ベースライン設定（Baseline Configuration）とは何か、そして構成ドリフトを防ぐ方法

構成ドリフトは避けられないように思えます——システムの実際の設定が、セキュアなベースライン設定から徐々に、しかし意図せずに乖離していく現象です。インフラストラクチャの各コンポーネントを適切に設定することは、セキュリティ、コンプライアンス、そしてビジネス継続にとって不可欠ですが、設定変更は正式な承認、適切なテスト、明確なドキュメントなしに行われることがよくあります。

時間の経過とともに、システムやアプリケーションにおけるこの構成ドリフトは、セキュリティ上のギャップを生み出し、組織を危険にさらす可能性があります。実際、8件に1件の侵害は、誤って設定されたクラウド環境などのエラーが原因で発生すると見積もられており、セキュリティの設定ミスはOWASP の「トップ10のWebアプリケーション・セキュリティリスク」リストで第5位にランクされています。構成ドリフトが深刻であるほどリスクは高くなりますが、現実には、誤った設定が1つあるだけでも組織がデータ漏えいやダウンタイムに直面する可能性があります。

この記事では、構成ドリフト（configuration drift）のよくある原因の一部と、侵害（breaches）、ダウンタイム（downtime）、コンプライアンス違反に伴うペナルティを減らすために適切な構成管理を実装する方法を説明します。

構成ドリフト（configuration drift）の原因は何ですか？

多くの場合、構成ドリフト（configuration drift）は意図的ではありません。通常、次のいずれかが原因です：

• ソフトウェアパッチ — ソフトウェアやファームウェアのパッチを定期的に適用することはベストプラクティスですが、構成項目に予期しない変更が生じる可能性があります。
• ハードウェアのアップグレード — ハードウェアのアップグレードも必要ですが、ハードウェアおよびソフトウェアの両レベルで設定変更につながる可能性があります。
• 場当たり的な設定とトラブルシューティング — Almost どの IT チームも、業務負荷の増加やネットワーク障害によって業務が滞らないよう、事業運営を通常に戻すために、つい迅速な暫定対応を適用してしまったことがあるはずです。迅速な暫定対応で当面の問題が解決する場合もありますが、長期的にはセキュリティを損なう設定変更を伴うことがあります。
• IT におけるコミュニケーション不足 — ある IT チームが自分たちが行った設定変更について他のチームに連絡しない場合、または新しいメンバーが承認された設定状態が何かを知らない場合に、Configuration drift が発生することがあります。
• ドキュメント不備 — 設定変更が適切に記録されていない場合、チームメンバーはシステムが正しく設定されているかどうかを判断できない可能性があります。

これらの要因によって生じる Configuration drift は、パフォーマンスの低下や停止、コンプライアンス上の問題、あるいは深刻なデータ侵害につながる可能性があります。

構成ドリフトを回避するためのヒント

NIST Special Publication 800-128は、構成ドリフトを回避するためのガイダンスを提供しています。主な推奨事項の一部を紹介します：

• 構成変更を継続的に監視し、不適切な変更を直ちに特定できるようにします。監視の取り組みは、定期的な監査で補完する必要があります。
• 確立されたテンプレートを使用して、サーバーおよびネットワーク基盤全体にわたり、構成設定の作成・変更・展開を自動化する構成ツールを導入します。手作業は人為的なミスが起こりやすく、また自動化プロセスより遅いため、設定が脆弱な状態のままより長く残る可能性があります。
• IT チームが構成ドリフトを特定するために使える、ベンチマークやベースライン（baselines）のリポジトリを活用します。CIS や NIST などの業界リーダーが提供するベンチマークを出発点として、自社のベースライン構成を構築することを検討してください。
• 構成変更管理プロセスを標準化し、構成ドリフトが発生する可能性を最小限に抑えます。すべての構成変更は、このシステムを使って承認し、文書化する必要があります。

すべての IT エンドポイントに対して安全なベースライン設定を作成する

すべてのデスクトップ、サーバー、アプリケーション、 ネットワーク機器、コンテナ、ハイパーバイザープラットフォームは、安全な構成でハードニングする必要があります。各タイプのエンドポイントに対して標準構成を確立することで、それらすべてに一貫した構成を適用できます。たとえば、コールセンターのワークステーション向けに標準構成を作成すれば、同一のオペレーティングシステム、パッチレベル、ソフトウェア構成、および Group Policy。

ベースライン設定は、たとえばソフトウェアパッチやオペレーティングシステムのアップグレードによって、時間の経過とともに変わります。各変更がサービス提供やセキュリティに与える潜在的な影響について、慎重に見直す必要があります。更新された設定が承認され、権限付与されたら、それをベースライン設定として適用し、すべてのデバイスは新しい標準に従って監査されるべきです。NERC CIP 規格では、エネルギー生産に必要なすべての SCADA、人機インターフェース（HMI）、およびプログラマブルロジックコントローラ（PLC）システムに対して、30 日ごとにこのような監査を実施することを求めています。

Netwrix Change Tracker を使った構成管理の自動化

安全なベースラインを確立し、構成のドリフト（configuration drift）を防ぐために強力な変更管理（change control）を導入する方法をお探しですか？ Netwrix Change Tracker が役立ちます。ネットワークをスキャンしてデバイスを特定し、CIS 認定のビルド テンプレートを使ってそれらのデバイスの安全な構成を簡単に作成できます。さらに、これらの構成への変更を監視し、計画していない変更があればリアルタイムで通知します。

ベースラインの作成

Netwrix Change Tracker は、NIST、PCI DSS、CMMC、HIPAA、そして CIS Controls などを含む 250 件以上の CIS 認定ベンチマーク レポートにアクセスできるようにします。直感的なウィザードを使えば、これらのベンチマークを数分で自社の要件に合わせて微調整できます。PLC、リレー、アクチュエータのような IoT システムから、複雑なクラウドおよびコンテナ インフラまで、すべてのシステムに対して標準構成を簡単に作成可能です。さらに、どのベースライン イメージも再利用して、他のシステムのベンチマークに活用できます。

ベースラインの維持

前述のとおり、ベースラインは時間とともに変化します。特に、パッチや更新によって、構成、レジストリ、ポート設定に加えて、基盤となるファイル システムにも変更が生じる可能性があります。 Netwrix Change Tracker により、どの設定をベースラインへ昇格（反映）するかをあなた自身が管理できます。

すべてのビルドプロセスは、セキュリティのベストプラクティスに基づいています。ベースラインのプロモーション、編集、作成のあらゆる段階で、ユーザー権限が管理されます。さらに、「誰が」「何を」「いつ」「なぜ」といった詳細が記録された、きめ細かな監査証跡を得られるため、時間の経過とともにどのベースライン画像がどのように変更されたのかを正確に把握できます。

構成ドリフトの検出と是正

Netwrix Change Tracker さらに、脅威インテリジェンスを活用して、システムファイルへの不要で潜在的に危険な変更を的確に特定する、高度な変更管理（change control）も提供します。実際、この製品は、承認済みのハッシュ（approved hashes）を数十億件も用いて、デバイス上の新規ファイルや変更されたファイルを確認します。そのため、Microsoftの Patch Tuesday で発生する大量の変更によってアラートに溺れることはありませんが、「わらの山」の中に隠れた悪意ある改変はすぐに把握できます。

結論

変化は避けられませんが、設定を安全なベースラインから逸脱させたままにする必要はありません。Netwrix Change Tracker のような自動化された構成管理ツールを使えば、システム全体で安全な構成を確立し維持して、高額なパフォーマンス問題や停止、セキュリティ侵害、コンプライアンス違反による罰則を回避できます。

よくある質問（FAQ）

セキュアなベースライン設定とは何ですか？

ベースライン構成（baseline configuration）またはゴールドビルド（gold build）とは、システムの標準かつ承認された構成のことです。承認済みのオペレーティングシステム、パッチ適用レベル、インストール済みソフトウェアなどを指定できます。ベースラインをより安全にするには、CIS Benchmark または DoD STIG のガイダンスに基づいて作成することを検討してください。

自分のシステムに設定すべきベースライン構成は、どうやって決めればよいですか？

同様のシステムの各セットごとに、ベースライン構成を確立します。たとえば、会計部門で使用しているすべてのワークステーションは、同じベースライン構成を共有すべきです。

設定強化（configuration hardening）のベストプラクティス：configuration hardening 以下を含めてください：

• 不要なソフトウェアをアンインストールし、使用していないすべてのロールと機能を削除してください。
• 不要なサービスやデーモンは削除するか、無効化してください。
• 不要な論理ネットワークポートは削除するか、ブロックしてください。
• すべてのソフトウェアを最新のレベルにパッチ適用した状態に保ってください。

ただし、基準構成（baseline configurations）を作成する際には、セキュリティとビジネス上の優先事項のバランスを取る必要がある可能性が高い点に留意してください。セキュリティを、必要な機能のために譲らなければならない場合は、Web アプリケーション ファイアウォール（WAF）やファイアウォール サービスなど、ほかのセキュリティ対策で補うことができます。

基準構成（baseline configuration）はどのくらいの頻度で更新すべきですか？

基準構成（baseline configurations）への変更は避けられず、かつ必要です。とりわけ、定期的なパッチ適用と更新は、新たに判明した脆弱性への防御や、新しいソフトウェア機能へのアクセスを可能にするうえで重要です。これらのプロセスによって構成の変更が発生した場合は、サービス提供とセキュリティへの影響を慎重に評価し、そのうえで基準構成（baseline configuration）を更新するかどうか、またどのように更新するかを判断してください。更新された基準構成は、関連するすべてのシステムに速やかに適用する必要があります。

NERC CIP 規格では、エネルギー生産に必要なすべての SCADA、HMI、PLC システムについて、基準構成（baseline configurations）を 30 日ごとに監査することが求められています。

構成管理計画（configuration management plan）とは何ですか？

構成管理計画（configuration management plan）では、ベースライン構成（baseline configurations）を確立するためのプロセス、構成変更がないかシステムを監視する方法、不適切または承認された変更を是正する手順、そして時間の経過にかかわらずベースライン構成を維持する方法が定義されます。

構成ドリフト（configuration drift）をどのように防げますか？

構成ドリフト（configuration drift）はよくある問題ですが、強力な構成管理によって管理できます。特に、次の点を実施してください：

• 各クラスのシステムおよびアプリケーションごとに ベースライン構成（baseline configuration） を確立します。
• すべての構成変更を計画し、計画どおりに実施されたことを検証し、文書化します。
• 設定の変更を監視し、優先度を仕分け（トリアージ）してください。
• 問題を素早く解決するために ad-hoc や応急処置で取り繕うことは避けてください。