ゼロトラストでは「すべてを信用しない」という前提のもと、アクセスのたびに検証を行います。
その際に重要となるのが「誰がアクセスしているか」だけでなく、「どの端末からアクセスしているか」を正確に把握することです。しかし実際の運用では、「ログにIPアドレスは残っているが端末が特定できない」「どの利用者の端末か分からない」といった課題が多く見られます。本記事では、ゼロトラストを実現するために必要な端末管理について、IPアドレス・MACアドレス・利用者情報をどのように紐付けるべきか、また脆弱性対策まで含めた実践的な構成を解説します。
ゼロトラストでは、アクセス制御の判断において以下の情報が重要になります。
従来のように「社内ネットワークだから安全」という考え方は通用せず、どの端末が、どの利用者によって使用されているかを常に把握する必要があります。
ログ管理システム（Graylogなど）では、多くの場合以下の情報が記録されます。
しかし、IPアドレスだけでは端末を特定することはできません。
特に企業ネットワークではDHCPによりIPアドレスが動的に割り当てられるため、同じ端末でも時間によってIPアドレスが変わることがあります。
そのため、以下のような課題が発生します。
端末を特定するためには、次の3つの情報を紐付ける必要があります。
DHCPサーバのログを利用することで、
の対応関係を把握できます。
OCS Inventoryや、Snipe-IT/Snipe-IT Agentなどのツールを利用することで、
を紐付けることができます。
Snipe-ITなどの資産管理ツールにより、
を結び付けることができます。
このように、
IP → MAC → 端末 → 利用者
という関係を辿れる状態を構築することが、ゼロトラストにおける端末管理の基盤となります。
多くの企業で利用されているWindows DHCPサーバでは、IPアドレスの割当ログを取得することが可能です。しかし、以下のような課題が見られます。
ゼロトラストを実現するためには、
が重要になります。
端末管理は「特定するため」だけでなく、「安全な状態を維持するため」にも重要です。
例えば、
これらを把握しなければ、ゼロトラストの前提である「検証」が成立しません。
OpenVASなどの脆弱性スキャンツールと組み合わせることで、
を明確にすることができます。
以下のような構成により、実運用に耐える端末管理を実現できます。
この構成により、
することが可能になります。
DHCPログから端末・利用者までを完全に自動で特定する仕組みを構築することは容易ではありません。実運用では、
により、迅速に辿れる状態を構築することが現実的です。
重要なのは完全自動化ではなく、調査時に短時間で端末を特定できる仕組みを整備することです。
ゼロトラストを実現するためには、単に認証を強化するだけでは不十分です。
これらを正確に紐付け、さらに脆弱性の状態まで把握することが重要です。
そのためには、
といった仕組みを段階的に整備していく必要があります。
Snipe-ITは、WEB インタフェースから資産を管理するためのソフトウェアです。ここでの資産とは、主に企業などの組織が保有する物品を指します。本書は資産管理ソフトウェア「Snipe-IT」についての調査報告書です。
アプライアンスサーバとは、特定のサービスの機能を特化したサーバ製品をいいます。デージーネットでは、このSnipe-ITをアプライアンスサーバとして提供します。
OCS Inventory NGは、ネットワーク上の各機器情報を自動収集し、IT資産の棚卸管理ができるOSSです。デージーネットでは、ゼロタッチキッティングを実現するソリューションとして、OCS Inventory NGを利用したシステムの構築をご提案しています。
企業の資産を管理するツールとして資産管理ツールを導入する企業が増えてきています。ここでは、オンプレミス環境に構築できるOSSのおすすめ資産管理ツールを4選を紹介します。
DX（デジタルトランスフォーメーション）とは、デジタル技術を取り入れて企業におけるさまざまな業務プロセスを改善することを指します。ここでは、DX化に役立つOSSのツールを紹介し、導入することでどんなメリットがあるかを解説します。
資産管理システムSnipe-ITをデージーネットの社内に導入した事例です。弊社では、業務効率化とセキュリティ強化の対策として、パソコンやマウス、ハードウェア等のIT資産や、紙やペンなどの消耗品も資産管理システムを使って管理・運用しています。
Snipe-PCViewとは、デージーネットで開発をおこなった、PCの構成情報を取得することができるオープンソースソフトウェアです。ここでは、Snipe-PCViewのインストール方法を紹介します。
Snipe-IT-Agentは、Windows OSまたはLinux OSのハードウェア・ソフトウェア情報を収集し、Snipe-IT資産管理システムに新規資産を登録、もしくは既存資産情報を更新することができるソフトウェアです。
もっと使い方が知りたい方へ
操作方法や操作性をデモにてご確認いただけます。使い方のイメージを把握したい、使えるか判断したい場合にご活用下さい。デモをご希望の方は、下記よりお申込みいただけます。
