なぜネイティブのネットワークデバイス監査だけでは不十分なのか

私の 以前のブログ記事 の1つで、ネットワークデバイス監査が解決に役立つ主要な課題を共有しました。その中には、デバイス設定の制御、不正な操作の検知、スキャンの脅威を阻止することが含まれます。要するに、ネットワークインフラを安全に保ち、規制への継続的なコンプライアンスを確実にするには、あなたの ネットワークデバイス の監査をできるだけ早く始める必要がある、というのが私の主張です。

では、この重要なタスクにはどのツールを選べばよいのでしょうか。大まかに言うと、選択肢は3つあります。

ネイティブツール

ネイティブの監査（オーディティング）ツールは、小規模でシンプルな環境や、特定の運用タスクを完了する用途には有効です。ですが、情報が非構造化の形で提供されるため、重要なイベントを特定するには、すべてのログを掘り起こすのに多大な時間と労力がかかります。そのうえ、インシデントを見逃すリスクは通常、容認できないほど高くなります。したがって、ネイティブツールだけではセキュリティ目標を達成し、コンプライアンス要件を満たすことはできません。

デバイスベンダーのソフトウェア

デバイスベンダーが提供する監査ソフトウェアを使って、ネイティブの監査を補完することができます。各ブランドの技術に合わせてしっかりと調整されているはずなのに、なぜそのようなソリューションに寄せないのか、と疑問に思うかもしれません。

問題その1：監査ログ（監査トレイル）が、さまざまなプラットフォームに分散してしまいます。たとえば、Cisco のルーターと Fortinet のスイッチを監査したい場合、2種類の異なる製品を購入して管理する必要があります。それでも、1か所でネットワーク全体で何が起きているのかを完全に把握できません。結果として、インシデントの切り分けや、セキュリティおよびコンプライアンスの確保が難しくなります。

問題その2：ベンダーのソリューションは通常かなり複雑なので、使い方を学ぶのに多くの時間がかかります。もっとユーザーフレンドリーな代替手段があるのに、なぜ急な学習曲線に悩まされるのでしょうか？

サードパーティ製ソフトウェア

サードパーティ製のソリューションには、無料と有料の2種類があります。無料ツールは予算にやさしい一方で、機能はかなり限られているため、結局のところセキュリティとコンプライアンスのニーズを効率的に満たすことは難しくなります。

有料のサードパーティ製ソリューションには、これらの欠点は一切ありません。ネットワーク機器の監査のためにサードパーティ製ソフトウェアへの投資を強くおすすめする主な理由は4つあります：

集中化された監査証跡

サードパーティ製ソフトウェアはベンダーに依存しないため、すべての機器からの監査情報を1つの場所に集約できます。そのため、単一のコンソールからネットワーク内のすべての機器を管理可能です。インシデントやコンプライアンス違反につながり得る違反や異常があるかどうかを確認するために、複数の製品を行き来する必要はありません。代わりに、さまざまな機器からのイベントを1つの画面で監視できます。

さらに、このソリューションはノイズを除去し、疑わしいログオンからハードウェアの問題まで、機器まわりのあらゆる活動に関する明確で簡潔な情報を提供します。加えて、監査データを長期間保持するため、しばらく検出されていなかった問題であっても調査・是正する際に非常に有用です。また、コンプライアンス監査向けのレポート作成にも役立ちます。

継続的なセキュリティ監視

ネイティブ（標準）のログはかなり判読しにくい形式のため、重要なイベントを絞り込んで、何が起きているのかを解釈するのが難しくなります。さらに、ネイティブのツールではログイベントを簡単に検索する手段も、すぐに使えるレポートも用意されていません。

サードパーティ製のツールでは、読みやすい事前構成済みレポートと、柔軟なフィルタリングオプションが提供されるため、本当に重要な点に集中できます。さらに、ネットワーク機器の状態を定期的に確認し、異常をいち早く検知して、行動に移すまでの時間を短縮できます。たとえば、構成モードの初期化や構成のクリアなど、ネットワークに対する不正な設定変更を見つけ、すべての詳細を確認し、手遅れになる前に対応できます。

さらに、ネイティブのログは不正な（悪意のある）管理者によって消去される可能性があり、何が起きたのかを知る手がかりもなく、犯人を責任追及することもできずに状況が暗闇のままになります。 一方でサードパーティ製のツールは通常、イベントログに加えて、設定スナップショットや変更履歴記録などの複数の独立した情報源から監査データを収集します。そのため、悪意のある内部者は自分の行為の証拠を消し去ることができません。

インシデントへの対応をより迅速に

継続的な ネットワーク機器の監視 に加えて、ほとんどのサードパーティ製ツールは、異常なログオンイベントやスキャンの脅威などの重要な出来事についてすぐに通知できます。これにより、重要な問題をより迅速に調査して解決できます。

ネイティブのツールで特定のアラートを設定することはできますが、この作業はかなり手間がかかり、アラート自体も読み取りや理解が非常に難しいものです。そのため、セキュリティインシデント、ビジネスの混乱、またはコンプライアンス違反につながる前に、問題に迅速に対応するのが困難になります。

最適化されたコンプライアンスプロセス

多くの規制では、組織に対して ネットワークを入念に監査すること、ならびにデバイスの使用状況を確認し、標準の要件と管理策に対応づけた詳細なレポートを監査担当者に提供することを求めています。先ほど述べたとおり、ネイティブの監査ツールはレポート機能が貧弱なため、監査の準備や、チェック中に監査担当者が追加で質問してくる事柄への対応には多くの手作業が必要です。サードパーティのソリューションは、組み込みのレポートおよび検索機能によって、ネットワークが適用要件を満たしていることを確認し、監査時にコンプライアンスに関する決定的な証拠を提示できるようにすることで、この負担を大幅に軽減します。

ご覧のとおり、ネットワーク機器を効率的かつ正確に監査することは、ネイティブのIT監査ツールだけでは事実上不可能です。セキュリティとコンプライアンスを確実にするために、利用中（および利用予定）のすべてのベンダーに対応し、堅牢で成熟した境界セキュリティに必要なセキュリティインテリジェンスを提供できるサードパーティのソフトウェアを導入することをおすすめします。さらに、一部のサードパーティソリューションでは、監査対象の範囲を Active Directory やファイルサーバー、Exchange、Office 365 などの他のシステムにも広げられます。これにより、ITインフラ全体で起きていることを俯瞰的に把握できるようになり、選択肢を検討する際に大きなメリットになります。