CIS Control 1：エンタープライズ資産のインベントリと管理

自社にどのような IT 資産があり、それぞれが組織にとってどれほど重要かを把握していなければ、IT セキュリティやインシデント対応に関する戦略的な意思決定を行うことはほぼ不可能です。

実際、エンタープライズ資産のインベントリと管理は非常に重要であるため、Center for Internet Security (CIS) が公開している Critical Security Control (CSCs) のセットの中で最初に位置付けられています。CIS の資産管理コントロールは、ネットワーク内の重要なデータ、デバイス、その他の IT 資産を特定し、それらへのアクセスを制御するのに役立つ情報を提供します。

この記事では CIS Control 1 の規定を解説します。

1.1. 詳細なエンタープライズ資産インベントリを確立し、維持します。

CIS CSC 1 における最初のセーフガードは、ネットワークにアクセスするすべての資産について、完全かつ最新のインベントリを確立し、維持することです。そこには、物理的・仮想的・リモートのいずれかの方法でインフラに接続されているすべてのハードウェア資産を含める必要があります。たとえそれらが管理下にない場合でも、含めるべきです。例として、ユーザー端末、サーバー、非計算系および IoT 端末、そして network device などがあります。

資産インベントリには、各資産が組織の業務運営にとってどれほど重要かも記録する必要があります。ネットワークアドレス、マシン名、エンタープライズ資産の所有者、ハードウェアアドレスを必ず記録してください。また、各資産の部門、およびネットワークに接続することが承認されているかどうかも含めます。

新しいアセットを環境に導入したら、その都度インベントリを更新してください。適切に管理されたインベントリは、アセットの追跡やコスト管理に役立つだけでなく、セキュリティリスクを理解し、優先順位を付けることにも役立ちます。

1.2. 未承認のアセットに対処します。

資産インベントリを徹底的に確認して、従業員の私用スマートフォンやノートパソコンなどの未承認アセットを特定します。未承認のデバイスはITチームによって適切に管理されていないため、ハッカーがネットワークにアクセスするために悪用できる脆弱性が多数含まれていることがよくあります。

未承認アセットを毎週確認し、対処するためのプロセスを設定します。未承認アセットへの対応方法には、ネットワークからの削除、ネットワークへのリモート接続を不可にすること、隔離することなどがあります。

1.3. アクティブな検出ツールを活用します。

CIS は、ネットワーク内のすべての資産を明らかにし、許可された資産と許可されていない資産を区別できるアクティブなディスカバリーツールへの投資を推奨しています。組織のニーズとリスク許容度に応じて、ツールを毎日、またはそれ以上の頻度で実行するように設定できます。

ネットワーク上の資産を単に検出するだけでなく、同様のディスカバリーツールによっては、デバイスの構成、インストール済みソフトウェア、保守スケジュール、利用データなどの詳細情報を収集できるものもあります。これらの情報は、脆弱性の検出、ダウンタイムの最小化、帯域幅の追跡、そして不正な使用の発見に役立ちます。

1.4. 動的ホスト構成プロトコル（DHCP）のロギングを使用して、エンタープライズ資産インベントリを更新します。

DHCP は、ネットワーク上の資産に IP アドレスを割り当てるプロセスを自動化するために使用されるネットワーク管理プロトコルです。IP アドレス管理ツールや DHCP サーバーで DHCP ログを有効にすると、IT チームは 1 か所から IT 環境に接続されている資産を監視しやすくなります。定期的にログを確認することで、資産インベントリを最新の状態に保つこともできます。

1.5. パッシブな資産ディスカバリーツールを使用します。

アクティブスキャンツールはネットワーク上の新しいデバイスを確認しますが、パッシブな資産発見ツールは、ネットワークにトラフィックを送信しているデバイスを特定するのに役立ちます。また、過去にネットワークを侵害した資産を見つけるために、履歴ログデータを利用することもできます。

これらのパッシブツールをスイッチの SPAN ポートに接続して、流れているデータを可視化することができます。これらのツールを使うことで、ネットワーク内で通信している外部システムや資産をより簡単に特定でき、インベントリ内のすべての項目に IP アドレスを付けて記録できるようになります。

概要

CIS Control 1 は、サイバーセキュリティを改善するうえで不可欠です。攻撃者は、パッチが最新に保たれていないことが多く、脆弱なソフトウェアがインストールされている可能性があるため、個人用ノートパソコンやその他のモバイルデバイスを狙うことがよくあります。ネットワークに接続するすべての資産のインベントリを維持し、未承認のデバイスを積極的に排除することで、攻撃対象領域（攻撃面）を大幅に減らすことができます。

Netwrix Change Tracker はネットワークをスキャンしてデバイスを検出し、その後 CIS 認定ビルドテンプレートを使って設定を強化するのを支援します。システム設定へのすべての変更はリアルタイムで監視され、計画されていない変更があれば直ちに通知されます。