アプリケーション制御 

アプリケーション制御とは？

アプリケーション制御は、エンドポイント上で実行を許可するアプリケーション、スクリプト、プロセスを判断するセキュリティ機構です。アンチウイルスによる検出だけに頼るのではなく、アプリケーション制御は事前に、承認済みソフトウェアの実行に制限をかけます。

アプリケーション制御ポリシーは、次に基づいて設定できます：

• アプリケーションの識別情報（発行元、署名、ハッシュ、またはパス）
• ユーザーまたはグループのメンバーシップ
• デバイスの状況
• 権限昇格の要件
• 環境条件

悪意のあるものに反応するのではなく、許可する内容を定義することで、アプリケーション制御は攻撃対象領域を減らし、システムの挙動を予測可能なものに強制します。

アプリケーション制御はどのように動作しますか？

アプリケーション制御ソリューションは、エンドポイント上でのプロセス実行を監視し、定義されたポリシーに照らして要求を評価します。ユーザーがアプリケーションを実行しようとすると、ソリューションは、そのアプリケーションを許可するか、ブロックするか、制御された権限で昇格するか、あるいは監査目的でログに記録するかを判断します。

高度なアプリケーション制御は、アイデンティティおよび特権ポリシーと統合し、ユーザーに永続的なローカル管理者権限を付与することなく、承認されたアプリケーションが昇格された権限で実行できるようにします。

アプリケーション制御がセキュリティにとって重要なのはなぜですか？

エンドポイントは、ランサムウェア、ファイルレスマルウェア、未承認ソフトウェアの主要な侵入口です。アプリケーション制御がない場合、ローカル管理者権限を持つユーザーは、承認されていないアプリケーションをインストールして実行したり、セキュリティツールを無効化したり、悪意のあるスクリプトを実行したりできます。

効果的なアプリケーション制御：

• 未承認ソフトウェアの実行を防止します
• ランサムウェアの実行経路を減らします
• 権限昇格の機会を制限する
• ソフトウェアガバナンスのコンプライアンス要件をサポート
• アプリケーションおよびプロセスのレベルで最小権限を強制する

アプリケーション制御は、ユーザーが従来のネットワーク境界の外で操作するハイブリッド環境で特に重要です。

従来のアプリケーション制御アプローチにはどのような制限がありますか？

従来のアプリケーション制御モデルは、アプリケーションの更新や環境の変化に伴って維持管理が難しくなる静的な許可リスト（allowlists）や、融通のきかないルールセットに依存しがちです。多くの環境では、過度に制限的なコントロールが生産性を妨げる一方で、過度に許容的なルールがセキュリティを弱めます。

よくある課題には、次のようなものがあります：

• アプリケーションの更新およびバージョン変更の管理
• 昇格（elevation）が必要なレガシーアプリケーションのサポート
• 過剰なルールの増殖（rule sprawl）を防ぐ
• 最小権限の戦略への統合
• ドメイン参加済みおよび MDM 管理デバイス全体に対して強制を拡張

最新のアプリケーション制御は、柔軟で状況を認識し、特権管理と緊密に統合されている必要があります。

ユースケース

• 許可されていない、またはシャドーITのアプリケーションをブロック
• 承認済みアプリケーションを許可し、未知の実行ファイルを防止する
• 管理ツールに対して最小権限を強制する
• スクリプトおよびマクロの実行を制御する
• 安全なリモートワーク環境を支援する
• エンドポイントにおけるランサムウェアのリスクを低減する

Netwrix はどのように役立てられるか

特権管理なしのアプリケーション制御では、すき間が生じます。ユーザーが正規のアプリケーションを実行するために管理者権限を必要とする場合があり、その結果、ローカル管理者権限が常時付与されがちです。

Netwrix PolicyPak は、きめ細かな特権管理と統合されたアプリケーション制御を提供します。組織は次のことができます：

• 一般ユーザーが実行しようとした際に、ランサムウェアや未知のソフト（unknown-ware）を自動的にブロック
• 承認済みのアプリケーションを壊さずに、不必要なローカル管理者権限を削除
• プロセスおよびアプリケーションのレベルで最小限の権限（Just-Enough Privilege）を適用する
• ポリシーに基づいて、特定のアプリケーションを安全に権限昇格する
• 許可されていない実行ファイル、スクリプト、マクロをブロックする
• ドメイン参加済みおよび MDM 管理のデバイス全体にアプリケーション制御を適用する
• 常時の管理者グループへのメンバーシップを、ポリシーに基づきルールに制約された権限昇格へ置き換える

アプリケーション制御と制御された昇格（エレベーション）を組み合わせることで、PolicyPakは生産性を維持しながらランサムウェアのリスクを排除します。

アプリケーション制御は、identity に反するのではなく identity と連携することで、最も効果を発揮します。