Appleデバイスに潜む、見過ごされがちな5つのセキュリティギャップ

日々奮闘しているIT管理者の皆さん、こんにちは！Appleデバイス活用の拡大は順調に進んでいますか？MDMへのデバイス登録は完了したものの、何か見落としているのではないかという不安が拭えない方もいるのではないでしょうか？そう感じるのは、決してあなただけではありません。

その不安は理由のないものではありませんが、解決できないものでもありません。Appleデバイスを導入している多くの組織が、macOSに潜むセキュリティリスクに頭を悩ませています。このブログでは、解決に向かう最初の一歩として、よくある5つのセキュリティギャップについて解説します。

ギャップその1：構成ドリフト

構成ドリフト（構成のずれ）は起こりやすい問題です。意図した構成から意図せず徐々に逸脱していくこの現象は、様々な要因で発生します。例えば、問題に対処するために修正プログラムを適用したものの、その後のアップデートで上書きされてしまった。あるいは、一般ユーザが一時的に管理者に昇格されたものの、その権限が取り消されないままになっている。または、明確な変更管理ポリシーがないために、依存関係が見落とされてしまった、といった具合です。

その結果、かつては正しく構成されていたデバイスがずれた状態になってしまうのです。管理者側から見ると、デバイスは以前と変わらずチェックインし、レポートも正常に返されていますが、実際には最新・最高のコンプライアンス基準を満たしていないのです。

デバイスは常に変化しています。ソフトウェアのアップデート、ユーザの役割変更、ポリシーの更新、新しいライセンスの導入など、絶えず様々な変化があります。常に注意を払っていなければ、macOSの構成ドリフトは避けられません。

ギャップその2：パッチ適用済みデバイス群に潜む、パッチ未適用のデバイス

Macのパッチ管理の一環として、デバイスに最新のセキュリティパッチが確実に適用されるよう、ソフトウェアの最小バージョンを強制することはよくあります。しかし、厳格なアップデート期限を設けていても、取りこぼされてしまうデバイスが出てしまうものです。たとえば、デバイスがオフラインだった場合や、何らかの理由でアップデートが完全には適用されなかった場合などです。

パッチがリリースされてから完全に適用されるまでのギャップ期間、組織は攻撃者に狙われるリスクにさらされます。パッチノートには、古いバージョンに存在する脆弱性が記載されていることが多く、攻撃者が悪用できてしまうからです。デバイスのリストを目で確認しながらソフトウェアバージョンを手動で追跡している場合、ステータスは絶えず変化するため、すぐに追い切れなくなります。

ギャップその3：MDMでは捉えられない侵害

モバイルデバイス管理（MDM）は、デバイスインベントリを可視化するために欠かせないツールです。しかし、MDMはすべてを把握できるわけではなく、そのように設計されたものでもありません。MDMは、不審な挙動、疑わしいプロセス、セキュリティ侵害インジケータなどをリストアップしません。巧妙に設計されたインフォスティーラーやマルウェアは、MDMのポリシーに違反せずに、自由に実行される可能性があります。

そのため、デバイスはMDM上ではポリシーに準拠しているように見えることがあります。オペレーティングシステムの動作を深く理解した専用のエンドポイントセキュリティツールがなければ、MDMでは検出できないmacOSの脅威は把握されないままになってしまいます。デバイスに最も重大な結果をもたらすリスクのいくつかは、このように検出されずに潜んでいる可能性があります。

ギャップその4：役割の変化に追いついていないアクセス権限

セキュリティにおいて、最小権限アクセスのポリシーは極めて重要です。ユーザは業務に必要なリソース以外にはアクセスできないようにするのが望ましい状態です。しかし、部署異動があったり、契約社員がプロジェクトを完了したり、従業員が退職したり、デバイスが再割り当てされたりと、ユーザにはさまざまな変化があります。これは、特に組織の動きが速い場合に、見落とされがちなAppleデバイス管理のセキュリティギャップです。

このような変化に自動的に対応できる手段がないと、アクセス権限の更新は遅れてしまいます。その結果、攻撃者が標的とする古いアカウントが放置されたり、ユーザがアクセス権限を必要としなくなった余分なアクセスポイントが残ったりするという状況が発生します。

ギャップその5：連携していないツールが生み出す管理の死角

最も深いインサイトが得られるのは、管理ツール、ID管理ツール、エンドポイントセキュリティツールが相互に連携しているときです。MDMがデバイスを非準拠としてリストに載せていても、IDプロバイダがそのデバイスにリソースへのアクセスを許可してしまうケースがあります。あるいは、セキュリティソフトウェアがデバイス上のマルウェアを検出しても、MDM側ではその情報を把握できず、必要な対応を取れない場合もあります。これはまさにギャップその3で言及した状況です。

こうしたMacエンドポイントセキュリティのギャップは、連携の不足から生じます。システム全体でツールが連携することで、デバイスの真のコンプライアンス状況を含む、真の動作について、より深いインサイトを得ることができるのです。

ギャップは解消することができる

これらのギャップをどこから確認すればよいかわからない場合は、Jamfのチェックリスト「Appleデバイス環境で確認すべき5つの潜在的なセキュリティギャップ」をご覧ください。

これらのギャップは避けられないものではありませんが、セキュリティ対策の整備が組織や環境の拡大・変化に追いついていない場合に、自然と生じやすいものではあります。しかし幸いなことに、それぞれのギャップは解消ことができます。Jamfのホワイトペーパー「macOSのセキュリティ機能をJamfで強化」では、現在お使いのツールでは特定できないものも含めて、これらのギャップを特定して解消する方法を詳しく解説しています。