デバイスセキュリティのレコンシリエーション：資産の可視化とセキュリティインテリジェンスの違い

あらゆる資産管理ツールは、「ネットワーク上に何があるか」という問いには答えます。しかし、「その項目が1台のデバイスなのか、そして正確に何なのか」には、いずれも答えません。同じ工場にスキャナー、CMDB、EDRエージェント、OT監視ツールを走らせると、同一の物理コントローラーが4つの異なる名前で4回現れ、ファームウェアが食い違っていることさえございます。業界のデータでは、資産台帳のレコードの40%超が実態と一致しないとされております。その結果、セキュリティチームは信頼できない台帳を相手に数千件のアラートをトリアージすることになり、ベンダー名だけではいかなるCVEにも紐づきません。

レコンシリエーションは、すべてのデバイスレコードに対して5つのステップを実行いたします。既存のあらゆる情報源からデータを突き合わせ（相関）、重複やゴーストが生じないよう識別情報を検証し、ファームウェア・ライフサイクル・アドバイザリの情報で拡充し、実世界のセキュリティコンテキストと整合させ、最後に確信度スコアを付与いたします。その結果得られるのは、物理デバイスごとに1つの信頼できるレコードであり、確定したベンダー・型番・ファームウェアを備えております。DeviceTotalは、突き合わせ済みレコードにおいて98%のデバイスID確信度を報告しております。CVEの照合、リスクスコア、修復といった下流のすべては、まずこの1つのIDを正しく確定することにかかっております。

その実務的な効果は、SOCが目にするものの変化に表れます。週に5,000件を超える生アラートに追われ、スプレッドシートから監査証跡を組み立てるのに数週間を費やしていた中規模から大規模の事業者が、数百件の優先順位付けされた実行可能なリスクと、数時間で用意できる監査証跡を手にいたします。1回のサイクルは次のようになります。サードパーティのスキャナーが数千件のアラートの中から1台のデバイスをフラグし、レコンシリエーションがそのベンダー・型番・ファームウェアを確定させ、確信度スコアとともに誤検知を解消し、同一型番のうち実際に悪用可能なデバイスを浮かび上がらせ、ベンダー検証済みの修正を提示してキューを再ランク付けいたします。これらはPoC（概念実証）において環境ごとに検証される、目安としての成果です。

レコンシリエーションは、事業者がすでに運用しているツール群の上位に立ち、それらを補完いたします。スキャナー、CMDB、EDR、OT監視、SIEM、そしてClarotyやNozomiからServiceNowに至るまでの各ツールから読み取り、検証済みでスコアリングされた台帳を、それを利用するあらゆるワークフローへと返します。この位置づけは、商業的にも重要です。事業者は既存のものを取り外すことなく導入でき、ひとたびそれが突き合わせ済みの信頼できる情報源となれば、これを置き換えることは、他のすべてのツールを支えるデータ基盤を置き換えることを意味いたします。

これが単なる一機能にとどまらず1つのカテゴリーを成す理由は、それが積み重なっていくからです。その背後にあるベンダー直結のデータベース（DeviceTotalの場合は874社の情報源）は、突き合わせるデバイス1台ごとに日々深まっていき、雑多なベンダーアドバイザリをファームウェア精度のレコードへと変えているのは、長年にわたる手作業と機械学習のエンジニアリングです。識別情報・ファームウェア・脆弱性照合に対する確信度スコアリングは、当初から組み込まれた検証の規律であり、後から加えられたダッシュボードとは性質が異なります。競合はスライドの上でこの発想を模倣できても、突き合わせ済みのデータセットと、その背後にある方法論を築くには何年もかかります。

レコンシリエーションは、運用中のあらゆる情報源（スキャナー、CMDB、EDR、OT監視、SIEM）からデバイスのレコードを突き合わせ、確定したベンダー・型番・ファームウェアを備えた1つの検証済みIDへと統合し、スコアリングいたします。重複やゴーストを取り除くことで、セキュリティチームは複数の食い違う台帳の代わりに、1つの信頼できる台帳をもとに作業できるようになります。

検出は、デバイスが存在することを教えてくれます。しかし、2つのレコードが同一のデバイスなのかを確定することも、CVEの照合が依拠する正確なファームウェアを特定することもできません。資産台帳のレコードの40%超が実態と一致しないため、レコンシリエーションを欠いた可視化が生み出すのは、より長いリストにとどまり、根拠を示せるセキュリティ体制には至りません。

いいえ。すでに運用されているツールの上位に立つ層として機能し、Claroty、Nozomi、ServiceNow、スキャナー、EDR、SIEMから読み取り、検証済みでスコアリングされた台帳を、それを利用するあらゆるワークフローへと返します。何も取り外すことなく導入でき、スタックの他の部分を支える突き合わせ済みの信頼できる情報源となります。

デバイスの正確なベンダー・型番・ファームウェアを確定するため、フラグされたCVEが実際にそのファームウェアに該当するかを検証できます。一致しないレコードは、アナリストに届く前に確信度スコアとともに解消されます。実際の事例では、これにより週に数千件あったアラートが、数百件の実在する優先順位付きリスクへと絞り込まれました。

価値が積み重なっていくからでございます。その背後にあるベンダー直結のデータベース（DeviceTotalの場合は874社の情報源）は、突き合わせるデバイスごとに深まり、長年のエンジニアリングが雑多なベンダーアドバイザリをファームウェア精度のレコードへと変えております。確信度スコアリングは、当初から規律として組み込まれております。発想の模倣は容易でも、データセットと方法論の構築は容易ではございません。