Computer Weekly製品導入ガイド

エンドポイントマシンを守るための多層防御

端末とシステムの安全を守るためには、マルウェア対策の域を越えたセキュリティポリシーやBYOD戦略、ユーザー教育が必要になる。

　エンドポイントセキュリティにおいて、マルウェア対策が最も重要なのは言うまでもない。だが、攻撃側が端末のセキュリティをかわすため新しい手口の開発に力を入れる中で、そうした製品は効果が薄れつつある。マルウェア対策技術の精度はこの数年で目に見えて進歩したが、本質的には少数のアプリケーション（主にMicrosoft Office、Java、Adobe Acrobat、Flash、Webブラウザなどユーザー数の多いアプリケーション）の挙動がプロファイルされるにすぎない。そうしたアプリケーションに不審な挙動があればエージェントが検出し、許可されていない挙動をブロックして脅威に対応する。確かにこれで端末の日常的な利用のかなりの部分を網羅できるが、これが万能でないのは明らかだ。侵入者は端末上で目立たないアプリケーションを簡単に攻撃できてしまうかもしれない。

　エンドポイントセキュリティとは、単にマルウェアを検出して除去するだけにとどまらない。こうした端末に適切なパッチを当てて設定・管理を行い、できる限り攻撃面を減らす必要がある。エンドポイントエージェントはパッチ管理システムと連携させ、組織によるパッチのテストが済んだらできるだけ早く端末に配信しなければならない。端末はIT部門が定めたルールに従って、組織のインフラ上で使うための設定を行う必要がある。

　このルールでは、インストールされたアプリケーションやサービス運用、端末の設定、端末にインストールされた他のセキュリティ製品の管理について規定する必要がある。設定が変更された端末を特定することもIT部門のポリシーに盛り込まなければならない。設定の変更は、マルウェアが侵入して端末を操っている兆候である可能性もある。

　端末の管理も重要だ。これによってIT部門はUSBポートを誰がどう使うかに関するポリシーを徹底させることができる。リスクを最小限に抑えるため、USBデバイスやSDカードへコピーした内容、またはUSBデバイスやSDカードからコピーした内容はログに記録できる。

BYODとモバイルがエンドポイントセキュリティに与える影響

　Verismic Softwareのアシュリー・レナードCEOによると、従来型のエンドポイント管理ソフトウェアは、特に私物端末の業務利用（BYOD）環境において、PCやノートPC、タブレットの管理には適していない。

　従来型のエンドポイント管理ソフトウェアでは個々の端末にエージェントが必要になることから、「導入には数日、あるいは数週間」かかることもあるという。「頻繁な移動や追加、変更はデータの中に盲点を生じさせ、BYOD環境の管理が極めて難しくなる。エンドポイント管理ソフトウェアの中には手作業による『スニーカーネット』（訳注）を要するものさえあり、ユーザーやIT部門、コストに影響を及ぼす」（レナード氏）

訳注：リムーバブルメディアなどに保存したデータを人間が運んでやりとりすること。「スニーカーを履いた人間」を介してデータが移動することから命名された。

　これが原因で、ライセンスがなくパッチも当てていないソフトウェアを通じてセキュリティが脅かされ、コンプライアンス上のリスクが生じることもある。しかし多くの組織にとって、BYODを禁止するという選択肢はない。「従業員はそれでも私物端末を使ったり、会社から支給された端末を私用に使ったりする」。そう話すのはForeScoutの欧州担当副社長ルイーズ・バルマン氏。「モバイルの台数と社外で働く従業員の数の増加に伴い、会社の境界は従来よりオープンになり、広がりを持つようになった」

　ITC Infotechの管理型サービス担当副社長、アナンド・スクマラン氏は、BYODに代わって「自分で端末を選ぶ（CYOD）」方式の採用を検討すべきだと説く。「このハイブリッド型アプローチでは、会社が社外で使う端末と柔軟な働き方の選択肢を提示し、ユーザーは私生活でもその端末を自由に利用できる」という。

プラットフォームの増加――侵入経路は増えても耐性は強化？

この記事の著者