デバイスの姿勢チェックによる安全なリモートアクセス

サイバーセキュリティにおいて、デバイスポスチャーチェックは、エンドポイントが定義されたセキュリティ要件を満たしているかどうかを判断するために使用されます。これは、企業リソースへのアクセスが行われる前と最中の両方で行われます。リモート接続を管理するシステム管理者にとって、成功した認証は決定の一部に過ぎません。実際、これらのチェックは「このユーザーは正しいのか？」から「このデバイスは接続するのに十分信頼できるのか？」までの重要な認証に関する質問を提起します。接続条件や実際のデバイスのアイデンティティを通じて。

リモートワーカーは有効な認証情報を使用して認証できますが、パッチが適用されていない、管理されていない、または侵害されたコンピュータから接続している可能性があるため、身元確認が必要ですが明らかに不十分です。デバイスの状態チェックは、ITチームがエンドポイント自体を評価し、アクセスを許可、制限、または拒否すべきかを決定するのに役立ちます。

リモートアクセスのためのデバイスポスチャーチェックとは何ですか？

デバイスの姿勢チェックは、ラップトップ、ワークステーション、またはその他のエンドポイントのセキュリティ状態を事前に定義された要件に対して評価します。その結果は、そのデバイスがアプリケーション、デスクトップ、またはその他の企業リソースにアクセスすることを許可されるべきかどうかを判断するために使用されます。

姿勢評価は、オペレーティングシステムのバージョン、暗号化の状態、エンドポイント保護、デバイスの識別などの項目を調査する場合があります。たとえば、Microsoftは説明しています。デバイスコンプライアンスポリシー管理されたデバイスがアクセス決定に使用される前に、必要な構成を満たしているかどうかを判断するために使用されるルール。

これはユーザー認証とは大きく異なります。正しい資格情報は接続している人の身元を証明します。ポスチャーチェックは、その資格情報が提示されているシステムを評価し、それが組織のセキュリティ要件を満たしているかどうかを判断します。

リモートデスクトッププロトコル環境では、その区別は非常に重要です。例えば、認可されているとはいえ、安全でないエンドポイントから接続するアカウントは、リモートリソースを資格情報の盗難、マルウェア、または不正アクセスにさらす可能性があります。私たちのガイドはリモートデスクトップを通じて露出したコンピュータのセキュリティを評価するエンドポイントの姿勢をネットワークの露出やアカウントの制御とともに調査します。

ITチームはどのデバイスの信号を確認すべきですか？

すべてに適した単一の普遍的なデバイスポスチャーポリシーは存在しません。シグナルは、保護されるリソース、デバイスの管理と所有権、関与するユーザー、アプリケーション、またはデータに関連するリスクのレベルに応じて選択されるべきです。

オペレーティングシステムとパッチの状態

古いオペレーティングシステムを実行しているエンドポイントやセキュリティ更新が欠如しているエンドポイントは、完全にパッチが適用された管理されたワークステーションよりも大きなリスクをもたらします。したがって、最小オペレーティングシステムのバージョンとパッチ要件は、有用なベースラインチェックを提供します。

さらに、ポリシーは必要なアクセスの種類に応じて適応できます：通常のアプリケーションユーザーや特定のアプリケーションにアクセスするユーザーよりも、高リスクの管理目的には厳格になります。目的は、すべての可能なエンドポイント属性を収集することではなく、アクセスが信頼されるべきかどうかに実質的に影響を与える条件を特定することです。

エンドポイント保護、ファイアウォールと暗号化

強力なデバイスの健康チェックは、必要なエンドポイント保護が実行されているか、適切なローカルファイアウォールの設定や適切なディスク暗号化が有効になっているかを評価します。エンドポイント検出および応答（EDR）、エンドポイント管理プラットフォームなどは、マルウェア検出、脅威レベル、または構成の準拠に関する追加情報を提供できます。

これらの信号は、企業ネットワークの外で動作するノートパソコンにとって特に重要です。有効なユーザー名とパスワードは、エンドポイント保護が無効になっているかどうか、またはデバイスがまだ組織のセキュリティツールに正しく報告されているかどうかを明らかにしません。

デバイスの識別、証明書および管理状況

デバイスの健康を超えて、さらに対処すべき質問があります：ITチームは、どのデバイスが接続しているのかをより正確に特定する必要があるかもしれません。

デバイス証明書、登録記録、ホストのアイデンティティおよび管理状況は、既知の企業エンドポイントと未知または管理されていないコンピュータを区別するのに役立ちます。自分のデバイスを持ち込む（BYOD）環境では、「十分に健康な」と「承認された」の間に重要な区別が生まれます：安全な個人用ノートパソコンは必ずしも承認された企業デバイスになるわけではありません。

デバイスの姿勢はいつ確認すべきですか？

デバイス検証プロトコルを実行する最も明白なタイミングは、アクセスが始まる前です。エンドポイントは関連情報を提供し、それが要件に関連して評価され、その結果接続が許可されるかブロックされます。

ただし、長時間のセッション中に姿勢が変わる可能性があります。そのため、一部の環境では、1セットのチェックでは不十分です。デバイスがコンプライアンスから外れる可能性があり、エンドポイント保護が停止するか、セキュリティテレメトリが新しい脅威を特定することがあります。このセッションが元々正当化されたアクセスを超えて存続する可能性があるという事実を軽減するために、より成熟したアーキテクチャは定期的な再評価をサポートしています。同様に、成功したログインを信頼の永続的な証拠として扱うのではなく、イベントトリガーによるアクセス決定を設定することがあります。

適切な頻度はリスクに依存します。管理アカウントや機密アプリケーションは、低リスクのリソースよりもはるかに頻繁な検証を正当化する場合があります。重要な原則は、アクセス決定を行うために使用される情報は、特にエンドポイントが進化する場合、無期限に信頼されるべきではないということです。

デバイスがポスチャーチェックに失敗した場合はどうなるべきですか？

失敗は必ずしも同じ反応を引き起こす必要はありません。ITチームは、どの失敗が即座のブロックを必要とし、どの失敗が修正可能であるために是正を必要とするかを事前に決定すべきです。

実用的なポリシーは次のことができます：

重要な障害が発生した場合、例えばエンドポイント保護が欠如している場合やデバイスが侵害されていることが判明した場合はアクセスを拒否します;
デバイスの状態が不確かであるか、確認できない場合はアクセスを制限します;
ユーザーにどの要件が失敗したかを通知します;
エンドポイントを更新、パッチ適用、または修正を通じて直接指示する;
失敗した評価の調査のためにログを記録します; そして
デバイスを正常なアクセスに戻す前に、テストして再評価してください。

応答はリスクに対応する必要があります。パッチが欠落しているか、バージョンが古い場合は修正が正当化される可能性がありますが、アクティブな侵害の証拠がある場合は、隔離およびインシデント対応手順をトリガーする必要があります。

TSplus Remote Supportはこの段階で支援できます。サポート技術者は、管理者の介入が必要な場合にエンドポイントの問題をトラブルシューティングし、修正するために、参加型または非参加型のリモートアシスタンスを使用できます。

デバイスの姿勢チェックはMFAとゼロトラストにどのように適合しますか？

デバイスの姿勢、多要素認証（MFA）およびゼロトラストは、関連しているが異なる問題に対処します。

MFAは、アクセスを要求している人が複数の要素を通じて自分の身元を証明できるかどうかを尋ねます。デバイスの姿勢は、接続しているエンドポイントがセキュリティ要件を満たしているかどうかを追加します。次に、権限が特定のユーザーとデバイスの組み合わせがアクセスできるべきアプリケーションやシステムを決定します。

NIST、欧州規制およびその他のサイバーセキュリティの先駆者が取り上げるゼロトラスト原則ユーザー認証とデバイスの健康状態および認可は、リモートリソースへの新しい接続が確立される前に実行される独立した機能であり、時にはユーザー自身には見えないことがあります。

デバイスの姿勢チェックは、したがって、層状のアクセス戦略の一部であり、MFA、権限、またはサーバー側の保護の代替ではありません。続きを読むここアイデンティティ、デバイストラスト、最小特権、監視におけるゼロトラストのカバーのために。

TSplusを使用してITチームはデバイスの姿勢原則をどのように適用できますか？

TSplusソフトウェア機能を適用してデバイスチェックを強化する

TSplusの展開は、アクセス決定に関するいくつかの制御を組み合わせることができる一方で、より深いエンドポイントコンプライアンスチェックは、それらを実行するために設計された特定の専用ツールに残ります。

TSplus リモートアクセス中央集権的なWindowsアプリケーションとデスクトップへの制御されたユーザーアクセスを提供します。TSplus 2FAを追加することで、サポートされているTSplus Remote Access接続方法に対して、パスワードと時間ベースのワンタイム検証コードを要求することでユーザー認証が強化されます。

TSplus Advanced Securityは、もう一つの保護層を追加します。そのTrusted Devices機能は、ユーザーを指定されたデバイス名に関連付け、無効なデバイスからのログオンを拒否することができます。これにより、デバイスに基づくアクセス制御が提供されます。他の TSplus Advanced Security デバイス管理の周辺で探求する価値のある機能です。

さらなるセキュリティ対策を実施する

完全なポスチャーエンジンのさらなる保護レベルは、これらに追加されるものです。私はパッチの状態、ディスク暗号化、EDRの健康状態、または他のエンドポイントコンプライアンス信号を評価する必要があります。

システム管理者は、ポリシーを設計する際に展開の制限も考慮する必要があります。Trusted DevicesはHTML5接続と互換性がなく、モバイルデバイスは追加のホスト名識別の制限を示す可能性があります。これらの要因は、ウェブまたはモバイルアクセスに関するポリシーを設計する際に重要です。

デバイスの健康に関する詳細情報は、したがってWindows管理、EDR、エンドポイント管理、またはその他のコンプライアンスツールの責任のままとなります。TSplusは、認証されたユーザーが公開されたリソースにアクセスする方法を制御し、特定のアプリケーションサーバーに特有のセキュリティ側面を保護します。この分離により、ITチームはアイデンティティ、エンドポイントの健康、アプリケーション配信がすべて同じシステムから来る必要がないという前提なしに、層状のセキュリティを構築できます。

TSplusの監視ソフトウェアによるネットワークの可視性

TSplus Server Monitoringは、サーバーのパフォーマンス、アプリケーション、ユーザーの活動を追跡することで、インフラストラクチャ側の可視性を追加します。クライアントデバイスの姿勢評価は行いませんが、リモートワークロードが稼働している場合、運用監視でアクセス制御を補完することができます。私たちのドキュメントとガイドはリモートデスクトップ監視ソフトウェアとセッションの可視性詳細を提供してください。また、TSplus Advanced Securityによって実施されるIP監視（およびブロック）は、この可視性と保護を補完します。

システム管理者のための実用的なデバイスポスチャーチェックリスト

少数のチェックから始まるポリシーは、管理者が一貫して施行できるため、運用が容易になることは間違いありません。Windows指向のリモートアクセス環境では、次の質問を考慮してください。

エンドポイントはサポートされていて適切にパッチが適用されたオペレーティングシステムを実行していますか？
必要なアンチウイルス、EDR、またはその他の必要なエンドポイント保護はアクティブですか？
会社のポリシーに従って、必須のファイアウォールおよび暗号化設定は構成されていますか？
エンドポイントは認識されたデバイスまたは管理されたデバイスとして記録されていますか？
エンドポイントは、受け入れ可能なコンプライアンスまたは脅威の状態を持っていますか？
ユーザーは適切な認証コントロールによって保護されていますか？

正確な閾値はリソースの感度を反映する管理セッションは通常、単一の公開ビジネスアプリケーションへの通常のアクセスよりも厳しい要件に直面するべきです。

すべてのリモートアクセスの決定にデバイストラストを組み込む

リモートアクセスのセキュリティは、パスワードが受け入れられたときに停止してはいけません。デバイスの姿勢チェックは、アクセス決定に不可欠なエンドポイントの状態とアイデンティティ情報を提供し、システム管理者が実際に信頼できる接続元からの正当な資格情報と潜在的なセキュリティリスクを区別するのに役立ちます。

TSplus Remote Access、Advanced Security、および2FAは、その層状アーキテクチャの一部を形成し、その決定に関するアクセスおよびアイデンティティコントロールのいくつかを提供します。一方、エンドポイント管理およびセキュリティツールは、必要に応じてデバイスの健康状態やコンプライアンスのシグナルをより深く提供します。

最終的な結果は、ITチームがユーザー、デバイス、リソースを実際のリスクに基づいて共同で評価できる、より防御可能な意思決定モデルです。それは一度だけでなく、定期的に行われます。