政府／自治体

アメリカ国防総省の接続準拠に関するイニシアチブを実現する 3 つの鍵

坂本祐一
2019年2月14日

この記事は、シスコのパブリックセクター担当サイバーセキュリティリージョナルマネージャーである Matt McCook によるブログ「3 Keys to Enabling DoD’s Comply-to-Connect」（2019/1/15）の抄訳です。

共著者：

Chad Mitchel | DoD シスコ DoD テクニカルソリューションアーキテクト

アメリカ国防総省（DoD）は長きにわたって最前線でテクノロジー革新を実現し、多くのミッションを成功させてきました。しかし、テクノロジーの進化に伴ってサイバーセキュリティの脅威環境も進化しています。つまり米軍の IT リーダーは、24 時間 365 日体制で警戒体制を続ける必要があります。

DoD セキュリティポスチャを確保するための 3 つの鍵

商用ベンダーはプレッシャーに対処することに長けています。しかし DoD を支援するとなると、常に革新性を追及すること、可能な限り兵士をサポートすること、国家安全保障の確保に貢献するために最善を尽くすことも重要です。しかし、まずは「防衛機関がテクノロジーベンダーに求めるものは何か」を考える必要があるでしょう。

私が DoD 関連機関の関係者との対話を通じて分かったのは、防衛機関がそのセキュリティポスチャについて次の 3 点を切実に求めているということです。

すでに所有しているセキュリティへの投資を活用する
自動化機能を増やす
ミッションを保護するために業界のベンダーが協力してソリューションを提供する

困難すぎる要求ではありませんよね。これらのニーズに対応するために、シスコはオープンなセキュリティアーキテクチャを構築し、セキュリティエコシステム全体での業界でのコラボレーションを推進しています。セキュリティの機能、情報、コンテキストを交換するためのパブリッシャ/サブスクライバフレームワークであるシスコの pXGrid には 150 社以上の企業が参加しています。提供元のテクノロジーベンダーを問わず、セキュリティソリューションが現在の防衛ミッションのために連動します。

たとえばこのフレームワークにより、ユーザ ID およびアクセステクノロジーをデバイス健全性/ポスチャ評価と統合して、ポリシーベースのネットワークアクセスを許可することができます。したがって携帯電話を持った兵士に、所在場所に応じて特定のデータへのアクセスを許可し、デバイスの更新が必要であれば修復を自動的に行うことができます。このアプローチにより、バックエンドでの管理時間を短縮し、フロントエンドで発生しうるミッションの中断をなくすことができます。これは DoD が待ち望んでいた「準拠して接続（C2C）」イニシアチブの望ましい完成形です。

Tanium の参加によるシスコセキュリティエコシステムの拡張

このセキュリティエコシステムは、継続的に、しかも素晴らしい方向に拡大しています。DoD の支援のために、このシステムにシスコと Tanium との統合が新たに加わりました。Tanium は、DoD に使用されている業界をリードするエンドポイント通信アーキテクチャの 1 つで、ネットワーク上のすべてのエンドポイントに迅速に可視性と制御を提供しています。国内、戦場を問わず、あらゆる防衛のミッションにおいてこのタイプのセキュリティ機能は不可欠です。

防衛機関が Tanium とCisco Identity Services Engine（ISE）両方を活用する場合、ISE はワークステーションに問い合わせて Tanium クライアントがインストールされているかどうかを判断できます。インストールされている場合、ISE は 802.1X 認証プロセスを完了し、適切なネットワークポリシーが適用されているネットワークへのアクセスをエンドポイントに許可できます。ISE が Tanium がインストールされていないと判断した場合、エンドポイントは修復プロセスに配置され、クライアントがインストールされてから認証プロセスを再開します。

さらに、承認されてネットワークに入ると、Tanium はエンドポイントに問い合わせを行ってその健全性、ソフトウェアリリース、パッチ、STIG コンプライアンス、脆弱性ステータスなどを特定します。ポリシー要件が満たされていない場合、Tanium は pXGrid を通じて Cisco ISE にメッセージを送信し、エンドポイントは自動的にアクセス制限または修復状態に配置されます。この 2 つのソリューションはまさに相互に対話し、ネットワーク上のすべてのデバイスに必要なセキュリティポスチャが確立されていることを保証します。

最大の利点は、このレベルのセキュリティが柔軟に、自動的に、DoD ポリシーに基づいて確保されることです。ポリシーとアクションは、管理者が共有のためにコードを記述しなくても ISE/Tanium コンソール間で共有されます。「準拠して接続」が実現されるのです。