスキャンとOS検出を行いますが、NmapでOSを特定するには、開いているポートと閉じているポートの両方が必要です。
- 分散スキャンとサテライト： 分散スキャンは、Taniumによって管理されているエンドポイントによって実行され、各エンドポイントが自身のサブネット内の未スキャン領域をスキャンすることで、環境全体にわたって迅速にスキャンを行うことが可能になります。 管理対象のエンドポイントが一切ないサブネットについては、それらのネットワークを検出するためにサテライトを指定することが可能です。また、サテライトによるスキャン対象範囲は、従来の 4,096 個のIPアドレスという制限から、最大で/16 のネットワーク範囲まで拡大されました。
- 一元化されたネットワークインターフェースページ： 新しいネットワークインターフェースページでは、サブネットを一度定義するだけで、複数のスキャンプロファイルで参照し、対象に含めるか除外するかを選択できるようになりました。これにより、以前は同じネットワークを個々のプロファイルごとに個別に入力しなければならなかったワークフローが改善されました。 除外設定が優先されます。サブネットが「含める」と「除外する」の両方に指定されている場合、そのサブネットはスキャン対象外となります。
- ラベルはデータを意思決定へと変換します： ラベルとは、手動またはルールに基づいて自動的に適用できるタグであり、インターフェースを「管理対象」（Taniumクライアントが存在し、レポートを送信している状態）、「非管理対象」（Taniumクライアントが検出されない状態）、および「管理不能」（ラベルを使用して決定した状態）の3つの状態に分類するための仕組みです。 「Discover」の概要画面にあるラベルギャラリーでは、新規デプロイメント用にあらかじめ作成されたラベルのJSONコレクションをダウンロードできます。これには、Zebraのプリンターやスキャナーなど、従来は管理が困難だったデバイスタイプを自動的に識別するラベルも含まれています。
- セキュリティおよび運用パターン： Discover では、 の不正なアクセスポイント、機密性の高いサブネット内の許可されていない一般向けデバイス、デフォルトの認証情報を持つウェブカメラ、および Telnet の脆弱性を示唆する可能性のあるポート 23 などの開放ポートを検出することができます。 レベル1のARPスキャンとレベル 2 のpingスキャンを同時に実行することで、検知範囲が向上します。これは、悪意のある行為を行う者が、ネットワークに接続するデバイス上でICMPを無効にしている可能性があるためです。
「Discoverが検出する内容をじっくりと確認し始めると、運用上の整理整頓に役立つような、環境内の興味深いパターンを特定できるようになります。」Tanium シニア・アドバンスト・コンサルティング・エンジニア、ナッシュ・キング氏
- 推奨されるセットアップ手順： Discoverを初めて導入する際、デフォルトで「Level 2 」スキャンが設定されており、エンドポイントがオンボードされるにつれてインターフェースデータの取得が開始されます。 その後、推奨される手順は、必要に応じて追加のスキャンプロファイルを作成し、機密性の高いサブネットに対するネットワーク除外を設定し、ラベルギャラリーからあらかじめ作成されたラベルコレクションをインポートし、CSVファイルを使用してロケーションを設定し、サブネットの割り当てに基づいてユーザーグループの可視性権限を確立することです。
その他の参考資料
- Tanium Discover 製品概要 — ネットワークベースの非管理対象デバイスの検出：Tanium Discover が、非管理対象デバイスや管理不可能なデバイスを含め、ネットワーク全体のインターフェースについて、どのようにリアルタイムの可視性を提供するかをご確認ください。
- ITの可視化とデバイス管理の基盤となる資産発見：セキュリティチームや運用チームにとって、包括的な資産発見がなぜ重要なのか、またネットワークベースの発見アプローチがどのようにデバイス管理の向上に寄与するのかについて解説した記事です。
- Tanium Discover のドキュメント — モジュールの概要と初期設定の手順: Discover に関する Tanium の公式ドキュメントで、スキャンプロファイル、インターフェースの状態、およびセットアップの手順について解説しています。
- Tanium Discover のドキュメント — スキャンプロファイルと検出方法の設定：分散型スキャンプロファイルの作成と管理、サテライトの設定、および IPv4 および IPv6 検出におけるスキャンレベルの選択に関する詳細なガイダンスです。
