資産を把握せずにRansomware対策はできない
資産台帳に載っていない機器が、ランサムウェアの侵入経路になりがちです。CAASMで見えない資産を可視化する方法を、画面の見方とあわせて解説します。
何があるか分からないまま、ランサムウェア対策は組めない
インシデント後の会議室を思い浮かべてください。侵入経路をさかのぼっていったチームが、最後にたどり着いたのは一台のサーバーでした。3年前のプロジェクトのために立てたもので、プロジェクト自体はとっくに終わっている。構築した担当者も退職済み。それでもサーバーは動き続けていました。資産台帳には載っておらず、EDRも入っておらず、ログもどこにも送られていない。
その場でいちばん答えにくかった質問は「なぜ侵入されたのか」ではありません。「同じような機器があと何台あるのか」でした。
ランサムウェアは、いちばん守りが厚い機器を狙わない
ランサムウェア対策の話は、たいていツールの話から始まります。EDR、SIEM、バックアップ、MFA。そしてどれが優れているかという議論になる。ただ、その手前に置くべき問いがあります。それらのツールは社内の何割の機器をカバーしているのか。そして、その数字は何を根拠に出しているのか。
攻撃者が使う入口は、たいてい地味です。インターネットに開いたままのRDP。パッチが当たっていないVPN装置。閉じ忘れた古いWebアプリ。何年も同じパターンが繰り返されています。共通しているのは特定の脆弱性ではなく、どれも「自分の持ち物だと誰も思っていない機器」だったという点です。
持ち主がいない機器には、パッチも当たらず、エージェントも入りません。おかしな挙動を始めても、SIEMに見えるログがない。SIEMの性能の問題ではなく、そもそもその機器からログを引いてきていないからです（この配線の話はEDRのログをSIEMに送る方法で詳しく書きました）。
CAASMとEASMは、見ている方向が違う
この2つは混同されがちですが、視点が逆です。
EASMは外から内を見ます。自社のどのドメイン、どのIP、どのポートがインターネット側に出てしまっているかをスキャンして洗い出す領域です（こちらで解説しています）。
CAASMは内から外を見ます。すでに社内のあちこちに分散している情報を一つの台帳にまとめ、この機器は誰が管理しているのか、どんな対策が入っているのか、そして入っているべきなのに入っていない対策は何か、を答えます。
難しいのは後者です。CAASMでいう「網羅できている」は、台数を正しく数えられることではありません。一台ごとに何が欠けているかまで分かっている状態を指します。zcrCTEMのCAASM機能はそこを担当します。
実際の画面
zcrCTEMのCAASM側は、3つの画面にまたがっています。デモはサンプルデータで動いているため、画面上の行や数値は引用しません。大事なのは、各画面に何が載っているかです。
Assetsインベントリ（説明は「CAASM canonical inventory for tenant scope」）は、3つのサマリータイルで始まります。資産の総数、coverage gaps（少なくとも1つの対策が「無い」と確認された資産）、critical risk（coverageリスクスコアが設定した基準以上の資産）です。その下に、class、source、coverage、gapで絞り込めるテーブルが続きます。1行が1つの資産で、識別子、種別とその資産を報告したツール、3つの対策（posture、脆弱性スキャン、EDRエージェント）の状態、リスクのグレードとスコア、staleなどのステータス、最終確認、そしてtierを割り当てる操作が載っています。
肝心なのは対策の列です。対策の状態はPRESENT、MISSING、UNKNOWN、N/Aのいずれかで、意味は同じではありません。MISSINGは「無いと確認された」、UNKNOWNはどのソースも有無を確認できていない状態です。無いと確認されたことと、確認できないことは別の問題で、コンソールはそれを「カバー済み」にひとまとめにせず、分けて見せます。
Coverage & Gaps画面は、同じデータを集計します。EDR、脆弱性スキャン、クラウドポスチャーのそれぞれについて、present・missing・unknown・not applicableの資産数を示し、特定された全ギャップを、欠けている対策、オーナー、最終確認、チケットの有無とともに一覧します。
Sync Health画面は、正直さの確認先です。すべてのソースをカテゴリ別（EASM、ダークウェブ、CAASM）に、connected、degraded/disconnected、stale、not configuredのステータスで一覧し、not configuredは失敗ではなく一度も実行されていない状態として扱います。一度も設定されていないコネクタは、すべて正常だと報告するのではなく、設定されていないことをそのまま示します。ソースが切断・劣化・報告停止になれば、リスクの全体像に死角が生じるおそれがあることをzcrCTEMが警告し、該当ソースを一覧します。これは見た目以上に重要です。黙って抜けているインベントリのほうが、まだ揃っていないと認めるインベントリより危険だからです。
ここで2行をゆっくり読んでみてください。どちらも説明のために作った仮の例で、デモの行ではありません。
一つ目は、会社の主要ドメインと同じtierに置いたAPIホストで、数分前に確認されています。現役で動いているのは間違いない。それでもEDRエージェントはMISSING、脆弱性スキャンとpostureはどちらもUNKNOWN。有効だと確認できている対策が一つもありません。
二つ目は、名前に「legacy」が入っていて、最終確認が2日前、3つの対策がすべてUNKNOWNのホスト。名前からして古いものだと分かります。それが2日前まで応答していた。冒頭の話に出てきたのと同じ種類の機器です。
この2行の状態は作ったもので、実際の環境で出るものはまったく違います。大事なのはこの表が答えを迫ってくる質問のほうです。自分たちがいちばん重要だと格付けした資産に、守られているという裏付けはあるのか。それとも、あるはずだと思ってきただけなのか。
CAASMが全体のどこに位置するのかはCTEMとはで扱っています。
当てはまるなら、これは他社の話ではありません
- いまインターネットから到達できるサーバーが何台あるか、その場で答えられない
- 資産台帳の本体が、半年以上更新されていないExcelファイルになっている
- EDRは導入済みだが、全体の何割の機器に入っているかは答えられない
- 持ち主が分からない機器を見つけたが、止めると何か壊れそうで放置している
- 別のチームがクラウド上に立てた環境を、セキュリティ側が把握していない
2つ以上当てはまるなら、防御ツールを買い足すのは費用対効果のいい次の一手ではありません。新しいツールは、すでに把握している機器の上に載るだけです。把握していない機器は、把握していないまま残ります。
資産インベントリにできないこと
ここははっきりさせておきます。CAASMはランサムウェアを止めません。
ファイルの暗号化を検知しません。プロセスを停止しません。端末を隔離しません。バックアップにも一切関与しません。やるのは、何を持っているかと、どこに対策が足りていないかを示すことだけです。事故が起きる前の仕事であって、起きている最中の仕事ではありません。
暗号化が始まってからの検知はまったく別の層の話で、SIEMでランサムウェアを検知するに分けて書いています。
ただし、正直なところ、担当チームが本気で維持している最新のCMDBがあるなら、CAASMツールを別途入れる必要はないかもしれません。問題は、CMDBがシステム構築時に一度入力されたきり、誰も戻ってこないまま放置されがちだという点です。
どこから始めるか
始まりは一つの問いで十分です。今日誰かに「インターネットから到達できる資産は何台ありますか」と聞かれたら、何分で答えられるか。そして、何を見て答えるか。
「まず何チームかに確認しないと分かりません」が正直な答えなら、そこが最初に埋めるべき穴です。zcrCTEMのプランをご覧ください。
お問い合わせ
自社に管理者不明の資産が何台あるか知りたい方は、お気軽にご相談ください。相談は無料です。