2023/2/8 - 読み終える時間: 3 分

Zero Trust Security: How To Get Your Endpoints Ready の翻訳版です。

ゼロ・トラストセキュリティ：エンドポイントに備える方法

2023年2月6日

著者: Dan Wolff / Director of Solutions and Product Marketing for BigFix

Log4Jの脆弱性を悪用した攻撃は、悪意のある行為者が組織を侵害する新しい方法を素早く見つけ出すことを物語っています。この傾向は数年前から強まっており、組織は従来の境界ベースのアプローチでは不可能なほど迅速に脅威を検知し、対応する必要があることが明らかです。このため、政府機関や民間企業は、ゼロ・トラスト・セキュリティへのパラダイムシフトを受け入れています。

ゼロ・トラストとは、「決して信用せず、常に検証する」という考え方で、あらゆるセクターで実践が進んでいます。2022年には、調査対象の組織の41%がゼロ・トラスト・セキュリティを導入していると回答しており、前年は35%でした。1 ゼロ・トラスト・アーキテクチャに移行する新しい指令は連邦政府機関に特有のものですが、民間企業もこのアプローチを自社のサイバーセキュリティ戦略に組み込むことを強く検討すべきです。ゼロトラスト・ポリシーは、HIPAAやGDPRなど他のさまざまな指令へのコンプライアンスを確保するだけでなく、全体的なセキュリティ強化にも役立ちます。

ゼロ・トラスト・アーキテクチャの中核概念

ゼロ・トラスト・セキュリティの大前提は、いかなるデバイス、ID、接続要求も暗黙のうちに信頼してはならないということです。Zero Trustアーキテクチャの実装方法はさまざまですが、2022年に米国国立標準技術研究所（NIST）が7つの基本的な考え方を示しています。

• すべてを包含するリソース

  ネットワークに接続するエンドポイントなどの従来のシステムだけでなく、動的なクラウドコンピューティングサービスなどのリソースも含めて、すべてのデータソースとコンピューティングサービスをZero Trustのリソースと見なします。

• 安全な通信

  接続要求が境界の内側から来るからといって、それを信用することはできません。場所に関係なく、すべてのリクエストは同じ認証要件を満たす必要があります。

• セッションベースのアクセス

  リソースへのアクセスが許可される前に、毎回信頼を確立する必要があります。つまり、信頼は1つのセッションに対してのみ有効であることを意味します。

• 属性ベースのポリシー実施

  行動、場所、環境などの属性に基づいてポリシーを設定する必要があり、これらの動的なポリシーはリソースへのアクセスを決定するために使用されます。

• 資産の完全性とセキュリティ状態の監視と測定

  接続要求を評価する際には、まず資産のセキュリティ・ポスチャーを評価する必要があります。そのためには、エンドポイントやその他のシステムに対する堅牢な監視・報告システムが必要です。

• 動的な認証と承認

  今日のダイナミックな環境では、信頼性の再評価とアクセス権の付与は継続的なプロセスです。

• データ収集

  デバイスの状態、ネットワークトラフィック、アクセス要求など、ネットワークと通信の状態に関するデータを収集し、その情報を使用してセキュリティ体制を継続的に改善する必要があります。

資産の状態の監視

NISTが提唱する「所有するすべての資産と関連する資産のポスチャーを測定する」という考え方に従うには、継続的な診断と監視（CDM）を行うシステムを導入する必要があります。このシステムにより、脆弱性があるエンドポイント、危険にさらされているエンドポイント、または企業によって管理されていないエンドポイントをプロアクティブに発見し、リソースへのアクセスを別扱いして脆弱性を迅速に軽減することができます。

適切なエンドポイント・ソリューションは、次のような機能を提供する必要があります。

• すべてのエンドポイントに可視性を提供
• 資産、ネットワークインフラ、通信の現状に関するデータの自動収集
• 設定とソフトウェア・コンポーネントのアップデートを適用
• 内部デバイスと外部デバイスを区別しながら、アクセスポリシーを即座に変更し、エンドポイントをクローズする
• 悪意のある攻撃者に悪用される前に脆弱性を閉鎖
• 業界特有の規制やポリシー要件の遵守を維持するためのデータ報告

Log4J の例を考えてみましょう。ゼロデイ脆弱性が報告されてから数日以内に、中国国家に支援された攻撃者やその他のハッカーが84万件以上の攻撃を開始したとメディアは報じています。BigFixは、Log4JというJavaのロギングライブラリを使用してサービスのメタデータを直接操作することで、24時間以内にこの攻撃を無効化する方法を提供し、影響を受けるアプリケーションにパッチを迅速に提供しました。これは、エンドポイントを可視化し、適切なエンドポイント・セキュリティ管理ソフトウェアで継続的に監視することで、より強固なゼロ・トラスト・アーキテクチャを実装できることを示す一例に過ぎません。

ゼロ・トラストの原則の導入

NISTは、ゼロ・トラストの考え方を「理想的な目標」と表現していますが、自社の戦略によっては、それぞれの考え方を完全に実行することはできません。ゼロトラストは、「オール・オア・ナッシング」のアプローチではありません。ほとんどの組織は、この原則を段階的に、また、いくつかの技術更新サイクルの中で実施しています。

とはいえ、デバイスを識別して管理する能力は、Zero Trustアーキテクチャの実装を成功させるために不可欠です。NISTの説明によると、単に資産をカタログ化するだけでは不十分で、デバイスの状態を観察し、構成を監視・管理し、アクセス要求を許可する前にリスク（脆弱性など）を特定するためのプロセスが必要です。これらのことをシームレスに、効果的に、理想的には1つのツールで行うことができるソリューションを導入することが、ゼロ・トラストの取り組みを開始する良いきっかけになります。

ゼロ・トラストを利用してセキュリティ・コンプライアンスを達成する方法についてもっと知りたいですか？

ビデオをご覧になり、電子ブックをダウンロードしてください。

2022/12/14 - 読み終える時間: ~1 分

Intel Endpoint Management Assistant (Intel EMA) は、Intel EMA とIntel vProR プラットフォームの一部であるIntel アクティブ・マネジメント・テクノロジーを使用して、デバイスを監視、復元、アップグレード、および保護するビジネス対応ツールで IT を強化できます。この統合により、企業はBigFixとIntel vProの機能を拡張し、包括的なリモート管理ソリューションを実現することができます。

今回、2分のプロモーションビデオを作成しました。Intel EMA for BigFix のページをご覧ください。

2022/12/14 - 読み終える時間: 2 分

Continuous Business Benefit Realization with HCL BigFix

HCL BigFix による継続的なビジネスベネフィットの実現

2022年12月13日

著者: Matthew Burns / Associate Vice President Enterprise Security HCL BigFix, Asia Pac

最近、私はBigFixのクライアントやパートナーと充実した時間を過ごすことができました。その中で、2つのテーマが融合されました。

• HCL BigFixを使用する組織は、コストを削減し、複雑さを軽減しています。
• アジア太平洋地域のHCL BigFixのテクニカル・アドバイザーは、ITスタッフの生産性を向上させるベスト・プラクティスの導入を支援するために、高いスキルと効果を持っています。

その一例をご紹介します。マレー系の大手銀行のIT部門は、経営陣に対してBigFixがもたらす潜在的なコスト削減と利益を強調したいと望んでいました。私は、オーストラリアの銀行がBigFix Power Management（BigFix Lifecycleの1機能）の価値を計算したところ、管理対象エンドポイントのわずか半数で、毎月1万ドルの光熱費削減を実現したことを紹介しました。マレー銀行のチームも同じ計算を行い、BigFixによって25万ドルの電力削減が可能であることを発見しました!

では、この2つのテーマについて、より深く掘り下げて説明します。

BigFixによるコスト削減と複雑性の軽減

顧客やパートナーと議論していると、あらゆる規模のIT組織が、コスト削減と運用の簡素化という課題を常に抱えていることに気づかされます。特に収益が減少または横ばいである場合、収益性を向上させるためにコスト削減の取り組みは常に重要です。BigFixは以下の方法でコストを削減し、ITプロセスやスタッフの生産性を向上させることができます。

ツールの統合 - 多くの組織では、意図せずしてオペレーティング・システムに基づく管理サイロが形成され、専門スタッフや多数のインフラストラクチャ・コンポーネントが必要になっています。BigFixは、ツールを統合し、コストを削減し、スタッフの効率を向上させることができます。

• コンプライアンスの自動化

サイバー攻撃は増加の一途をたどり、企業運営を脅かすため、パッチや規制のコンプライアンスが重要視されています。BigFixは、業界標準のセキュリティ・ベンチマークに準拠した数千ものセキュリティ・チェックにより、設定のコンプライアンスを継続的に実施し、レポートを迅速に作成します。 ソフトウェアコストの削減 - 未使用または使用されていないライセンスを特定し、包括的なソフトウェア資産のインベントリに必要な時間を劇的に削減することで、ソフトウェアコストを削減します。

• パッチの適用を迅速化

パッチサイクルは、失敗したパッチの修復を含めて、多くの労力がかかります。BigFixは、OSやサードパーティアプリケーションに対応したビルド済みFixletを提供することで、パッチサイクルの短縮を支援します。また、BigFixの自動パッチ機能は、特にパッチの初期テストを高速化します。

• 省エネ

すべての管理対象デスクトップに電源管理を導入することで、電力消費量、エネルギーコスト、セキュリティリスクを削減できます。マレー銀行と同様に、BigFixパワーマネージメントが多くのITおよびセキュリティ企業の関心を再び集めている理由は、（1）消費電力の削減により運用コストを大幅に削減できる、（2）セキュリティ事故や侵害のリスクを低減できる、（3）パッチのファーストパス成功率を向上できる、ことにあります。これら3つの目的は、BigFix Lifecycleに含まれるBigFix Power Managementの機能によって実現できます。

HCL BigFix テクニカルアドバイザーの関与

BigFixは、他の管理アプリケーションと同様に、ベストプラクティス、メンテナンスルーチン、ベンダーの専門的なガイダンスを使用することで利益を得ることができます。

HCLがBigFix環境のヘルスチェックを提供していることをご存知でしょうか？ヘルスチェックは、HCLの貴重なリソースであり、BigFixの長年の経験を持ち、多くの場合、クライアントとして大規模な環境でBigFixを運用してきた熟練のテクニカルアドバイザーと行うものです。

• あなたの知識とベストプラクティスをBigFix環境にどのように適用していますか
• 主要なメンテナンスタスクを規定された間隔で実行しているかどうか
• アクションの履歴、アクションの種類、および環境に対する影響
• DMZリレーを含むリレーのコンフィギュレーション
• 環境に対する推奨される変更
• ライセンスは取得しているが、実装していない機能
• アップグレードのアドバイス
• 関与するのに役立つ可能性のある追加のHCLリソース

更には、HCL BigFixのプロフェッショナルサービスチームや、HCLソフトウェアパートナーによるサービスも提供しています。これらのチームは、お客様がHCL BigFixへの現在および将来の投資から最大限のビジネス利益を得られるようにするために存在しています。

HCL BigFixのプロダクト・スペシャリストが、BigFixのビジネス・ベネフィットについてご相談に応じます。今年も残りわずかとなりましたが、2023年、そしてその先も、現在そして未来のお客様のお役に立てることを楽しみにしています。

2022/11/22 - 読み終える時間: 2 分

BigFix on Cloud: Get the power of BigFix with zero infrastructure の翻訳版です。

HCL BigFix on Cloud: インフラゼロで BigFix のパワーを手に入れる

2022年11月18日

著者: Deepika Choudhary / HCL 共著: I-Lung Kao / Product Manage

多くの企業は、データセンターをクラウドに移行する「クラウド・イニシアチブ」を実施しています。これは、レガシーでオンプレミスのインフラ（ハードウェア、ソフトウェア、管理ツールなど）の取得と設定を排除し、インフラの管理と保守にかかる技術リソースを削減し、予算との整合性を向上させることを目的としています。企業は、マシンリソース、IT管理ソリューション、ビジネスアプリケーションのすべてをクラウドから提供され、コアビジネスに集中できるようになることを期待しています。

HCL BigFix on Cloud は、HCL BigFix チームによる新しいサービスです。BigFixのエンドポイント管理機能とHCLのグローバルなクラウドベースのマネージドサービスを組み合わせることで、導入の迅速化、管理の複雑性の軽減、高価なインフラの排除を実現するホステッド BigFix ソリューションが提供されます。他のクラウドベースのソリューションとは異なり、BigFix on Cloudでは、HCLの世界クラスのグローバルサービス提供チームに支えられ、セキュリティおよびIT運用チームがあらゆるエンドポイントを管理し、脆弱性を迅速に修正できるようにします。

BigFix on Cloudにより、企業は様々なエンドポイントをコスト効率よく管理し、セキュリティを確保します。

• 実証性: BigFixは、140社以上のグローバルな顧客と15万人のユーザーによって利用されている堅牢なクラウドサービスプラットフォーム上で提供します。

• 安全性: ISO 27001やSOC 2などのセキュリティおよびガバナンスの業界標準に準拠した、安全性の高いクラウドサービス・プラットフォームで提供します。

• 高速性: すべてのエンドポイントを迅速にBigFixの管理下に置くことで、タイムトゥバリューを短縮し、導入コストを削減します。

• 柔軟性: 少人数から大人数まで、多様なエンドポイントを管理でき、ニーズに応じてエンドポイントの増加や機能追加を容易に行えます。

• 効率的: ハードウェア、ソフトウェア、インフラストラクチャ管理を含むサブスクリプションベースの価格設定により、インフラストラクチャのコストを排除します。

• 柔軟性: 新しい BigFix One on Cloud ソリューション、または1つ以上の BigFix on Cloud ソリューションを選択し、世界中のどこにいても適切な機能を提供することが可能です。

HCL BigFix on Cloudにより、企業は変化し続けるエンドポイント環境に迅速に対応できるようになり、ビジネスニーズの進化に合わせて容量や機能を追加できる比類ないスケーラビリティと柔軟性を備えています。

HCL BigFix on Cloud の詳細については、本ソリューションのウェブサイトをご覧ください。また、11月22日午前11時（米国東部時間）から開催されるライブウェビナーにもご参加ください。

2022/11/10 - 読み終える時間: 3 分

The 100% Secure Computers: FOCUS on Business Management of Cyber Risk の翻訳版です。

HCL BigFix: 100％安全なコンピュータ： サイバーリスクに関する経営管理に関する FOCUS

2022年11月7日

著者: Robert Leong / Senior Director and Head of Product Management

対象者 サイバーセキュリティの専門家、CEO/ビジネスユニットのリーダー、SecOps.

休日になると、いつもある家族の動きが繰り返されることをご存知でしょうか。例えば、休日の集まりに医者がいれば、必ず医学的な質問をされます。私はサイバーセキュリティに携わっているので、どんな質問を受けるか想像してみてください。そう、私はいつもサイバーセキュリティの質問をされるのです。もしかしたら、あなたにも同じことが起こるかもしれません。

ある休日の集まりで、成功したビジネスマンである家族が私に尋ねました。「ロバート、自分の会社がハッキングされないか心配なんだ。最も安全なコンピュータは何？私はこう答えました。「最も安全なコンピューター？ユタ州のローガンに行って、そこの埋立地に埋まっている Apple Lisa コンピュータを引き取ることだ。100％安全なコンピュータは、電源を切って地中深く埋められたものだけだからね」。皆で笑った後、ビジネスパーソンとしてビジネス上の判断でサイバーリスクを減らすことがいかに難しいかを話し合いました。その結果、彼の組織でサイバーリスクを明らかに減らすには、どのような戦略が有効かという話になりました。この会話は、彼や他の人々が直面している問題についての分析を呼び起こしました。どうすれば、リーダーはサイバーリスクを管理するためのビジネス上の意思決定を行うことができるのか？

では、分析してみましょう。私の家族は、自分たちの組織がハッキングされるかもしれないと心配していました。ハッキングされると、明らかな損害以外に何が起こるでしょうか？ハッキングされたとき、誰もサイバーセキュリティ技術の数やコスト、肩書きに「サイバーセキュリティ」を持つ人の数であなたを評価しようとはしません。あなたが導入しているツールやプロセスの正当性に基づいて、厳しく判断されるでしょう。明確に論理的で防御可能な、バランスの取れたアプローチを示す戦略とフレームワークが必要です。では、具体的にどのようにすれば、正当化可能でバランスのとれたサイバーリスク戦略を構築できるのでしょうか。

まず、問題点について説明する必要があります。サイバーセキュリティの状況を見渡すと、ベンダーと防衛側の両方が、ある能力や性能を達成するためにツールやプロセスを導入していることが大部分を占めています。ここで、優れた標準である CIS、特に CIS Control 7 「継続的脆弱性管理」を見てみましょう。CIS コントロール 7、つまり継続的な脆弱性管理は、組織に以下を要求しています。

• 7.1 脆弱性管理プロセスを確立し、維持する
• 7.2 改善プロセスの確立と維持
• 7.3 自動化されたオペレーティングシステムのパッチ管理の実施
• 7.4. 自動化されたアプリケーションのパッチ管理を行う
• 7.5. 内部企業資産の自動脆弱性スキャンの実施
• 7.6. 外部に公開された企業資産の自動脆弱性スキャンを実施する
• 7.7. 検出された脆弱性を修正する

この管理策は、組織が脆弱性管理機能を論理的に実装し、攻撃の試み中に敵対者に悪用されないようにするための指針として、非常に優れた役割を果たします。このコントロールが議論していないことに注意してください。CISの管理策7やその他の管理策の実施によるサイバーリスクの低減をどのように評価しますか。成功をどのように定義し、どのようにそれを測定するのでしょうか。

この問題は、サイバーセキュリティの旅路における次の段階、すなわち測定と証明の段階に進むためのものです。CIS のようなフレームワークは、サイバーセキュリティの分野で素晴らしいスタートを切るために必要な体制やガイドラインを整える上で、非常に有効な手段です。これらのフレームワークは、ステークホルダーに対して正当化できるレベルを持つために必要なものを教えてくれます。しかし、重要なのは、CISのようなものを導入した後、それを理解する前に侵害が発生することを最も避けなければならないことです。"私のサイバーセキュリティはうまく機能しているのか？"その答えは、多くの場合、"NO！"なのです。

私たちが望むのは、侵害される前に、正当で測定可能な効果的でバランスの取れた管理ができているかどうかを把握し、インシデントが発生する前にサイバーセキュリティツールとプロセスにおいて修正措置を講じる機会を持つことです。ですから、私たちは、CIS（およびその他の優れたモデルやフレームワーク）に従うべきではないと言っているのではなく、次のステップを踏み出す必要があると言っているのです。

さて、あなたがCEOだとします。自分に問いかけてみてください。「サイバーリスクを管理するために、私はどんなビジネスツールを使っているだろうか？もしあなたの答えが、「うーん、何も思いつかない」なら、ぜひ読み進めてください。私たちは、今、サイバーリスク管理の責任を問われている相当数のCEOにインタビューしてきました。問題は、その中で「良い方法がある」と言った人すらいないことです。

これは、ビジネス上の意思決定と、サイバーセキュリティとビジネスの遂行との間のバランスを見つけることに関する基礎的な原則を作成する機会を提供するものです。ビジネスとセキュリティの間には、明らかに動的な緊張関係があります。一例を挙げましょう。今朝、ビデオ会議に参加しようとしたら、ノートパソコンから「パスワードを再入力してから、携帯電話で多要素認証を行う必要があります」と言われました。あらら。携帯は1階にあるので、1階から探し出してロックを解除し（やばい！電池が切れそう！）、プラグを差し込んでから、携帯に指紋をつけた。そのせいで電話に2分ほど遅れてしまった。そう、ビジネスを成功させることと、優れたサイバーセキュリティの間には、摩擦があるのです。

さて、サイバーセキュリティとビジネスのバランスをどのようにとるか、その戦略に戻りましょう。その際、それが組織全体にとって有効かどうか、また従業員、規制当局、投資家、株主などの利害関係者の目から見て正当なものかどうかを測定・分析できるようにします。

私たちは、今後のサイバーセキュリティへの取り組み方を分析するために、4つの基本的な概念を定義しました。これらをSecurity F.O.C.U.S.のコンセプトと呼んでいます。

BigFixでは、ビジネスとサイバーセキュリティの間に存在する動的な緊張について考え、解決する方法を与えてくれるため、サイバーセキュリティ製品を設計する際にこれらの概念を使用して基本原則を設定しています。この原則は、セキュリティとビジネスを管理する主要なステークホルダーが、両者を結びつける共通言語を持つために役立つものであるため、ここで共有することにしました。この原則は、皆さんにとっても価値があると思います。

FOCUS の概念を使用して、組織がサイバーセキュリティについてどのように戦略を立てるかを導くことで、ビジネスとセキュリティのニーズのバランスを同時に取る制御を見つけ出し、実施することができるようになります。さらに、SecOps や ITOps のような高度に技術的なチームが、CEO、ビジネスユニットのリーダー、デバイス所有者のような非技術的なステークホルダーと実りある議論や戦略セッションを行うことができるようになるのです。

これはブログなので、FOCUSの各コンセプトを簡単に定義して、終わりにしたいと思います。それぞれはそれぞれのブログで紹介する価値がありますが、とりあえずは以下の内容を参考にしてください。

F = Friction（摩擦）：ビジネスと保護のバランス

• このコンセプトは、ビジネスとサイバーセキュリティの保護とのバランスを示し、測定し、維持することです。どの程度の摩擦が存在するのか？摩擦が大きすぎて、ビジネスの速度が低下していませんか？面倒な要素よりも利点の方が勝っていますか？それを測定し、バランスが取れていることを確認する方法はありますか？

• また、サイバーセキュリティに関わる主要なステークホルダー間の摩擦を減らすことも目標です。具体的には、各ステークホルダーがそれぞれのミッションを追求する中で、セキュリティ管理者、IT管理者、Cスイート、デバイス所有者間の摩擦を減らすことが挙げられます。

O = Outcomes（成果）：望ましいサイバーセキュリティの成果を得ていますか？

• このコンセプトは、セキュリティ・プログラム、ツール、およびプロセスが、望ましいセキュリティとビジネスの成果を生み出しているかどうかを定義し、測定し、管理することです。サイバーリスクを定量的に低減できているか？どうやって知っているのですか？どのように測定しているのですか？

• また、SecOps、ITOps、C-Suite、デバイスオーナーが共にセキュリティ成果を容易に目標設定し達成できるようにし、それが起きたことを測定し証明できるようにすることが目標である。

C, U = Consistency and Uniformity（一貫性と均一性）：サイバーセキュリティは、組織全体で長期間にわたって均等に機能していますか？

• この概念は、これらの特性を示すべきシステム全体にサイバーセキュリティを適用している場合に適用されます。例えば、何千台もの同じラップトップがある場合、これらのラップトップ全体のサイバーセキュリティ評価は一様で、似ていて、多様性に欠けるものでしょうか？評価は一貫しており、時間の経過とともに変化していないでしょうか？特定のデバイスや担当者が「コンプライアンス違反」を繰り返していないか？これを知ることで、介入が必要な問題箇所を発見することができます。

• また、SecOps、ITOps、C-Suite、デバイス所有者などの関係者が、全体として一貫性のある、均一な経験を達成できるようにすることが目標です。

S = Sufficiency（十分性）：セキュリティはビジネスとステークホルダーの期待に応えていますか？

• このコンセプトは、セキュリティプロセスがビジネスANDサイバーセキュリティのニーズを満たし、十分であるか、バランスが取れているかを判断することです。サイバーセキュリティの成果が得られているというだけでは十分ではありません。サイバーリスクが全体として許容できるレベルにあると言えるほど、適切な場所で十分な成果を得ているのでしょうか？組織ごとにリスクに対する許容度は異なるので、その点も考慮する必要があります。ある組織にとって十分であっても、すべての組織にとって十分ではありません。

• また、期待に応えるために十分なセキュリティを確保し、保護とビジネスのバランスをとるための自動化とプロセスを構築することが目標です。利害関係者がサイバーセキュリティとビジネスにおける目標を達成するために必要なものを十分に確保すること。 以上、Security FOCUSのコンセプトの概要を簡単にご紹介しました。ITOps、SecOps、C-Suite、およびDevice Ownersを統合し、連携させるソリューションをリリースしているため、これらのコンセプトが当社の製品全体に反映されていることがおわかりいただけると思います。このレベルの戦略的思考は、サイバーセキュリティ能力の存在を示すチェックリストから、サイバーリスクの実用的なビジネス管理へと私たち全員を移行させるのに役立つでしょう。

BigFixの詳細については、www.BigFix.com をご覧いただくか、お問い合わせください。

2022/11/10 - 読み終える時間: 2 分

Preview of BigFix CyberFOCUS Analytics 1.0 の翻訳版です。

HCL BigFix CyberFOCUS Analytics 1.0 のプリビュー

2022年11月7日

著者: Robert Leong / Senior Director and Head of Product Management

HCLは、BigFix Remediate、BigFix Lifecycle、BigFix Compliance向けのBigFix CyberFOCUS Analytics 1.0のプレビュー版を提供することをお知らせします。

BigFix CyberFOCUS Analyticsはどのような問題を対象にしていますか？

BigFix CyberFOCUS Analyticsソリューションは、SecOps、ITOps、C-Suiteが交わる大きな未解決の問題に影響を与えるように設計されています。

• CEOはサイバーリスクを管理する責任がありますが、ビジネス上の意思決定を行うことでどのようにそれを行うのでしょうか？
• SecOpsは組織を狙う新たな脅威について常に学んでいますが、脅威を阻止するためにITOpsと連携することは困難です。
• ITOpsはSecOpsが優先順位をたくさん持っていることを知っていますが、現状を簡単に分析したり、進捗を追跡したり、SecOpsと提携したりすることはできません。

BigFix CyberFOCUS Analyticsとは何ですか？

SecOpsとITOpsがチームを組んで、より効率的に脆弱性を修正できるようにするものです。

BigFix CyberFOCUS Analyticsソリューションは、BigFix脆弱性修正ソリューションに組み込まれた統一された分析セットで、BigFix独自の情報やデータ（セキュリティパッチが適用されたかどうか、パッチコンテンツがあるかどうかなど）を脅威情報と組み合わせ、敵対する脅威からプロアクティブに保護する際に、SecOpsとITOpsが協力し連携する新しい方法を提供するものです。これは、BigFixだけが知っている情報に基づいて、時間的緊急性の高い脅威に対する質問に答えることで、SecOpsとITOpsが両チーム間の摩擦を減らすことができるように設計されています。

例えば、CyberFOCUS AnalyticsのCVE Remediation Simulatorは、ある脅威に対してパッチを適用するために「Critical」とされるCVE群を修正する際の労力に対して、どのCVEが最も価値が高く、ビジネス上の損失が最小になるかを教えてくれます。 これは、SecOpsとITOpsが敵対的な脅威に対するゲームプランでチームを組むのに役立ちます。

これは、SecOpsとITOps、そしてCEOがチームを組んで、ビジネス上の意思決定に基づくサイバーリスクを管理するための方法です。

BigFix CyberFOCUS Analyticsソリューションは、SecOpsとITOpsが協力して、収益フローと運用の回復力を維持し、CEOと取締役会が定義した保護のためのサイバーリスク許容範囲内に収まるようにすることも可能にします。また、保護レベル合意書も提供します。

• ビジネスゴールとサイバーリスクを関連付け、悪用可能な脆弱性のエクスポージャーの時間に基づいて測定します。
• 修正プロセスとBigFixの自動化によって制御可能なツールとプロセスに基づいています。
• 自動化された高品質なメトリクスと分析を提供し、トレンドの把握が可能です。

BigFix CyberFOCUS Analyticsは何で構成されていますか？

3つの新しい分析セットで構成されています。

1. Advanced Persistent Threat CVE Analyzerは、BigFixがCVEにパッチを適用したかどうかに基づいて、MITRE ATT&CKグループが使用することが知られているCVEへの優先的なエクスポージャを確認します。CVE Remediation Simulatorは、脆弱性攻撃表面の変化を即時にリアルタイムで「もしも」の事態を分析し、最小限の努力で最大の保護力を持つ修復を処方することができます。

2. CISA KEVs Exposure Analyzerは、CISAのKnown Exploited Vulnerabilities CatalogのCVEsに対する優先エクスポージャを、BigFixによるCVEsのパッチ適用有無に基づいて確認し、お客様の環境とCISAの指示するCVEsの期限およびその期限に対するパフォーマンスを比較し、エクスポージャされたデバイス数およびデバイスの脆弱性密度に関する情報を提供し、当該CVEsについて必要なBigFixパッチコンテンツとパッチ適用済みデバイスを相互に関連付けします。

3. Protection Level Agreement Analyzerは、悪用可能な脆弱性のエクスポージャーの時間を短縮するための測定可能なサイバーリスクコントロールポイントに対するパフォーマンスを確認し、ビジネスゴールと明確にリンクさせます。 BigFix CyberFOCUS Analyticsはどのように入手できますか？ BigFix CyberFOCUS Analyticsソリューションは、BigFix Remediate、BigFix Lifecycle、BigFix Complianceのエンタイトルメントをお持ちのすべてのお客様が利用でき、2022年12月に一般提供される予定です。

詳細情報を入手するにはどうすればよいですか？

詳しくは、https://www.hcltechsw.com/bigfix/products/cyberfocus をご覧ください。

2022/11/9 - 読み終える時間: 2 分

Viewing Endpoint Management Through a Security Lens: Secure Every Endpoint against the greatest threats, before the attack の翻訳版です。

エンドポイント管理をセキュリティの視点で見る：攻撃の前に、最大の脅威からあらゆるエンドポイントを保護する

2022年11月7日

著者: Dan Wolff / Director of Solutions and Product Marketing for BigFix

最近、あることにお気づきかもしれません。

長年にわたり、ランサムウェア や APT（Advanced persistent threat） グループは、パッチ不足を主な攻撃経路として利用してきました。グローバルな脅威の担い手や悪意のある国家活動がますます高度化するにつれ、政府や企業に対して、特にエンドポイントにおけるサイバー衛生に気を配るよう、これまで以上にプレッシャーがかかるようになっています。米国ホワイトハウスと米国サイバーセキュリティ・インフラストラクチャ・セキュリティ局 による最近の通達は、適切かつ積極的な対応の好例であり、これにより連邦政府機関は、攻撃が活発な既知の脆弱性にパッチを当てることが義務付けられるようになりました。

企業のセキュリティチームは、この件に関してすべて把握しています。何が問題で何をすべきかを報告するのは良い仕事ですが、一般に、最後の1マイルである「修正」までは手が回らないものです。長い間IT運用の領域であったBigFixは、OSやソフトウェアに関係なく、すべてのエンドポイントにパッチを適用し、コンプライアンスを確保するための信頼できるソリューションとして、このラスト・マイルを担ってきました。これは、BigFixの歴史であり、深い伝統であり、世界中で1億台以上のエンドポイントを管理しているという名声でもあります。

最近、CEOたちは、セキュリティの文脈を無視してパッチを適用することは無駄であり、単なる雑用に過ぎないということに気付きつつあります。さらに、パッチはサービスを中断させ、時には不良パッチがシステムを破壊することさえあり、アップタイムとサービス提供の責任を負う運用チームは頭を悩ませています。

不足しているのは、セキュリティのコンテキストと混乱を最小化する能力を組み合わせることです。

この2年間で、BigFIxは最高のエンドポイント管理機能を提供するだけでなく、顧客によって、企業があらゆるコンピューティングデバイスのセキュリティ脆弱性を特定し、優先順位をつけ、修正することを支援するという緊急かつ未開発のビジネスに乗り出しました。

11月8日、HCL BigFixチームは、当社の歴史上最も革新的なセキュリティ関連機能を発表しました。ITオペレーションとセキュリティに携わる人なら誰でも知りたくなるような新製品と画期的な機能をご紹介します。

ご紹介するのは以下の通りです。

BigFix CyberFOCUS Analytics

ITオペレーションを強化し、企業を保護します。BigFix CyberFOCUS AnalyticsはBigFixの新機能で、一つのコンソールでグローバルなデスクトップ、モバイル、データセンター、クラウド、IoT環境において、重要な脆弱性をリアルタイムで発見、優先順位付け、パッチ適用し、サイバーセキュリティ上のリスクを軽減します。IT運用チームは、資産の重要度、CVEの重要度、アクティブな脅威（将来）、希望するパッチレベル、合意した組織のサービスレベルに対する標準への準拠を組み合わせた一連のベースラインである保護レベル協定を定義し管理できるようになります。 この機能を説明する 3分間のビデオ をご覧ください。

詳細はRobert Leongのブログ、BigFix CyberFOCUS Analytics 1.0 のプレビュー をご覧ください。

BigFix on Cloud

インフラ不要でBigFixのパワーを手に入れよう! BigFix on Cloudは、BigFixのエンドポイント管理のパワーとHCLのグローバルなクラウドベースのマネージドサービスを組み合わせ、価値実現までの時間を短縮し、資本コストを低減します。BigFix on Cloudはホスト型のエンドポイント管理ソリューションであり、高価なインフラを排除しながら、導入の迅速化と管理の複雑性の軽減を実現します。他のクラウドベースのソリューションとは異なり、BigFix on Cloudでは、HCLの世界クラスのグローバルサービスデリバリーチームがバックアップすることで、セキュリティおよびIT運用チームがあらゆるエンドポイントを管理し、脆弱性を迅速に修正することができます。詳細については、こちら をご覧ください。

BigFix Known Exploited Vulnerability Content Pack　（BigFix既知の脆弱性コンテンツパック）

既知の悪用された脆弱性ダッシュボードのための燃料! BIGFIXのKnown Exploited Vulnerability Acceleration Packを利用することで、早急な対応が必要な脆弱性に優先順位をつけたいIT運用チームや、Binding Operational Directive 22-01 (CISA KEV)の遵守が求められる連邦機関や請負業者は、サイロを排除して修復までの時間を短縮することが可能になりました。 ?これらのチームは、CISAによって特定された重要な脆弱性の特定、優先順位付け、および（近日中に）修正をオールインワンのソリューションで行うことができるというメリットを得ることができます。詳細については、弊社までお問い合わせください。

私たちは、この機能を市場に投入できることを嬉しく思っていますし、お客様からの初期の反応も素晴らしいものでした。運用チームにとっては、特定のパッチを適用すれば、サービスの中断を最小限に抑えながら攻撃対象領域を縮小できることを示すツールとコンテキストを提供することができます。

BigFixプロダクト・マネージメント・ディレクターのRobert Leongと私が詳細を説明する、発表時のウェビナー をご覧ください。

詳細については、bigfix.com にアクセスし、コンタクトをリクエスト していただければ、製品スペシャリストがすぐにお返事いたします。

2022/11/8 - 読み終える時間: 2 分

New OpenSSL V3 Vulnerabilities are Exploitable の翻訳版です。

OpenSSL V3 の新たな脆弱性が悪用される

2022年11月1日

著者: Rhonda Studnick Kaiser / Director - Customer Experience BigFix

(このブログは、随時追加情報を更新していきます）

OpenSSLプロジェクトは、OpenSSLソフトウェアのバージョン3.0.7より前のバージョンに存在する脆弱性の詳細を発表しました。 これらのセキュリティ脆弱性に対応するため、OpenSSL Version 3.0.7をリリースしました。OpenSSLは、インターネット上での安全な通信を可能にするSSLおよびTLSプロトコルを実装したオープンソースの中核的なライブラリです。LinuxおよびMac OS Venturaを含む一部のOS、Node.js 18および19に影響を及ぼします。

本脆弱性について

この脆弱性の影響を受けるBigFix製品はありません。 OpenSSLプロジェクトは、当初、この脆弱性をクリティカル（Critical）と報告していましたが、その後、OpenSSLの最新のアドバイザリーにより、ハイ（High）に格下げされました。 また、OpenSSLのV3.0以前のバージョンには影響を与えないことを表明しています。

この脆弱性は、以下のような影響を与えることが知られています。

• Linux オペレーティングシステム、および Ubuntu や macOS Ventura などの一部のバージョン
• コンテナおよびコンテナイメージ
• JavaScriptランタイムのNode.js 18.xおよび19.x
• OpenSSL V3.0以上を組み込んだC/C++開発者が開発したコード

BigFixユーザーへの推奨対処法

1. OpenSSL の最新情報を https://www.openssl.org/news/vulnerabilities.html で確認する。

2. OpenSSL V3.0以降を搭載した脆弱性のあるシステムの特定

   a. インベントリスキャンを実施する（BigFixインベントリシグネチャは開発中です）

   a-i. シグネチャが公開されたら、BigFixフォーラムを参照してください。

   a-ii. OpenSSLのバージョンについて、他のスキャンソフトウェアやツールの情報源を確認する（https://github.com/NCSC-NL/OpenSSL-2022/tree/main/scanning）。

3. 潜在的な侵入や攻撃を防ぐために、できるだけ早くOpenSSLをV3.0.7にアップグレードしてください。

   a. BigFixチームは、本脆弱性に対応したベンダーのフィックスレットを迅速に公開する予定です。

   b. BigFixフォーラムでは、コンテンツリリースのアナウンスを行い、BigFixフォーラムのリンク先では、BigFixの全体的な対応についてお知らせします。

4. 最新の情報はBig Forumでご確認ください。https://forum.bigfix.com/t/openssl-3-vulnerabilities-2022-11-01/43303