デバイスインベントリは特権アカウントディスカバリーではない

デバイスインベントリと特権アカウントディスカバリーは異なる問いに答える

デバイスインベントリは不可欠であり、資産管理上の問い、すなわち「どのシステムを把握しているか」に答えるものです。レコードにはホスト名、所有者、OS、事業部門、インストール済みエージェント、最終チェックイン時刻が含まれることがあります。

特権アカウントディスカバリーは異なるセキュリティ上の問い、すなわち「今この瞬間、誰がどの関係を通じて各システムを管理できるか」に答えます。

登録済みのデバイスであっても、ローカル管理者への所属状況が不明なままの場合があります。

デバイスリストは、ディスカバリーの結果としてではなく、出発点となる母集団として扱うことを推奨します。特権チェックが成功するまで、そのエンドポイントはカバレッジギャップに含まれます。

特権アカウントディスカバリーにはカバレッジの分母が必要

すべての特権メトリクスには分母が必要です。エンドポイントディスカバリーにおける有用な出発点の指標は次のとおりです。

現在の特権カバレッジ ＝ 成功した最新の特権スキャンを持つ対象範囲内エンドポイント数 ／ 対象範囲内の全エンドポイント数

エンドポイントの母集団ごとに「最新」の定義を決めてください。7日間はワークステーションには許容できても、重要なサーバーには古すぎる場合があるため、アクセスがどれだけ速く変化しうるかに合わせて間隔を調整してください。

スキャンが困難になったからといって、分母を密かに縮小してはいけません。少なくとも次のカテゴリーを可視化しておいてください。

• 許容された間隔内で正常にスキャン済み
• 正常にスキャン済みだが、現在は期限切れ
• オフラインまたは到達不能
• 認証、認可、接続性、または設定の問題により失敗
• 既知だが、一度もスキャンされていない
• 新たに発見されたが、まだスキャン対象と照合されていないレコード

これらはフォローアップが必要なセキュリティ上の結果です。オフライン、失敗、または未スキャンのエンドポイントには依然として恒常的なアクセス権が存在する可能性があり、問題なしとはみなせません。

登録および健全性レポートはデバイスのステータスを確立します。特権カバレッジは、管理アクセスに関する最新の証跡を追加します。

実効的な管理者アクセスはエンドポイントから追跡する必要がある

Windowsエンドポイントでは、ローカルのAdministratorsグループが実務上の出発点になります。そのメンバーには、ローカルアカウント、指定されたドメインアカウント、またはドメイングループが含まれることがあります。実効アクセスは、グループパスを通じてメンバーシップを継承するIDにも及びます。

これにより、2つの異なる視点が生まれます。

• 直接的なメンバーシップ： アカウントまたはグループが、エンドポイントのローカルAdministratorsグループに直接表示される。
• グループ由来のアクセス： 人またはアカウントが、直接的または入れ子になったメンバーであるグループに属しているために管理アクセスを受け取る。

直接的な割り当ては、エンドポイントの設定を説明します。解決されたグループ由来の関係は、環境全体にわたるIDの到達範囲を示します。ローカルグループのエントリのリストだけでは、その到達範囲を過小評価する可能性があります。

ローカルアカウントにも特別な注意が必要です。MITRE ATT&CK T1078.003、Local Accountsは、攻撃者が有効なローカル認証情報を悪用して永続化、権限昇格、防御回避、アクセスを行う方法を説明しています。MITREはまた、再利用されたローカルアカウントの認証情報がマシン間の移動を助長しうることも指摘しています。デバイスインベントリでは、同一のローカル管理者IDまたは認証情報パターンがその到達範囲を生み出しているかどうかはわかりません。

特権ディスカバリーは、エンドポイントの証跡を、アクセスを実効的にするID関係と結び付ける必要があります。

エンドポイントプラットフォームはディスカバリーを拡張し、ビジネスコンテキストがポリシーを導く

アセットおよびエンドポイントプラットフォームは、スコープの定義に役立ちます。統合された収集経路は、管理対象エンドポイント全体での証跡収集を拡張できます。

信頼できる結果は、各チェックの結果と時刻を、発見された管理関係と結び付けます。

ビジネスコンテキストは証跡をポリシーへと変えます。チームはディスカバリー結果を、アカウントの所有権、ワークフローの依存関係、ビジネス上の必要性と組み合わせて、どのアクセスを維持、レビュー、削除するかを判断します。

これらの責任は連携して機能します。

• アセットおよびエンドポイントプラットフォームはスコープを確立し、統合されている場合は収集を拡張する。
• 特権アカウントディスカバリーは管理関係をマッピングし、カバレッジを測定する。
• 所有権、依存関係、ポリシーコンテキストが是正を導く。

インベントリ、アクセスレビュー、最小権限、期限付きアクセスに関するより広範な統制フレームワークについては、特権アクセス管理のベストプラクティスに関するNetwrixガイドを参照してください。

権限削減を測定する前に可視性を測定する

特権数は、ディスカバリーカバレッジが安定して初めて意味を持ちます。

スキャンが新しいサーバーセグメントに到達すると、可視性が向上したために件数が増加することがあります。後の削減が証跡の消失ではなく、実際に削除されたアクセスを反映するように、カバレッジをエクスポージャーとあわせて追跡してください。

これは広く見られる運用上のギャップです。Netwrix 2026 Data and Identity Security Reportでは、組織の76%が、不要になった恒常的アクセスを直ちに取り消すことができないことが明らかになりました。効果的な取り消しは、アクセスがどこに存在するか、そして証跡が最新であるかを正確に把握することから始まります。

可視性とエクスポージャーをあわせて報告してください。次を追跡します。

• 対象範囲内エンドポイントの合計数。
• 最新の成功したスキャンを持つ数と割合。
• 期限切れ、失敗、オフライン、未スキャン、未解決のエンドポイント。
• 直接的またはグループ由来のローカル管理者アクセスを持つID。
• 各IDのエンドポイントへの到達範囲。
• 最新として受け入れられる最も古い結果の経過時間。

カバレッジが安定したら、到達範囲が広いID、繰り返し現れるローカルアカウント、想定外のグループパス、重要システムへのアクセスを優先してください。その時点から、特権数の減少が是正の証跡となります。

NPS-Dがデバイスレコードを特権の証跡に変える仕組み

Netwrix Privilege Secure for Discovery（NPS-D）は、エンドポイントインベントリを実用的な特権の証跡に変えます。管理対象のWindowsエンドポイント上でローカル管理アクセスを検出し、直接的およびグループ由来の管理者関係を記録し、スキャンステータスをデバイスレコードの単なる存在とは切り離して管理します。これにより、チームは発見されたアクセスと、その背後にあるカバレッジ状況を明確に把握できます。

NPS-Dは、NPS-Dエンドポイントエージェントをインストールすることなく、有効なScanアカウントを使用してWindowsエンドポイントから直接特権の証跡を収集できます。Active Directory、Microsoft Entra ID、またはその両方からのディレクトリコンテキストと、直接接続またはTanium CloudなどのサポートされているEDR統合を通じて収集されたローカル管理者の証跡を組み合わせます。これにより、直接到達可能なエンドポイントとEDR管理下のエンドポイントの両方にディスカバリーを拡張できます。

Microsoft Intuneを使用しているチームでは、その管理対象デバイスインベントリがエンドポイント母集団の定義に役立ちます。NPS-Dの特権の証跡とあわせてレビューすることで、どのエンドポイントが管理されているか、誰がそれぞれを管理できるか、アクセスがどのように割り当てられているか、証跡がいつ収集されたかを把握できます。

NPS-Dはエンドポイントの結果をIDに結び付けます。チームは、特権IDがシステム全体にどれほど広く到達しているかを分析し、直接的な割り当てとグループ由来のアクセスを区別しながら、カバレッジギャップを可視化しておくことができます。

実践的なNPS-Dのワークフローは次のとおりです。

1. 対象範囲内のエンドポイント母集団を確立する。
2. 最新のローカル管理者の証跡を収集し、カバレッジを測定する。
3. 直接的およびグループ由来のアクセスをIDまで遡って追跡する。
4. 所有権、依存関係、承認済みの例外をレビューする。
5. 観察から、管理された段階でのポリシー適用へと移行する。

誰が管理アクセスを必要としているかをチームが理解したら、NPS-Dを使って不要な特権を削減できます。小規模なエンドポイントのグループから始め、結果をレビューし、段階的に拡大してください。

特権カバレッジを報告する

信頼できる特権インベントリは、対象範囲内のエンドポイント、成功した最新のスキャン、そのエンドポイントで発見された管理関係、そしてそれらの関係を通じて実効的なアクセスを受け取るIDという4つの要素を結び付けます。

今週、次の4つのアクションから始めてください。

1. 対象範囲内のエンドポイント母集団を定義する。
2. 既知のデバイスと、成功した最新の特権スキャンを持つエンドポイントを区別する。
3. 期限切れ、失敗、オフライン、未スキャン、または未解決のすべてのレコードを調査する。
4. 直接的およびグループ由来の管理者関係を、その到達範囲とビジネス上の重要性に基づいてランク付けする。

すべてのデバイスを一覧化できても、それぞれを誰が管理できるか、その証跡がいつ収集されたか、どのシステムがまだ把握されていないかを言えないのであれば、それはデバイスインベントリにすぎません。特権ディスカバリーにはまだ至っていません。

特権ディスカバリーの実際の動作を見る

Netwrix Privilege Secure for Discoveryがエンドポイント上の隠れた特権アクセスをどのように明らかにし、誰が各システムを管理できるかを示し、チームが恒常的なアクセスを削減する助けとなるかをご覧ください。

デバイスインベントリを特権の証跡に変える準備はできていますか？ Netwrix Privilege Secure for Discoveryを見る。