エージェントレス型かエージェント型か：デバイスセキュリティの選び方

デバイスセキュリティは、明確に3つのアプローチに分かれます。EDRやアンチウイルスに代表されるエージェント型は、各デバイスにソフトウェアを導入し、内部から情報を報告いたします。パッシブ型ネットワーク監視は、SPANポートやタップからミラーリングされたトラフィックを観測し、通信内容からデバイスを推定いたします。カタログ型インテリジェンスは、ベンダー・型番・ファームウェアというデバイスの識別情報を受け取り、そのファームウェアに対応する既知の脆弱性を、維持管理されたデータベースから返します。それぞれ異なる方法で可視性を獲得し、それぞれ異なる種類のデバイスで機能しなくなります。

デバイス上のエージェントは、稼働中のプロセス、正確なパッチ適用状況、構成、リアルタイムの挙動まで、すべてを把握いたします。この深さこそが、エージェント型EDRがノートPCやサーバーのセキュリティで主流である理由です。一方で、明確な限界もございます。エージェントには、導入可能なOS、余剰の計算リソース、そして構成変更を許容するベンダーが必要です。IoTセンサー、PLC、SCADAコントローラー、輸液ポンプ、産業用ロボットは、そのいずれも備えておりません。導入が可能な場合でも、エージェントの導入は安全認証や保証を無効にしかねません。管理外のデバイス群に対して、最も深いアーキテクチャはほとんど何も守れないのです。

パッシブ型ネットワーク監視は、デバイスに何も導入しないことで、エージェント不要という課題を解決いたします。その代わりに、SPANポートや物理タップからミラーリングされたトラフィックを観測し、プロトコルからデバイスをフィンガープリントいたします。これは真に非侵入的であり、稼働中のセグメントにおける異常検知に強みを発揮いたします。限界は構造的なものです。監視対象のセグメント上で、かつキャプチャの時間枠内に通信したデバイスしか見えず、各拠点にセンサーとミラーリングされたトラフィックが必要となり、通信の少ないデバイスや断続的にしか接続されないデバイスは可視化されないまま残ります。ファームウェアや型番は推定にとどまることが多く、確定情報が得られにくいため、CVEの照合精度を弱めます。

3つめのアーキテクチャは、何も導入せず、タップも用いません。ベンダー・型番・ファームウェアバージョンという3つの情報からデバイスを特定し、そのファームウェアに対応する正確な脆弱性、ライフサイクル状況、修復方法を、ベンダー直結のデータベースから照会いたします。この3つの情報は、既存のCMDBや資産管理ツールから取得することも、取り込み時に能動的または受動的に動作する軽量な検出スキャナーから得ることもできます。識別情報が推定に頼らず確定されるため、CVEの照合はファームウェア単位で正確です。カタログ型の代表例がDeviceTotalであり、874社のベンダー情報源を基盤としております。トレードオフは、これがリアルタイムの挙動センサーではないという点です。デバイスが何にさらされているかを示すものであり、異常検知の層と組み合わせて機能する補完的な存在です。

管理されたIT端末には、挙動の深さを得られるエージェント型が適しております。自社でネットワークを保有し、トラフィックをミラーリングできる稼働中のOTセグメントであれば、パッシブ監視が異常検知において確かな役割を果たします。IoT・OT・医療機器といった管理外のデバイス群、とりわけ多数の拠点にまたがる場合や、タップを設置できない場合には、完全でファームウェア精度の高いカバレッジを得られる唯一のアーキテクチャが、カタログ型レコンシリエーションとなることがほとんどです。成熟したプログラムでは複数のアーキテクチャを併用し、その出力を突き合わせることで、同一デバイスがすべてのツールを通じて1つの検証済みIDを持つようにいたします。本番環境でのスキャンを許容せず、多くの拠点でセンサーを設置できない日本においては、カタログ型の道筋が運用上のハードルを越えられる唯一の選択肢となることも少なくありません。

エージェント型は各デバイスにソフトウェアを導入し、内部から情報を報告いたします。深いデータが得られる一方で、エージェントを動作させられる環境でしか機能いたしません。エージェントレス型は、デバイスに何も導入いたしません。ネットワークトラフィックを観測するか、ベンダー・型番・ファームウェアを参照することで、外部からデバイスを特定・評価いたします。

パッシブ監視はエージェントレスの一種ではございますが、カテゴリー全体を指すものではございません。エージェントは導入いたしませんが、各拠点にセンサーと、SPANポートやタップからミラーリングされたトラフィックが必要であり、キャプチャの時間枠内に通信したデバイスしか見えません。カタログ型インテリジェンスも同じくエージェントレスであり、タップもミラーリングされたトラフィックも必要といたしません。

IoT・OT・医療機器の多くは、エージェントを動作させる計算リソースを備えておらず、ベンダーが変更を許可しないクローズドなファームウェアで動作するか、改変すると安全認証や保証を失ってしまいます。推定で46%のデバイスがそもそもパッチを適用できないとされるのはこのためであり、エージェント型ツールでは管理外のデバイス群を守れないのでございます。

カタログ型インテリジェンスは、ベンダー・型番・ファームウェアという3つの情報からデバイスを特定し、そのファームウェアの既知の脆弱性、ライフサイクル状況、修復方法を、ベンダー直結のデータベースから照会いたします。代表的な例がDeviceTotalであり、874社のベンダー情報源を基盤としております。エージェントもネットワークタップも不要であるため、他の2つのアーキテクチャが見落とすデバイスまでカバーいたします。

いいえ、その必要はなく、成熟したプログラムでは通常1つに絞りません。エージェント型は管理された端末に、パッシブ監視はタップ可能な稼働中のOTセグメントに、カタログ型レコンシリエーションは管理外のデバイス群に適しております。レコンシリエーションがそれぞれの出力を束ね、各デバイスがすべてのツールを通じて1つの検証済みIDを持つようにいたします。