CIS ベンチマーク ツール：それは何か、どのように機能し、なぜ継続的な監視が重要なのか

じっくり考える価値のある数字があります。CIS Microsoft Windows 11 Enterprise Benchmark v4.0.0 は全1,364ページに及び、500を超える個別の構成設定をカバーしています。これだけでも1つのOSです。そこにLinuxサーバー、ネットワーク機器、データベース、クラウドのワークロードを追加すると、どのチームも手作業で常に把握し続けられないような構成の“表面積”に直面することになります。

CIS ベンチマーク ツールは、その課題をスケールの力で解決します。 何千もの“推奨どおりに強化すべき”要件を、自動化されて繰り返し可能な評価プロセスへと変換します。さらに優れたものは、最初のスキャンで止まりません。強化した後も監視を続け、設定がリスクへと再び傾く瞬間を見逃しません。

ただし、すべての CIS ベンチマーク ツールが同じ作り方をしているわけではありません。特に、CIS-CAT Pro の“ある時点”モデルと、継続的な監視が実際に求めるものとの違いを理解することが、セキュリティ チームが正しいアプローチを選ぶ助けになります。早速見ていきましょう。

CIS ベンチマークとは何で、どのように実装するのですか？

CIS Benchmarks は、Center for Internet Security が公開しているセキュリティ設定ガイドラインです。各ベンチマークは、Windows、Linux ディストリビューション、AWS、Azure、Kubernetes、SQL Server、または他の数十のプラットフォームなど、特定の技術を対象とし、ハードニングを個別でテスト可能な管理（コントロール）に分解します。ほとんどの管理（コントロール）は、2つのレベルのいずれかに該当します。

1. レベル 1：運用上のリスクが最小で、幅広く適用可能な基礎的な設定です。不要なサービスを無効化し、パスワードの複雑性を強制し、監査ログ（audit logging）を有効化します。
2. レベル 2：より高いセキュリティ環境に向けた多層防御（defense-in-depth）の設定です。これらはさらに踏み込み、カーネルの挙動を制限したり、ネットワーク・スタックの設定を厳格化したり、展開（ロールアウト）前に慎重なテストが必要な管理（コントロール）を適用します。

CIS Benchmarks の実装は、一度きりのスキャンではなく 4 段階のプロセスです。

• ベースライン評価。 対象システムに対して CIS ベンチマーク ツールを実行し、現状のスコアを確立します。各コントロールごとの合否（pass/fail）の内訳が得られます。初回実行で失敗が長いリストとして出てくるのは正常であり、有用です。
• ギャップ分析と優先順位付け。 すべての失敗したコントロールが同じリスクを伴うわけではありません。コントロールの重大度、システムの露出（どれだけ攻撃にさらされているか）、および強制（施行）にかかる運用コストに基づいて優先順位を決めてください。運用データベースにおける Level 2 カーネルハードニング設定は、開発用ワークステーションにおける監査ログの保持設定とは話がまったく変わってきます。
• 是正とハードニング。 設定変更は Group Policy、Ansible、Chef、DSC を通じて適用するか、規模の小さい環境では手動で行います。リスクを受け入れる（許容する）コントロールについては、例外をビジネス上の正当な理由とともに文書化してください。
• 継続的な監視。 ここでほとんどのチームがつまずきます。ベンチマークは、監査の前に一度チェックすれば終わり、というものではありません。 構成がドリフトする。ソフトウェアのアップデートが、強化（ハードニング）設定を上書きしてしまいます。管理者は緊急の変更を行います。これらの変更をリアルタイムで可視化できないと、次のアセスメントまでは“書面上は”準拠しているだけになります。

この最後の段階では、CIS ベンチマーク ツールの選び方が最も大きな差になります。

CIS-CAT Pro の種類：公式の CIS ベンチマーク ツールを理解する

CIS-CAT (Configuration Assessment Tool) Pro は、Center for Internet Security によって公開されている公式の CIS ベンチマーク ツールです。Java ベースのユーティリティで、XCCDF 形式のベンチマーク定義を読み取り、コンプライアンス レポートを生成します。CIS-CAT Pro には 2 つのバリアントがあり、その違いによって、どのように運用していくかが決まります。

CIS-CAT Pro Assessor

Assessor は中核となるスキャン エンジンです。SSH または WinRM を介して、対象システムにローカルまたはリモートで接続し、ベンチマーク評価を実行して、合コンプライアンス スコア、各コントロールごとの合否ステータス、そしてすべての不合格チェックに対する修正（レメディエーション）ガイダンスを含む HTML と CSV のレポートを作成します。

Assessor は、システムのセキュリティ態勢をある時点で把握するためのビューを提供します。定期的にスケジュールすれば、確かに役に立ちます。しかし実際には、「定期的に」といっても多くの場合は週次または月次であり、その結果、ドリフト（設定のずれ）が検出されないまま放置される“実際の”ギャップが生まれます。

CIS-CAT Pro Dashboard

Dashboard は、環境全体にわたる Assessor の結果を集約する Web アプリケーションであり、時間の経過とともに中央集約的なコンプライアンスの可視性を提供します。ベンチマーク、システム、コントロール（制御）ごとの傾向データを表示するため、サイクル間でセキュリティ態勢が改善しているのか、悪化しているのかを確認できます。

Assessor と Dashboard を組み合わせることで、しっかりとした評価（assessment）の基盤が得られます。ただし、両方のツールはスキャンしてレポートする（scan-and-report）モデルで動作します。実際に何かが変わったときではなく、スキャンした時点での状況を示してくれるのです。

CIS-CAT Pro でカバーされないもの

CIS-CAT Pro は、初期評価（initial assessments）および定期的なコンプライアンス報告のための、権威ある CIS ベンチマーク ツールです。CIS コントロール（CIS controls）に直接対応する監査証跡（audit evidence）を生成するのに適したツールです。 ただし、継続的な監視、リアルタイムでの変更検知、または変更管理（change control）の自動化 を目的として設計されたものではありません。これらの機能を実現するには、別のアーキテクチャのアプローチが必要になります。

CIS ベンチマーク ツールの主要な機能：良いものと運用を分けるポイント

CIS-CAT Pro、商用プラットフォーム、またはハイブリッドアプローチのいずれを検討していても、次の機能こそが「コンプライアンスを確認するだけの CIS ベンチマークツール」と「実際にそれを維持するのに役立つツール」とを分けます。

1. 幅広いプラットフォームをカバーしつつ、深さも一貫している

CIS は 100 を超える技術に対するベンチマークを公開しています。CIS ベンチマークツールは、実際に運用しているものを（Windows 以外のものも含めて）サポートしている必要があります。Windows Server、RHEL、Oracle、ネットワークのファイアウォール、クラウド基盤を管理するセキュリティチームには、すべての対象にわたって一貫したベンチマークのカバレッジが求められます。代理ベース（agent-based）と代理なし（agentless）の両方の収集に対応したものを選ぶと、直接エージェントのインストールをサポートしないレガシーシステムやネットワーク機器もカバーできます。

2. ベースラインの確立とドリフト検知

CIS ベンチマークツールは、各システムについて「既知の良好な」構成のベースラインを確立し、その後現在の状態を継続的に照合するべきです。ドリフト検知は、監視対象の設定が変わった瞬間にリアルタイムで発火し、72 時間後に次回のスケジュールされたスキャンで確認するようなことではありません。このギャップが重要です。ほとんどの不正な変更は、週次スキャンで検出されるずっと前に行われ、すでに対処や実行まで済んでいることが多いのです。

3. ファイル整合性モニタリング（FIM）

設定の強化はレジストリ キーや Group Policy の設定だけではありません。バイナリ、設定ファイル、スタートアップ スクリプトを含む重要なシステム ファイルも、同じくらい重要な攻撃対象領域です。file integrity monitoring を備えた CIS ベンチマーク ツールは、重要なファイルが信頼された状態と一致しているかどうかを検証し、ベンチマークのスコアリングだけでは表面化しない不正な改変を見つけ出します。

4. 変更管理の統合

成熟した実装と未熟な実装を分ける重要な違いがあります。それは、計画された変更と未承認の変更を見分けられることです。たとえばパッチ管理のウィンドウで、200 台のサーバーにわたって 40 個の強化設定を適用する場合に、そのイベントがセキュリティ アラートとして発火してほしくありません。適切に設計された CIS ベンチマーク ツールは、ITSM ワークフローと統合されているため、承認済みチケットに紐づく変更が自動的に検証され、その他は調査対象としてフラグが立ちます。これが、closed-loop change control が実際にどのように機能するかです。

5. 複数フレームワークのコンプライアンス報告

単一のコンプライアンス要件のもとで運用している組織は多くありません。PCI DSS、NIST 800-53、HIPAA、DISA STIG、NERC CIP などの各フレームワークに対応するレポートを備えた CIS ベンチマークツールを使えば、1つのデータセットから複数の評価担当者（アセッサー）向けの監査エビデンスを作成できます。監査シーズン前の深夜対応が大幅に減るのです。

6. フォレンジック調査のための完全な監査証跡

何か問題が起きたとき、すぐに次の3つの質問に答える必要があります。何が変わったのか、いつ変わったのか、そして誰が変更したのか？タイムスタンプ付きで検索可能な変更履歴を備えた CIS ベンチマークツールを使えば、調査にかかる時間は数日ではなく数分になります。さらに、単なる定期的な評価ではなく、継続的な統制を示すためのコンプライアンス証拠としても機能します。

7. ファイルのレピュテーション（評判）検証

高度な CIS ベンチマークツールは、変更検出にとどまらずファイル認証まで行い、観測されたファイルをグローバルなレピュテーション（評判）データベースと照合して、そのファイルが既知の良性（known-good）か、既知のマルウェア（known-malicious）か、あるいはこれまで見たことのないもの（previously unseen）かを判定します。これにより、ポリシーベースのチェックだけでは提供できない構成監視の上に、ホストの侵入検知レイヤーを追加できます。

Netwrix Change Tracker が CIS ベンチマークツールとして機能する仕組み

Netwrix Change Trackerは、定期スキャン型の CIS ベンチマークツールとは異なる前提に基づいて構築されています。予定された評価を実行するのではなく、構成のベースラインを確立し、管理対象のすべてのシステムを継続的に監視して逸脱を検出します。設定が強化（ハードニング）状態からずれた場合、Change Tracker は次のスキャン期間ではなく、直ちにフラグを立てます。

実際には次のようになります。

1. 内蔵された CIS ベンチマークテンプレート。 Change Tracker には、Windows、Linux、その他のプラットフォーム向けの既製の CIS ベンチマーク評価テンプレートに加え、Windows と Linux の監査ポリシー設定も付属しています。プロファイルをゼロから作る必要はありません。
2. エージェント型およびエージェントレス型の収集。 インストールが現実的な環境では、エージェントがリアルタイムのテレメトリを提供します。レガシーシステム、ネットワーク機器、または制約のある環境では、エージェントレス収集がギャップを埋めます。どちらも統合された変更タイムラインに反映されます。
3. クローズドループの変更管理。 Change Tracker は ServiceNow やその他の ITSM プラットフォームと統合し、計画された変更と計画外の変更を区別します。承認済みの変更ウィンドウは事前に定義され、そのウィンドウ内の変更は自動で検証され、ウィンドウ外の変更はフラグ付けされます。ノイズを減らし、シグナルを強めます。
4. FIM とファイルレピュテーション。 ファイル整合性モニタリングは構成モニタリングと並行して動作し、グローバルな評判（レピュテーション）データベースが観測されたファイルを検証します。これは、多くの単独の CIS ベンチマークツールには含まれていない侵入検知のレイヤーです。
5. 250以上のプリビルド済みコンプライアンス レポート。 CIS、NIST 800-53/171、PCI DSS、DISA STIG、NERC CIP、HIPAA、SOX、ISO 27001 などに準拠したレポートです。1つのデータソースで、複数の監査アウトプットを生成できます。
6. REST API と SIEM 連携。 変更イベントは Splunk、または syslog に対応した任意の SIEM に流れます。REST API は、自動化と、より広範なセキュリティ ワークフローとの統合をサポートします。

CIS ベンチマークツールとしての CIS-CAT Pro vs. Netwrix Change Tracker

両者は異なる役割を果たし、多くの成熟したセキュリティプログラムでは両方を使用しています。

CIS-CAT Pro は監査の証拠を作り出すためのエンジンです。Change Tracker は運用におけるセキュリティ基盤です。監査人に対してコンプライアンスを証明し、さらに日々それを維持する必要があるチームにとっては、両方が欠かせない存在となります。

CIS ベンチマークツールからより早く価値を得る方法

CIS ベンチマークツールから素早く“本当の価値”を引き出すには、「最初から海全体を沸かそうとする」誘惑に負けないことがポイントです。ここでは、セキュリティチームが構成モニタリングで実際に成功しているやり方をもとにした段階的アプローチを紹介します。

1. 最も露出リスクの高いシステムから始めてください。 ドメイン コントローラー、データベース サーバー、そしてインターネットに面したインフラは、最も重要な攻撃対象です。まずそれらを CIS benchmark tool でカバーし、その後により広い環境へ展開してください。
2. 何かを強制適用する前に、現状の基準（ベースライン）を理解してください。 まず初期アセスメントを実施し、現在の状態を把握します。ギャップが分からないまま強化設定を強制適用しようとすると、ノイズが増え、運用上の摩擦も生じます。まずは自分たちがどこにいるのかを把握しましょう。
3. アラートを有効化する前に、計画された変更ウィンドウを定義してください。 毎回のパッチ火曜日（Patch Tuesday）ごとにチームへアラートを大量に浴びせることほど、CIS benchmark tool の導入を素早く失敗させるものはありません。変更管理の統合を設定し、承認済みのウィンドウを定義してください。これにより、リアルタイムのアラートが稼働する前に、想定される変更が自動で検証されます。
4. 例外事項は明確に文書化してください。 一部の Level 2 コントロールは、環境によって正当な例外が発生することがあります。それらをビジネス上の正当性（理由）とともに記録し、CIS benchmark tool で該当する特定の誤検知（false positives）を抑制するように設定します。これにより、アラートのフィードは意味のある状態を保てます。
5. 監査カレンダーにレポーティングを組み込みましょう。 監査サイクルに合わせて、自動化されたコンプライアンス レポートをスケジュールします。事前に用意されたマルチフレームワーク テンプレートを備えた CIS benchmark tool を使えば、監査シーズンに証拠パッケージを手作業で組み立てる必要がありません。

要するに

CIS Benchmarks は、技術的に厳密でコンセンサスに裏付けられたハードニング（強化）目標を提示します。優れた CIS ベンチマーク ツールなら、その目標を大規模に運用可能な形にしてくれます。CIS-CAT Pro は、権威ある評価と監査証跡に適しています。とはいえ、構成がドリフトし、パッチが設定を上書きし、管理者がプレッシャーの中で変更を行うような本番環境でハードニング済みの状態を維持するには、定期スキャナでは提供できない継続的な監視とクローズドループの変更管理が必要です。

Netwrix Change Tracker により、セキュリティ チームは何千もの CIS 要件を、継続的に監視されるベースラインへと変換するための可視性と制御を得られます。さらに、変更管理の統合と複数フレームワークに対応したレポーティング機能により、手作業による負荷を増やすことなく監査対応の準備状態を維持できます。