Windows 10 への移行に関する3回シリーズの最終回では、Taniumのテクニカルアカウントマネジメント担当シニアディレクターであるエゴン・リンデラー氏が、Windows 10 への移行においてTaniumを活用することでROIを実現するためのさまざまな方法について解説します。
OSの移行を検討する際、通常、ROIは真っ先に頭に浮かぶことではありません。 率直に言えば、ほとんどの場合、移行チームが重視しているのは、単に予定通り、予算内でプロジェクトを成功させることなのです。 しかし、Taniumのお客様がWindows 10 への移行プロセスを進めるのを支援してきた経験から、隠れたROIをもたらす4つの重要な分野が明らかになりました。 これらの結果から、Windows 10 への移行は、賢明な技術的判断であるだけでなく、賢明なビジネス上の決断でもあると言えます。
これまでに、Tanium を利用して、数十万台のエンドポイントを Windows 10 へ移行してきました。 この取り組みを通じて、コンテンツを微調整し、ユーザーにとってより一層価値のあるものにする機会を何十万回も得ることができました。 こうした取り組みを通じて、大規模な移行作業においてお客様が直面する最大の課題や、Taniumを活用してそれらを克服する方法について、多くのことを学びました。 移行プロセスにTaniumを活用することで、次のようなメリットが得られます：
- 初期段階でのハードウェアの故障率を最小限に抑えることで、短期的には数百万ドルのコスト削減につながります。
- 利用状況を正確に把握した上で、ソフトウェアライセンスを回収し、再利用してください。
- 許可されていない高コストのプラットフォームソフトウェアを特定し、それらを削除できるようにします。
- Windows 10のOS標準のセキュリティ機能をすべて有効化し、一元的に管理することで、サードパーティ製のセキュリティ製品の導入数を減らし、コストを削減することができます。
本シリーズの「 」、「Part 1」、「 」では、フェーズ 1（移行前の準備段階）を完了するために必要な時間と労力を削減する方法について、私たちが得た知見をご紹介しました。 『 』（）の第 2回（）では、Taniumがフェーズ 2（移行フェーズ）およびフェーズ 3（移行後フェーズ）においてどのように役立つかをご紹介しました。 とはいえ、私たちにとって本当の楽しみは、私たちが明らかにするお手伝いができる、ROIにつながる隠れた要因をすべて、ユーザーの皆様と共有することにあります。
初期段階におけるハードウェアの故障率を最小限に抑える
Windows 10 への移行に伴う初期段階でのハードウェアの早期劣化は、お客様から大きな無駄遣いとして早々に指摘されました。 顧客がシステムのインベントリ調査・合理化・互換性チェックを実施したところ、企業のエンドポイントの平均 20％が、ある1つの理由――空きディスク容量の不足――により、最低限のハードウェア仕様を満たしていないことが判明しました。 この傾向は、主に以下の2つの要因によるものであることがわかりました：
- お客様は、OSの配布用に、これまで以上に大きなWindows Imaging File Format（WIM）ファイルを作成しています。 ファイルが大きければ大きいほど、必要なディスク容量も増えます。
- お客様のエンドポイントでは、膨大な量のディスク容量が無駄になっており、その結果、当該WIMに割り当てられる全体的な空き容量が減少していました。
お客様との業務を通じて私たちが観察したところ、WIMを作成する際、多くの方が「ありとあらゆるもの、さらには台所の流し台まで」というアプローチをとっているようです。 彼らは、WIMが企業内のすべてのエンドポイントで動作し、必要な機能がすべて標準で組み込まれていることを望んでいます。 そのため、ハードウェアのメーカー、機種、バージョンごとに、それぞれのドライバを含める必要が生じます。 つまり、あらゆるマシンで必要となる可能性のあるすべてのアプリケーションを含めるということです。 ありとあらゆるものが、その中に混ぜ込まれてしまいます。
そのやり方は理解できます。 必要なものがすべてエンドポイント上に揃っていると、作業が楽になります。というのも、 実際に 必要なものだけをピンポイントで特定し、配信する簡単な方法がないからです。 その結果、 30 GB、 40 GB、さらには 50 GBを超えるWIMファイルも確認されています。 このサイズのファイルをすべてのエンドポイントに配布することになった場合、大企業のネットワークにどのような影響が及ぶか、考えてみてください。 それは単に現実的ではありません。
スペースの無駄についてですが、これは私たちが解決できる問題の中でも特に気に入っているもののひとつです。というのも、とても単純な問題だからです。 ディスク容量の無駄の原因として最も一般的なものは、数に限りがあります（実際には約 20個です）。 System Center Configuration Manager（SCCM）のキャッシュの肥大化や、古くなったユーザープロファイルといった問題は、非常に頻繁に発生します。 こうした要素が相まって、エンドユーザーのエンドポイント上でギガ単位のストレージ容量を無駄に消費しており、そのデータには実質的に何の価値もありません。 プロファイルデータは、実際の移行作業中に悪影響を及ぼすという二重の悪影響をもたらします。 20 個のユーザープロファイルが保存されているマシンを移行する場合、それらのプロファイル20 個すべてと、それに関連するすべてのデータを、新しくプロビジョニングされたオペレーティングシステムに移行するのでしょうか？ エンドポイント上のプロファイル（および関連するユーザーデータ）が2年間アクセスされていないのであれば、なぜ移行する必要があるのでしょうか？ そうする理由は全くありません。
こうした「ディスク容量を無駄にする」チェック項目はおよそ 20 件ありますが、Taniumには、これらの問題を数秒で是正する機能（キャッシュの削除、無視・移行しない設定など）が備わっています。 実際の運用において、初期のハードウェア故障率を、 20％台からごく低い一桁台まで、概ね低減できることがわかりました。 大企業においては、これは数百万ドルに相当する実質的なコスト削減につながります。
ソフトウェアの再生利用と再利用
『 』（）の第1部（）では、Taniumを活用して実際のアプリケーションの利用状況を監視し、特に扱いが難しいソフトウェアの移行に時間を割くべきかどうかを判断する方法について解説しました。 この同じ機能を活用することで、企業全体において「利用回数課金型」のソフトウェアが実際にどのように利用されているかを把握することができます。
この手法を用いることで、お客様のライセンス回収において、大きなROIを実現しています。 この例では、Microsoft Visioを取り上げてみましょう。Visioは素晴らしいソフトウェアです。 ちょうど、監査の際に発見される「十分に活用されていないソフトウェア」のリストで、これがトップに挙がっているのです。 当社の経験に基づくと、多くの企業では次のような状況が見られます。 あるユーザー（ここではボブとしましょう）が、Visioのファイルが添付されたメールを受け取りました。 無料のVisio Viewerを利用できることを知らずに、ボブはエンタープライズライセンスキーを使用して、社用のVisioをインストールしました。 ボブはメールの添付ファイルをダウンロードし、それを開いて、「すごくいいですね！」と返信しました。 ボブは二度とVisioを使うことはありません。 とはいえ、毎年年末には、精算の際にそのライセンスの料金をお支払いいただきます。 大企業においてこのプロセスが繰り返されると、ライセンスの拡大が限られた予算を徐々に蝕んでいきます。
大企業全体で、ライセンスを取得しているアプリケーションの数を考えてみてください。 これを、ストアフロントや自動化された承認プロセス、ライセンス管理などを備えた、しっかりと管理されたソフトウェア配布ワークフローとして想像してみると、なかなか良いですね。 実際のところ、たいていは「ワイルド・ウェスト」のような状況です。
そこで、Taniumの登場です。 マッピングや移行の対象としてタグ付けされたソフトウェアの実際の利用状況を把握するために用いられるのと同じ機能は、VisioやProject、あるいはコスト削減の対象としてご検討中のその他のあらゆるツールにも適用することができます。 すぐに気づかれると思いますが、企業ライセンスで数万本のコピーがインストールされていても、その 85％は年に1回しか使用されていないか、それ以下なのです。 これは、お客様との業務を通じて私たちが確認した実態に基づく平均値です。
Taniumをご利用のお客様は、以下の手順を実行してください：
- 御社でライセンスを取得しているMicrosoft SQL Serverのコピー数がいくつあるかをご確認ください。
- 次のクエリを実行してください：「すべてのマシンから SQL Server のエディションを取得する」。
差はありますか？ もしマイクロソフトから監査を受けた場合、小切手を切る羽目になるのでしょうか？
この同じ疑問は、非常に高価なプラットフォームソフトウェア製品の利用についても当てはまります。 おそらく、SQLが 80 コピーインストールされており、正規のライセンスも取得されているのでしょうが、そのうちの20％は使われていない状態にあるのです。 Taniumを使えば、その答えを簡単に見つけることができます。このデータは、移行時に役立つだけでなく、長期的には大幅なコスト削減にもつながります。
サードパーティ製のサイバーセキュリティ単体製品を削減する
かつては、ウイルス対策（AV）、ホスト型侵入防止システム（HIPS）、実行制御、ファイアウォールといったポイントセキュリティ製品は、個別のポイント製品として販売されていました。 この10年間で、ベンダー各社は一元管理機能のアドオンに対するニーズを認識し、その開発・販売を開始しました。 ベンダーたちは、このように寄せ集めのようにごちゃごちゃした、カーネルフックによるひどい仕組みを「プラットフォーム」と呼び、オペレーティングシステムに同様の機能がネイティブに備わっていないことを理由に、それが必要不可欠であると宣伝するのです。
「Windows 10」に入ります。 ポイントツールの混乱に対する万能薬というわけではありませんが、これはマイクロソフトにとって大きな転換点となります。 同社は、各製品について一からやり直しました。 一部（アンチウイルス、ファイアウォール、基本的な実行制御など）は以前から存在していましたが、最新の改訂版――場合によっては完全に書き直されたもの――は世界トップクラスの水準にあります。
Windowsの標準搭載のウイルス対策ソフトは、一から書き直されました。 AppLockerは、ソフトウェア制限ポリシー（SRP）に備わっている基本的な機能を、まったく新しいレベルの完成度へと引き上げています。 Windows Information Protectionなどの将来の機能により、Windowsに本格的なHIPSツールが導入され、OSにネイティブに統合されることになります。これには、プロセス間の通信制限やコピー・貼り付けの制御などを目的としたデータタグ付け機能などが完備されています。
一元的な管理とポリシーの展開は、これまで常に、マイクロソフトが高度なセキュリティ機能の導入を推進する上で障害となってきました。 Active Directory グループポリシーオブジェクト（AD GPO）を介して、Enhanced Mitigation Experience Toolkit（EMET）、SRP、AppLocker、アンチウイルス（AV）、およびファイアウォールのルールやポリシーを管理したいと考えているベンダーは、ごくわずかです。
Taniumの「Protect」モジュールは、これらのOSネイティブのポイントセキュリティ機能の一元的な管理拠点として機能することで、一元管理のニーズに対応しています。 Tanium向けの新しいコンテンツを開発する際、追加のエージェントは必要ないことをご留意ください。 The very same Tanium agent you use to track application usage and inventory systems for Windows 10 migration readiness can also be used to manage the native security capabilities, patch your endpoints and conduct a forensic investigation. これに加え、Taniumの各モジュール間で強固な連携が実現されます。
例を挙げましょう。 仮に、企業の半分のシステムをWindows 10 に移行したところで、 の次期バージョンであるWannaCryがを襲ったとします。 Windows 7、 8 、10が混在する環境があります。 標準的な侵害の兆候（IOC）をダウンロードし、Taniumの「IOC Detect」に読み込み、企業内をリアルタイムでスキャンしてランサムウェアの有無を確認します。 それでは、その件について再スキャンをスケジュールしてください。 何しろ、 450,000 台すべてのエンドポイントで実行するのに、たった1分ほどしかかかりませんから。 この例では、この新しいバージョンのマルウェアに対するパッチが提供されていないと仮定しましょう。そのため、対策の選択肢はほとんど残されていません。 あなたには、いくつかの基本的な知識があります。具体的には、コマンド＆コントロール（C2）用のIPアドレスと、エクスプロイトに含まれる実行ファイルに関する情報（ファイルハッシュなど）です。
Tanium Protect を使用すると、新しいポリシーを迅速に（1分未満で）作成し、すべての Windows エンドポイントに以下のルールを適用できるほか、その適用状況を継続的に確認することも可能です。 以下のことができます：
- 既知の C2 個のアドレスへのTCP通信を遮断してください。
- SRP または AppLocker をそれぞれ使用して、ファイルのハッシュ値やサイズに基づいて既知のバイナリに対するプリエンプティブ実行ブロックを設定してください（Windows 7 から 10 までをカバーするため）。
この新しいポリシーの策定、配布、および実施の確認に要する総時間はどれくらいでしょうか？ 5分もかかりません。 今後、IOC Detectを通じて新たな証拠が見つかった場合、あるいはTanium Traceを通じて、何らかの方法で悪用されている端末上で新たなIOC要素が見つかった場合でも、それに基づいて対応することができます。 Traceで該当する検出結果を選択するだけで、その場で新しいProtectルールを適用できます。
一見すると、これはROIに関連する例には見えないかもしれませんが、サードパーティ製のポイントソリューションのスタックという文脈で考えると、まさにROIに関連する例となります。 それらのポイントソリューションには、年間でいくらお支払いになっていますか？ MSスタックを制御するための中央管理フレームワークがあれば、Windowsの各種機能の組み合わせだけで十分なカバー範囲が確保され、サードパーティ製のソリューションを置き換えることができるでしょうか？ Windows 10 に移行し、SecureBootやTPMなど、業界最高水準の新しいハードウェアセキュリティ機能が統合された環境を手に入れたら、いかがでしょうか？
ある時点で、そのサードパーティ製スタックが時代遅れになってしまうという分岐点があります。 Windows 10の導入に伴い、純粋な機能面において、その変化が明らかになるでしょう。 物事を決定づけるには何が必要でしょうか？ インシデント対応、IOC検出、およびフォレンジックツールセットにわたる一元的な管理と統合。 Taniumこそがその触媒であり、その投資対効果（ROI）は疑いようがありません。 今この瞬間も、おそらく抜け出せないと感じている特定のセキュリティ・スタックに対して、誰かに年間料金を支払っていることでしょう。 その請求書を削除すれば、明確なROIが得られます。
Windows 10 への移行：結論
上記の最初の3つの例は、Taniumが導入された際に、ROIの算出のために活用できるよう、すでに用意されているデータに基づいています。 Windows 10 移行チームにとって、これによる追加の負担は一切ありません。 この情報は、その支援を目的とした情報の拡充のために、Taniumによって収集されます。 もし実際にそれを手元に用意しているのであれば、ROIの向上に活用しないのはもったいないでしょう。
4つ目の例については、もう少し検討が必要ですが、その見返りは明らかです。 セキュリティ・ポイントツールの構成を縮小し、Windows 10 の新しいセキュリティ機能の能力を最大限に引き出すことは、初期の移行段階をはるかに超えて影響を及ぼす、明らかなビジネス上のメリットとなります。
お読みいただき、ありがとうございます。 これで、Windows 10 への移行に関する3回にわたる連載はこれで終了となります。
詳細はこちら：
Taniumの実際の動作をご覧になりませんか？ の個別デモをご予約いただくか、毎週開催されているウェビナーにご参加ください。 「 」の今後のイベント（）にて、当社のTaniumエキスパートにご相談ください。
著者「」について：エゴン・リンデラー氏は、連邦政府および民間部門におけるサイバー戦争、サイバーセキュリティ運用、IT運用において、 25 年以上の経験を有しています。 Tanium社のテクニカル・アカウント・マネジメント担当副社長として、彼は連邦政府全体におけるTaniumの導入および運用を専門とする 35 名のエンジニアからなる組織を統括しています。 彼は以前、Tanium Federalのエンジニアリングチームの責任者を務めていました。 Taniumに入社する前、エゴン氏はインテル社で情報機関担当シニア・リエゾンを務め、また米海軍では暗号技術士として勤務し、統合特殊作戦司令部へ戦術暗号支援要員として出向していました。
